最新十三章会计信息系统安全风险ppt课件.ppt

《最新十三章会计信息系统安全风险ppt课件.ppt》由会员分享，可在线阅读，更多相关《最新十三章会计信息系统安全风险ppt课件.ppt（82页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、十三章会计信息系统安全十三章会计信息系统安全风险管理风险管理会计信息系统复旦大学出版社 2008年版 上海财经大学会计学院饶艳超|学习目标学习目标z熟悉会计信息系统面临的各类风险熟悉会计信息系统面临的各类风险z掌握分析识别系统面临的各类安全问题掌握分析识别系统面临的各类安全问题z掌握系统安全需求分析方法掌握系统安全需求分析方法z掌握风险评估方法和技术掌握风险评估方法和技术z熟悉并应用系统安全控制目标和控制措施的选择熟悉并应用系统安全控制目标和控制措施的选择z了解灾难恢复和业务持续计划的重要性了解灾难恢复和业务持续计划的重要性z掌握制定灾难恢复和业务持续计划的方法，并能有效管掌握制定灾难恢复和业

2、务持续计划的方法，并能有效管理相关计划理相关计划会计信息系统复旦大学出版社 2008年版 上海财经大学会计学院饶艳超会计信息系统复旦大学出版社 2008年版 上海财经大学会计学院饶艳超会计信息系统复旦大学出版社 2008年版 上海财经大学会计学院饶艳超会计信息系统复旦大学出版社 2008年版 上海财经大学会计学院饶艳超会计信息系统复旦大学出版社 2008年版 上海财经大学会计学院饶艳超会计信息系统复旦大学出版社 2008年版 上海财经大学会计学院饶艳超会计信息系统复旦大学出版社 2008年版 上海财经大学会计学院饶艳超z机密性机密性是指确保只有被授予特定权限的人才能访问到信息。是指确保只有被授

3、予特定权限的人才能访问到信息。公开信息公开信息敏感信息敏感信息z完整性完整性是指保证信息及其处理方法的正确性和完整性。是指保证信息及其处理方法的正确性和完整性。在使用、传输、存储信息的过程中不发生篡改信息、丢在使用、传输、存储信息的过程中不发生篡改信息、丢失信息、错误信息等现象。失信息、错误信息等现象。信息处理方法正确，错误的操作，有可能造成重要文件信息处理方法正确，错误的操作，有可能造成重要文件的丢失和毁损，甚至造成整个系统的瘫痪。的丢失和毁损，甚至造成整个系统的瘫痪。z可用性可用性是确保授权用户在需要的时候确实可以访问系统获得是确保授权用户在需要的时候确实可以访问系统获得所需信息。所需信息

4、。通信线路中断、网络拥堵都会造成信息在一段时间内不通信线路中断、网络拥堵都会造成信息在一段时间内不可用，影响正常的业务运营。可用，影响正常的业务运营。会计信息系统复旦大学出版社 2008年版 上海财经大学会计学院饶艳超z信息安全包括信息安全包括信息系统的安全信息系统的安全和和信息的安全信息的安全，并以信息安全，并以信息安全为最终目标。为最终目标。z实现信息安全必须从管理和技术两方面着手，技术层面和管实现信息安全必须从管理和技术两方面着手，技术层面和管理层面的良好配合，是企业实现信息安全的有效途径。理层面的良好配合，是企业实现信息安全的有效途径。信息安全信息安全不仅仅是不仅仅是技术问题技术问题，

5、在很大程度上，在很大程度上更多的表现更多的表现为为管理问题。管理问题。据安永分析，据安永分析，在整个系统安全工作中，管理所占的比重在整个系统安全工作中，管理所占的比重应该达到应该达到70%，而技术应占而技术应占30%。在信息安全实务工作中，人们的注意力通常集中在计算在信息安全实务工作中，人们的注意力通常集中在计算机及其技术的使用、安装、配置以及预防工具滥用等方机及其技术的使用、安装、配置以及预防工具滥用等方面，面，容易忽视使用工具的人容易忽视使用工具的人。会计信息系统复旦大学出版社 2008年版 上海财经大学会计学院饶艳超z常用的信息安全技术常用的信息安全技术密码技术密码技术密码编码、密码分析

6、、认证、鉴别、数字签名、密码编码、密码分析、认证、鉴别、数字签名、密钥管理、密钥托管等密钥管理、密钥托管等防病毒技术防病毒技术专用的防病毒软件和硬件。专用的防病毒软件和硬件。防火墙技术防火墙技术计算机防火墙、网络防火墙，结合采用过滤技计算机防火墙、网络防火墙，结合采用过滤技术、代理技术、电路网关技术。术、代理技术、电路网关技术。入侵检测技术入侵检测技术检测计算中网络中违反安全策略的技术。检测计算中网络中违反安全策略的技术。虚拟专用网虚拟专用网VPN技术技术集成了鉴别认证、访问控制和密码变集成了鉴别认证、访问控制和密码变换的安全隧道技术。换的安全隧道技术。信息伪装技术信息伪装技术将秘密信息隐藏与

