信息系統(tǒng)內部控制綜述.doc

南京審計學院國際審計學院課 程 論 文題目： 信息系統(tǒng)內部控制概述 姓名： 周廣超 學號： MZ1301065 專業(yè)： 審計碩士 班級： 13級審計碩士班 2013年 12 月 23 日信息系統(tǒng)內部控制概述摘要：現代企業(yè)的運營越來越依賴信息系統(tǒng)，它正改變著企業(yè)經營管理的方式，企業(yè)在加強常規(guī)內部控制的同時，也不得不十分關注信息系統(tǒng)內部控制的建設。如何更好的利用信息系統(tǒng)來提升公司的經營管理水平，搶占未來信息化競爭環(huán)境下的優(yōu)勢先機，并且合理的防范信息系統(tǒng)給企業(yè)內部帶來的新風險，已成為一個廣泛關注的話題。關鍵詞：信息系統(tǒng)；內部控制；IT治理1、 信息系統(tǒng)概述信息系統(tǒng)是由計算機硬件、網絡和通信設備、計算機軟件、信息資源、信息用戶和規(guī)章制度組成的以處理信息為目的的人機一體系統(tǒng)。細心系統(tǒng)具有輸入、輸出、存儲、處理和控制的功能。與其他系統(tǒng)不同，信息系統(tǒng)不從事某一具體的實物性工作，而是關系全局協(xié)調一致的總括。從信息系統(tǒng)的發(fā)展和系統(tǒng)特點來看，包括眾多類型：數據處理系統(tǒng)、管理信息系統(tǒng)、決策支持系統(tǒng)、專家系統(tǒng)、虛擬辦公室等。如今的信息系統(tǒng)已不僅僅是一個技術系統(tǒng)，更是一個社會系統(tǒng)，影響著經濟社會的方方面面。二、信息系統(tǒng)風險信息系統(tǒng)存在脆弱性風險，這指信息系統(tǒng)特性中固有的弱點，對整個系統(tǒng)而言，其弱點是由系統(tǒng)各個要素的弱點的集中和再統(tǒng)一。首先，技術方面的脆弱性通常與數據的高速處理、數據的不可見性、信息集中等有關。隨著信息技術的發(fā)展，現今的信息系統(tǒng)所處理的數據量越來越大，因此系統(tǒng)對數據處理速度的要求也越來越高。在這種情況下很難對數據處理的正確性進行逐一跟蹤確認；榆次同時，由于數據量龐大，一旦數據處理出現差錯，要在短時間內找到問題也需要話費大量的人力與時間。數據的不可見性導致低數據的修改在很多情況下也是不可見的。除此之外，信息集中的結果使得大量數據都集中在信息中心，若信息中心被破壞，受到的損失必將是十分巨大的，這些都給信息系統(tǒng)帶來的巨大的威脅。其次，從管理方面來看，脆弱性主要表現在內部控制制度的缺乏和不健全，監(jiān)督功能不完善，從而引發(fā)信息系統(tǒng)的各種威脅。而且，目前大多數人的關注重點仍然停留在具體的實務處理上，而忽略了信息系統(tǒng)工具本身可能尋在的問題和風險，顧此失彼，信息系統(tǒng)的安全性存在極大隱患。三、信息系統(tǒng)內部控制的重要性目前，信息系統(tǒng)已從純粹的財務系統(tǒng)整合經企業(yè)的經營系統(tǒng)中。信息系統(tǒng)幫助企業(yè)控制業(yè)務流程、跟蹤和記錄在實時基礎上進行的交易，通常還包括整合性的、在復雜環(huán)境中的系列經營行為。信息系統(tǒng)不僅要獲取決策所需要的信息來影響控制，還被用來執(zhí)行企業(yè)的戰(zhàn)略決策。因此，信息系統(tǒng)中的信息必須是準確的、及時的、適當的和通暢的，以滿足管理決策的需要，并通過這些信息實施有效的控制。信息系統(tǒng)形成的信息質量依賴于控制活動的有效實施。