ITGC风险控制矩阵-retest-071228

1没有软件开发制度，软件开发流程不能有效的控制和实施AC1.1系统获取制度为确保软件开发流程得到有效的控制和实施，应该建立软件开发制度制定系统开发的规章制度，该制度应该考虑到整个开发过程中系统的安全性、可用性和业务处理的完整性等内容。是预防性控制人工不定期2如果没有经过业务部门的审批，不能保证将要开发的系统和用户需求的一致性AC1.2业务需求分析为保证将要开发的系统和用户需求的一致性，业务需求分析应该经过业务部门的审批用户的开发需求需经过用户部门的审批并同意才能进行。是预防性控制人工不定期3如果没有用户在系统设计阶段的参与及相关部门的复核，不能确保系统设计能满足业务需求AC1.3系统设计及审批为确保系统设计能满足业务需求，用户应该在系统设计阶段参与，并且有相关部门的复核系统设计文档须经过适当的审批。是预防性控制人工不定期4未经过测试，无法确保开发出的系统的可用性和功能完整性AC1.4应用软件测试为确保开发出的系统的可用性和功能完整性，应用软件应再上线前经过测试信息系统在投入使用前应当至少完成整体测试和用户验收测试，以确保系统的正常运转，并与用户的需求一致。是预防性控制人工不定期5没有制定相应的“回退”计划，一旦发生失败，将导致业务无法正常运行AC1.5系统上线为确保上线发生失败时，业务正常运行，应该制定相应的“回退”计划，制定系统上线计划：包括上线时间/人员安排，系统上线操作步骤，以及详细的“回退”计划，以避免系统上线或重大升级的失败。上线计划需经过适当的审批。是预防性控制人工不定期子流程:变更管理14AC2.1变更需求提出和控制对当前系统进行未经授权的、不正确的修改可能影响系统的功能，从而影响业务数据和财务数据的准确性所有变更申请必须通过书面的形式提出，并需要经过用户部门领导审批是预防性控制人工不定期15AC2.2变更的用户测试对当前系统进行未经授权的、不正确的修改可能影响系统的功能，从而影响业务数据和财务数据的准确性所有变更必须通过用户部门的测试并保留书面的测试报告是预防性控制人工不定期16AC2.3变更的上线管理对当前系统进行未经授权的、不正确的修改可能影响系统的功能，从而影响业务数据和财务数据的准确性所有变更上线需要经过适当的审批是预防性控制人工不定期17AC2.4变更授权的维护没有专人负责系统变更的管理工作，有可能造成系统更改管理的混乱，从而影响系统的运行通过系统用户的授权管理，确保只有经过授权的人员可以修改生产系统的应用程序。是预防性控制人工不定期18AC2.5变更的职责分工没有专人负责系统变更的管理工作，有可能造成系统更改管理的混乱，从而影响系统的运行需求审批人员、变更开发人员、变更上线人员和项目监控人员应相互分离，做到职责分工是预防性控制人工不定期19未能及时更新操作手册并对用户进行培训，很难确保用户能够正确使用更新后的系统AC2.6操作手册的更新和培训未能及时更新操作手册并对用户进行培训，很难确保用户能够正确使用更新后的系统在进行程序变更时，IT部门应评估程序变更的影响，判断是否需要更新操作手册，并对用户进行培训。否预防性控制人工不定期子流程:基础架构的获取和维护20不建立规范的软硬件采购评估流程，该流程不经过适当的审批，不能保证采购的规范性AC3.1基础架构的管理制度不建立规范的软硬件采购评估流程，该流程不经过适当的审批，不能保证采购的规范性存在计算机信息系统硬件管理制度，对设备的新增、报废、流转等情况进行统一管理。