7、另一非机密文件内容之中，将秘密信息隐藏与另一非机密文件内容之中，不同于传统的加密技术，不仅隐藏了信息的内容，还隐藏了信不同于传统的加密技术，不仅隐藏了信息的内容，还隐藏了信息的存在。息的存在。z单一的信息安全技术往往不能解决问题，必须综合运用多种信息安单一的信息安全技术往往不能解决问题，必须综合运用多种信息安全技术，实现信息安全全技术，实现信息安全。会计信息系统复旦大学出版社 2008年版 上海财经大学会计学院饶艳超z信息安全管理信息安全管理是企业是企业用于指导和管理各种控制信息安全用于指导和管理各种控制信息安全风险的、一组相互协调的活动风险的、一组相互协调的活动，有效的信息安全管理要，有效的

8、信息安全管理要尽量做到在有限的成本下，保证安全尽量做到在有限的成本下，保证安全“滴水不漏滴水不漏”。z信息安全管理一般包括制定信息安全政策、风险评估、信息安全管理一般包括制定信息安全政策、风险评估、控制目标和方式的选择、制定规范的操作流程、对员工控制目标和方式的选择、制定规范的操作流程、对员工进行安全意识培训等一系列工作，通过在进行安全意识培训等一系列工作，通过在安全方针策略、安全方针策略、组织安全、资产分类与控制、人员安全、物理与环境安组织安全、资产分类与控制、人员安全、物理与环境安全、通信与运营安全、访问控制、系统开发与维护、业全、通信与运营安全、访问控制、系统开发与维护、业务持续性管理、

9、符合法律法规要求务持续性管理、符合法律法规要求等十个领域等十个领域内建立管内建立管理控制措施，为企业建立一张完备的信息安全理控制措施，为企业建立一张完备的信息安全“保护保护网网”，保证企业信息资产的安全与业务的连续性。，保证企业信息资产的安全与业务的连续性。会计信息系统复旦大学出版社 2008年版 上海财经大学会计学院饶艳超z信息安全国际标准信息安全国际标准互操作标准互操作标准l对称加密标准对称加密标准EDS,3DES,IDEA,AES;非对称加密标准非对称加密标准RSA；VPN标准标准IPSec;传输层加密标准传输层加密标准SSL；安全电子邮件标准；安全电子邮件标准S-MIME;安全电子交易

10、标准安全电子交易标准SET;通用脆弱性描述标准通用脆弱性描述标准CVE。技术与工程标准技术与工程标准lISO/IEC15408信息产品通用测评标准信息产品通用测评标准lSSE-CMM安全系统工程能力成熟度模型安全系统工程能力成熟度模型lTESEC美国信息安全桔皮书美国信息安全桔皮书信息安全管理与控制标准信息安全管理与控制标准lBS7799,ISO/IEC17799信息安全管理体系标准信息安全管理体系标准lCOBIT信息和相关技术控制目标信息和相关技术控制目标lITIL基础架构库基础架构库lISO13335信息安全管理标准信息安全管理标准会计信息系统复旦大学出版社 2008年版 上海财经大学会计

11、学院饶艳超z信息安全国家标准信息安全国家标准GB17895-1999计算机信息系统安全保护等级划分准则计算机信息系统安全保护等级划分准则l将信息系统安全分为自主保护级、系统审计保护级、安全将信息系统安全分为自主保护级、系统审计保护级、安全标记保护级、结构化保护级、访问验证保护级。标记保护级、结构化保护级、访问验证保护级。l主要的安全考核指标：身份认证、自主访问控制、数据完主要的安全考核指标：身份认证、自主访问控制、数据完整性、审计等。整性、审计等。lGA/T387-2002 计算机信息系统安全等级计算机信息系统安全等级保护网络系统技术保护网络系统技术要求要求lGA/T388-2002 计算机信

12、息系统安全等级计算机信息系统安全等级保护操作系统技术保护操作系统技术要求要求lGA/T389-2002 计算机信息系统安全等级计算机信息系统安全等级保护数据库管理系保护数据库管理系统技术统技术要求要求lGA/T390-2002 计算机信息系统安全等级计算机信息系统安全等级保护通用技术保护通用技术要求要求lGA/T391-2002 计算机信息系统计算机信息系统安全等级保护管理安全等级保护管理要求要求GB/T18336信息技术安全性评估准则信息技术安全性评估准则会计信息系统复旦大学出版社 2008年版 上海财经大学会计学院饶艳超z信息安全组织之“基础设施”z信息安全组织之“第三方访问”z信息安全组

13、织之“外包”会计信息系统复旦大学出版社 2008年版 上海财经大学会计学院饶艳超z资产的分类和控制之“资产的保管责任”z资产的分类和控制之“信息分类”会计信息系统复旦大学出版社 2008年版 上海财经大学会计学院饶艳超z人员安全之“工作说明及人力资源的安全”z人员安全之“用户培训”z人员安全之“安全事故及故障的响应”会计信息系统复旦大学出版社 2008年版 上海财经大学会计学院饶艳超z物理与环境安全之“安全区域”z物理与环境安全之“设备安全”z物理与环境安全之“一般控制”会计信息系统复旦大学出版社 2008年版 上海财经大学会计学院饶艳超z通信与运营安全之“作业程序及责任”z通信与运营安全之“