因為及時適當獲得可靠的信息是影響和控制信息系統(tǒng)的關鍵，因此信息系統(tǒng)自身也是內部控制的組成部分，并且也要被控制，而且這一控制還特別重要，在信息化企業(yè)中具有十分重大的意義。特別是隨著互聯網技術和信息技術的高速持續(xù)發(fā)展，信息系統(tǒng)變得越來越復雜化、大型化、多樣化和網絡化，企業(yè)的物流、信息流、資金流更加依賴于信息系統(tǒng)?？墒切畔⑾到y(tǒng)在給人來帶來便利的同時，本身也存在著極大風險，因此要特別加強對其的內部控制。四、信息系統(tǒng)內部控制典型模型COBIT模型COBIT是由美國信息系統(tǒng)審計與控制協(xié)會（ISACA）在1996年公布的，目前已經更新至第五版，是國際上公認的最權威、最先進的安全與信息技術管理和控制標準。COBIT是信息技術治理慣例的集大成者，為衡量、審計和控制信息系統(tǒng)提供了一個普遍適用的控制模型，能夠指導企業(yè)有效利用信息資源，有效管理與信息相關的風險。COBIT通過信息技術過程管理信息技術資源，以交付滿足業(yè)務和治理要求的信息，實現控制目標。COBIT包括34個通用的信息技術流程，沒一個處理過程都是一系列關聯的IT活動或任務。按照信息系統(tǒng)生命周期，將IT過程分為四個領域：策劃與組織、獲取與實施、交付與支持、監(jiān)控與評價，這些領域就是規(guī)劃、實施、運行維護和監(jiān)控四項傳統(tǒng)的職責領域。COBIT在34個通用的IT流程基礎上進一步細化發(fā)展了318個控制目標。策劃與組織主要從戰(zhàn)略的高度對企業(yè)信息系統(tǒng)進行全面規(guī)劃，致力于識別IT為實現業(yè)務目標作出最佳貢獻的途徑。在該階段需要明確信息系統(tǒng)的目標和范圍，對IT項目的風險進行評估，從技術、經濟和管理等方面對系統(tǒng)規(guī)劃方案進行可行性研究，做好資源的規(guī)劃獲取與實施階段涵蓋了信息系統(tǒng)分析與設計的部分過程，為實現IT戰(zhàn)略，確認、開發(fā)、實施IT解決方案并將其整合到業(yè)務流程中去。同時該階段指出了現有系統(tǒng)的變更與維護如何能確保持續(xù)滿足業(yè)務目標。交付與支持階段主要關注所需服務的實際交付情況，涵蓋了業(yè)務交付安全和持續(xù)性管理用戶服務支持數據與操作設施管理等領域，對IT服務的交付質量進行嚴格控制。監(jiān)控與評價主要定期評估所有IT流程的質量以及與控制要求的符合程度。該階段涉及績效管理、內部控制的監(jiān)督、合規(guī)和治理等內容。COBIT的控制域及處理過程1、規(guī)劃與組織2、獲取與實施3、交付與支持4、監(jiān)控與評價定義IT戰(zhàn)略規(guī)劃定義IT戰(zhàn)略規(guī)劃，確定自動化的解決方案定義并管理服務水平過程監(jiān)控定義信息體系結構獲取并維護應用程序軟件管理第二方的服務評價內部控制的適當性確定技術方向獲取并維護技術基礎設施管理性能與容量獲取定義IT組織與關系程序開發(fā)與維護確保服務的連續(xù)性提供獨立的審計管理IT投資程序安裝與鑒定確保系統(tǒng)安全傳達管理目標和方向更新管理確定并分配成本人力資源管理教育并培訓客戶確保與外部需求一致信息技術咨詢風險評估配置管理項目管理處理問題和突發(fā)事件質量管理數據管理設施管理運營管理COBIT考慮了企業(yè)自身的戰(zhàn)略規(guī)劃，對業(yè)務環(huán)境、業(yè)務戰(zhàn)略進行分析定位，并將戰(zhàn)略規(guī)劃所產生的目標、政策、行動計劃作為信息技術的關鍵環(huán)境，由此確定IT準則。