信息系統(tǒng)內(nèi)部控制綜述.doc

南京審計(jì)學(xué)院國際審計(jì)學(xué)院課 程 論 文題目： 信息系統(tǒng)內(nèi)部控制概述 姓名： 周廣超 學(xué)號(hào)： MZ1301065 專業(yè)： 審計(jì)碩士 班級(jí)： 13級(jí)審計(jì)碩士班 2013年 12 月 23 日信息系統(tǒng)內(nèi)部控制概述摘要：現(xiàn)代企業(yè)的運(yùn)營越來越依賴信息系統(tǒng)，它正改變著企業(yè)經(jīng)營管理的方式，企業(yè)在加強(qiáng)常規(guī)內(nèi)部控制的同時(shí)，也不得不十分關(guān)注信息系統(tǒng)內(nèi)部控制的建設(shè)。如何更好的利用信息系統(tǒng)來提升公司的經(jīng)營管理水平，搶占未來信息化競(jìng)爭(zhēng)環(huán)境下的優(yōu)勢(shì)先機(jī)，并且合理的防范信息系統(tǒng)給企業(yè)內(nèi)部帶來的新風(fēng)險(xiǎn)，已成為一個(gè)廣泛關(guān)注的話題。關(guān)鍵詞：信息系統(tǒng)；內(nèi)部控制；IT治理1、 信息系統(tǒng)概述信息系統(tǒng)是由計(jì)算機(jī)硬件、網(wǎng)絡(luò)和通信設(shè)備、計(jì)算機(jī)軟件、信息資源、信息用戶和規(guī)章制度組成的以處理信息為目的的人機(jī)一體系統(tǒng)。細(xì)心系統(tǒng)具有輸入、輸出、存儲(chǔ)、處理和控制的功能。與其他系統(tǒng)不同，信息系統(tǒng)不從事某一具體的實(shí)物性工作，而是關(guān)系全局協(xié)調(diào)一致的總括。從信息系統(tǒng)的發(fā)展和系統(tǒng)特點(diǎn)來看，包括眾多類型：數(shù)據(jù)處理系統(tǒng)、管理信息系統(tǒng)、決策支持系統(tǒng)、專家系統(tǒng)、虛擬辦公室等。如今的信息系統(tǒng)已不僅僅是一個(gè)技術(shù)系統(tǒng)，更是一個(gè)社會(huì)系統(tǒng)，影響著經(jīng)濟(jì)社會(huì)的方方面面。二、信息系統(tǒng)風(fēng)險(xiǎn)信息系統(tǒng)存在脆弱性風(fēng)險(xiǎn)，這指信息系統(tǒng)特性中固有的弱點(diǎn)，對(duì)整個(gè)系統(tǒng)而言，其弱點(diǎn)是由系統(tǒng)各個(gè)要素的弱點(diǎn)的集中和再統(tǒng)一。首先，技術(shù)方面的脆弱性通常與數(shù)據(jù)的高速處理、數(shù)據(jù)的不可見性、信息集中等有關(guān)。隨著信息技術(shù)的發(fā)展，現(xiàn)今的信息系統(tǒng)所處理的數(shù)據(jù)量越來越大，因此系統(tǒng)對(duì)數(shù)據(jù)處理速度的要求也越來越高。在這種情況下很難對(duì)數(shù)據(jù)處理的正確性進(jìn)行逐一跟蹤確認(rèn)；榆次同時(shí)，由于數(shù)據(jù)量龐大，一旦數(shù)據(jù)處理出現(xiàn)差錯(cuò)，要在短時(shí)間內(nèi)找到問題也需要話費(fèi)大量的人力與時(shí)間。數(shù)據(jù)的不可見性導(dǎo)致低數(shù)據(jù)的修改在很多情況下也是不可見的。除此之外，信息集中的結(jié)果使得大量數(shù)據(jù)都集中在信息中心，若信息中心被破壞，受到的損失必將是十分巨大的，這些都給信息系統(tǒng)帶來的巨大的威脅。其次，從管理方面來看，脆弱性主要表現(xiàn)在內(nèi)部控制制度的缺乏和不健全，監(jiān)督功能不完善，從而引發(fā)信息系統(tǒng)的各種威脅。而且，目前大多數(shù)人的關(guān)注重點(diǎn)仍然停留在具體的實(shí)務(wù)處理上，而忽略了信息系統(tǒng)工具本身可能尋在的問題和風(fēng)險(xiǎn)，顧此失彼，信息系統(tǒng)的安全性存在極大隱患。三、信息系統(tǒng)內(nèi)部控制的重要性目前，信息系統(tǒng)已從純粹的財(cái)務(wù)系統(tǒng)整合經(jīng)企業(yè)的經(jīng)營系統(tǒng)中。信息系統(tǒng)幫助企業(yè)控制業(yè)務(wù)流程、跟蹤和記錄在實(shí)時(shí)基礎(chǔ)上進(jìn)行的交易，通常還包括整合性的、在復(fù)雜環(huán)境中的系列經(jīng)營行為。信息系統(tǒng)不僅要獲取決策所需要的信息來影響控制，還被用來執(zhí)行企業(yè)的戰(zhàn)略決策。因此，信息系統(tǒng)中的信息必須是準(zhǔn)確的、及時(shí)的、適當(dāng)?shù)暮屯〞车模詽M足管理決策的需要，并通過這些信息實(shí)施有效的控制。信息系統(tǒng)形成的信息質(zhì)量依賴于控制活動(dòng)的有效實(shí)施。因?yàn)榧皶r(shí)適當(dāng)獲得可靠的信息是影響和控制信息系統(tǒng)的關(guān)鍵，因此信息系統(tǒng)自身也是內(nèi)部控制的組成部分，并且也要被控制，而且這一控制還特別重要，在信息化企業(yè)中具有十分重大的意義。特別是隨著互聯(lián)網(wǎng)技術(shù)和信息技術(shù)的高速持續(xù)發(fā)展，信息系統(tǒng)變得越來越復(fù)雜化、大型化、多樣化和網(wǎng)絡(luò)化，企業(yè)的物流、信息流、資金流更加依賴于信息系統(tǒng)?？