与计算机信息系统有关的特别风险

分析计算机信息系统面临的主要安全威胁及其脆弱性因素，制定计算机信息系统的技术和管理保护措施~

计算机信息系统面临的主要安全威胁及其脆弱性因素有：
1、计算机外部安全
2、信息在计算机系统存储介质上的安全
3、信息在传输过程中的安全
4、互联网的开放性
5、自身的脆弱性
6、攻击的普遍性
7、管理的困难性

计算机信息系统的技术和管理保护措施有：
1、防火墙技术
一般而言，只有对个体网络安全有特别要求，而又需要和Internet联网的企业网、公司网，才建议使用防火墙。另外，防火墙只能阻截来自外部网络的侵扰，而对于内部网络的安全还需要通过对内部网络的有效控制和管理来实现。

2、数据加密技术
这种技术的目的是对传输中的数据流加密，常用的方式有线路加密和端对端加密两种。

3、访问控制
主要包括身份验证是一致性验证的一种，验证是建立一致性证明的一种手段。身份验证主要包括验证依据、验证系统和安全要求。

还有一种是存取控制规定何种主体对何种客体具有何种操作权力。存取控制是网络安全理论的重要方面，主要包括人员限制、数据标识、权限控制、类型控制和风险分析。


（二）网络攻击的常见方法
1．口令入侵
　　所谓口令入侵是指使用某些合法用户的帐号和口令登录到目的主机，然后再实施攻击活动。这种方法的前提是必须先得到该主机上的某个合法用户的帐号，然后再进行合法用户口令的破译。

2．放置特洛伊木马程序
　　特洛伊木马程序可以直接侵入用户的电脑并进行破坏，它常被伪装成工具程序或者游戏等诱使用户打开带有特洛伊木马程序的邮件附件或从网上，一旦用户打开了这些邮件的附件或者执行了这些程序之后，它们就会象古特洛伊人在敌人城外留下的藏满士兵的木马一样留在自己的电脑中，并在自己的计算机系统中隐藏一个可以在windows启动时悄悄执行的程序。当您连接到因特网上时，这个程序就会通知攻击者，来报告您的IP地址以及预先设定的端口。攻击者在收到这些信息后，再利用这个潜伏在其中的程序，就可以任意地修改你的计算机的参数设定、复制文件、窥视你整个硬盘中的内容等，从而达到控制你的计算机的目的。

3．WWW的欺骗技术
　在网上用户可以利用IE等浏览器进行各种各样的WEB站点的访问，如阅读新闻组、咨询产品价格、订阅报纸、电子商务等。然而一般的用户恐怕不会想到有这些问题存在：正在访问的网页已经被黑客篡改过，网页上的信息是虚假的！


什么是计算机信息系统：
是指由计算机及其相关的和配套的设备、设施（含网络）构成的，按照一定的应用目标和规则对信息进行采集、加工、存储、传输、检索等处理的人机系统。即信息管理与信息系统。