在IT準則指導下，控制和管理信息資源，同時引入審計指南，從而保證IT資源管理的安全性、可靠性和有效性。COBIT的優(yōu)點如下：（1） COBIT是一個非常有用的工具，而且易于理解和實施，可以幫助在管理層、IT與審計之間搭建橋梁，提供彼此溝通的語言。（2） COBIT提供了一個共同的標準，使得IT處理過程實施者更容易與其他組織的IT處理過程的實施者，以及提供各種不同IT服務的個人或廠商彼此相互溝通。（3） 通過實施COBIT，增加了管理層對控制的感知和支持。（4） COBIT使信息系統(tǒng)內部控制的工作簡化，減輕對復雜信息系統(tǒng)內部控制的工作的難度，并且可以應用在每天都發(fā)生的各種新問題中。（5） 為IT處理過程的實施者提供一個完整的理論指導，使他們可以對IT處理過程中的相關活動實施管理和控制，滿足企業(yè)對信息系統(tǒng)的安全、可靠與有效的需求，為企業(yè)達成其目標提供合理保障。（6） COBIT提供了一個國際通用的信息系統(tǒng)內部控制方案，普遍使用于各種不同的業(yè)務項目和審計，并且它既包括了現在的情況，也提供了未來可能會使用的指導方案。（7） COBIT模型可以幫助決定過程責任，提高信息系統(tǒng)內部控制的水平。由此可以看出，COBIT模型實現了企業(yè)戰(zhàn)略與IT戰(zhàn)略的互動，并形成持續(xù)改進的良性循環(huán)機制，為企業(yè)提供具有一定參考價值的解決方，同時對推動我國信息技術的發(fā)展和應用具有十分重要的現實意義。五、IT治理隨著對信息系統(tǒng)依賴性的增加，IT治理對于組織的成功是至關重要的。IT治理是指導與控制IT應用的體系，對于組織信息技術價值的實現和風險控制有重要意義，是應用信息系統(tǒng)內部控制的前提。（1） IT治理是公司治理的重要組成部分。IT治理是IT決策的權責利安排，它從企業(yè)整體利益出發(fā)構建IT系統(tǒng)，力求實現業(yè)務與信息的集成，可使公司經營活動過程變得更加透明，還可提高公司信息質量披露，減少利益相關者之間的信息不對稱問題，起到了驅動和支撐公司治理的作用。（2） IT治理是提高內部控制的有效手段。信息系統(tǒng)是管理者編制財務報告和披露相關信息的工具，基于權利制約和崗位分工的內部控制發(fā)展成為以信息流為基礎的IT內部控。IT治理將合理的制度安排、控制程序嵌入到IT系統(tǒng)中，使得IT系統(tǒng)具備內在的控制機制，減少了信息生成過程中的錯誤與舞弊行為。（3） IT治理是控制經營成本，提高企業(yè)價值的驅動力。企業(yè)在IT系統(tǒng)方面的投資比重越來越大，巨額IT系統(tǒng)運營成本和維護費用也成為企業(yè)管理層必須考慮的因素。IT管理是公司的信息及信息系統(tǒng)的運營，確定IT目標以及實現此目標所采取的行動；而IT治理是指最高管理層利用它來監(jiān)督管理層在IT戰(zhàn)略上的過程、結構和聯系，以確保這種運營處于正確的軌道之上。IT治理規(guī)定了整個企業(yè)IT運作的基本框架，因此，要想有一個具體、有效的信息系統(tǒng)內部控制，就必須有一個統(tǒng)一、科學的IT治理框架來確定原則、指明方向。目前IT治理理論研究發(fā)現的IT治理機制主要有治理結構、治理流程與關系溝通機制，如下圖所示：典型IT治理機制治理結構治理流程關系溝通機制IT治理委員會IT架構委員會IT戰(zhàn)略委員會IT指導委員會IT部門項目指導委員會IT投資建議與評估流程架構例外流程IT平衡積分卡戰(zhàn)略信息系統(tǒng)規(guī)劃COBIT與ITIL服務水平協(xié)議IT治理成熟度建立廣泛的決策相關者參與機制建立業(yè)務部門與IT部門合作伙伴關系激勵機制有效的沖突解決機制跨部門的業(yè)務與IT培訓、崗位輪換機制高層管理者公告正式委員會會議IT治理一般包括良好的IT機構、科學的IT戰(zhàn)略規(guī)劃和IT外包治理制度。