硬件设备的新增等工作应当经过适当的审批否预防性控制人工不定期21不对重要的硬件进行预防性维护和检查，加大了系统出错的机率和风险，可能影响系统的持续运行AC3.2基础架构的维护不对重要的硬件进行预防性维护和检查，加大了系统出错的机率和风险，可能影响系统的持续运行对重要的硬件（如重要的系统服务器和网络设备等）进行定期巡检，以检查硬件设备的可用性和运行效率，是否存在潜在的问题，根据检查的结果制定硬件预防维护报告，并采取相应的预防性措施否预防性控制人工每半年22没有建立规范的基础架构变更的制度及流程，可能导致基础架构的变更无据可依，无法避免由于不合规的基础架构变更而对数据的安全性带来的潜在影响AC3.3基础架构的变更没有建立规范的基础架构变更的制度及流程，可能导致基础架构的变更无据可依，无法避免由于不合规的基础架构变更而对数据的安全性带来的潜在影响对基础架构进行更改需要经过书面的审批，并在更改前进行测试否预防性控制人工不定期1信息部建立《系统账号管理制度》、《用友系统账号管理制度》。是预防性控制人工不定期2所属部门负责人、系统拥有部门负责人/信息部负责人依据实际业务对账号申请人的账号维护申请进行审批。是预防性控制人工不定期3系统管理人员依照制度要求对用户密码进行设置，用户及时更改用户初始密码。是预防性控制人工90天4超级用户账号的使用申请由所属部门负责人、系统拥有部门负责人/信息部负责人进行审批。注：超级用户账号指系统中最高权限账号，如root等管理员账号。是预防性控制人工不定期5信息部每月查看系统日志，监督超级用户账号使用情况。是检查性控制人工每季度适用的IT系统是否为关键控制？预防性控制或检查性控制？控制类型（人工/系统自动/人工依赖系统)控制行为出现的频率风险点控制目标预期控制DC1.1用户账号管理为确保用户账号的建立、修改、禁用、删除处理的合理性和及时性，管理层应建立相应授权流程。用户账号管理的不严格，系统可能出现未经授权的访问，从而影响系统的安全和数据的准确。超级账号的使用没有充分的控制，将增加超级账号被滥用的风险，从而影响系统的安全性DC1.2超级用户账号的管理超级用户权限的分配受到适当的控制。A部分变更管理B部分访问控制与信息安全管理子流程:账号管理对当前系统进行未经授权的、不正确的修改可能影响系统的功能，从而影响业务数据和财务数据的准确性子流程:应用系统的获取或开发没有专人负责系统变更的管理工作，有可能造成系统更改管理的混乱，从而影响系统的运行6系统拥有部门每年度对应用层面账号及权限进行审阅，对有问题的账号及时处理。是检查性控制人工每季度7信息部每年度对系统层面账号及权限进行审阅，对有问题的账号及时处理是检查性控制人工每季度子流程:系统配置管理8总部信息部建立操作系统、数据库及防火墙的基准配置。是预防性控制人工不定期9各系统和防火墙要按照基准配置进行配置,信息安全管理员检查系统以及防火墙的配置,确保配置满足基准配置要求.是检查性控制人工不定期10按照管理层审批通过的防火墙策略配置防火墙是预防性控制人工不定期11申请部门领导、信息部负责人审批配置变更申请。否预防性控制人工不定期12信息安全管理人员定期收集和分析各类操作系统、数据库和网络设备的补丁信息，及时通知相应的配置管理人员安装补丁。否预防性控制人工每周子流程:远程访问13远程访问的使用将增大系统被未经授权访问的机率，从而影响数据的完整性和可用性.DC1.6远程操作在远程操作方面，采取特定的措施来确保与远程站点的连接与中断被定义，并执行。所属部门负责人、系统拥有部门负责人/信息部负责人依据实际业务对远程访问权限申请进行审批。是预防性控制人工不定期14需求部门负责人，信息部安全管理员、网络管理员及信息部负责人，公司领导对第三方的连接进行审批。在第三方连接中，要使用身份认证和加密是预防性控制人工不定期15只有在有业务需求的时候，启用第三方账号，用完之后关闭账号。否预防性控制人工不定期16对于第三方的连接和操作要保留日志，在发生问题的时候，根据日志进行跟进。否检查性控制人工不定期17信息部负责系统、数据库和应用管理的人员每月监控系统、数据库和应用程序的日志，并跟进未经授权的操作是检查性控制人工每月18信息部负责安全监控的负责人定期编写安全报告，汇报给信息部总经理检查性控制人工每月19信息部对所有接入公司内部网络的计算机用户安装指定的计算机病毒防治产品；是预防性控制人工不定期20所有接入公司内部网络的计算机用户开启实时扫描功能。