1、《计算机软件保护条例》
第三十条(五)未经软件著作权人或者其合法受让者的同意修改、翻译、注释其软件作品; (六)未经软件著作权人或者其合法受让者的同意复制或者部分复制其软件作品。2、《中华人民共和国计算机信息系统安全保护条例》
第二十三条 故意输入计算机病毒以及其他有害数据危害计算机信息系统安全的，或者未经许可出售计算机信息系统安全专用产品的，由公安机关处以警告或者对个人处以5000元以下的罚款、对单位处以15000元以下的罚款；有违法所得的，除予以没收外，可以处以违法所得1至3倍的罚款。
3、《中国公用计算机互连网国际联网管理办法》
第八条 接入单位负责对其接入网内用户的管理，并按照规定与用户签定协议，明确双方的权利，义务和责任。
第九条 接入单位和用户应遵守国家法律，法规，加强信息安全教育，严格执行国家保密制度，并对所提供的信息内容负责。
4、《中华人民共和国刑法》
第二百八十五条 违反国家规定，侵入国家事务、国防建设、尖端科学技术领域的计算机信息系统的，处三年以下有期徒刑或者拘役。”
第二百八十六条 违反国家规定，对计算机信息系统功能进行删除、修改、增加、干扰，造成计算机信息系统不能正常运行，后果严重的，处五年以下有期徒刑或者拘役；后果特别严重的，处五年以上有期徒刑。
5、《计算机信息网络国际联网安全保护管理办法》
第二十条　违反法律，行政法规，有本办法第五条、第六条所列行为之一的，由公安机关给予警告，有违法所得的；没收违法所得，对个人可以并处五千元以下的罚款，对单位可以并处一万五千元以下的罚款。
扩展资料关于计算机方面大学生必须遵守的法律规定
( 一 ) 遵守《中华人民共和国计算机信息系统安全保护条例》，禁止侵犯计算机软件著作权。
( 二 ) 任何组织或者个人不得利用计算机信息系统从事危害国家利益、集体利益和公民合法利益的活动，不得危害计算机信息系统的安全。
( 三 ) 计算机信息网络直接进行国际联网，必须使用国家提供的国际出人口信道。任何单位和个人不得自行建立或者使用其他信道进行国际联网。
( 四 ) 从事国际联网业务的单位和个人，应当遵守国家有关法律、法规，严格执行安全保密制度，不得利用国际联网从事危害国家安全、泄露国家秘密等违法犯罪活动，不得制作、查阅、复制和传播危害国家安全、妨碍社会治安的信息和淫秽色情等信息。发现上述违法犯罪行为和有害信息，应及时向有关主管机关报告。
( 五 ) 任何组织或个人，不得利用计算机国际联网从事危害他人信息系统和网络安全，侵犯他人合法权益的活动。
( 六 ) 国际联网用户应当服从接入单位的管理，遵守用户守则；不得擅自进入未经许可的计算机系统，篡改他人信息；不得在网络上散发恶意信息，冒用他人名义发出信息，侵犯他人隐私；不得制造、传播计算机病毒及从事其他侵犯网络和他人合法权益的活动。
( 七 ) 任何单位和个人发现计算机信息系统泄密后，应及时采取补救措施，并按有关规定及时向上级报告。
参考资料来源：百度百科-计算机软件保护条例
参考资料来源：百度百科-中华人民共和国计算机信息系统安全保护条例
参考资料来源：百度百科-中国公用计算机互联网国际联网管理办法
参考资料来源：百度百科-计算机信息网络国际联网安全保护管理办法