墒切畔⑾到y(tǒng)在給人來帶來便利的同時(shí)，本身也存在著極大風(fēng)險(xiǎn)，因此要特別加強(qiáng)對(duì)其的內(nèi)部控制。四、信息系統(tǒng)內(nèi)部控制典型模型COBIT模型COBIT是由美國信息系統(tǒng)審計(jì)與控制協(xié)會(huì)（ISACA）在1996年公布的，目前已經(jīng)更新至第五版，是國際上公認(rèn)的最權(quán)威、最先進(jìn)的安全與信息技術(shù)管理和控制標(biāo)準(zhǔn)。COBIT是信息技術(shù)治理慣例的集大成者，為衡量、審計(jì)和控制信息系統(tǒng)提供了一個(gè)普遍適用的控制模型，能夠指導(dǎo)企業(yè)有效利用信息資源，有效管理與信息相關(guān)的風(fēng)險(xiǎn)。COBIT通過信息技術(shù)過程管理信息技術(shù)資源，以交付滿足業(yè)務(wù)和治理要求的信息，實(shí)現(xiàn)控制目標(biāo)。COBIT包括34個(gè)通用的信息技術(shù)流程，沒一個(gè)處理過程都是一系列關(guān)聯(lián)的IT活動(dòng)或任務(wù)。按照信息系統(tǒng)生命周期，將IT過程分為四個(gè)領(lǐng)域：策劃與組織、獲取與實(shí)施、交付與支持、監(jiān)控與評(píng)價(jià)，這些領(lǐng)域就是規(guī)劃、實(shí)施、運(yùn)行維護(hù)和監(jiān)控四項(xiàng)傳統(tǒng)的職責(zé)領(lǐng)域。COBIT在34個(gè)通用的IT流程基礎(chǔ)上進(jìn)一步細(xì)化發(fā)展了318個(gè)控制目標(biāo)。策劃與組織主要從戰(zhàn)略的高度對(duì)企業(yè)信息系統(tǒng)進(jìn)行全面規(guī)劃，致力于識(shí)別IT為實(shí)現(xiàn)業(yè)務(wù)目標(biāo)作出最佳貢獻(xiàn)的途徑。在該階段需要明確信息系統(tǒng)的目標(biāo)和范圍，對(duì)IT項(xiàng)目的風(fēng)險(xiǎn)進(jìn)行評(píng)估，從技術(shù)、經(jīng)濟(jì)和管理等方面對(duì)系統(tǒng)規(guī)劃方案進(jìn)行可行性研究，做好資源的規(guī)劃獲取與實(shí)施階段涵蓋了信息系統(tǒng)分析與設(shè)計(jì)的部分過程，為實(shí)現(xiàn)IT戰(zhàn)略，確認(rèn)、開發(fā)、實(shí)施IT解決方案并將其整合到業(yè)務(wù)流程中去。同時(shí)該階段指出了現(xiàn)有系統(tǒng)的變更與維護(hù)如何能確保持續(xù)滿足業(yè)務(wù)目標(biāo)。交付與支持階段主要關(guān)注所需服務(wù)的實(shí)際交付情況，涵蓋了業(yè)務(wù)交付安全和持續(xù)性管理用戶服務(wù)支持?jǐn)?shù)據(jù)與操作設(shè)施管理等領(lǐng)域，對(duì)IT服務(wù)的交付質(zhì)量進(jìn)行嚴(yán)格控制。監(jiān)控與評(píng)價(jià)主要定期評(píng)估所有IT流程的質(zhì)量以及與控制要求的符合程度。該階段涉及績效管理、內(nèi)部控制的監(jiān)督、合規(guī)和治理等內(nèi)容。COBIT的控制域及處理過程1、規(guī)劃與組織2、獲取與實(shí)施3、交付與支持4、監(jiān)控與評(píng)價(jià)定義IT戰(zhàn)略規(guī)劃定義IT戰(zhàn)略規(guī)劃，確定自動(dòng)化的解決方案定義并管理服務(wù)水平過程監(jiān)控定義信息體系結(jié)構(gòu)獲取并維護(hù)應(yīng)用程序軟件管理第二方的服務(wù)評(píng)價(jià)內(nèi)部控制的適當(dāng)性確定技術(shù)方向獲取并維護(hù)技術(shù)基礎(chǔ)設(shè)施管理性能與容量獲取定義IT組織與關(guān)系程序開發(fā)與維護(hù)確保服務(wù)的連續(xù)性提供獨(dú)立的審計(jì)管理IT投資程序安裝與鑒定確保系統(tǒng)安全傳達(dá)管理目標(biāo)和方向更新管理確定并分配成本人力資源管理教育并培訓(xùn)客戶確保與外部需求一致信息技術(shù)咨詢風(fēng)險(xiǎn)評(píng)估配置管理項(xiàng)目管理處理問題和突發(fā)事件質(zhì)量管理數(shù)據(jù)管理設(shè)施管理運(yùn)營管理COBIT考慮了企業(yè)自身的戰(zhàn)略規(guī)劃，對(duì)業(yè)務(wù)環(huán)境、業(yè)務(wù)戰(zhàn)略進(jìn)行分析定位，并將戰(zhàn)略規(guī)劃所產(chǎn)生的目標(biāo)、政策、行動(dòng)計(jì)劃作為信息技術(shù)的關(guān)鍵環(huán)境，由此確定IT準(zhǔn)則。在IT準(zhǔn)則指導(dǎo)下，控制和管理信息資源，同時(shí)引入審計(jì)指南，從而保證IT資源管理的安全性、可靠性和有效性。COBIT的優(yōu)點(diǎn)如下：（1） COBIT是一個(gè)非常有用的工具，而且易于理解和實(shí)施，可以幫助在管理層、IT與審計(jì)之間搭建橋梁，提供彼此溝通的語言。