（一）IT機構由于組織業(yè)務和規(guī)模的不同，組織間IT部門結構和職責會有不同結構，下圖描述了比較常見的一種IT機構結構圖：（二）IT戰(zhàn)略規(guī)劃IT戰(zhàn)略規(guī)劃是關于組織信息化建設的長遠發(fā)展計劃，是企業(yè)戰(zhàn)略規(guī)劃的一個重要部分。IT戰(zhàn)略規(guī)劃通常包括如下內容：（1） 組織的戰(zhàn)略目標、政策和約束、計劃和指標的分析；（2） 信息化建設的目標、約束以及計劃指標的分析；（3） 各應用系統(tǒng)的功能、信息系統(tǒng)的組織、人員、管理和運行等；（4） 信息化建設的效益分析和實施計劃等。（三）IT外包治理IT外包是允許組織把某些IT服務交付轉由第三方提供的機制。IT外包雖然將服務交付轉移，但其責任仍屬于組織內部管理層。IT外包治理是一系列責任角色、流程和控制機制，用來管理第三方服務的引入、維護、績效和成本控制。節(jié)省成本和使用先進經驗提高質量是IT外包的主要動力。通常外包出去的IT服務有應用程序管理、基礎設施管理、數據中心管理等。六、信息系統(tǒng)內部控制內容信息系統(tǒng)是一個復雜、龐大的廣泛集合，因此，信息系統(tǒng)的內部控制也要顧及到整個系統(tǒng)的方方面面，包括硬件、軟件、人和管理制度等。本文將信息系統(tǒng)的具體內部控制統(tǒng)分為一般控制和應用控制兩個主要的大方面。（一）一般控制信息系統(tǒng)一般控制是應用于一個單位信息系統(tǒng)全部或較大范圍的內部控制具體措施的集合，其基本目標是保證數據安全，保護計算機的應用系統(tǒng)，防止系統(tǒng)被非法入侵，保證在意外中斷情況下繼續(xù)運行等，有效的一般控制是保證應用控制有效的一個重要因素，它提供應用系統(tǒng)運行和應用控制實施的環(huán)境。1、管理控制信息系統(tǒng)的管理控制一般包括制定合理的信息安全方針與策略、風險評估、控制目標與方式選擇、制定規(guī)范的操作流程、對員工進行安全意識培訓等一系列工作，通過在安全方針策略、組織安全、資產分類與控制、人員安全、物理與環(huán)境安全、通信與運營安全、訪問控制、系統(tǒng)開發(fā)與維護、業(yè)務持續(xù)性管理、符合法律法規(guī)要求等領域內建立管理控制措施，來保證組織信息資產的安全與業(yè)務的連續(xù)性。信息系統(tǒng)的管理控制的主要目標是實現職責分離和人員管理。首先要制定一套科學、合理、有效的信息系統(tǒng)的安全政策、標準和指南，這些制度層面的文件對于維護企業(yè)的信息系統(tǒng)的安全、正常運轉以及約束操作人員的不合規(guī)行為具有十分重要的意義。信息系統(tǒng)安全政策、標準和指南都是對企業(yè)信息系統(tǒng)的指導性規(guī)定，只不過是對具體操作的說明的詳細程度不同罷了，現以信息系統(tǒng)安全政策為例卓明應有的內部控制措施。信息系統(tǒng)安全政策一般要包括目標和責任、系統(tǒng)采購與開發(fā)、訪問終端、設備與信息安全、服務部門方案等全面的覆蓋。由于安全政策一般需要由董事會批準，而董事會又不能隨時開會予以表決，因此在制定信息系統(tǒng)安全政策時不應該過于詳細，以防止安全政策需要經常變更而帶來的不穩(wěn)定。