《信息系统审计》-第3章

InformationSystemAuditchapter3《信息系统审计》南京审计学院主讲教师：吕新民第3章第三章信息系统一般控制及审计进行信息系统审计，需要对内部控制制度进行审计测试。但信息系统环境下的内部控制与传统环境下内部控制相比，有了很大不同，由传统的手工控制转变为信息系统内部控制。

信息系统内部控制：是一个单位在信息系统环境下，为了保证业务活动的有效进行，保护资产的安全与完整，合理确保信息系统提供的会计及业务信息的真实、准确、合法合规，防止、发现、纠正错误与舞弊，而制定和实施的一系列政策与程序措施。与传统手工处理方式相比，信息系统的构成要素：

物理环境通信平台软件平台硬件平台网络平台应用平台

管理维护

部门、人员、管理

由此：信息系统内部控制对象：物理环境（场地、机房等）、系统硬件、系统软件（如OS、DBMS等）、系统通信访问、系统网络架构、信息系统应用程序，系统管理维护、各项规章制度，以及信息系统业务处理有关的部门、人员和活动，等。

与传统手工控制相比，信息系统内部控制特点：

1、

控制的重点转向系统职能部门；

2、

控制的范围扩大；

3、

控制方式和操作手段由人工控制转为人工控制与信息技术控制相结合。

内部控制分类：从信息系统对象范围角度，信息系统可分为信息系统环境和信息系统应用程序两部分组成。

因此，从该角度信息系统内部控制通常分为：

信息系统一般控制（即对信息系统环境的控制）

信息系统应用控制（即对应用程序的控制）

将信息系统内部控制分为一般控制和应用控制为目前国际通行分类方法。我们将以此分类方法做介绍。

依据要达到的直接目标分为：

会计控制、管理控制

依据控制的预定意图分为：

预防性控制（事前控制）检查性控制（事中控制）纠正性控制（事后控制）

依据控制的手段不同分为：手工系统控制程序化控制环境是保障，一般控制的强弱，将会严重地影响相关的具体应用控制的可靠性。因此，应首先进行一般控制的审计测试。本章即先介绍信息系统一般控制及审计主要内容第一节信息系统一般控制概述

信息系统一般控制：指对计算机信息系统的构成要素和系统环境实施的，对系统所有的应用或功能模块具有普遍影响的控制措施。

一般控制的基本目标：保证系统的数据安全、保护计算机应用程序、防止系统被非法侵入、保证在意外中断情况下的继续运行等。

根据前述的有关信息系统内部控制对象内容，一般控制对象应为除信息系统信息系统应用程序以外的其他部分。

由此：信息系统的一般控制主要涉及以下方面：

管理控制（包括部门管理、人员管理等）；系统基础设施控制（包括系统物理环境、系统硬件、系统软件等）；系统访问控制（包括系统通信控制等）；系统网络架构控制；灾难恢复控制（即有效的系统维护），等。