（2） COBIT提供了一個(gè)共同的標(biāo)準(zhǔn)，使得IT處理過程實(shí)施者更容易與其他組織的IT處理過程的實(shí)施者，以及提供各種不同IT服務(wù)的個(gè)人或廠商彼此相互溝通。（3） 通過實(shí)施COBIT，增加了管理層對(duì)控制的感知和支持。（4） COBIT使信息系統(tǒng)內(nèi)部控制的工作簡化，減輕對(duì)復(fù)雜信息系統(tǒng)內(nèi)部控制的工作的難度，并且可以應(yīng)用在每天都發(fā)生的各種新問題中。（5） 為IT處理過程的實(shí)施者提供一個(gè)完整的理論指導(dǎo)，使他們可以對(duì)IT處理過程中的相關(guān)活動(dòng)實(shí)施管理和控制，滿足企業(yè)對(duì)信息系統(tǒng)的安全、可靠與有效的需求，為企業(yè)達(dá)成其目標(biāo)提供合理保障。（6） COBIT提供了一個(gè)國際通用的信息系統(tǒng)內(nèi)部控制方案，普遍使用于各種不同的業(yè)務(wù)項(xiàng)目和審計(jì)，并且它既包括了現(xiàn)在的情況，也提供了未來可能會(huì)使用的指導(dǎo)方案。（7） COBIT模型可以幫助決定過程責(zé)任，提高信息系統(tǒng)內(nèi)部控制的水平。由此可以看出，COBIT模型實(shí)現(xiàn)了企業(yè)戰(zhàn)略與IT戰(zhàn)略的互動(dòng)，并形成持續(xù)改進(jìn)的良性循環(huán)機(jī)制，為企業(yè)提供具有一定參考價(jià)值的解決方，同時(shí)對(duì)推動(dòng)我國信息技術(shù)的發(fā)展和應(yīng)用具有十分重要的現(xiàn)實(shí)意義。五、IT治理隨著對(duì)信息系統(tǒng)依賴性的增加，IT治理對(duì)于組織的成功是至關(guān)重要的。IT治理是指導(dǎo)與控制IT應(yīng)用的體系，對(duì)于組織信息技術(shù)價(jià)值的實(shí)現(xiàn)和風(fēng)險(xiǎn)控制有重要意義，是應(yīng)用信息系統(tǒng)內(nèi)部控制的前提。（1） IT治理是公司治理的重要組成部分。IT治理是IT決策的權(quán)責(zé)利安排，它從企業(yè)整體利益出發(fā)構(gòu)建IT系統(tǒng)，力求實(shí)現(xiàn)業(yè)務(wù)與信息的集成，可使公司經(jīng)營活動(dòng)過程變得更加透明，還可提高公司信息質(zhì)量披露，減少利益相關(guān)者之間的信息不對(duì)稱問題，起到了驅(qū)動(dòng)和支撐公司治理的作用。（2） IT治理是提高內(nèi)部控制的有效手段。信息系統(tǒng)是管理者編制財(cái)務(wù)報(bào)告和披露相關(guān)信息的工具，基于權(quán)利制約和崗位分工的內(nèi)部控制發(fā)展成為以信息流為基礎(chǔ)的IT內(nèi)部控。IT治理將合理的制度安排、控制程序嵌入到IT系統(tǒng)中，使得IT系統(tǒng)具備內(nèi)在的控制機(jī)制，減少了信息生成過程中的錯(cuò)誤與舞弊行為。（3） IT治理是控制經(jīng)營成本，提高企業(yè)價(jià)值的驅(qū)動(dòng)力。企業(yè)在IT系統(tǒng)方面的投資比重越來越大，巨額IT系統(tǒng)運(yùn)營成本和維護(hù)費(fèi)用也成為企業(yè)管理層必須考慮的因素。IT管理是公司的信息及信息系統(tǒng)的運(yùn)營，確定IT目標(biāo)以及實(shí)現(xiàn)此目標(biāo)所采取的行動(dòng)；而IT治理是指最高管理層利用它來監(jiān)督管理層在IT戰(zhàn)略上的過程、結(jié)構(gòu)和聯(lián)系，以確保這種運(yùn)營處于正確的軌道之上。IT治理規(guī)定了整個(gè)企業(yè)IT運(yùn)作的基本框架，因此，要想有一個(gè)具體、有效的信息系統(tǒng)內(nèi)部控制，就必須有一個(gè)統(tǒng)一、科學(xué)的IT治理框架來確定原則、指明方向。目前IT治理理論研究發(fā)現(xiàn)的IT治理機(jī)制主要有治理結(jié)構(gòu)、治理流程與關(guān)系溝通機(jī)制，如下圖所示：典型IT治理機(jī)制治理結(jié)構(gòu)治理流程關(guān)系溝通機(jī)制IT治理委員會(huì)IT架構(gòu)委員會(huì)IT戰(zhàn)略委員會(huì)IT指導(dǎo)委員會(huì)IT部門項(xiàng)目指導(dǎo)委員會(huì)IT投資建議與評(píng)估流程架構(gòu)例外流程IT平衡積分卡戰(zhàn)略信息系統(tǒng)規(guī)劃COBIT與ITIL服務(wù)水平協(xié)議IT治理成熟度建立廣泛的決策相關(guān)者參與機(jī)制建立業(yè)務(wù)部門與IT部門合作伙伴關(guān)系激勵(lì)機(jī)制有效的沖突解決機(jī)制跨部門的業(yè)務(wù)與IT培訓(xùn)、崗位輪換機(jī)制高層管理者公告正式委員會(huì)會(huì)議IT治理一般包括良好的IT機(jī)構(gòu)、科學(xué)的IT戰(zhàn)略規(guī)劃和IT外包治理制度。（一）IT機(jī)構(gòu)由于組織業(yè)務(wù)和規(guī)模的不同，組織間IT部門結(jié)構(gòu)和職責(zé)會(huì)有不同結(jié)構(gòu)，下圖描述了比較常見的一種IT機(jī)構(gòu)結(jié)構(gòu)圖：（二）IT戰(zhàn)略規(guī)劃IT戰(zhàn)略規(guī)劃是關(guān)于組織信息化建設(shè)的長遠(yuǎn)發(fā)展計(jì)劃，是企業(yè)戰(zhàn)略規(guī)劃的一個(gè)重要部分。