比如，該政策不應指明具體的控制手段，如密碼所需最小字符數和取消一個用戶密碼之前可以嘗試的最大失敗登陸次數，否則，高級管理人員可能需要經常向董事會提交政策表更請求，這些具體的信息系統(tǒng)控制徐曉秋包括在標準或指南中即可。其次，信息系統(tǒng)安全控制要實現職責分離和人員的管理。信息系統(tǒng)中的職責分離主要包括系統(tǒng)的開發(fā)職務與操作職務、系統(tǒng)的輸入職務和審核職務以及系統(tǒng)操作職務和文檔管理職務之間的職責分離。信息系統(tǒng)人員管理的控制對象是人員及其工作的整個過程，包括人員的招聘、工作的分配、培訓、離崗和離職等。2、系統(tǒng)基礎設施控制系統(tǒng)舉出設施是指保障信息系統(tǒng)工作所必需的設施與條件，信息系統(tǒng)的一般控制要針對系統(tǒng)基礎設施，設計必要的控制措施，以保障信息系統(tǒng)安全、可靠地運行。系統(tǒng)基礎設施控制重點是信息系統(tǒng)環(huán)境以及信息系統(tǒng)軟硬件的采購、配置、運行與管理。（1）信息系統(tǒng)環(huán)境控制環(huán)境風險無處不在，既可能來源于自然災害，比如地震、臺風等，也可能來源于電力故障、設備故障等。其中對信息系統(tǒng)映像最大的就是計算機和支持系統(tǒng)的電力故障，因此，要對信息系統(tǒng)環(huán)境的安全性建立控制，加強保障。為了有效控制信息處理設施的環(huán)境風險，對于信息處理設施的物理位置需要進行認真的考慮，如為了避免水淹的威脅，計算機機房不可設置在地下室。如果在多層建筑物中，研究表明3至6層是最佳的計算機機房位置，可降低水災、煙霧及火災的危險。當需要放置計算機設施時，對相鄰組織的活動要特別注意，比如應當避免把計算機設施放置在化學工廠、機場附近，以免面臨環(huán)境風險。針對可能存在的環(huán)境風險，通常應安裝使用報警控制面板、水災探測器、自動滅火系統(tǒng)、備用發(fā)電機及不間斷電源系統(tǒng)等有效的技術手段來防范風險（2）信息系統(tǒng)硬件控制硬件基礎設施是信息系統(tǒng)的重要組成部分，是系統(tǒng)運行的重要保障，對于信息系統(tǒng)硬件設施的控制，是保證信息系統(tǒng)安全性的重要措施，對于硬件基礎設施的內部控制，主要考慮硬件設施的采購、運行、維護、監(jiān)控和能力管理等方面。硬件基礎設施采購控制硬件基礎設施的采購一般以招標書或者請求建議書的形式送達供應商并充分考慮各種因素，進行評標，包括供應商的財務狀況、供應商維護的支持能力等。企業(yè)應有一套明確的采購流程和標準加控制。硬件基礎設施維護與監(jiān)控信息系統(tǒng)硬件基礎設施必須進行日常清潔和保養(yǎng)以保證其正常運行。維護需求隨系統(tǒng)復雜性和運行負載的不同而不同。信息系統(tǒng)的維護應該制定維護計劃并經過管理層批準，包括系統(tǒng)的日常維護的系統(tǒng)功能的改進及擴充，嚴格控制維護開銷，遵守維護程序。硬件基礎設施能力控制能力管理是對計算機資源的計劃和監(jiān)控，其目標是根據總體業(yè)務的增長或減少動態(tài)地增減資源，以確保可用資源的有效利用。能力計劃應包括被以往經驗所證實的預測，并同時考慮現有業(yè)務的潛在增長和未來業(yè)務的擴充，重點應考慮CPU的利用、計算機存儲的利用、遠程通信和廣域網寬帶的利用等。（3）系統(tǒng)軟件控制計算機系統(tǒng)具有層次性的體系結構，其底層是計算機硬件和固件，上一層則是操作系統(tǒng)，操作系統(tǒng)是系統(tǒng)軟件中最重要的部件。