第二节管理控制及审计

一、管理控制的基本内容

为了保护组织所有的信息资产，维护信息的机密性、完整性和可用性，有效管理是关键。

信息系统的安全管理控制的主要目标：

实现职责分离和人员的管理。信息系统环境下的职责分离主要表现在：

权责划分原则：在分工协作的基础上明确各部门、人员的权限与责任。

分离基本原则：

1、信息系统部门与业务部门的职责相分离

主要控制措施：

2、信息系统部门与业务部门内部的职责相分离

主要控制措施：（1）信息系统部门内部的职责相分离

信息系统部门人员组成？

（1）信息系统部分负责信息系统的开发和维护工作；

（2）业务部门负责日常的业务操作。系统分析与设计员；程序员；系统操作员；资料保管员；系统管理员；

安全管理员。

上述不相容职务应相分离

（2）业务部门内部的职责相分离

业务部门人员组成？

部门主管；数据操作员；审核记账员；数据审查员；数据分析员；数据保管员；系统维护员；

上述不相容职务应相分离。

（3）交易的授权与交易的执行相分离

（4）资产的保管与记录相分离

信息系统环境下的人员管理主要表现在：

对涉及有关人员的各种活动中采取有效地管理控制措施，包括：人员的招聘、工作的分配、培训、岗位轮换、监督与评价、离岗和离职等。

管理控制是否健全？是否真正发挥作用？

需要：实施对管理控制的审计与测试。

二、管理控制审计对管理控制的审计与评价，审计人员主要应从以下几方面进行：

1、审计书面策略、流程与标准。

主要审计内容：是否存在？是否恰当？

3、审计安全意识的培训。（预防性控制）

主要审计内容：是否存在？意识如何？

审计方式：抽查测试方式

2、审计逻辑访问安全策略。

原则：知所必需

主要审计内容：是否存在漏洞、风险？

4、审查安全管理员。

主要审计内容：信息安全管理策略；物理和逻辑安全管理措施。

数据所有权：对信息系统资源保管的权利人员；

数据所有人：拥有信息运营和控制业务活动责任人员；

数据使用者：使用信息系统数据信息的用户；

主要审计内容：分工是否明确；责任是否明确和落实；权利和责任是否对称；是否存在书面的制度和管理控制程序。

5、审查数据所有权、数据所有人和数据使用者。

6、审查数据保管员。

主要审计内容：职责分离；保管措施等。

8、审查离职员工的访问控制。

主要审计内容：物理接触；访问权限的限制或撤消。

7、审查书面授权。

主要审计内容：授权存在性、充分性、合理性和有效性。

9、审查访问标准。

安全标准一般包括：账号与密码标准、特定机器使用规则、特定应用系统访问规则等。

主要审计内容：安全标准的存在性、符合性。

三、管理控制测试

管理控制是否有效？是否健全？是否发挥作用？

需要：对管理控制进行审计测试。

目的：收集证据，从而确认相关控制的存在性和有效性。

测试技术方法：编制控制测试矩阵

矩阵组成：控制目标、控制措施、单元内容

测试手段：检查控制文档、问卷调查、会谈、观察

测试步骤：

1、依据管理控制内容，编制控制矩阵；

2、进行控制测试；3、完成控制测试矩阵；

4、评价

“控制测试矩阵”技术应用案例：

××公司销售与应收账款系统的控制矩阵（部分）：

根据控制测试矩阵，审计人员形成的信息系统内部控制评价表（部分）：

第三节信息系统基础设施控制及审计信息系统基础设施：是指保障信息系统工作所必需的设施与条件。如：机房环境设施，信息系统软、硬件等。