IT戰(zhàn)略規(guī)劃通常包括如下內(nèi)容：（1） 組織的戰(zhàn)略目標(biāo)、政策和約束、計(jì)劃和指標(biāo)的分析；（2） 信息化建設(shè)的目標(biāo)、約束以及計(jì)劃指標(biāo)的分析；（3） 各應(yīng)用系統(tǒng)的功能、信息系統(tǒng)的組織、人員、管理和運(yùn)行等；（4） 信息化建設(shè)的效益分析和實(shí)施計(jì)劃等。（三）IT外包治理IT外包是允許組織把某些IT服務(wù)交付轉(zhuǎn)由第三方提供的機(jī)制。IT外包雖然將服務(wù)交付轉(zhuǎn)移，但其責(zé)任仍屬于組織內(nèi)部管理層。IT外包治理是一系列責(zé)任角色、流程和控制機(jī)制，用來管理第三方服務(wù)的引入、維護(hù)、績效和成本控制。節(jié)省成本和使用先進(jìn)經(jīng)驗(yàn)提高質(zhì)量是IT外包的主要?jiǎng)恿?。通常外包出去的IT服務(wù)有應(yīng)用程序管理、基礎(chǔ)設(shè)施管理、數(shù)據(jù)中心管理等。六、信息系統(tǒng)內(nèi)部控制內(nèi)容信息系統(tǒng)是一個(gè)復(fù)雜、龐大的廣泛集合，因此，信息系統(tǒng)的內(nèi)部控制也要顧及到整個(gè)系統(tǒng)的方方面面，包括硬件、軟件、人和管理制度等。本文將信息系統(tǒng)的具體內(nèi)部控制統(tǒng)分為一般控制和應(yīng)用控制兩個(gè)主要的大方面。（一）一般控制信息系統(tǒng)一般控制是應(yīng)用于一個(gè)單位信息系統(tǒng)全部或較大范圍的內(nèi)部控制具體措施的集合，其基本目標(biāo)是保證數(shù)據(jù)安全，保護(hù)計(jì)算機(jī)的應(yīng)用系統(tǒng)，防止系統(tǒng)被非法入侵，保證在意外中斷情況下繼續(xù)運(yùn)行等，有效的一般控制是保證應(yīng)用控制有效的一個(gè)重要因素，它提供應(yīng)用系統(tǒng)運(yùn)行和應(yīng)用控制實(shí)施的環(huán)境。1、管理控制信息系統(tǒng)的管理控制一般包括制定合理的信息安全方針與策略、風(fēng)險(xiǎn)評(píng)估、控制目標(biāo)與方式選擇、制定規(guī)范的操作流程、對(duì)員工進(jìn)行安全意識(shí)培訓(xùn)等一系列工作，通過在安全方針策略、組織安全、資產(chǎn)分類與控制、人員安全、物理與環(huán)境安全、通信與運(yùn)營安全、訪問控制、系統(tǒng)開發(fā)與維護(hù)、業(yè)務(wù)持續(xù)性管理、符合法律法規(guī)要求等領(lǐng)域內(nèi)建立管理控制措施，來保證組織信息資產(chǎn)的安全與業(yè)務(wù)的連續(xù)性。信息系統(tǒng)的管理控制的主要目標(biāo)是實(shí)現(xiàn)職責(zé)分離和人員管理。首先要制定一套科學(xué)、合理、有效的信息系統(tǒng)的安全政策、標(biāo)準(zhǔn)和指南，這些制度層面的文件對(duì)于維護(hù)企業(yè)的信息系統(tǒng)的安全、正常運(yùn)轉(zhuǎn)以及約束操作人員的不合規(guī)行為具有十分重要的意義。信息系統(tǒng)安全政策、標(biāo)準(zhǔn)和指南都是對(duì)企業(yè)信息系統(tǒng)的指導(dǎo)性規(guī)定，只不過是對(duì)具體操作的說明的詳細(xì)程度不同罷了，現(xiàn)以信息系統(tǒng)安全政策為例卓明應(yīng)有的內(nèi)部控制措施。信息系統(tǒng)安全政策一般要包括目標(biāo)和責(zé)任、系統(tǒng)采購與開發(fā)、訪問終端、設(shè)備與信息安全、服務(wù)部門方案等全面的覆蓋。由于安全政策一般需要由董事會(huì)批準(zhǔn)，而董事會(huì)又不能隨時(shí)開會(huì)予以表決，因此在制定信息系統(tǒng)安全政策時(shí)不應(yīng)該過于詳細(xì)，以防止安全政策需要經(jīng)常變更而帶來的不穩(wěn)定。比如，該政策不應(yīng)指明具體的控制手段，如密碼所需最小字符數(shù)和取消一個(gè)用戶密碼之前可以嘗試的最大失敗登陸次數(shù)，否則，高級(jí)管理人員可能需要經(jīng)常向董事會(huì)提交政策表更請(qǐng)求，這些具體的信息系統(tǒng)控制徐曉秋包括在標(biāo)準(zhǔn)或指南中即可。其次，信息系統(tǒng)安全控制要實(shí)現(xiàn)職責(zé)分離和人員的管理。信息系統(tǒng)中的職責(zé)分離主要包括系統(tǒng)的開發(fā)職務(wù)與操作職務(wù)、系統(tǒng)的輸入職務(wù)和審核職務(wù)以及系統(tǒng)操作職務(wù)和文檔管理職務(wù)之間的職責(zé)分離。信息系統(tǒng)人員管理的控制對(duì)象是人員及其工作的整個(gè)過程，包括人員的招聘、工作的分配、培訓(xùn)、離崗和離職等。2、系統(tǒng)基礎(chǔ)設(shè)施控制系統(tǒng)舉出設(shè)施是指保障信息系統(tǒng)工作所必需的設(shè)施與條件，信息系統(tǒng)的一般控制要針對(duì)系統(tǒng)基礎(chǔ)設(shè)施，設(shè)計(jì)必要的控制措施，以保障信息系統(tǒng)安全、可靠地運(yùn)行。