14、系统规划及验收”z通信与运营安全之“对恶意软件的防范”z通信与运营安全之“日常事务处理”z通信与运营安全之“网络管理”z通信与运营安全之“存储媒体的处理与安全”z通信与运营安全之“信息及软件的交换”会计信息系统复旦大学出版社 2008年版 上海财经大学会计学院饶艳超z访问控制之“用户访问管理”z访问控制之“用户责任”z访问控制之“网络访问控制”z访问控制之“操作系统访问控制”z访问控制之“应用程序访问控制”z访问控制之“系统访问及使用的监控”z访问控制之“可移动式计算机运算及计算机远距工作”会计信息系统复旦大学出版社 2008年版 上海财经大学会计学院饶艳超z系统开发与维护之“系统的安全要求”

15、z系统开发与维护之“应用系统中的安全”z系统开发与维护之“密码学的控制方法”z系统开发与维护之“系统文件的安全”会计信息系统复旦大学出版社 2008年版 上海财经大学会计学院饶艳超z业务持续性管理之“业务持续运作管理考虑”会计信息系统复旦大学出版社 2008年版 上海财经大学会计学院饶艳超z符合性之“法规要求的符合性”z符合性之“安全政策符合性及技术符合性的审查”z符合性之“系统审核的考虑”会计信息系统复旦大学出版社 2008年版 上海财经大学会计学院饶艳超|安全风险和安全需求安全风险和安全需求|风险评估和管理风险评估和管理|安全控制目标和控制措施的选择安全控制目标和控制措施的选择|影响安全控

16、制措施选择的因素影响安全控制措施选择的因素 会计信息系统复旦大学出版社 2008年版 上海财经大学会计学院饶艳超|信息系统安全风险信息系统安全风险是指是指威胁威胁利用系统的利用系统的脆弱性脆弱性，直接或间，直接或间接造成接造成资产资产损害的一种潜在的影响。损害的一种潜在的影响。|通过确定通过确定资产价值资产价值和和相关威胁与脆弱性的水平相关威胁与脆弱性的水平，可以得出，可以得出风险的度量值风险的度量值。会计信息系统复旦大学出版社 2008年版 上海财经大学会计学院饶艳超z威胁威胁会带来负面影响的潜在事件。会带来负面影响的潜在事件。z脆弱性脆弱性所谓脆弱性就是资产的弱点，这些弱点会被威胁利所谓脆

17、弱性就是资产的弱点，这些弱点会被威胁利用造成安全事件发生，从而对资产造成伤害。用造成安全事件发生，从而对资产造成伤害。脆弱性本身并不会引起损害，只是为威胁提供了影脆弱性本身并不会引起损害，只是为威胁提供了影响资产的条件。响资产的条件。l缺乏物理保护或保护不当缺乏物理保护或保护不当l口令选择或使用不当口令选择或使用不当l与外部网络的连接没有保护与外部网络的连接没有保护l没有保护的存档文件没有保护的存档文件l不足够的安全培训不足够的安全培训会计信息系统复旦大学出版社 2008年版 上海财经大学会计学院饶艳超z资产资产数据与文档（数据库、数据文件用户手册、运行与支持数据与文档（数据库、数据文件用户手

18、册、运行与支持程序、业务持续性计划、应急安排程序、业务持续性计划、应急安排.）；）；合同、指南等企业文件；合同、指南等企业文件；软件资产（应用软件、系统软件、开发工具和实用程软件资产（应用软件、系统软件、开发工具和实用程序）；序）；物理资产（计算机、通讯设备、磁性介质、供电设备、物理资产（计算机、通讯设备、磁性介质、供电设备、家具、办公场所等）；家具、办公场所等）；人员（员工、客户）人员（员工、客户）企业形象与声誉企业形象与声誉服务（计算和通讯服务、照明和电力等其他技术服务）服务（计算和通讯服务、照明和电力等其他技术服务）会计信息系统复旦大学出版社 2008年版 上海财经大学会计学院饶艳超|为

19、了明确对资产的保护，有必要为了明确对资产的保护，有必要对资产进行估价对资产进行估价。|资产估价资产估价要考虑其对业务的重要性要考虑其对业务的重要性和和一定条件下的潜在价值。一定条件下的潜在价值。|资产价值资产价值常常是以安全事件发生时所产生的潜在业务影响来衡常常是以安全事件发生时所产生的潜在业务影响来衡量量，安全事件会导致资产机密性、完整性和可用性的损失，从，安全事件会导致资产机密性、完整性和可用性的损失，从而导致企业资金、市场份额、企业形象的损失。而导致企业资金、市场份额、企业形象的损失。|采用精确的方式给资产赋值是比较困难的事情采用精确的方式给资产赋值是比较困难的事情。|经过资产的识别和估