一、信息系统环境控制信息系统环境：指保障信息系统正常运行的环境条件。

信息系统环境？

控制目的：保障信息系统安全、可靠的运行。

重点包括：信息系统环境以及信息系统软、硬件的采购、配置、运行与管理。

主要包括：场地（机房场地、信息存储场地）、计算机机房。

环境是信息系统正常运行的基本条件，环境风险主要体现在：

自然灾害风险：如：水灾、火灾、地震等

环境故障风险：如：电力故障、设备故障、温度故障、湿度故障、静电故障、接地故障、恐怖袭击故障等。如何防范信息系统环境风险？

防范环境风险主要考虑以下几方面：（1）电源供应规格是否控制在要求的范围内？

（2）空调、湿度、通风控制系统是否符合要求？

（3）是否提供静电保护（如：防静电地毯、抗静电喷雾器）？

（4）是否能保持防尘、防烟及其他特殊物品（如食品等）？

（5）是否明文规定禁止在计算机设备旁就餐、喝饮料及吸烟等？

（6）是否对备份磁盘及磁带提供保护措施，使其免受损害？

针对环境风险，需采取相应的控制措施：

2、对环境风险的控制

控制目标：杜绝信息系统运行环境中影响信息系统正常、可靠运行的安全隐患，保护信息系统中的各种资源免受毁坏、替换、盗窃和丢失的威胁。

针对环境风险，通常应采用的控制措施和控制技术包括：（1）火灾、水灾的控制。控制包括：

A、远离加油站、储气站和蓄水池；

B、水灾探测器；

C、火灾控制系统或设备（手控式火灾警报器、手提式灭火器、火灾自动灭火系统（烟雾探测装置和自动灭火装置）；

D、设施环境具备防火、防水能力；

E、制定了防止水灾、火灾的规章制度；

F、灾难应急计划，等。

（2）电力供应相关风险的控制。控制包括：

（3）防潮、防尘的控制措施。控制包括：

电力中断控制：包括：保护器保护、UPS、后备发电机供电（移动式或固定式，可采用柴油、汽油动力等）

电源线中断控制：备份电力系统

切断电源控制：设置机房内、外紧急断电装置。

A、机房空气进行净化处理；

B、具有防潮和恒温设备；

C、制定了防尘和防潮的规章制度。

（4）其他相关的控制

如：信息处理场所设置警示标语、建立程序控制关机，等。

3、环境控制的审计测试

环境控制是否有效？是否健全？是否发挥作用？

需要：对环境控制进行审计测试。

主要包括以下几方面：（1）审查是否制定相关政策、制度和程序？

（2）场地（机房场地、信息存储场地）审查

审计内容：地址选择条件；温度、湿度条件；照明、日志、电磁场干扰条件；接地、建筑结构条件；防水、防火、防雷、防磁、防尘措施等。

审计标准：标准GB/T2887—2000

（3）机房审查

审计内容：防火、内部装修、供配电系统、空调系统、火灾报警系统、消防设施、防静电、防雷击等。

审计标准：标准GB9361—1998（分为A、

B、C三类）

二、信息系统硬件控制与审计

信息系统硬件包括？

（4）物理保障审查

审计内容：电力供应、灾难应急等

审计标准：标准GB/T2887—2000、

GB9361—1998

主要包括：计算机、网络设备（交换机、集线器、网关、路由器、中继器、桥接设备、调制解调器等）、传输介质（同轴电缆、双绞线、光纤、微波通信等）及转换器、输入/输出设备、存储介质、监控设备等。

硬件设施的采购、运行、维护、监控和能力管理等。

1、硬件基础设施采购控制硬件基础设施采购控制应考虑的问题：购买什么样的硬件？如何保障硬件的质量？硬件控制与审计直接关系到信息系统的安全、可靠的运行。其内部控制及其审计，主要涉及：