系統(tǒng)基礎(chǔ)設(shè)施控制重點(diǎn)是信息系統(tǒng)環(huán)境以及信息系統(tǒng)軟硬件的采購、配置、運(yùn)行與管理。（1）信息系統(tǒng)環(huán)境控制環(huán)境風(fēng)險(xiǎn)無處不在，既可能來源于自然災(zāi)害，比如地震、臺(tái)風(fēng)等，也可能來源于電力故障、設(shè)備故障等。其中對(duì)信息系統(tǒng)映像最大的就是計(jì)算機(jī)和支持系統(tǒng)的電力故障，因此，要對(duì)信息系統(tǒng)環(huán)境的安全性建立控制，加強(qiáng)保障。為了有效控制信息處理設(shè)施的環(huán)境風(fēng)險(xiǎn)，對(duì)于信息處理設(shè)施的物理位置需要進(jìn)行認(rèn)真的考慮，如為了避免水淹的威脅，計(jì)算機(jī)機(jī)房不可設(shè)置在地下室。如果在多層建筑物中，研究表明3至6層是最佳的計(jì)算機(jī)機(jī)房位置，可降低水災(zāi)、煙霧及火災(zāi)的危險(xiǎn)。當(dāng)需要放置計(jì)算機(jī)設(shè)施時(shí)，對(duì)相鄰組織的活動(dòng)要特別注意，比如應(yīng)當(dāng)避免把計(jì)算機(jī)設(shè)施放置在化學(xué)工廠、機(jī)場(chǎng)附近，以免面臨環(huán)境風(fēng)險(xiǎn)。針對(duì)可能存在的環(huán)境風(fēng)險(xiǎn)，通常應(yīng)安裝使用報(bào)警控制面板、水災(zāi)探測(cè)器、自動(dòng)滅火系統(tǒng)、備用發(fā)電機(jī)及不間斷電源系統(tǒng)等有效的技術(shù)手段來防范風(fēng)險(xiǎn)（2）信息系統(tǒng)硬件控制硬件基礎(chǔ)設(shè)施是信息系統(tǒng)的重要組成部分，是系統(tǒng)運(yùn)行的重要保障，對(duì)于信息系統(tǒng)硬件設(shè)施的控制，是保證信息系統(tǒng)安全性的重要措施，對(duì)于硬件基礎(chǔ)設(shè)施的內(nèi)部控制，主要考慮硬件設(shè)施的采購、運(yùn)行、維護(hù)、監(jiān)控和能力管理等方面。硬件基礎(chǔ)設(shè)施采購控制硬件基礎(chǔ)設(shè)施的采購一般以招標(biāo)書或者請(qǐng)求建議書的形式送達(dá)供應(yīng)商并充分考慮各種因素，進(jìn)行評(píng)標(biāo)，包括供應(yīng)商的財(cái)務(wù)狀況、供應(yīng)商維護(hù)的支持能力等。企業(yè)應(yīng)有一套明確的采購流程和標(biāo)準(zhǔn)加控制。硬件基礎(chǔ)設(shè)施維護(hù)與監(jiān)控信息系統(tǒng)硬件基礎(chǔ)設(shè)施必須進(jìn)行日常清潔和保養(yǎng)以保證其正常運(yùn)行。維護(hù)需求隨系統(tǒng)復(fù)雜性和運(yùn)行負(fù)載的不同而不同。信息系統(tǒng)的維護(hù)應(yīng)該制定維護(hù)計(jì)劃并經(jīng)過管理層批準(zhǔn)，包括系統(tǒng)的日常維護(hù)的系統(tǒng)功能的改進(jìn)及擴(kuò)充，嚴(yán)格控制維護(hù)開銷，遵守維護(hù)程序。硬件基礎(chǔ)設(shè)施能力控制能力管理是對(duì)計(jì)算機(jī)資源的計(jì)劃和監(jiān)控，其目標(biāo)是根據(jù)總體業(yè)務(wù)的增長或減少動(dòng)態(tài)地增減資源，以確?？捎觅Y源的有效利用。能力計(jì)劃應(yīng)包括被以往經(jīng)驗(yàn)所證實(shí)的預(yù)測(cè)，并同時(shí)考慮現(xiàn)有業(yè)務(wù)的潛在增長和未來業(yè)務(wù)的擴(kuò)充，重點(diǎn)應(yīng)考慮CPU的利用、計(jì)算機(jī)存儲(chǔ)的利用、遠(yuǎn)程通信和廣域網(wǎng)寬帶的利用等。（3）系統(tǒng)軟件控制計(jì)算機(jī)系統(tǒng)具有層次性的體系結(jié)構(gòu)，其底層是計(jì)算機(jī)硬件和固件，上一層則是操作系統(tǒng)，操作系統(tǒng)是系統(tǒng)軟件中最重要的部件。對(duì)于一個(gè)完整的信息系統(tǒng)而言，系統(tǒng)軟件還包括數(shù)據(jù)庫管理系統(tǒng)、通信軟件、數(shù)據(jù)管理軟件、作業(yè)調(diào)度軟件、程序庫管理軟件和系統(tǒng)工具軟件。這些系統(tǒng)軟件為業(yè)務(wù)系統(tǒng)的正常運(yùn)行提供系統(tǒng)級(jí)的保障。系統(tǒng)軟件的獲取與實(shí)施管理層應(yīng)保證組織內(nèi)使用的系統(tǒng)軟件具有最新的版本，以保證組織的競(jìng)爭(zhēng)能力。非最新版本的系統(tǒng)軟件可能逐漸過時(shí)并不再被供應(yīng)商所支持；可能不具備最新的應(yīng)用程序所要求的技術(shù)特征；同時(shí)開放互聯(lián)系統(tǒng)也使得非最新版本的系統(tǒng)更易于受到安全威脅。管理層應(yīng)制定短期和長期的計(jì)劃，以便及時(shí)將操作系統(tǒng)及相關(guān)的系統(tǒng)軟件遷移到更新、更有效率和效益的版本上。