会计电算化系统.doc

一、简答题1、影响信息系统安全的因素有哪些？（1）信息系统自身的安全脆弱性 1）硬件组件信息系统硬件组件的安全隐患多来源于设计，主要表现为物理安全方面的问题。2）软件组件软件组件的安全隐患来源于设计和软件工程中的问题。 3）网络和通信协议缺乏对用户身份的鉴别；缺乏对路由协议的鉴别认证；TCP/UDP的缺陷（2）对信息系统安全的威胁信息泄露；完整性破坏；服务拒绝；未授权访问2、常见的信息隔离技术有哪些？（1）数据过滤技术在网络中传输的数据是从应用程序那里递交来的。应用程序递交给网络要传输的数据后，网络就要逐层向下，转交给下面的一层去实施，每交到下一层，就要按照本层的协议要求进行一次打包，形成不同协议层中的数据包（Packet），直到物理网络。包过滤是根据数据包的特征进行的。其中，主要根据数据包头的一些字段的特征进行。同时，不同的协议所规定的包头格式不同。因此在制定过滤规则前，应当充分了解数据包的格式。（2）网络地址转换网络地址转换(Network Address Translation，NAT)就是使用使用两套IP地址内部IP地址（也称私有IP地址）和外部IP地址（也称公共IP地址）。当受受保护的内部网连接到Internet并且有用户要访问Internet时，它首先使用自己网络的内部IP地址，到了NAT后，NAT就会从公共IP地址集中选一个未分配的地址分配给该用户，该用户即可使用这个合法的IP地址进行通信。同时，对于内部的某些服务器如Web服务器，网络地址转换器允许为其分配一个固定的合法地址。外部网络的用户就可通过NAT来访问内部的服务器。这种技术既缓解了少量的IP地址和大量的主机之间的矛盾被保护网络中的主机不必拥有固定的IP地址；又对外隐藏了内部主机的IP地址，提高了安全性。（3）代理技术 应用于网络安全的代理（Proxy）技术，来自代理服务器（Proxy Server）技术。代理服务器是用户计算机与Internet之间的中间代理机制，它采用客户机/服务器工作模式。代理服务器位于客户与Internet上的服务器之间。请求由客户端向服务器发起，但是这个请求要首先被送的代理服务器；代理服务器分析请求，确定其是合法的以后，首先查看自己的缓存中有无要请求的数据，有就直接传送给客户端，否则再以代理服务器作为客户端向远程的服务器发出请求；远程服务器的响应也要由代理服务器转交给客户端，同时代理服务器还将响应数据在自己的缓存中保留一份拷贝，以被客户端下次请求时使用。（4）网络防火墙在建筑群中，防火墙(Fire Wall)用来防止火灾蔓延。在计算机网络中，防火墙是设置在可信任的内部网络和不可信任的外界之间的一道屏障，来保护计算机网络的资源和用户的声誉,使一个网络不受来自另一个网络的攻击。作为一个中心“遏制点”，它可以将局域网的安全管理集中起来，屏蔽非法请求，防止跨权限访问并产生安全报警。（5）网络的物理隔离技术对物理隔离的理解表现为以下几个方面：1）阻断网络的直接连接，即没有两个网络同时连在隔离设备上；2）阻断网络的Internet逻辑连接，即TCP/IP的协议必需被剥离，将原始数据通过P2P的非TCP/IP连接协议透过隔离设备传递；3）隔离设备的传输机制具有不可编程的特性，因此不具有感染的特性；4）任何数据都是通过两级移动代理的方式来完成，两级移动代理之间是物理隔离的；5）隔离设备具有审查的功能；6）隔离设备传输的原始数据，不具有攻击或对网络安全有害的特性。就像txt文本不会有病毒一样，也不会执行命令等。7）强大的管理和控制功能。8）从隔离的内容看：隔离分为网络隔离和数据隔离：（6） 计算机系统的电磁防护3、什么是PKI？其具体只能包括那些？