主要控制包括：（1）招标书（ITT）或请求建议书（RFP）控制要求：

全面明确说明所需设备用途、任务和要求，及对设备所处环境的描述。

具体应包括：组织的描述、信息系统处理需求、硬件需求、系统软件应用、支持需求、适应性需求、转换需求和约束条件等。

（2）供应商控制考虑因素：投标书、供应商财务状况、供应商维护和支持（包括培训）能力、交付日程、硬软件升级能力、价格、性能等。

（3）硬件采购的技术指标控制因素包括：运转时间、响应时间、吞吐量、负载、兼容性、容量以及利用率等。

（4）硬件设备应具有的基本控制功能因素计算机设备应具有控制功能：重复处理控制、回波检验、设备校验、有效性校验等。可以通过审核硬件厂家的文献资料和书面凭证确定。

2、硬件基础设施维护与监控

目的：提供系统正常运行的硬件基础设施保障。

控制措施包括：

形成维护计划（维护程序）并得到管理层批准；维护的落实与监督检查；维护变更的控制。

为了使对硬件维护监督控制的有效，可考虑以下反映硬件相关的参数和报告：

（1）硬件错误报告：用以标识CPU、输入输出、电源和存储故障。

作用：检查系统状态、故障的排除状况

（2）可用性报告：指出系统工作正常的时间段。

作用：检查系统为正常业务处理提供有效服务情况，以及存在的问题（如：不充分的硬件设施、过度的操作系统维护，等）

（3）利用率报告：记录机器、外设的使用和有效利用状况（通常由系统自动形成）。

作用：分析和预测当前处理资源的需求趋势，以便及时增减资源（如释放空间、升级硬件等，一般平均利用率应在85%-95%

之间）

3、信息系统硬件基础设施能力管理硬件基础设施能力管理：指对计算机硬件资源的计划和监控。

目标：根据总体业务的增长或减少动态地增减资源，以确保可用资源的有效利用。能力计划应由用户和IS管理部门共同参与完成，并至少每年进行审查和修改。

能力计划内容包括：有效的预测业务的潜在增长、扩充、CPU利用、计算机存储利用、远程通信和广域网带宽利用、I/O通道利用、用户的数目、新的技术的运用和服务水平协议等。

4、信息系统硬件基础设施控制的审计

信息系统硬件基础设施控制的存在性、有效性，需要实施审计。

审计内容范围涉及：硬件基础设施管理控制的各个环节。

审计方法：检查和审核其控制的相关文档、会谈法、调查表法、观察法等。

重点审查内容包括：（1）硬件获取计划。审计内容：

判断计划是否定期地与管理层的业务计划进行比较；环境设施是否足以适应当前安装的硬件；硬件获取计划是否和IS计划同步，并且考虑了现有设备及新设备的技术退化；软硬件规格、安装要求以及交货时间等说明的准确性。（2）检查微机（或PC）获取标准审计内容：标准的制定及传达情况；检查标准内容（获取的批准流程、成本—效益分析等）；所有微机均由采购部门集中采购以获得批量折扣或其他优惠。

（3）审查硬件的能力管理。审计内容：

能力管理程序和性能评估程序是否保证持续监视硬件及系统软件性能和容量；

IS管理层的硬件性能监控计划中使用的标准是否基于历史数据和分析结果。

（4）审查变更管理控制。审计内容：

IS管理层是否已经设计并强制实施变更日程表；在硬件变更实施前IS部门内使用的操作员文档已经进行了适当的修订；变更计划是否对正常的IS处理产生影响；所有硬件变更情况是否已经通知系统程序员、应用程序员和IS职员，以确保变更和测试经过适当的调整。

三、系统软件控制

系统软件主要包括？

系统软件控制涉及：系统软件获取与实施、变更、版本与许可、维护、监控和管理等。

主要包括：操作系统、数据库管理系统、通信软件、数据管理软件、作业调度软件、程序库管理系统、磁带/磁盘管理系统和系统工具软件等。系统软件为业务应用程序的正确运行提供系统级直接保障，因此：需要实施系统软件的控制与审计。