系統(tǒng)軟件的獲取也需要相應(yīng)的招標(biāo)和評(píng)價(jià)過程。系統(tǒng)軟件的實(shí)施需要制定組織內(nèi)使用的標(biāo)準(zhǔn)配置，包括功能特征、配置選項(xiàng)和控制方法。系統(tǒng)軟件的變更控制系統(tǒng)軟件的實(shí)施涉及大量的變更，變更控制程序用來保證變更已經(jīng)得到授權(quán)，管理層和相關(guān)人員清楚并參與到系統(tǒng)軟件的變更過程中，確保變更不會(huì)破壞現(xiàn)有處理流程。變更控制程序應(yīng)保證變更對(duì)生產(chǎn)系統(tǒng)的影響已經(jīng)得到適當(dāng)?shù)脑u(píng)估，在系統(tǒng)軟件安裝失敗時(shí)這一評(píng)估尤為重要。變更控制程序還應(yīng)通知所有可能受變更影響的相關(guān)人員，并保證這些人員已經(jīng)對(duì)變更在各自領(lǐng)域可能產(chǎn)生的影響做了適當(dāng)?shù)脑u(píng)估。在將變更后續(xù)系統(tǒng)投入實(shí)際運(yùn)行前，應(yīng)確保所有測(cè)試結(jié)果已進(jìn)行記錄、審查并得到相關(guān)領(lǐng)域?qū)＜业恼J(rèn)可。系統(tǒng)軟件的版權(quán)與許可對(duì)于應(yīng)用信息系統(tǒng)進(jìn)行日常業(yè)務(wù)處理的組織來說，盜版軟件會(huì)損害組織利益，導(dǎo)致感染計(jì)算機(jī)病毒、木馬，造成業(yè)務(wù)損失的不可忽視的因素，而且大量盜版軟件也使組織面臨訴訟風(fēng)險(xiǎn)。為預(yù)防或檢測(cè)對(duì)軟件版權(quán)的侵犯，管理層或?qū)徲?jì)部門需要制定相應(yīng)的政策與管理手段，保證組織為其信息系統(tǒng)部門建立了標(biāo)準(zhǔn)的計(jì)算機(jī)桌面環(huán)境和軟件許可策略。防止在同一網(wǎng)絡(luò)中的多臺(tái)計(jì)算機(jī)上非法復(fù)制軟件的一個(gè)控制是和軟件服務(wù)商簽署站點(diǎn)許可協(xié)議，其基于訪問網(wǎng)絡(luò)的用戶數(shù)目，而不是針對(duì)特定的用戶或機(jī)器。在考慮成本效益的情況下，為了限制許可成本，企業(yè)還可以選擇并發(fā)許可協(xié)議。并發(fā)許可協(xié)議允許一定數(shù)目的用戶同時(shí)訪問網(wǎng)絡(luò)中的軟件，還可以幫助網(wǎng)絡(luò)管理員確定軟件的使用率，可以判斷是否購買更多的許可。操縱系統(tǒng)軟件控制參數(shù)許多系統(tǒng)軟件產(chǎn)品，尤其是操作系統(tǒng)提供參數(shù)和選項(xiàng)，用于系統(tǒng)裁剪和特征激活。參數(shù)的重要性在于它決定了系統(tǒng)的設(shè)置和行為特征，從而可以使一個(gè)標(biāo)準(zhǔn)的系統(tǒng)軟件適合各種不同的環(huán)境。對(duì)操作系統(tǒng)的不適當(dāng)?shù)膶?shí)施和參數(shù)設(shè)置會(huì)導(dǎo)致隱藏的錯(cuò)誤和數(shù)據(jù)毀壞，以及非授權(quán)的訪問和不準(zhǔn)確的日志等。操作系統(tǒng)完整性依賴于管理層對(duì)授權(quán)技術(shù)的使用，管理層應(yīng)防止非授權(quán)用戶獲取執(zhí)行特權(quán)指令的能力并進(jìn)而控制整個(gè)系統(tǒng)。在評(píng)估操作系統(tǒng)完整性時(shí)，應(yīng)檢查系統(tǒng)控制選項(xiàng)及保存在系統(tǒng)目錄中的參數(shù)。計(jì)算機(jī)病毒控制有效的病毒防范方法一是要建立規(guī)范嚴(yán)謹(jǐn)?shù)墓芾聿呗耘c程序，而是要采取一定的技術(shù)方法，如防病毒軟件，來檢測(cè)和預(yù)防計(jì)算機(jī)病毒。檢測(cè)病毒的方法有兩種，一種是檢查計(jì)算機(jī)是否已感染病毒；另一種是用于監(jiān)測(cè)異常指令的執(zhí)行，可疑指令只有在得到用戶確認(rèn)后才能被執(zhí)行。防范病毒的技術(shù)手段包括硬件和軟件兩種，如使用啟動(dòng)型病毒保護(hù)可以保護(hù)計(jì)算機(jī)再重新啟動(dòng)后恢復(fù)到一個(gè)安全的狀態(tài)；對(duì)于聯(lián)網(wǎng)的工作站可以采用無盤方式的遠(yuǎn)程啟動(dòng)；對(duì)計(jì)算機(jī)等設(shè)備采用基于硬件的口令也是阻斷病毒入侵的路徑之一；而采用有寫保護(hù)的軟盤可以防止病毒通過軟盤傳播；對(duì)于計(jì)算機(jī)網(wǎng)絡(luò)可以利用防火墻阻止不安全的協(xié)議進(jìn)入。3、系統(tǒng)訪問控制系統(tǒng)訪問就是利用計(jì)算機(jī)資源達(dá)到一定目的的能力，對(duì)計(jì)算機(jī)化的信息資源的訪問可以基于邏輯方式，也可以基于物理方式。用戶訪問能力一般是由安全管理員按照一系列既定規(guī)則來實(shí)施的，這些規(guī)則定義了用戶以什么樣的級(jí)別訪問資源。