国际信息系统审计准则
国际会计师联合会（IFAC）下设的国际审计实务委员会（IAPC）对计算机信息系统环境下的审计的研究较早，先后发布了一系列的相关准则。到目前为止颁布了六个有关计算机信息系统环境下审计内容的国际审计准则。它们分别就单机、联机和数据库系统下的电子数据处理环境对会计制度和有关内部控制的研究和评价产生的影响作出补充规定。现将这几个准则规范的内容作一汇总介绍。
第一，《信息系统环境下的审计》。该准则明确了在计算机信息系统环境下审计的目的与范围，技术与能力的要求，审计计划的考虑，内部控制研究、评价及风险评估的影响，制定与实施审计程序应关注的方面等。该准则只是为在计算机信息系统环境下的审计制定一般原则和指导，其他五个准则或实务公告均为该准则的补充或扩展。
当在一个计算机信息系统环境下进行审计时，审计人员应当对约定计划中的计算机硬件、软件和处理系统有充分的了解，并且要了解计算机信息系统对内部控制的研究与评价以及对审计程序有怎样的影响，包括计算机辅助审计技术。审计人员还应当对执行审计程序的计算机信息系统处理有足够的知识，这将视所采用的具体的审计方法而定。
第二，《风险评估和内部控制--计算机信息系统环境特征和考虑因素》。该实务公告为第一项准则的补充，该公告明确了计算机信息系统环境的特征，计算机信息系统环境下内部控制的内容及评价方法。
审计人员应当收集与审计计划有关的计算机信息系统环境的资料，包括计算机信息系统的功能情况以及计算机处理的集中或分布程度、使用的计算机硬件和软件、数据重置情况等。
审计人员在编制全面计划时，应当考虑下列事项：在对内部控制的全面评价中确定对计算机信息系统控制的可信赖程度；制定关于怎样、何处与何时检查计算机信息系统功能的计划；制定关于利用计算机辅助审计技术进行的审计程序计划。
第三，《计算机信息系统环境--独立微型计算机》。该实务公告为第一项准则的补充，该公告明确了微型计算机系统及其特征、在微型计算机环境下的内部控制、微型计算机环境对审计程序的影响等。
准则指出微机对会计制度的影响和有关的风险一般将由下列情况而定：微机使用于会计应用处理的范围；被处理的财务业务的类型和重要性；应用中运用的文件和程序性质。微机环境下的内部控制应当包括：管理部门对操作微型计算机的规定和控制；程序和数据安全；软件和数据的完整性控制；硬件、软件和数据备份控制。
第四，《计算机信息系统环境--联机计算机系统》。该实务公告为第一项准则的补充，该公告明确了联机计算机系统及其特征、在联机计算机环境下的内部控制、联机计算机环境对审计程序的影响等。
准则强调某些一般控制程序对联机处理特别重要，包括存取控制、控制方面的口令、系统开发和维护控制、程序编制以及业务记录控制。同时，对联机处理特别重要的应用控制包括：处理前的适当授权，终端设备编辑。合理性和其他确认测试、截止测试、文件控制、余额控制。
联机环境对会计制度的影响及其相关联的风险，一般将依下述而定：联机系统用干会计应用处理的范围；处理的财务业务的类型和重要性；使用的应用文件和程序性质。
第五，《计算机信息系统环境--数据库系统》。该实务公告为第一项准则的补充，该公告明确了数据库系统及其特征，在数据库系统下的内部控制，数据库环境对审计程序的影响等。
第六，《计算机辅助审计技术》。该准则为第一项准则的扩展，该准则明确了审计软件和测试数据两种辅助审计技术、利用计算机辅助审计技术的范围及需要考虑的因素、注册会计师在计算机辅助审计技术应用中的主要工作和控制手段等。
准则指出，在下列情况下，可应用计算机辅助审计技术：在运用制度遵守性和数据真实性程序中缺少输入文件和缺乏可见的审计踪迹时；通过利用计算机辅助审计技术可以改进审计程序的效果和效率时。
计算机辅助审计技术有多种，国际审计准则说明其中的两种：用于审计目的的审计软件和数据测试技术。审计软件可以作为审计程序的一部分，以处理来源于单位会计制度的重要审计数据。数据测试技术是用在执行审计程序时将数据进入单位的计算机系统，并将获得的结果同预定的结果相比较。
在编制审计计划时，审计人员应当考虑手工和计算机辅助审计技术的适当结合，在确定是否利用计算机辅助审计技术时，需要考虑的因素包括：审计人员的计算机知识、专门技术和经验；计算机辅助审计技术的可用性和合适的计算机设备；无法实行手工测试；效果与效率；时间因素。

信息系统审计的重点环节
[日期：2007-05-28] 来源： 作者：审计署建设建材审计局 张京奕 [字体：大 中 小]