1、系统软件的获取与实施主要控制内容：

版本控制：保证组织内使用的系统软件具有最新的版本，以保证组织的竞争能力

计划控制：制定短期和长期的计划；

实施控制：系统软件迁移更新控制；招标与评标过程控制；系统软件使用前测试、认证及使用授权控制。

获取与实施控制中应考虑的业务及技术因素：（1）业务需求、功能需求和技术需求规格；

（2）与现有系统的兼容性；

（3）安全性需求；

（4）对现有雇员的要求；

（5）操作人员的培训和聘用需求；

（6）对系统性能和网络的影响；

（7）组织未来发展的需要。

（8）系统软件的错误处理能力、程序保护功能等。

以操作系统为例：错误处理能力：能检验和纠正因硬件和软件问题引起的错误，如发生读写困难，能自动指出错误并进行相应的处理；

系统使用控制：能对未经批准而使用的文件、程序和设备提供一定的控制。能记录系统使用的情况、进行口令密码的监视，进行存储保护。

程序保护功能：能防止应用程序在运行过程中受到其他程序的干扰，防止模块调用过程中发生错误，防止被擅自改动；这些可通过审阅厂家提供的系统软件资料获得。

2、系统软件的变更控制控制内容：

变更实施程序控制：

保证变更已得到授权，管理层和相关人员清楚并参与到变更过程中，确保变更不会破坏现有处理流程；保证有适当的备份/恢复程序，使得一旦发生安装失败，能使其影响最小化。

实施变更前的评估控制：确保变更产生的可能影响已得到评价。

变更运行前的测试控制：确保所有测试结果已进行记录、审查并得到相关领域技术专家的认可。

3、系统软件的版本与许可控制目的：防范使用盗版软件带来的风险。（如：

计算机病毒、业务损失、诉讼风险等）

控制内容：

版本与许可的政策与管理控制：保证组织为其信息系统部门建立了标准的计算机桌面环境和软件许可策略，通常的做法有：（1）审查用于防范非授权使用和拷贝软件的策略和程序文件。