公开密钥基础设施（Public Key Infrastructure，PKI）是20世纪80年代在公开密钥理论和技术的基础上发展起来的为电子商务提供综合、安全基础平台的技术和规范。它的核心是对信任关系的管理。通过第三方信任，为所有网络应用透明地提供加密和数字签名等密码服务所必须的密钥和证书管理，从而达到保证网上传递数据的安全、真实、完整和不可抵赖的目的。具体职能包括：1）制定完整的证书管理政策；2）建立高可信度的CA中心；3）负责用户属性管理、用户身份隐私的保护和证书作废列表的管理；4）为用户提供证书和CRL有关服务的管理；5）建立安全和相应的法规，建立责任划分并完善责任政策。因此，PKI是一个使用公钥和密码技术实施并提供安全服务的、具有普适性的安全基础设施的总称，并不特指某一密码设备及其管理设备。可以说，它是生成、管理、存储、颁发和撤销基于公开密码的公钥证书所需要的硬件、软件、人员、策略和规程的总合。二、应用题自选一个信息处理系统，制定安全防御策略。（要求：包括所选系统介绍-系统的风险分析-确定安全需求-制定具体的安全策略） 1、会计电算化系统简介 信息处理系统是个很复杂的系统。系统的设计、构造、操作和维护都需要很大费用，因此需要从系统工程的观点加以分析和研究。电算化会计信息系统是由计算机硬件、软件、电算化管理制度、财会及计算机人员组成，是一个组织处理会计业务与会计数据，为企业内外有关人员提供会计信息并辅助管理的人机系统。其以计算机为主要工具，运用会计所特有的方法，通过对各种会计数据进行收集或输入，借助特殊的媒介对信息进行存储、加工、传输和输出，并以此对经营活动情况进行反映、监督、控制和管理的会计信息系统。电算化会计信息系统一般可分为电算化会计核算、电算化会计管理、电算化会计决策支持三个子系统。分别用于会计的事后核算、事中控制、事前决策。会计电算化系统主要有数据源、数据输入、数据处理、数据管理、信息输出、信息用户和信息反馈等元素组成。2、会计电算化系统的风险分析会计电算化系统的安全性是指电算化系统保持正常稳定运行，系统数据信息保持安全和完整。会计电算化的安全性一直是系统设计者考虑的问题，同时也是系统用户最为担心的问题，其安全风险表现在以下几方面：（1） 硬件维护的风险。硬件维护主要指在系统运行过程中，出现硬件故障时及时进行故障分析、检查、修复，并由系统维护人员及时进行安装调试的活动。由于会计信息存储电磁化，电算化系统下会计信息以电磁信号的形式存储在磁性介质下，是肉眼不可见的，很容易被删除和繤改，往往使应用人员和维护人员疏忽潜在危险的存在。（2）系统软件维护中存在风险。软件维护主要包括正确性维护、适应性维护、完善性维护等。系统升级改造前缺乏必要的论证、考察，盲目改造或对软件做二次开发，造成新问题不断出现，给实际会计工作造成麻烦和风险。（3）会计信息数据的失真。会计信息的真实、完整和准确是对会计信息的基本要求，一旦会计信息系统的安全受到损害，最为直接的就是会计数据的错误、数据的丢失或被篡改，致使信息失真。另外在电算化网络环境下，一些非法用户的侵入或数据在网络的传输中数据被截取和篡改，也将造成信息的不安全。（4）计算机病毒侵袭造成系统无法正常运行。计算机病毒可以破坏计算机内的程序、数据，甚至破坏硬件，计算机病毒可以通过磁盘、光盘、网络和电子邮件进行传播，如以前出现的一种CIH的恶性病毒，直接攻击、破坏硬件系统，主要传染Windows95/98的可执行程序，极大威胁着系统的安全。病毒的隐蔽性强，传播范围广，破坏力大，对电算化信息系统及远程网络传输的安全构成极大的威胁。（5）企业重要信息的泄露。在网络环境下，财务信息传递完全借助于网络进行，财务信息被截取和篡改或泄露成为不可避免的问题，特别是网络黑客非法侵入网络用户或程序，捕获信息或通过窃取系统合法用户口令、密码，以此合法登陆，实现非法的目的，获取重要商业秘密，将给企业造成不可估量的损失。