信息系统审计是一个通过收集和评价审计证据，对信息系统是否能够保护资产的安全、维护数据的完整、使被审计单位的目标得以有效地实现、使组织的资源得到高效地使用等方面作出判断的过程。
信息系统审计的方法
信息系统审计过程与一般审计过程一样，分为准备阶段、实施阶段和报告阶段。其中，准备阶段和报告阶段所涉及的技术方法与财务审计所运用的技术方法区别不大，而实施阶段所涉及的技术方法则具有信息技术的特色。在实施阶段，针对被审计的信息系统，审计人员所开展的工作可以分为三个层次，即了解、描述和测试。
计算机信息系统环境下审计技术方法与手工环境下传统的审计技术方法相比，相应增加了计算机技术的内容。对信息系统审计的方法既包括一般方法即手工方法，也包括应用计算机审计的方法。信息系统审计的一般方法主要用于对信息系统的了解和描述，包括：面谈法、系统文档审阅法、观察法、计算机系统文字描述法、表格描述法、图形描述法等。应用计算机的方法一般用于对信息系统的控制测试，包括：测试数据法、平行模拟法、在线连续审计技术(通过嵌入审计模块实现)、综合测试法、受控处理法和受控再处理法等。应用计算机技术的审计方法主要是指计算机辅助审计技术与工具的运用。但不能把计算机辅助审计技术与工具的使用过程与信息系统审计等同起来。在信息系统审计的过程中，仍然需要运用大量的手工审计技术。
信息系统审计应关注的重点环节
1.数据环节
在审计中，必须使用一种方法能够向前、向后追踪单个交易和资产记录，以便使审计人员选择一些交易对其进行详细检查，确认交易记录是否符合一般的审计目标。如对会计事项信息的检查，要检查它的完整性、时效性、合规性和信息披露等方面，检查内容包括与本会计年度有关的交易是否全部记录在册；所有记录的交易是否都是合理发生的并与本会计年度有关；记录的交易是否数据准确，计算无误：记录的交易是否符合基本的和辅助的法律规定，符合特定权威机构的要求；对记录的交易是否进行正确的分类，并符合信息对外披露的要求等。对财务报表信息的检查，要检查完整性、存在性、会计计量、所有权以及信息披露等方面，检查内容包括是否记录了所有的资产和负债：所有记录的资产和负债是否都是存在的；对资产和负债的计量是否精确，计算方法是否符合按合理性、一致的标准制定的会计政策的要求：确认资产是被审主体所有的、负债是被审主体应该承担的，并且资产和负债是否由合法的经济活动产生的；资产、负债、资本和存货是否都得到正确的披露。同时对信息系统提供的业务信息也要进行分析，例如每月的工资总数、某阶段的付款清单和订货信息等，要弄清基本的交易情况，并一直追踪到信息源。对上述信息的分析可以采用计算机辅助审计技术，按照特定的标准对数据进行汇总、分类、排序、比较和选择，并进行各种运算。
2.内部控制环节
内部控制一般而言是指组织经营管理者为了维护财产物资的安全、完整，保证会计信息的真实、可靠，保证经营管理活动的经济性、效率性和效果性以及各项法律和规范的遵守，而对经营管理活动进行调整、检查和制约所形成的内部管理机制，是组织为实现管理目标而形成的自律系统。计算机系统的内部控制主要分为应用控制、一般控制和管理控制等三个方面，在审计过程中要对被审计单位内控制度进行评价，包括电算化系统的内控制度。为了对系统的内控制度进行评价，审计人员必须验证内部控制系统是否存在，并能提供令人满意的证据，证明它正在有效地发挥作用。在计算机系统中，应检查以下方面来证明内控制度的有效性：(1)控制系统资源的存取。包括物理资源，例如终端、服务器、连接盒、相关文档等；还包括逻辑资源，如软件、系统文件和表、数据等。(2)控制系统资源的使用。用户应该只能对授权给他们的那些资源进行操作。(3)建立按用户职能分配资源的制度。把重要的任务功能按用户或用户组进行分离，以减少无意的误操作、滥用系统资源和对数据的非授权修改。(4)记录系统的使用情况。按时间顺序建立一个使用记录，记录内容应包括例外事例和与安全有关的事件是由谁触发的，财务信息的创建、修改和删除是由谁完成的。(5)确认处理过程的准确性。用产生财务控制信息，确认处理过程的准确完成。(6)管理人员对财务信息系统的修改。应该保证财务信息系统的所有修改都是经过授权、有文档记录、经过彻底(独立地)测试的，确认最后以一种有控制的方式投入使用。(7)保护财务信息系统免遭计算机病毒的袭击。必须建立一套控制措施，检测病毒，防止病毒感染财务信息系统。
3.数据传输转移环节
在信息系统中，有些数据需要在两个财务信息系统或财务信息系统与业务信息系统之间相互转移，在此过程中可能会出现一些问题，尤其是在需要手工重新录入时。因此在审计时要重点关注以下方面：在转移过程中数据可能会发生变化；新的科目代码表与老的可能不一样，需要在两个财务信息系统之间建立复杂的对应关系：中心数据库可能被一些地理上分散的服务器取代；当前财务信息系统中的数据质量不佳；当用一个总的信息系统取代一个预定财务信息系统时，需要补充许多新的数据。在检查这一环节时，一定要保证输出的消息是经过批准、完整和精确的，保证输出的消息在约定时间内准确地发送给指定的接收者，保证流人的消息是完整、准确和真实可靠的。
信息系统审计案例分析
2006年，在对某酒店开展的审计中，对酒店信息系统的安全性、可靠性进行了测试。测试结果发现信息系统在数据传输和运算上存在错误，通过数据验证，证明错误产生的原因是由信息系统本身缺陷造成的。上述审计结果得到了被审计单位的认可，促使被审计单位更换了信息系统，提高了计算机管理水平。
这次审计之所以能取得一定的效果，主要是注意从数据和内控制度入手，利用计算机辅助审计技术和手工审计技术相结合开展信息系统审计。(1)在数据环节上，信息系统审计和数据审计对系统数据的利用角度是不一样的。数据审计侧重于数据之间的关联，是审计数据的结果；而信息系统审计侧重于数据的真实完整性，是通过测试数据的真实完整性来审计信息系统的安全性和可靠性。在审计中，通过详细了解信息系统的数据库结构，对比数据库中表文件的记录数量大小和字段完整程度，确定需要查询的数据库表文件，把主表的数据完整性作为重点的测试目标。(2)在内部控制和数据传输环节，通过绘制组织机构图、系统流程图和现场走访等方式，全面了解酒店的业务流程和工作特点。通过摸清酒店的业务流程，跟踪基础数据流在业务流程中的走向，锁定数据的大量运算点，是确定审计方向的关键。信息系统中所有业务活动的发生都集中体现在基础数据流上，基础数据流是一个信息系统的重要构成要素，数据的大量运算点是测试系统运行安全性和可靠性的关键点。在此基础上，确定了年审日报汇总、会议团体客房转账和业务系统与财务核算系统手工传输数据三个系统模块，作为对信息系统进行安全性、可靠性测试的重点。这三个模块是信息系统内数据大量运算和系统间传输数据的关键点，由于基础数据在运算、自动传输和手工传输过程中存在发生错误和被调整修改的可能性，因此利用计算机辅助审计技术进行验证。
在验证过程中，通过分步骤编写查询语句和程序，调出数据生成中间表进行比对，发现疑点，根据疑点特征继续比对，直到发现错误点。在SQL语句不能保证完成大批量查询和比对任务的情况下，采用计算能力更强、运算速度更快的JAVA来编写查询程序，起到了事半功倍的效果。