對于一個完整的信息系統(tǒng)而言，系統(tǒng)軟件還包括數據庫管理系統(tǒng)、通信軟件、數據管理軟件、作業(yè)調度軟件、程序庫管理軟件和系統(tǒng)工具軟件。這些系統(tǒng)軟件為業(yè)務系統(tǒng)的正常運行提供系統(tǒng)級的保障。系統(tǒng)軟件的獲取與實施管理層應保證組織內使用的系統(tǒng)軟件具有最新的版本，以保證組織的競爭能力。非最新版本的系統(tǒng)軟件可能逐漸過時并不再被供應商所支持；可能不具備最新的應用程序所要求的技術特征；同時開放互聯系統(tǒng)也使得非最新版本的系統(tǒng)更易于受到安全威脅。管理層應制定短期和長期的計劃，以便及時將操作系統(tǒng)及相關的系統(tǒng)軟件遷移到更新、更有效率和效益的版本上。系統(tǒng)軟件的獲取也需要相應的招標和評價過程。系統(tǒng)軟件的實施需要制定組織內使用的標準配置，包括功能特征、配置選項和控制方法。系統(tǒng)軟件的變更控制系統(tǒng)軟件的實施涉及大量的變更，變更控制程序用來保證變更已經得到授權，管理層和相關人員清楚并參與到系統(tǒng)軟件的變更過程中，確保變更不會破壞現有處理流程。變更控制程序應保證變更對生產系統(tǒng)的影響已經得到適當的評估，在系統(tǒng)軟件安裝失敗時這一評估尤為重要。變更控制程序還應通知所有可能受變更影響的相關人員，并保證這些人員已經對變更在各自領域可能產生的影響做了適當的評估。在將變更后續(xù)系統(tǒng)投入實際運行前，應確保所有測試結果已進行記錄、審查并得到相關領域專家的認可。系統(tǒng)軟件的版權與許可對于應用信息系統(tǒng)進行日常業(yè)務處理的組織來說，盜版軟件會損害組織利益，導致感染計算機病毒、木馬，造成業(yè)務損失的不可忽視的因素，而且大量盜版軟件也使組織面臨訴訟風險。為預防或檢測對軟件版權的侵犯，管理層或審計部門需要制定相應的政策與管理手段，保證組織為其信息系統(tǒng)部門建立了標準的計算機桌面環(huán)境和軟件許可策略。防止在同一網絡中的多臺計算機上非法復制軟件的一個控制是和軟件服務商簽署站點許可協(xié)議，其基于訪問網絡的用戶數目，而不是針對特定的用戶或機器。在考慮成本效益的情況下，為了限制許可成本，企業(yè)還可以選擇并發(fā)許可協(xié)議。并發(fā)許可協(xié)議允許一定數目的用戶同時訪問網絡中的軟件，還可以幫助網絡管理員確定軟件的使用率，可以判斷是否購買更多的許可。操縱系統(tǒng)軟件控制參數許多系統(tǒng)軟件產品，尤其是操作系統(tǒng)提供參數和選項，用于系統(tǒng)裁剪和特征激活。參數的重要性在于它決定了系統(tǒng)的設置和行為特征，從而可以使一個標準的系統(tǒng)軟件適合各種不同的環(huán)境。對操作系統(tǒng)的不適當的實施和參數設置會導致隱藏的錯誤和數據毀壞，以及非授權的訪問和不準確的日志等。操作系統(tǒng)完整性依賴于管理層對授權技術的使用，管理層應防止非授權用戶獲取執(zhí)行特權指令的能力并進而控制整個系統(tǒng)。在評估操作系統(tǒng)完整性時，應檢查系統(tǒng)控制選項及保存在系統(tǒng)目錄中的參數。計算機病毒控制有效的病毒防范方法一是要建立規(guī)范嚴謹的管理策略與程序，而是要采取一定的技術方法，如防病毒軟件，來檢測和預防計算機病毒。檢測病毒的方法有兩種，一種是檢查計算機是否已感染病毒；另一種是用于監(jiān)測異常指令的執(zhí)行，可疑指令只有在得到用戶確認后才能被執(zhí)行。