20、价后，企业经过资产的识别和估价后，企业应根据资产价值的大小应根据资产价值的大小，进一，进一步步确定要保护的关键资产确定要保护的关键资产。会计信息系统复旦大学出版社 2008年版 上海财经大学会计学院饶艳超|信息安全体系要求组织满足信息安全体系要求组织满足三种安全需求三种安全需求z安全风险安全风险如果出现将会导致业务损失，评估出组织面临的风如果出现将会导致业务损失，评估出组织面临的风险，并控制这种风险的险，并控制这种风险的需求需求。z组织、贸易伙伴、签约客户和服务提供商需要遵守的组织、贸易伙伴、签约客户和服务提供商需要遵守的法规及法规及合同的要求合同的要求。z组织制定出的、支持业务运作与处理并适

21、合组织信息系统的组织制定出的、支持业务运作与处理并适合组织信息系统的业务规则、业务目标的要求业务规则、业务目标的要求。|只有这些安全需求被定义之后，才能明确的表达信息安全的机只有这些安全需求被定义之后，才能明确的表达信息安全的机密性、完整性和可用性，指导对安全控制方法的选择。密性、完整性和可用性，指导对安全控制方法的选择。会计信息系统复旦大学出版社 2008年版 上海财经大学会计学院饶艳超|在确定在确定由风险而产生的安全需求由风险而产生的安全需求时，理解安全风险将会对组织时，理解安全风险将会对组织产生什么样的影响是很重要的。产生什么样的影响是很重要的。|需要考虑的问题：需要考虑的问题：z组织中

22、最重要的业务环节是什么？这些部分是如何使用与处组织中最重要的业务环节是什么？这些部分是如何使用与处理信息的？信息系统对这部分的重要性如何？理信息的？信息系统对这部分的重要性如何？z组织什么样的重要决策要依靠信息的准确性、完整性、可用组织什么样的重要决策要依靠信息的准确性、完整性、可用性或及时性？性或及时性？z什么样的机密信息需要保护？什么样的机密信息需要保护？z安全事件对业务和组织的影响是什么？安全事件对业务和组织的影响是什么？会计信息系统复旦大学出版社 2008年版 上海财经大学会计学院饶艳超|业务伙伴需要遵守的业务伙伴需要遵守的有关法律、法规、合同的要求有关法律、法规、合同的要求应该在信息

23、应该在信息安全管理体系文件中详细描述，要保证实施安全控制不会损害安全管理体系文件中详细描述，要保证实施安全控制不会损害任何法令、法规、商业合同的要求。任何法令、法规、商业合同的要求。|需要考虑的问题：需要考虑的问题：z专利软件的拷贝复制条件专利软件的拷贝复制条件z组织记录的保护要求组织记录的保护要求z数据的保护要求数据的保护要求会计信息系统复旦大学出版社 2008年版 上海财经大学会计学院饶艳超|与业务运营相关的安全需求与业务运营相关的安全需求也应在安全体系中详细描述。也应在安全体系中详细描述。|需要考虑的问题：需要考虑的问题：z如何支持组织获得竞争优势？如何支持组织获得竞争优势？z如何帮助提

24、高现金流和盈利能力？如何帮助提高现金流和盈利能力？z安全控制是否妨碍业务的正常运行？安全控制是否妨碍业务的正常运行？会计信息系统复旦大学出版社 2008年版 上海财经大学会计学院饶艳超会计信息系统复旦大学出版社 2008年版 上海财经大学会计学院饶艳超会计信息系统复旦大学出版社 2008年版 上海财经大学会计学院饶艳超|资产确定及估价资产确定及估价z先确定先确定安全管理体系的范围安全管理体系的范围，以便确定资产的评审边界。，以便确定资产的评审边界。z评估资产最简单的方式是列出组织业务过程中、安全体系范评估资产最简单的方式是列出组织业务过程中、安全体系范围内围内所有具有价值的资产所有具有价值的资

25、产，然后对资产赋予一定的价值，这，然后对资产赋予一定的价值，这种价值应该反映资产对业务运营的重要性，并以对业务的潜种价值应该反映资产对业务运营的重要性，并以对业务的潜在影响程度表现出来。在影响程度表现出来。资产价值越大，由于泄漏、修改、损害、不可用等安全资产价值越大，由于泄漏、修改、损害、不可用等安全事件对组织业务的潜在影响就越大。事件对组织业务的潜在影响就越大。资产的价值有资产的所有者和相关用户来确定。资产的价值有资产的所有者和相关用户来确定。z在对资产赋值时，一方面要考虑在对资产赋值时，一方面要考虑资产的购买成本资产的购买成本，另一方面，另一方面也要考虑当这种资产的机密性、完整性、可用性受