（6）电子信息档案管理存放中不可控制的灾害风险。不正常的程序结束操作造成的故障，以及一些不发分子的蓄意制造计算机病毒，恶意攻击，侵入系统，干扰破坏系统的设置，破坏程序正常执行及数据的完整。（7）管理安全风险。 由于相关财务操作人员缺乏计算机信息安全基本知识，不遵守本部门的信息安全规则，造成数据损失、财务信息不完整等，众多的财务工作人员普遍对电脑病毒的危害程度认识不够到位或者不够重视，任意从互联网上下载资料，在计算机间、局域网、互联网之间交替使用软盘和可移动硬盘，U盘，将计算机病毒带入到电脑中，从而是病毒进入到财务软件操作系统中。3、会计电算化系统的安全需求（1）为了提高会计数据处理的及时性和准确性。由于电子计算机能够长时间大量存储数据，并能以极高的速度和准确性自动地进行运算和数据处理，从而打破了手工操作的局限性，可以为经济管理工作提供更为详细、更加及时的信息。在电算化会计系统中，一般只需要录入原始凭证或记帐凭证，系统会自动根据录入的原始凭证生成记帐凭证，并对记帐凭证进行进一步加工处理生成会计帐簿和会计报表。因而只需增、删、修改录入的原始凭证或记帐凭证，就会改变最终的会计数据结果，并且不会在磁性介质上留下任何可辨的痕迹。（2）拓展会计数据的领域。由于计算机有大量存储并易于调用，从广度上大大扩展了会计数据的领域。在已建立起的过去经营活动详细记录的基础上，通过适时处理，不仅可以及时掌握当前经济活动的最新动态，并且对未来经营方案进行预测，这就为日常管理、分析、预测和决策随时提供可靠的依据。另外，会计数据会因计算机病毒，电源故障，人为操作失误，程序处理错误和网络传输故障等原因而出现错误。（3）为充分发挥会计的职能创造有利条件。整个数据处理过程能全部由计算机自动完成，人们只需做一些辅助性的操作，而把工作的重点和主要精力放在对经济活动的分析、预测和日常管理方面，更好地完成反映和监督生产经营活动的各项任务，充分发挥会计的职能。同时，备份在计算机会计系统中很重要。4、会计电算化系统的安全防御策略（1）建立健全会计电算化管理制度。建立健全会计电算化管理制度，是确保会计核算操作安全，及时、准确提供会计信息的根本保证，是实现企业会计电算化的前提。为了保证Internet网络的安全和用户的利益不受侵犯，国际上相继制定了系列安全协议，如安全电子交易规范、安全的超文本传输协议等，这些协议对规范网上行为起到了一定的促进作用。（2）加强会计电算化组织、操作、处理控制。 加强企业财务管理内部控制制度建设，将会计系统中不相容的职责进行分离。各岗位都得到一定的授权，并用密码控制，防止非法操作，越权操作。这样各岗位人员才能实现互相制约，能防止违法行为的发生和及时的发现错误。（3）建立必要的防护措施。为了保证会计信息的真实、完整和安全，除了建立健全管理制度以外，还要建立必要的防护措施。1）在财务软件中增加安全功能。会计电算化软件各层数据处理应层层设防，在软件功能上增加必要的提示功能、检验功能和限制功能，要防止操作失误造成数据破坏，操作人员进入系统要设置口令和密码，以防无关人员非法进入。2）建立预防病毒的安全措施。在计算机中装入防病毒软件，这样在开机时进行时实控制，对硬盘进行病毒检测，及时发现并杀死病毒；定期备份数据和文件；不打开和阅读来历不明的电子邮件等。3）建立必要的技术防护措施。通过设置防火墙、采用身份识别系统等技术防护措施，将非法用户拒之网络之外，面对重要商业秘密泄密的问题，可以对软件的重要信息采用加密技术，以防重要信息在传输过程中被泄露。（4）加强系统维护，防范风险。保持计算机在符合温度、电压、卫生等要求的环境下正常工作。（5）加强处理控制。要健全企业内部定期检查制度，对会计资料定期检查，主要检查会计电算化帐务处理正确与否，看是否遵照会计法规行事，审核