防范病毒的技術手段包括硬件和軟件兩種，如使用啟動型病毒保護可以保護計算機再重新啟動后恢復到一個安全的狀態(tài)；對于聯網的工作站可以采用無盤方式的遠程啟動；對計算機等設備采用基于硬件的口令也是阻斷病毒入侵的路徑之一；而采用有寫保護的軟盤可以防止病毒通過軟盤傳播；對于計算機網絡可以利用防火墻阻止不安全的協(xié)議進入。3、系統(tǒng)訪問控制系統(tǒng)訪問就是利用計算機資源達到一定目的的能力，對計算機化的信息資源的訪問可以基于邏輯方式，也可以基于物理方式。用戶訪問能力一般是由安全管理員按照一系列既定規(guī)則來實施的，這些規(guī)則定義了用戶以什么樣的級別訪問資源。安全管理員一旦受到信息所有者或管理人員遞交上來的授權請求表后，通過調用適當的系統(tǒng)訪問控制機制，授權特定用戶可以訪問和使用受保護的資源。應當對訪問授權進行階段性的審核，以保證授權規(guī)則在組織中一直是有效的。（1）邏輯訪問控制邏輯訪問控制是組織要采取的主要控制措施之一，通過邏輯訪問控制把安全風險降到組織可接受的范圍內。不充分的邏輯訪問控制增加了暴露風險帶來的潛在損失，這些暴露風險包括技術性暴露風險和計算機犯罪，它們都可以有意或者無意地利用邏輯訪問控制的漏洞，對信息系統(tǒng)造成損害。 邏輯訪問路徑進入系統(tǒng)的邏輯訪問可以通過不同路徑，每種途徑均應有適當的訪問安全級別。進入組織前端或后端系統(tǒng)的常規(guī)進入點與組織的網絡與通信基礎設施相關，通過對系統(tǒng)進入點的管理可以控制對信息資源的訪問。網絡連接訪問模式下，要求通過域控制服務器進行用戶身份的識別與驗證；對一些特殊的應用系統(tǒng)或數據的訪問可能需要在一個特定的服務器上進行用戶身份的識別與驗證。遠程訪問模式下的安全控制一般通過確認遠程用戶的個人賬號和密碼來實現。 身份識別與驗證邏輯訪問控制中的身份識別與驗證是一種提供用戶身份證明的過程，在這個過程中，用戶向系統(tǒng)提交有效額身份證明，系統(tǒng)驗證這個身份證明后向用戶授予訪問系統(tǒng)的權力。身份識別與驗證是實現計算機安全的重要基礎，它是絕大數類型的訪問控制為建立用戶責任的可確認性而采取的方法。身份識別與驗證可以采用賬號與口令、令牌設備、生物測定技術與行為測定技術或是它們的結合使用。管理層要制定安全的備份方法，并建立控制措施，以保護樣本數據和模板在傳輸過程中免受非法修改。 邏輯訪問授權邏輯訪問控制在正確識別用戶身份后，要通過授權過程賦予用戶對系統(tǒng)邏輯訪問的能力，決定什么人能訪問什么資源，并把授權內容正式記錄在案，以便于在系統(tǒng)中執(zhí)行及日后的檢查審核。一般情況下，邏輯訪問控制基于最小授權原則，只對因工作需要訪問信息系統(tǒng)的人員進行必要的授權。計算機訪問有多種級別控制，在邏輯訪問授權時，應清楚用戶在某一級別的訪問能做什么，不能做什么。用戶在組織變換工作角色或是離職時，應及時地更新授權。（2）物理訪問控制系統(tǒng)用戶或者相關人員出入系統(tǒng)的關鍵區(qū)域，需要采用適當的物理訪問控制，物理訪問的風險可能引起組織的財務損失、法律訴訟、信譽受損或喪失競爭優(yōu)勢。物理訪問風險原因可能來自對安全規(guī)定有意或無意的違反，這些風險包括未經授權進入信息處理場所，毀損、破壞或竊取設備、財產或文件，復制或偷看敏感的或有著作權的信息等等。信息系統(tǒng)的相關處理場所和實施都要納入物理訪問控制范圍。另外，在整個組織范圍內、組織辦公場所邊界處、外部機構、租賃出租場所等所有可能出現物理訪問風險的地方，都要建立有效的控制措施。通用的物理訪問控制包括門鎖或是組合門鎖、攝像監(jiān)控、出入陪同、訪問日志登記、自動報警系統(tǒng)等。組織需要針對不同的物理訪問控制區(qū)域，選擇合適的安保措施，利用有效的物理訪問控制技術，保障物理訪問的安全。