26、到损害时，也要考虑当这种资产的机密性、完整性、可用性受到损害时，对业务运营的负面影响程度对业务运营的负面影响程度。会计信息系统复旦大学出版社 2008年版 上海财经大学会计学院饶艳超|资产确定及估价资产确定及估价z在信息安全管理中对资产赋值时，一般并不采用资产的在信息安全管理中对资产赋值时，一般并不采用资产的账面价值，比较实用的做法是以账面价值，比较实用的做法是以定性分级的方式定性分级的方式建立资建立资产的相对价值，以相对价值来作为确定重要资产的依据产的相对价值，以相对价值来作为确定重要资产的依据和为这种资产的保护投入多少资源的依据。和为这种资产的保护投入多少资源的依据。z定性分级表定性分级表

27、参考：参考：分级类型定性分级程度相对较粗的分级低、中、高详细分级可忽略、低、中、高、非常高更详细的分级（低）0、1、2、10（高）会计信息系统复旦大学出版社 2008年版 上海财经大学会计学院饶艳超|资产确定及估价资产确定及估价z在确定资产的机密性、完整性、可用性受到损害，对业务运在确定资产的机密性、完整性、可用性受到损害，对业务运营的负面影响程度时，可以参考以下因素：营的负面影响程度时，可以参考以下因素：违反法令、法规；违反法令、法规；对业务绩效的影响；对业务绩效的影响；对组织声誉和形象的损害；对组织声誉和形象的损害；对个人信息的侵害；对个人信息的侵害；对个人安全的威胁；对个人安全的威胁；对

28、法律实施的负面影响；对法律实施的负面影响；对业务机密性的破坏；对业务机密性的破坏；对公共秩序的破坏；对公共秩序的破坏；资金损失；资金损失；业务活动中断；业务活动中断；对环境安全的破坏；对环境安全的破坏；会计信息系统复旦大学出版社 2008年版 上海财经大学会计学院饶艳超|资产确定及估价资产确定及估价z组织可以组织可以制定符合自己需要的资产评估价值级别制定符合自己需要的资产评估价值级别；z价值级别的选择应该与企业选择的价值标准一致价值级别的选择应该与企业选择的价值标准一致；z一般来说，组织应该按照实际需要和使用的价值标准，考虑一般来说，组织应该按照实际需要和使用的价值标准，考虑使用一个能使用一个

29、能综合满足定量和定性要求综合满足定量和定性要求的方式。的方式。z组织还要组织还要决定什么样的损害程度为决定什么样的损害程度为“低低”，什么样的损害程，什么样的损害程度为度为“高高”。会计信息系统复旦大学出版社 2008年版 上海财经大学会计学院饶艳超|威胁评估威胁评估z与威胁有关的信息可从安全管理人员和业务流程处收集。与威胁有关的信息可从安全管理人员和业务流程处收集。人力资源部的员工、设备计划与管理人员、信息技术专人力资源部的员工、设备计划与管理人员、信息技术专家、组织中对安全负责的人员家、组织中对安全负责的人员z一项资产可能面临多个威胁，同样一个威胁可能对不同资产一项资产可能面临多个威胁，同

30、样一个威胁可能对不同资产造成影响。造成影响。z威胁来源可与安全控制规范中定义的领域相对照来识别确定威胁来源可与安全控制规范中定义的领域相对照来识别确定会计信息系统复旦大学出版社 2008年版 上海财经大学会计学院饶艳超|威胁评估威胁评估z威胁来源：参见威胁来源：参见ISO/IEC13335第三部分第三部分信息安全管信息安全管理方针理方针中列出的威胁来源中列出的威胁来源维护错误恶意软件用户身份伪装消息路径错误或重定向滥用资源非授权人员访问运行支持人员的错误电力波动软件故障否定服务人员短缺盗窃流量分析流量过载传输错误以非授权方式使用软件存储介质的非授权使用非授权使用网络设施硬件会计信息系统复旦大学

31、出版社 2008年版 上海财经大学会计学院饶艳超|威胁评估威胁评估z组织识别出组织识别出威胁的原因、威胁的目标威胁的原因、威胁的目标以后，有必要以后，有必要评估评估威胁发生的可能性威胁发生的可能性。威胁的原因（谁造成了威胁？）威胁的原因（谁造成了威胁？）威胁的目标（威胁会影响组织信息系统的什么要威胁的目标（威胁会影响组织信息系统的什么要素？）素？）会计信息系统复旦大学出版社 2008年版 上海财经大学会计学院饶艳超|威胁评估威胁评估z需要考虑的因素：需要考虑的因素：威胁发生的频度威胁发生的频度根据经验和统计规律，估计出根据经验和统计规律，估计出威胁多长时间发生一次威胁多长时间发生一次有预谋的威