（2）建立对软件安装的集中控制和自动分发（包括取消用户安装软件的能力）机制；

（3）要求所有的PC机均是无盘工作站，并只通过安全局域网来访问应用程序；

（4）在局域网中安装计量软件，并要求所有的PC

通过该计量软件来访问应用程序；

（5）定期扫描PC，确保没有安装非授权软件拷贝；

（6）与供应商签署站点许可协议或并发许可协议。

对信息系统环境来说，系统软件控制主要涉及：操作系统控制、数据库控制、防病毒控制等方面。

4、操作系统控制对操作系统控制应重点关注：操作系统软件控制参数、检查系统日志、控制访问许可

参数控制目的：决定系统的设置与行为特征，防止导致隐藏的错误和数据毁坏，以及非授权的访问和不准确的日志等。

参数控制作用：利用特殊的硬件或软件设置保护自身避免遭受破坏和修改，保护系统关键进程的安全，保证系统软件的完整性。

参数控制内容：授权控制：确保恰当的系统授权使用；

参数设置控制：正确进行系统控制选项及目录中参数设置。（如注册表、组策略等组件）

检查系统日志：以了解计算机处理过程并分析系统行为。需要关注的活动日志项目有：

（1）生产处理所用数据文件的版本；

（2）对敏感数据的程序访问；

（3）调度并运行的程序；

（4）操作系统的操作。

（5）数据库；

（6）访问控制。

访问与许可控制：安装安全的访问控制软件

5、数据库控制

数据库控制主要涉及：数据库安全控制控制目的：保证数据库信息的保密性、完整性、一致性和可用性。

数据库安全涉及：存取管理、安全管理和数据库加密

存取管理控制：涉及：用户身份认证技术：包括用户身份验证和用户身份识别技术。如口令、智能卡等；

存取控制技术：存取控制模型有自主存取控制（DAC）、强制存取控制（MAC）和基于角色存取控制（RBAC）。

安全管理控制：涉及：安全管理方式：集中控制、分散控制两种。

集中控制：由单个授权者来控制系统整个安全维护；

分散控制：采用可用的管理程序控制数据库的不同部分来实现系统的安全维护。

安全管理机制：人员管理机制：数据库管理员、数据库安全员、数据库审计员相互制约

数据库管理员职责：专门负责每个特定数据的存取；

数据库安全员职责：负责部署强大的控制、符合特定标准的评估，以及大量的用户账号、口令安全管理任务；

数据库审计员职责：根据日志审计跟踪监视数据访问和用户行为。

数据库加密控制：涉及：数据库加密目的：防止泄露、被窃取

数据库加密层次：库内加密、库外加密、硬件加密。

数据库加密方法：公开密钥加密方法

加密控制措施：密钥控制

6、计算机病毒及其控制控制目的：预防病毒的感染破坏、实时扫描清除病毒、病毒感染后系统的及时恢复。

病毒危害：破坏系统、破坏程序、破坏数据、占用系统资源，等。

病毒防范控制方法：（1）建立规范严谨的管理策略与程序。如，制定操作使用规范、慎用软件、备份、写保护，等。

（2）采用一定的技术方法预防和检测计算机病毒。

预防方法：如，防病毒软件、防火墙，等；

检测方法：A、检查；B、

监测（扫描）异常指令的执行。

防范病毒的技术手段：硬件手段、软件手段。

（1）硬件手段：启动型病毒保护（内置的、基于固件的保护方法、如硬盘保护卡）；工作站采用无盘方式的远程启动；计算机等设备采用基于硬件的口令；防火墙；等

（2）软件手段：如，各种防病毒软件工具

7、对系统软件控制的审计

系统软件的控制是否健全？发挥作用？

需要：实施系统软件控制的审计。具体来说包括：

（1）检查系统软件选择程序

审计内容：是否符合信息系统计划和业务计划要求；是否适应对信息系统的处理和控制要求；是否满足信息系统业务需求，等。

（2）审查系统软件获取可行性研究和选择流程。

审计内容：确定建议的系统目标和目的与招标书/请求建议书一致，并使用了相同的选择标准。

（3）审计系统软件采购成本—效益分析。

审计内容：确认系统软件采购的成本控制；

（4）审计系统软件的安装控制。

审计内容：实施新系统的变更有相应控制；

（5）审计系统软件维护与变更控制

审计内容：维护与变更的有效性。

（6）审计系统软件安全控制。

审计内容：检查确认系统软件安装、参数设置以及相关的逻辑设置是否遵循相应的控制制度。

（7）审计系统文档。

审计重点：安装控制文件、系统参数表、活动日志/报告。

审计目的：确保系统安装正确，与系统兼容，以及发生事件的及时响应与恢复。

（8）审计系统授权文档

审计内容：对系统访问授权的增加、删除或修改是否进行了记录，是否保存试图越权情形的处理报告的记录。

（9）审计系统软件实施控制

审计内容：变更程序计划、授权程序、访问安全控制、文档规范化控制、系统测试控制、对生产环境的访问控制以及相应的审计轨迹。

（10）审计数据库控制

审计目标：通过对数据库的操作过程、数据的保存方式以及数据库的备份和恢复的检查，确信信息系统从技术上能够保证数据库的安全性和完整性。

审计内容涉及：数据库设计、访问、管理、界面（接口）、便利性。

审计数据库设计：审计内容：了解使用的数据库类型，同时使用图表详细描述业务规则，最后，检验实体关系模型是否与数据库物理模式相一致。

审计数据库访问：审计内容：对数据库、存储程序和触发器的访问控制是否适当，索引的使用是否最大限度地减少访问时间，不是基于索引的开放式访问存在的理由，等。

审计数据库管理：审计内容：明确确定所有用户的安全级别和角色，所有用户或用户组的访问权限被适当复核，存在备份和灾难恢复机制确保数据库的可靠性和可用性，存在并发访问控制机制和程序确保处理过程的一致性和完整性。

审计数据库界面（接口）：审计内容：检查数据库与其他系统的信息传输是否被适当控制，以确保信息的保密性、可靠性及完整性。

（11）审计数据库管理系统控制

审计内容：对共享数据库的访问控制是否适当，系统数据组织是否适当，是否有充分的变更程序来保证数据库管理软件的正确性，数据字典的完整性是否得到维护，数据冗余维持在最小，且均已在数据字典或其他文档中进行了适当的交叉引用。

