系統安全與審計

---

---

系統審計

這是一項調查，用於審查執行系統的效能。進行系統審計的目標如下：

• 比較實際效能和計劃性能。

• 驗證系統的既定目標在當前環境中是否仍然有效。

• 評估既定目標的實現情況。

• 確保基於計算機的財務和其他資訊的可靠性。

• 確保處理過程中包含所有記錄。

• 確保防止欺詐。

計算機系統使用審計

資料處理審計員審計計算機系統的使用情況以對其進行控制。審計員需要控制由計算機系統本身獲得的資料。

系統審計員

審計員的作用始於系統開發的初始階段，以便生成的系統是安全的。它描述了可以使用記錄的系統利用率的概念，這有助於負載規劃和決定硬體和軟體規範。它表明了計算機系統的明智使用和系統可能被誤用的情況。

審計跟蹤

審計跟蹤或審計日誌是一份安全記錄，其中包含誰訪問了計算機系統以及在給定時間段內執行了哪些操作。審計跟蹤用於詳細跟蹤系統上資料如何更改。

它提供了各種控制技術的證據檔案，這些技術在事務處理期間受制於這些技術。審計跟蹤並非獨立存在。它們作為會計的一部分進行，用於恢復丟失的事務。

審計方法

審計可以透過兩種不同的方式進行：

圍繞計算機進行審計

• 獲取樣本輸入並手動應用處理規則。
• 將輸出與計算機輸出進行比較。

透過計算機進行審計

• 建立審計跟蹤，允許檢查選定的中間結果。
• 控制總數提供中間檢查。

審計注意事項

審計注意事項使用敘述和模型來檢查分析結果，以識別由於功能錯位、流程或功能分割、資料流中斷、資料丟失、冗餘或不完整的處理以及未解決的自動化機會而導致的問題。

此階段的活動如下：

• 識別當前環境問題
• 識別問題原因
• 識別替代解決方案
• 評估和可行性分析每個解決方案
• 選擇和推薦最實用和最合適的解決方案
• 專案成本估算和成本效益分析

安全

系統安全是指保護系統免受盜竊、未經授權的訪問和修改以及意外或非故意損壞。在計算機系統中，安全涉及保護計算機系統的所有部分，包括資料、軟體和硬體。系統安全包括系統隱私和系統完整性。

• **系統隱私**涉及保護個人系統免受未經相關個人許可/知情的情況下訪問和使用。

• **系統完整性**關注系統中原始資料和已處理資料的質量和可靠性。

控制措施

有多種控制措施，可以大致分為以下幾類：

備份

• 根據時間關鍵性和大小，每天/每週定期備份資料庫。

• 以較短的時間間隔進行增量備份。

• 備份副本儲存在安全的遠端位置，這對於災難恢復尤其必要。

• 如果這是一個非常關鍵的系統並且在儲存到磁碟之前無法容忍任何中斷，則執行重複系統並映象所有事務。

對設施進行物理訪問控制

• 物理鎖和生物識別認證。例如，指紋
• 保安人員檢查身份證或出入證。
• 識別所有讀取或修改資料的人員並在檔案中記錄。

使用邏輯或軟體控制

• 密碼系統。
• 加密敏感資料/程式。
• 培訓員工進行資料維護/處理和安全。
• 連線到網際網路時使用防病毒軟體和防火牆保護。

風險分析

風險是失去有價值東西的可能性。風險分析從規劃安全系統開始，方法是識別系統的漏洞及其影響。然後制定計劃來管理風險並應對災難。這樣做是為了評估可能發生的災難及其成本的機率。

風險分析是由具有不同背景的專家組成的團隊工作，例如化學品、人為錯誤和工藝裝置。

進行風險分析時，應遵循以下步驟：

• 識別計算機系統的所有元件。

• 識別每個元件面臨的所有威脅和危害。

• 量化風險，即評估威脅成為現即時的損失。

風險分析 - 主要步驟

由於風險或威脅不斷變化，潛在損失也在不斷變化，因此高階管理人員應定期進行風險管理。

風險管理是一個持續的過程，它包括以下步驟：

• 識別安全措施。

• 計算實施安全措施的成本。

• 將安全措施的成本與威脅的損失和機率進行比較。

• 選擇和實施安全措施。

• 審查安全措施的實施情況。