32、胁有预谋的威胁研究攻击者的动机，需具备的能研究攻击者的动机，需具备的能力、所需的资源、组织资产吸引力的大小和脆弱性力、所需的资源、组织资产吸引力的大小和脆弱性的程度的程度意外事故产生的威胁意外事故产生的威胁研究地理因素，如是否靠研究地理因素，如是否靠近石油化工企业、是否处于极端天气频发地带、环近石油化工企业、是否处于极端天气频发地带、环境因素是否容易引发人为错误和设备故障等等。境因素是否容易引发人为错误和设备故障等等。会计信息系统复旦大学出版社 2008年版 上海财经大学会计学院饶艳超|脆弱性评估脆弱性评估z脆弱性评估是指脆弱性评估是指在评审范围内，确定以下各资产的弱点在评审范围内，确定以下各

33、资产的弱点：物理环境；物理环境；人员管理、业务管理、行政管理过程与控制人员管理、业务管理、行政管理过程与控制硬件、软件和通讯设施；硬件、软件和通讯设施；z这些方面的脆弱性很容易被威胁利用，从而造成对资产这些方面的脆弱性很容易被威胁利用，从而造成对资产和业务的损害。和业务的损害。z脆弱性分级：脆弱性分级：高度可能，很可能，可能，不太可能，不可能高度可能，很可能，可能，不太可能，不可能z与每一种威胁相关的脆弱性都应该评估出来与每一种威胁相关的脆弱性都应该评估出来会计信息系统复旦大学出版社 2008年版 上海财经大学会计学院饶艳超|脆弱性评估脆弱性评估z脆弱性及其可能利用该脆弱性的威胁示例：脆弱性及

34、其可能利用该脆弱性的威胁示例：脆弱性脆弱性威胁威胁脆弱性脆弱性威胁威胁员工缺编员工缺编人员短缺人员短缺外部人员的行动没有外部人员的行动没有受到监督受到监督盗窃盗窃不完备的安全培训不完备的安全培训运行支持人员错误运行支持人员错误缺乏安全意识缺乏安全意识用户错误用户错误软件文档不完全软件文档不完全运行支持人员错误运行支持人员错误缺乏监控机制缺乏监控机制非授权使用软件非授权使用软件缺乏正确使用媒介缺乏正确使用媒介与通讯信息的政策与通讯信息的政策以非授权的形式使以非授权的形式使用网络设施用网络设施不完备的招聘程序不完备的招聘程序蓄意破坏蓄意破坏存储介质缺乏维护存储介质缺乏维护或错误安装或错误安装维护错

35、误维护错误过于复杂的用户界面过于复杂的用户界面运行支持人员错误运行支持人员错误缺乏审计轨迹缺乏审计轨迹非授权使用软件非授权使用软件缺乏身份验证机制缺乏身份验证机制用户身份伪装用户身份伪装未退出工作站离开未退出工作站离开非授权使用软件非授权使用软件未对软件充分测试未对软件充分测试非授权使用软件非授权使用软件口令管理不善口令管理不善用户身份伪装用户身份伪装规格说明书不完整规格说明书不完整软件故障软件故障不受控制的下载不受控制的下载恶意病毒恶意病毒访问权限未正确分配访问权限未正确分配非授权使用软件非授权使用软件会计信息系统复旦大学出版社 2008年版 上海财经大学会计学院饶艳超|现有的安全控制现有的

36、安全控制z应用现有的安全控制措施，可以减少重复工作，降低安应用现有的安全控制措施，可以减少重复工作，降低安全控制成本。全控制成本。z在应用现有控制之前，一定要检查这些控制措施是否有在应用现有控制之前，一定要检查这些控制措施是否有效，根据检查的结果来决定保留、去除或是替换。效，根据检查的结果来决定保留、去除或是替换。z通过风险评估过程确定的控制措施要与现有控制兼容，通过风险评估过程确定的控制措施要与现有控制兼容，以免在实施过程中出现冲突。（如银行卡挂失要求与挂以免在实施过程中出现冲突。（如银行卡挂失要求与挂失安排）失安排）会计信息系统复旦大学出版社 2008年版 上海财经大学会计学院饶艳超|风险

37、分析技术风险分析技术z风险分析：就是要风险分析：就是要对风险的辨识，估计和评价做出全面对风险的辨识，估计和评价做出全面的，综合的分析的，综合的分析，其主要组成为：，其主要组成为：z（1）风险的辨识，也就是那里有风险，后果如何，参）风险的辨识，也就是那里有风险，后果如何，参数变化？数变化？z（2）风险评估，也就是概率大小及分布，后果大小？）风险评估，也就是概率大小及分布，后果大小？ z进行风险分析必须考虑以下几个方面的要素进行风险分析必须考虑以下几个方面的要素业务过程面临的威胁和易受攻击性业务过程面临的威胁和易受攻击性对业务过程的影响对业务过程的影响威胁发生的可能性威胁发生的可能性z业务过程风险

38、的类型业务过程风险的类型会计信息系统复旦大学出版社 2008年版 上海财经大学会计学院饶艳超|风险管理目标风险管理目标z接受风险接受风险：不做任何事情，不引入控制措施：不做任何事情，不引入控制措施z避免风险避免风险：通过放弃某一业务活动或主动从风险区域撤离来：通过放弃某一业务活动或主动从风险区域撤离来规避风险。规避风险。z转移风险转移风险：在无法规避风险，减少风险成本很困难或成本很：在无法规避风险，减少风险成本很困难或成本很高时，将风险转移给第三方，如保险、外包。高时，将风险转移给第三方，如保险、外包。z降低风险降低风险：通过选择控制目标与控制措施来降低评估确定的：通过选择控制目标与控制措施来