第四节系统访问控制及审计

Internet内部局域网Hacker

VirusFabrication、Sniffer、Modification、etc内部行为外部行为一般企业信息系统网络组成：

由此：为确保信息系统避免遭受未经授权使用、篡改、蓄意或意外毁损，需对系统访问实施控制审计。

系统访问控制：通过某种途径允许或限制对网络资源（软件和硬件）和数据（存储的和通信的）的访问能力及范围。

访问控制目的：防止非法访问，防止破坏系统、程序、数据，保障系统安全、可靠的运行。

访问控制目标主要有：（1）防止非法主体进入受保护的网络资源；

（2）允许合法用户进入受保护的网络资源；

（3）防止合法用户对受保护的网络资源的非授权访问。

系统访问方式可分为：逻辑方式：指用户通过软件方式对系统的访问。

物理方式：指用户通过物理接触等方式对系统的访问。

如何实施访问控制？涉及：系统访问方式

因此，系统访问控制方式涉及：

逻辑访问控制、物理访问控制

逻辑访问控制：是指通过一定的技术方法去控制用户在逻辑访问方式下可以利用什么样的系统资源（程序、信息与数据等）。

控制形式：内置在操作系统中，通过访问控制软件，及内置在应用系统、数据库系统和网络控制设施等中。

物理访问控制：是指通过限制人员进出敏感物理区域（如机房设备区、存储介质区、数据中心、办公区等）实施访问控制。

控制措施：如胸牌、内存卡、门锁、从地板到天花板的防护墙、生物测定设备等。

具体来说，对计算机信息物理访问与逻辑访问控制，涉及：一、访问权限控制

1、访问权限控制原则。

控制原则：最小授权原则和职责分离原则。（在“知所必需”的基础上）

2、用户访问能力管理。

管理者：安全管理员

控制方式：按照一系列既定规则，通过调用适当的系统访问控制机制，授权特定用户可以访问和使用受保护的资源。

如：定义用户（或用户组）以什么样的级别（读、更新、仅执行等）访问资源。

二、逻辑访问控制

常用的系统逻辑访问路径有：网络连接、远程访问

不充分的逻辑访问控制会增加暴露风险的潜在损害。

暴露风险包括：技术性暴露风险、计算机犯罪。

技术性暴露风险：是指对网络、操作系统、数据库及应用系统四个层面的数据、软件进行非授权操作（如创建、阅读、修改、删除等）。

技术性暴露风险包括：木马、逻辑炸弹、后门、病毒与蠕虫、异步攻击、数据泄露以及拒绝服务攻击等。

计算机犯罪：是指运用计算机技能、技术和知识所进行的触犯现行法律的活动的总称。

计算机犯罪包括：窃取数据和信息；传播有害信息；破坏或非法修改数据或程序；非法插入病毒程序，使系统崩溃或瘫痪，导致信息消失或数据丢失；实施贪污、盗窃、诈骗和金融犯罪活动等。

如何防范逻辑访问风险？为此，需采取以下逻辑访问控制及技术措施：

1、身份识别与验证是实现计算机安全的重要基础，是多数系统的第一道防线。

身份识别与验证技术可以分为三类：（1）“只有你知道的事情”，如账号与口令；

（2）“只有你拥有的东西”，如身份证、令牌卡；

（3）“只有你具有的特征”，如指纹、声音等。

上述三种技术可以单独使用，也可以结合起来使用。

账号与口令：登录账号用于识别用户，口令也叫密码，用于用户身份的鉴定。

控制注意点：

A、登录账号有一段时间不用，系统应自动锁定或由系统管理员锁定，以防盗用；

B、口令应当以加密形式存放并定期更换；

C、口令应符合一定的规则，一般要求采用字母与数字混合，长度不低于8位，不使用常见的单词等。

令牌设备：或一次性口令设备是一种双因素的身份验证技术，如智能卡、网上银行和办公系统广泛采用的USB接口的电子令牌设备。

生物测定与行为测定技术：是目前最有效的用户身份识别方法，例如指纹、虹膜、语音等。

2、逻辑访问授权通过授权控制赋予用户对系统逻辑访问的能力，进而决定可访问的资源。

授权原则：最小授权原则

授权方式：访问授权表（也称为访问控制列表）。

访问控制列表参见下图：

资源包括：数据、应用系统（测试阶段软件、生产现场软件）、Web应用、域名服务器、网络路由器与交换机中的操作系统、系统公用工具设施、通讯线路、资源库/目录、口令、磁盘磁带文件、系统软件、访问控制软件、系统程序库、日志文件、绕过标签处理特征、系统后门、拨号线路、数据字典/目录、打印队列等。