---

二连浩特市19289724274： 计算机会计信息系统的风险分析有哪些呢? ？
瞿君京必： (一)基础设施方面存在的风险主要包括: (1)计算机硬件风险.调研的样本企业中,计算机会计信息系统的应用模式有单机和C/S两种,两者硬件都存在自身功能失效...

二连浩特市19289724274： 审计固有风险有哪些? - ？
瞿君京必： 最佳答案 指在不考虑被审计单位相关的内部控制政策或程序的情况下,其会计报表上某项认定产生重大错报的可能性.它是独立于会计报表审计之外存在的,是注册会计师无法改变其实际水平的一种风险.固有风险有如下几个特点:(1)固...

二连浩特市19289724274： 电子商务环境下审计的固有风险有哪些 - ？
瞿君京必： 电子商务环境下,审计的固有风险有以下几方面: 1、会计信息的电磁化使审计线索易于缺失在电子商务环境下,企业内部的审计线索发生了质的变化,记录业务的内部原始单据,如领料单等原始凭证变为电磁化的信息,计算机系统根据确...

二连浩特市19289724274： 电脑病毒的危害~~! - ？
瞿君京必： 从广义上定义,凡能够引起计算机故障,破坏计算机数据的程序统称为计算机病毒.依据此定义,诸如逻辑炸弹,蠕虫等均可称为计算机病毒. 1994年2月18日,我国正式颁布实施了《中华人民共和国计算机信息系统安全保护条例》,在《条例...

二连浩特市19289724274： 影响计算机审计控制风险的因素主要有哪些? - ？
瞿君京必： 如数据校验纠错措施不足影响计算机审计控制风险的因素包括、程序的恶意攻击, 缺乏相互制约机制;b; ⑥防范网络远程侵害的措施不足,如未设立有效的防火墙,无法有效防止网络黑客或敌意方对系统数据,导致误将错误数据纳入系统;c....

二连浩特市19289724274： 企业内部控制评价一般包括哪些内容 - ？
瞿君京必： 关于内部控制评价内容,从范围看,一般认为企业内部控制评价应根据资源情况和组织需求来决定,既可以是全面内部控制评价,如对整个内部控制系统进行评价,然后把信息反馈给最高管理当局;也可以是局部评价,如对某个部门或某个控制...

二连浩特市19289724274： 下列属于公司中高端品牌系列酒的是() - 上学吧找答案？
瞿君京必： 计算机网络安全 编者按:＂千里之提,溃于蚁穴＂.配置再完善的防火墙、功能再强大的入侵检测系统、结构再复杂的系统密码也挡不住内部人员从网管背后的一瞥.＂微软被黑案＂的事例证明,当前企业网络最大的安全漏洞来自内部管理的不...