39、降低评估确定的风险。风险。减少威胁减少威胁降低脆弱性降低脆弱性降低负面影响降低负面影响检测意外事件恢复检测意外事件恢复从意外事件中从意外事件中会计信息系统复旦大学出版社 2008年版 上海财经大学会计学院饶艳超|风险分析矩阵风险分析矩阵完整性完整性保密性保密性可用性可用性无意识的行为无意识的行为（错误和遗漏）（错误和遗漏）重要或不重要重要或不重要保密或不保密保密或不保密必要或不必要必要或不必要有意识的行为有意识的行为（欺骗和滥用）（欺骗和滥用）重要或不重要重要或不重要保密或不保密保密或不保密必要或不必要必要或不必要数据破坏或修改数据破坏或修改数据泄露数据泄露对数据的非法接对数据的非法接近、使用

40、近、使用会计信息系统复旦大学出版社 2008年版 上海财经大学会计学院饶艳超|控制矩阵控制计划控制计划建议建议业务过程的控制目标业务过程的控制目标信息过程的控制目标信息过程的控制目标操作有效性操作有效性操作效率操作效率资源安全资源安全汇款通知汇款通知单输入单输入应收账款应收账款主数据主数据合理合理合法合法收取收取款项款项子目子目标标2 2XX笔收笔收款款/天天款项安全款项安全入帐入帐输输入入有有效效输输入入完完整整输输入入准准确确更更新新完完整整更新更新准确准确当前的控当前的控制措施制措施措施措施1(P1)1(P1)：三张单据三张单据核对核对X XX X会计信息系统复旦大学出版社 2008年版

41、 上海财经大学会计学院饶艳超|对控制目标和控制措施的选择应当由安全需求来驱动，选对控制目标和控制措施的选择应当由安全需求来驱动，选择控制措施应当最好能满足安全需求，并考虑安全需求的择控制措施应当最好能满足安全需求，并考虑安全需求的不到满足时的后果。不到满足时的后果。会计信息系统复旦大学出版社 2008年版 上海财经大学会计学院饶艳超|选择控制的过程选择控制的过程选择控制的过程确定安全需求确定安全需求选择控制目标和控制措施选择控制目标和控制措施检查业务因素和约素条件检查业务因素和约素条件确定控制目标和控制措施确定控制目标和控制措施检查控制目标和检查控制目标和控制措施控制措施安全需求和控制目安全需

42、求和控制目标是否已满足标是否已满足是是否否会计信息系统复旦大学出版社 2008年版 上海财经大学会计学院饶艳超|选择控制的原则选择控制的原则z对控制目标和控制措施的选择对控制目标和控制措施的选择应当由安全需求来驱动应当由安全需求来驱动，选择控制措施应当最好能满足安全需求，并考虑安全需选择控制措施应当最好能满足安全需求，并考虑安全需求的不到满足时的后果。求的不到满足时的后果。z应当应当在安全与投入之间保持平衡在安全与投入之间保持平衡，保证组织的盈利能力、，保证组织的盈利能力、高效性和竞争能力。高效性和竞争能力。z在选择控制时并在选择控制时并没有一套标准与通用的办法没有一套标准与通用的办法，选择的

43、过，选择的过程往往不是很直接，可能要涉及一系列的决策步骤、咨程往往不是很直接，可能要涉及一系列的决策步骤、咨询、讨论过程，最后的结果要很好的满足组织对业务目询、讨论过程，最后的结果要很好的满足组织对业务目标、资产保护、投资预算的要求。标、资产保护、投资预算的要求。会计信息系统复旦大学出版社 2008年版 上海财经大学会计学院饶艳超|影响选择控制的因素和条件影响选择控制的因素和条件z选择控制需要考虑的因素选择控制需要考虑的因素成本成本l控制的成本必须小于要保护的资产的价值控制的成本必须小于要保护的资产的价值可用性可用性l主要是技术上和操作上的可用性主要是技术上和操作上的可用性如电子商务交易的风险

44、是财务信息被篡改，加密？如电子商务交易的风险是财务信息被篡改，加密？不加密？加密安全，但如果法律规定不允许加密，不加密？加密安全，但如果法律规定不允许加密，措施则不可用。措施则不可用。实施与维护实施与维护l 实施和维护的简易性、成本和时间因素必须要考虑实施和维护的简易性、成本和时间因素必须要考虑z可以采用检查列表的方式，列出系统所需要的最小安全保证、可以采用检查列表的方式，列出系统所需要的最小安全保证、成本、可用性、安全因素等内容，逐项检查筛选。成本、可用性、安全因素等内容，逐项检查筛选。会计信息系统复旦大学出版社 2008年版 上海财经大学会计学院饶艳超|影响选择控制的因素和条件影响选择控制