访问控制列表一般包括以下内容:

（1）定义对特定的系统资源具有访问许可的用户（包括组、计算机、过程）；

（2）访问许可的类型。

3、远程访问控制互联网环境下远程访问连接的安全、可靠有赖于对远程访问的控制。

控制点：（1）在公共网上传输时的安全控制

可通过VPN（虚拟专用网）的方式来保护数据传输；

（2）使用个人数字助理（PDA）远程访问控制

建立与其中存储信息的安全级别一致的保护措施；建立安全政策与程序；教育用户了解并承担因业务目的而使用PDA的责任。

4、便携式存储设备控制

为防止利用便携式存储设备（硬盘、闪存等）成为访问系统滥用组织敏感数据和程序的工具，因此需要制定政策或采取技术控制措施。

常用控制措施：

（1）禁止所有可移动设备的使用；

（2）通过用户登录脚本设置禁止使用USB端口（除非经特别授权）；

（3）如有必要，对所有可能被拷贝的数据进行加密。

物理访问风险包括：未经授权进人信息处理场所，毁损、破坏或窃取设备、财产或文件，拷贝或偷看敏感的或有著作权的信息，对敏感性设备及信息的变更，敏感信息的泄露，滥用数据处理资源，勒索以及盗用，等。

物理访问风险的危害：可能使企业的业务资源面临非授权访问和丧失可用性，可能引起组织的财务损失、法律诉讼、信誉受损或丧失竞争优势。三、物理访问控制

1、物理访问风险？

（2）其他可能的犯罪人员：如离职员工、有利害关系的外来者（如竞争者、小偷、犯罪集团），由于偶然疏忽造成损失者，无意间犯下罪行者，等。

2、物理访问控制控制范围包括：信息系统相关处理场所和设施，整个组织范围内、办公场所边界处、外部机构、租赁出租场所等所有可能出现物理访问风险的地方。

可能的犯罪者：（1）来自内部员工授权或非授权的访问，如对组织、社会不满的员工；

3、物理访问控制措施：（1）管理措施：通过授权实施访问控制；

（2）技术措施：设置门禁系统和门卫；门锁（组合门锁或电子门锁、生物特征锁等）；摄像监控；出入陪同；访问日志登记；自动报警系统；重要设备使用电磁屏蔽等。

三、访问控制的审计

对访问控制的审计，涉及：

1、对用户权限控制的审计

（1）审查是否对不同的职责分配权限；

（2）审查是否建立了访问控制制度加强权限控制；

（3）审查有无通过操作流程、监督和检查控制个人行为的措施。

2、对逻辑访问控制的审计审计步骤：

（1）获得对组织信息安全风险的整体了解；

包括：技术、管理、环境，以及路径。

方法：审核相关文档、询问、现场观察、风险评估等。

（2）审核系统软硬件的安全功能和识别系统中存在的缺陷，记录和评价系统中已有的针对各种潜在访问路径的控制是否充分和有效；

（3）利用恰当的审计技术，对访问路径的各种控制进行测试，以判断它们是否正常起作用；

（4）分析测试结果和其他审计证据，评价访问控制环境，判断其是否达到了控制目标；

（5）审核书面政策、现场观察、对比其他组织安全标准与实践等方法，评价安全环境充分性。

3、对物理访问控制的审计对物理访问控制的审计，涉及：（1）通过现场查看以获得对信息处理环境的全面了解，以及了解对物理访问限制措施（对员工、参观者、黑客和厂商等）的机会；

查看对象主要包括：信息处理设施（计算机机房、系统开发区、磁带库、打印机位置和管理办公室等）和异地存储设施；

（2）审核文件书面数据辅助测试；如：钥匙取用记录、出入登记记录等。