是预防性控制人工每日21所有接入公司内部网络的计算机用户开启自动更新的功能，接受公司信息部集中管理。是预防性控制人工每日22信息部负责人对机房门禁卡的发放、其他部门和外单位人员进入机房的申请予以审批。是预防性控制人工不定期23外来人员进入机房有人陪同，并填写机房访问记录。否预防性控制人工不定期24机房设计包括防火，防水，恒温的考虑，并安装报警设施。否预防性控制人工不适用25机房安装不间断电力供应设备。否预防性控制人工不适用1信息部批处理管理人员审批批处理的建立和修改。是预防性控制人工不定期2人员对批处理的运行进行监控,确保批处理正常和成功运行.检查性控制人工每日3信息部建立备份策略，并按备份策略进行备份。是预防性控制人工每日4检查每日的备份是否成功，若发现备份问题，是否有人进一步跟进否检查性控制人工每日5备份介质保管人员把备份介质存放在满足防火、防水、防潮、防盗、防磁等要求的场所。是预防性控制人工不适用6信息部备份管理人员针对关键系统建立异地备份。是预防性控制人工每两周DC1.8预防、检测和修正恶意软件IT管理应确保建立相应的流程，用来预防计算机病毒对信息系统和技术的侵害，包括病毒预防、检测。DC1.12对环境因素的防护信息技术部门的管理层应该能够保证有足够的保护措施来抵御环境因素的影响（例如，火，灰尘，电，过热或者潮湿）。安装专业的仪器和设备来监控外部环境。系统不适当的配置和未经授权的更改增加了系统被未经授权访问的风险DC1.4系统配置的管理系统配置（操作系统、数据库以及防火墙的参数配置）变更管理IT管理层须建立配置基准，而且确保配置更改更改是经过授权的。管理层未定期对账号进行审阅，将增加非法账号不能被及时发现的风险子流程：物理安全子流程:备份管理没有对备份介质进行恰当管理，将增加备份介质被未经授权的访问的风险，并增加介质找不到的风险子流程:操作管理C部分计算机操作OC1.1批处理(jobscheduling)的管理信息技术部的管理层应该保证系统工作安排和变更是经过授权和确认的。OC1.2备份策略根据具体的备份对象，建立相应的备份策略机房环境不能满足机房标准要求，如没有烟雾探测器，升起的地板、报警装置，将增加机房内系统被损坏的风险。若没有对批处理（jobscheduling）的变更进行授权控制，将增加系统工作未经授权被更改的风险，从而不能保证系统工作的有效性没有对数据或系统进行备份，在有异常发生时，重要系统和数据不能及时恢复。没有系统监控，对系统进行的未经授权的操作不能及时被发现。OC1.6安全监控信息技术安全管理应确保任何可能威胁安全的行为被及时发现和记录，并向相关人员报告以获得及时的处理。子流程：第三方连接子流程：安全监控DC1.3管理层对用户账号的审阅管理层应建立一个控制过程来定期审阅及确认访问权限。对现有资源与已记录的信息进行定期的比较，以减少错误、舞弊、误用或未授权变更的风险。对传入数据的第三方不进行严格的控制和管理，将不能保证第三方服务的安全性、准确性、可用性。DC1.7信任外方（第三方）企业应建立对第三方连接及数据交换的管理与控制，确保第三方服务的安全性、准确性、可用性。DC1.11物理安全对于信息技术设备的安全，应当建立适当的物理安全和访问控制措施。没有对机房进行适当的访问控制，将增加未经授权对机房设备操作的风险。子流程：防病毒OC1.3备份存储备份介质须做标识，并存储在安全的环境，未经授权的人员不得访问。未对网络和系统病毒进行控制，将增加网络和重要的生产系统以及PC机被病毒感染的风险。7备份恢复没有得到管理层和数据拥有部门的审批，将增加数据被未经授权恢复的风险，从而不能保证数据的准确性和完整性OC1.4备份恢复备份恢复须得到管理层和数据拥有部门的授权，定期进行备份恢复测试确保备份数据恢复的准确性和完整性。备份操作人员每半年对备份进行恢复测试，并记录测试结果。否预防性控制人工每半年8没有很好的问题管理流程，重要的系统出现的问题不能及时、有效的得以解决，从而影响业务和财务系统的正常运行。