45、的因素和条件z限制条件限制条件已存在的控制已存在的控制所有的控制目标和安全需求是否已经满足所有的控制目标和安全需求是否已经满足实施与维护控制实施与维护控制会计信息系统复旦大学出版社 2008年版 上海财经大学会计学院饶艳超|计划的重要性|如何制定计划|计划的测试|计划的管理和审计 会计信息系统复旦大学出版社 2008年版 上海财经大学会计学院饶艳超|2005/5/26，在广东南海召开的，在广东南海召开的“首届中国灾难恢复行业高层论首届中国灾难恢复行业高层论坛坛”，被业界称为中国灾难恢复行业里程碑式的重要会议。，被业界称为中国灾难恢复行业里程碑式的重要会议。 |这一论坛由中国信息产业商会信息安全

46、产业分会主办、国务院这一论坛由中国信息产业商会信息安全产业分会主办、国务院信息化办公室支持、广东省地税局和信息化办公室支持、广东省地税局和GDS公司协办，集合了来公司协办，集合了来自政府、行业、厂商、专家等各方人士，他们就在中国开展灾自政府、行业、厂商、专家等各方人士，他们就在中国开展灾难恢复业务将面临的主要挑战和实战方法，展开了深入而切实难恢复业务将面临的主要挑战和实战方法，展开了深入而切实的讨论。同时，对于灾备建设中最重要的标准化问题，国务院的讨论。同时，对于灾备建设中最重要的标准化问题，国务院信息化办公室借本次论坛对信息化办公室借本次论坛对2005年年4月份出台的指导文件月份出台的指导文

47、件重重要信息系统灾难恢复规划指南要信息系统灾难恢复规划指南，进行了宣讲和解释。，进行了宣讲和解释。|思考：究竟应当怎样对系统的灾难性故障进行迅速的响应和处思考：究竟应当怎样对系统的灾难性故障进行迅速的响应和处置？如何制定适合自身实际的灾难恢复规划？置？如何制定适合自身实际的灾难恢复规划？ 会计信息系统复旦大学出版社 2008年版 上海财经大学会计学院饶艳超|何谓何谓灾难灾难？z指南指南定义为：定义为：“由于人为或自然的原因，造成信由于人为或自然的原因，造成信息系统运行严重故障或瘫痪息系统运行严重故障或瘫痪，使信息系统支持的业务使信息系统支持的业务功能停顿或服务水平不可接受、达到特定的时间的突功

48、能停顿或服务水平不可接受、达到特定的时间的突发性事件发性事件，通常导致信息系统需要切换到备用场地运，通常导致信息系统需要切换到备用场地运行。行。”z由此可见，灾难不只指自然的原因，也包括人为的原由此可见，灾难不只指自然的原因，也包括人为的原因，对于信息系统的连续性运行来说，灾难的范围很因，对于信息系统的连续性运行来说，灾难的范围很宽泛。宽泛。 会计信息系统复旦大学出版社 2008年版 上海财经大学会计学院饶艳超|何为灾难恢复？何为灾难备份？二者有何不同？何为灾难恢复？何为灾难备份？二者有何不同？z灾难恢复灾难恢复：“将信息系统从灾难造成的故障或瘫痪状态将信息系统从灾难造成的故障或瘫痪状态恢复到

49、恢复到可正常运行状态可正常运行状态，并将其支持的业务功能从灾难，并将其支持的业务功能从灾难造成的不正常状态恢复到造成的不正常状态恢复到可接受状态可接受状态，而设计的活动和，而设计的活动和流程流程”。z灾难备份灾难备份：“为了灾难恢复为了灾难恢复而对数据、数据处理系统、而对数据、数据处理系统、网络系统、基础设施、技术支持能力和运行管理能力网络系统、基础设施、技术支持能力和运行管理能力进进行备份行备份的过程。的过程。”z灾难恢复比灾难备份的外延要大灾难恢复比灾难备份的外延要大。 会计信息系统复旦大学出版社 2008年版 上海财经大学会计学院饶艳超|灾难恢复的等级划分灾难恢复的等级划分 z参照国际相

50、关标准，并结合国内实际情况，参照国际相关标准，并结合国内实际情况，将灾难恢复将灾难恢复应具有的技术和管理支持分为应具有的技术和管理支持分为6个等级个等级，每个等级都包，每个等级都包括数据备份系统、备用数据处理系统、备用网络系统、括数据备份系统、备用数据处理系统、备用网络系统、备用基础设施、技术支持、运行维护支持及灾难恢复预备用基础设施、技术支持、运行维护支持及灾难恢复预案等案等7个要素个要素。z如要达到某个灾难恢复等级，应同时满足该等级中的如要达到某个灾难恢复等级，应同时满足该等级中的7个要素的要求。个要素的要求。 会计信息系统复旦大学出版社 2008年版 上海财经大学会计学院饶艳超|指南指南