安全管理員一旦受到信息所有者或管理人員遞交上來的授權(quán)請(qǐng)求表后，通過調(diào)用適當(dāng)?shù)南到y(tǒng)訪問控制機(jī)制，授權(quán)特定用戶可以訪問和使用受保護(hù)的資源。應(yīng)當(dāng)對(duì)訪問授權(quán)進(jìn)行階段性的審核，以保證授權(quán)規(guī)則在組織中一直是有效的。（1）邏輯訪問控制邏輯訪問控制是組織要采取的主要控制措施之一，通過邏輯訪問控制把安全風(fēng)險(xiǎn)降到組織可接受的范圍內(nèi)。不充分的邏輯訪問控制增加了暴露風(fēng)險(xiǎn)帶來的潛在損失，這些暴露風(fēng)險(xiǎn)包括技術(shù)性暴露風(fēng)險(xiǎn)和計(jì)算機(jī)犯罪，它們都可以有意或者無意地利用邏輯訪問控制的漏洞，對(duì)信息系統(tǒng)造成損害。 邏輯訪問路徑進(jìn)入系統(tǒng)的邏輯訪問可以通過不同路徑，每種途徑均應(yīng)有適當(dāng)?shù)脑L問安全級(jí)別。進(jìn)入組織前端或后端系統(tǒng)的常規(guī)進(jìn)入點(diǎn)與組織的網(wǎng)絡(luò)與通信基礎(chǔ)設(shè)施相關(guān)，通過對(duì)系統(tǒng)進(jìn)入點(diǎn)的管理可以控制對(duì)信息資源的訪問。網(wǎng)絡(luò)連接訪問模式下，要求通過域控制服務(wù)器進(jìn)行用戶身份的識(shí)別與驗(yàn)證；對(duì)一些特殊的應(yīng)用系統(tǒng)或數(shù)據(jù)的訪問可能需要在一個(gè)特定的服務(wù)器上進(jìn)行用戶身份的識(shí)別與驗(yàn)證。遠(yuǎn)程訪問模式下的安全控制一般通過確認(rèn)遠(yuǎn)程用戶的個(gè)人賬號(hào)和密碼來實(shí)現(xiàn)。 身份識(shí)別與驗(yàn)證邏輯訪問控制中的身份識(shí)別與驗(yàn)證是一種提供用戶身份證明的過程，在這個(gè)過程中，用戶向系統(tǒng)提交有效額身份證明，系統(tǒng)驗(yàn)證這個(gè)身份證明后向用戶授予訪問系統(tǒng)的權(quán)力。身份識(shí)別與驗(yàn)證是實(shí)現(xiàn)計(jì)算機(jī)安全的重要基礎(chǔ)，它是絕大數(shù)類型的訪問控制為建立用戶責(zé)任的可確認(rèn)性而采取的方法。身份識(shí)別與驗(yàn)證可以采用賬號(hào)與口令、令牌設(shè)備、生物測(cè)定技術(shù)與行為測(cè)定技術(shù)或是它們的結(jié)合使用。管理層要制定安全的備份方法，并建立控制措施，以保護(hù)樣本數(shù)據(jù)和模板在傳輸過程中免受非法修改。 邏輯訪問授權(quán)邏輯訪問控制在正確識(shí)別用戶身份后，要通過授權(quán)過程賦予用戶對(duì)系統(tǒng)邏輯訪問的能力，決定什么人能訪問什么資源，并把授權(quán)內(nèi)容正式記錄在案，以便于在系統(tǒng)中執(zhí)行及日后的檢查審核。一般情況下，邏輯訪問控制基于最小授權(quán)原則，只對(duì)因工作需要訪問信息系統(tǒng)的人員進(jìn)行必要的授權(quán)。計(jì)算機(jī)訪問有多種級(jí)別控制，在邏輯訪問授權(quán)時(shí)，應(yīng)清楚用戶在某一級(jí)別的訪問能做什么，不能做什么。用戶在組織變換工作角色或是離職時(shí)，應(yīng)及時(shí)地更新授權(quán)。（2）物理訪問控制系統(tǒng)用戶或者相關(guān)人員出入系統(tǒng)的關(guān)鍵區(qū)域，需要采用適當(dāng)?shù)奈锢碓L問控制，物理訪問的風(fēng)險(xiǎn)可能引起組織的財(cái)務(wù)損失、法律訴訟、信譽(yù)受損或喪失競(jìng)爭(zhēng)優(yōu)勢(shì)。物理訪問風(fēng)險(xiǎn)原因可能來自對(duì)安全規(guī)定有意或無意的違反，這些風(fēng)險(xiǎn)包括未經(jīng)授權(quán)進(jìn)入信息處理場(chǎng)所，毀損、破壞或竊取設(shè)備、財(cái)產(chǎn)或文件，復(fù)制或偷看敏感的或有著作權(quán)的信息等等。信息系統(tǒng)的相關(guān)處理場(chǎng)所和實(shí)施都要納入物理訪問控制范圍。另外，在整個(gè)組織范圍內(nèi)、組織辦公場(chǎng)所邊界處、外部機(jī)構(gòu)、租賃出租場(chǎng)所等所有可能出現(xiàn)物理訪問風(fēng)險(xiǎn)的地方，都要建立有效的控制措施。通用的物理訪問控制包括門鎖或是組合門鎖、攝像監(jiān)控、出入陪同、訪問日志登記、自動(dòng)報(bào)警系統(tǒng)等。組織需要針對(duì)不同的物理訪問控制區(qū)域，選擇合適的安保措施，利用有效的物理訪問控制技術(shù)，保障物理訪問的安全。4、災(zāi)難恢復(fù)控制信息系統(tǒng)的災(zāi)難恢復(fù)是組織中總的業(yè)務(wù)持續(xù)計(jì)劃和災(zāi)難恢復(fù)計(jì)劃的重要組成部分。業(yè)務(wù)持續(xù)計(jì)劃應(yīng)該綜合考慮關(guān)鍵信息系統(tǒng)處理設(shè)施和終端用戶的業(yè)務(wù)功能兩方面的內(nèi)容。為滿足短期的恢復(fù)需要，應(yīng)當(dāng)建立可替換的處理設(shè)施來滿足應(yīng)急運(yùn)行的需要；如果為長期策略做打算，應(yīng)當(dāng)為災(zāi)難恢復(fù)建立永久性的信息處理場(chǎng)所與設(shè)施，使其能為組織長期提供連續(xù)性的信息處理服務(wù)。