4、災難恢復控制信息系統(tǒng)的災難恢復是組織中總的業(yè)務持續(xù)計劃和災難恢復計劃的重要組成部分。業(yè)務持續(xù)計劃應該綜合考慮關鍵信息系統(tǒng)處理設施和終端用戶的業(yè)務功能兩方面的內容。為滿足短期的恢復需要，應當建立可替換的處理設施來滿足應急運行的需要；如果為長期策略做打算，應當為災難恢復建立永久性的信息處理場所與設施，使其能為組織長期提供連續(xù)性的信息處理服務。災難恢復計劃應當涉及業(yè)務流程中斷后的所有相關問題，計劃應當簡潔并正式成文，便于所有人理解，并在異地備份場所存放一份計劃的備份。在確定了災難恢復計劃后，災難恢復計劃的負責人必須組建合適的團隊來實施恢復策略，并確定與各個團隊相關的關鍵決策者、信息部門和終端用戶的相關職責。對有關重要軟件都應該按照當前的使用狀態(tài)進行異地備份，重要的紙質文檔也要進行異地備份。對數據與文件的備份應當周期性的進行，備份的時間周期要根據應用軟件與系統(tǒng)軟件的不同而有所差異。加強對異地備份庫的控制，對異地信息處理設施的安全控制措施應當像組織內部的信息系統(tǒng)處理設施一樣對待，提供足夠的物理訪問控制并進行環(huán)境控制與監(jiān)測。（二）應用控制應用控制是為適應各種數據處理的特殊控制要求，保證數據處理完整、準確地完成而建立的內部控制。應用控制涉及各種類型的業(yè)務，每種業(yè)務及其數據處理有其特殊流程的要求，這就決定了具體的應用控制的設計需結合具體的業(yè)務。應用控制既可以通過程序編碼以自動化方式實現，也可通過手工方式實現。為了提高內部控制水平，應盡可能的把業(yè)務處理規(guī)則、控制規(guī)則嵌入應用系統(tǒng)，實現自動控制。1、輸入控制輸入控制在整個信息系統(tǒng)的控制中占有非常重要的地位，只有健全有效額輸入控制才能確保進入應用系統(tǒng)的數據是完整和準確的。數據輸入的控制有些可有人工完成，有些可以由計算機程序實施。企業(yè)應建立合理的工作流程，對重要數據設置復核員，對操作員輸入計算機的數據正確性進行人工復核。更重要的是要充分利用計算機編輯校驗，讓計算機按照程序指令自動檢查數據是否正確、完整、合理。企業(yè)應設置符合實際的合理參數來控制計算機的自動檢驗，并且對于計算機檢驗發(fā)現的錯誤后的處理方式也要根據錯誤性質、操作員權限等因素，考慮采用即時校驗或推延校驗等方式。常見的額輸入控制類型主要包括數據格式控制、數據數值范圍控制、數據數量控制、數據重復控制、數據邏輯關系控制、輸入數據的自動處理控制、輸入錯誤糾正控制等。2、處理控制處理是信息系統(tǒng)按照程序指令實行的內部功能，包括數據驗證、計算、比較、合并、排序、文件更新和維護、訪問、改錯等內部處理活動。數據處理是否正確，在很大程度上依賴于輸入數據的正確性、應用程序的正確性以及環(huán)境控制的強弱。處理控制就是對信息系統(tǒng)進行的內部數據處理活動的控制措施 ，這些控制措施往往被寫入計算機程序，因此，處理控制往往又是自動控制。常見的處理控制有流程控制（未沈定單不能入庫，社保系統(tǒng)中未工傷受理的不能認定，未認定的不能鑒定，未鑒定的不能工傷待遇審核支付等）、自動計算（如根據銷售單價和數量自動計算銷售金額）和自動處理（采購入庫以后自動生成會計憑證）等。企業(yè)要編制正確、有效的程序來檢測并保證計算機處理的正確性而且要定期對信息系統(tǒng)數據有效性進行人工核查。3、輸出控制系統(tǒng)要定期或不定期的將各種信息輸出到肉眼不可見的存儲介質上，而且還要打印輸出各種報告、報表或其他相關資料。輸