災(zāi)難恢復(fù)計(jì)劃應(yīng)當(dāng)涉及業(yè)務(wù)流程中斷后的所有相關(guān)問題，計(jì)劃應(yīng)當(dāng)簡潔并正式成文，便于所有人理解，并在異地備份場(chǎng)所存放一份計(jì)劃的備份。在確定了災(zāi)難恢復(fù)計(jì)劃后，災(zāi)難恢復(fù)計(jì)劃的負(fù)責(zé)人必須組建合適的團(tuán)隊(duì)來實(shí)施恢復(fù)策略，并確定與各個(gè)團(tuán)隊(duì)相關(guān)的關(guān)鍵決策者、信息部門和終端用戶的相關(guān)職責(zé)。對(duì)有關(guān)重要軟件都應(yīng)該按照當(dāng)前的使用狀態(tài)進(jìn)行異地備份，重要的紙質(zhì)文檔也要進(jìn)行異地備份。對(duì)數(shù)據(jù)與文件的備份應(yīng)當(dāng)周期性的進(jìn)行，備份的時(shí)間周期要根據(jù)應(yīng)用軟件與系統(tǒng)軟件的不同而有所差異。加強(qiáng)對(duì)異地備份庫的控制，對(duì)異地信息處理設(shè)施的安全控制措施應(yīng)當(dāng)像組織內(nèi)部的信息系統(tǒng)處理設(shè)施一樣對(duì)待，提供足夠的物理訪問控制并進(jìn)行環(huán)境控制與監(jiān)測(cè)。（二）應(yīng)用控制應(yīng)用控制是為適應(yīng)各種數(shù)據(jù)處理的特殊控制要求，保證數(shù)據(jù)處理完整、準(zhǔn)確地完成而建立的內(nèi)部控制。應(yīng)用控制涉及各種類型的業(yè)務(wù)，每種業(yè)務(wù)及其數(shù)據(jù)處理有其特殊流程的要求，這就決定了具體的應(yīng)用控制的設(shè)計(jì)需結(jié)合具體的業(yè)務(wù)。應(yīng)用控制既可以通過程序編碼以自動(dòng)化方式實(shí)現(xiàn)，也可通過手工方式實(shí)現(xiàn)。為了提高內(nèi)部控制水平，應(yīng)盡可能的把業(yè)務(wù)處理規(guī)則、控制規(guī)則嵌入應(yīng)用系統(tǒng)，實(shí)現(xiàn)自動(dòng)控制。1、輸入控制輸入控制在整個(gè)信息系統(tǒng)的控制中占有非常重要的地位，只有健全有效額輸入控制才能確保進(jìn)入應(yīng)用系統(tǒng)的數(shù)據(jù)是完整和準(zhǔn)確的。數(shù)據(jù)輸入的控制有些可有人工完成，有些可以由計(jì)算機(jī)程序?qū)嵤?。企業(yè)應(yīng)建立合理的工作流程，對(duì)重要數(shù)據(jù)設(shè)置復(fù)核員，對(duì)操作員輸入計(jì)算機(jī)的數(shù)據(jù)正確性進(jìn)行人工復(fù)核。更重要的是要充分利用計(jì)算機(jī)編輯校驗(yàn)，讓計(jì)算機(jī)按照程序指令自動(dòng)檢查數(shù)據(jù)是否正確、完整、合理。企業(yè)應(yīng)設(shè)置符合實(shí)際的合理參數(shù)來控制計(jì)算機(jī)的自動(dòng)檢驗(yàn)，并且對(duì)于計(jì)算機(jī)檢驗(yàn)發(fā)現(xiàn)的錯(cuò)誤后的處理方式也要根據(jù)錯(cuò)誤性質(zhì)、操作員權(quán)限等因素，考慮采用即時(shí)校驗(yàn)或推延校驗(yàn)等方式。常見的額輸入控制類型主要包括數(shù)據(jù)格式控制、數(shù)據(jù)數(shù)值范圍控制、數(shù)據(jù)數(shù)量控制、數(shù)據(jù)重復(fù)控制、數(shù)據(jù)邏輯關(guān)系控制、輸入數(shù)據(jù)的自動(dòng)處理控制、輸入錯(cuò)誤糾正控制等。2、處理控制處理是信息系統(tǒng)按照程序指令實(shí)行的內(nèi)部功能，包括數(shù)據(jù)驗(yàn)證、計(jì)算、比較、合并、排序、文件更新和維護(hù)、訪問、改錯(cuò)等內(nèi)部處理活動(dòng)。數(shù)據(jù)處理是否正確，在很大程度上依賴于輸入數(shù)據(jù)的正確性、應(yīng)用程序的正確性以及環(huán)境控制的強(qiáng)弱。處理控制就是對(duì)信息系統(tǒng)進(jìn)行的內(nèi)部數(shù)據(jù)處理活動(dòng)的控制措施 ，這些控制措施往往被寫入計(jì)算機(jī)程序，因此，處理控制往往又是自動(dòng)控制。常見的處理控制有流程控制（未沈定單不能入庫，社保系統(tǒng)中未工傷受理的不能認(rèn)定，未認(rèn)定的不能鑒定，未鑒定的不能工傷待遇審核支付等）、自動(dòng)計(jì)算（如根據(jù)銷售單價(jià)和數(shù)量自動(dòng)計(jì)算銷售金額）和自動(dòng)處理（采購入庫以后自動(dòng)生成會(huì)計(jì)憑證）等。企業(yè)要編制正確、有效的程序來檢測(cè)并保證計(jì)算機(jī)處理的正確性而且要定期對(duì)信息系統(tǒng)數(shù)據(jù)有效性進(jìn)行人工核查。3、輸出控制系統(tǒng)要定期或不定期的將各種信息輸出到肉眼不可見的存儲(chǔ)介質(zhì)上，而且還要打印輸出各種報(bào)告、報(bào)表或其他相關(guān)資料。輸