變更控制程序IT審計(jì)培訓(xùn)-IntosaiCommunityPortal課件

IT安全

第8節(jié)系統(tǒng)開發(fā)和維護(hù)IT安全

介紹系統(tǒng)的安全需求應(yīng)用系統(tǒng)的安全加密控制系統(tǒng)文件的安全開發(fā)和支持流程的安全介紹系統(tǒng)的安全需求系統(tǒng)的安全需求在初始系統(tǒng)設(shè)計(jì)時(shí)就考慮系統(tǒng)的安全，比事后將它們整合在一起，要便宜很多倍應(yīng)說(shuō)明系統(tǒng)的需求,包括自動(dòng)控制以及所需的人工控制。系統(tǒng)的安全需求在初始系統(tǒng)設(shè)計(jì)時(shí)就考慮系統(tǒng)的安全，比事后將它們應(yīng)用系統(tǒng)的安全預(yù)防應(yīng)用系統(tǒng)數(shù)據(jù)的損失、篡改和濫用包括輸入、處理和輸出控制在IT控制模塊中有深入討論應(yīng)用系統(tǒng)的安全預(yù)防應(yīng)用系統(tǒng)數(shù)據(jù)的損失、篡改和濫用加密控制保護(hù)信息的機(jī)密性、完整性和可用性。包含以下控制：加密控制的使用政策加密數(shù)字簽名服務(wù)的不可抵賴性密鑰管理見‘第10講–加密控制’加密控制保護(hù)信息的機(jī)密性、完整性和可用性。系統(tǒng)文件的安全為確保系統(tǒng)項(xiàng)目和支持活動(dòng)的安全進(jìn)行密鑰控制是：應(yīng)用軟件的控制系統(tǒng)測(cè)試數(shù)據(jù)的保護(hù)程序源庫(kù)的訪問(wèn)控制系統(tǒng)文件的安全為確保系統(tǒng)項(xiàng)目和支持活動(dòng)的安全進(jìn)行操作軟件的控制生產(chǎn)系統(tǒng)軟件執(zhí)行的控制程序控制包括程序庫(kù)由授權(quán)人員進(jìn)行更新生產(chǎn)系統(tǒng)只有可執(zhí)行代碼在投入運(yùn)行之前，成功測(cè)試可執(zhí)行代碼更新程序的審計(jì)記錄軟件以前版本的保留對(duì)供應(yīng)商軟件的控制操作軟件的控制生產(chǎn)系統(tǒng)軟件執(zhí)行的控制程序系統(tǒng)測(cè)試數(shù)據(jù)的保護(hù)以保護(hù)和控制系統(tǒng)數(shù)據(jù)控制包括:訪問(wèn)控制程序獨(dú)立授權(quán)數(shù)據(jù)庫(kù)隱私的處理測(cè)試后數(shù)據(jù)的刪除測(cè)試的記錄系統(tǒng)測(cè)試數(shù)據(jù)的保護(hù)以保護(hù)和控制系統(tǒng)數(shù)據(jù)程序庫(kù)的訪問(wèn)控制保護(hù)對(duì)程序源庫(kù)的嚴(yán)格控制控制包括:遠(yuǎn)離生產(chǎn)系統(tǒng)任命一名程序管理人員IT支持人員訪問(wèn)的限制在開發(fā)或維護(hù)時(shí)，不保留程序程序庫(kù)的訪問(wèn)控制保護(hù)對(duì)程序源庫(kù)的嚴(yán)格控制程序庫(kù)的訪問(wèn)控制控制包括:更新僅由指定人員進(jìn)行程序列表的安全存放程序庫(kù)訪問(wèn)的審計(jì)記錄獲得源程序的舊版本對(duì)程序源庫(kù)維護(hù)和復(fù)制的變更控制程序庫(kù)的訪問(wèn)控制控制包括:開發(fā)和支持過(guò)程的安全為維護(hù)應(yīng)用系統(tǒng)軟件和信息的安全控制包括：:變更控制程序生產(chǎn)系統(tǒng)變更的控制程序限制對(duì)軟件包的變更對(duì)隱蔽通道和木馬代碼的控制外包軟件的開發(fā)開發(fā)和支持過(guò)程的安全為維護(hù)應(yīng)用系統(tǒng)軟件和信息的安全變更控制程序運(yùn)用正式的變更控制程序，嚴(yán)格控制變更的實(shí)施隱藏控制以確保對(duì)系統(tǒng)配置的所有變更是經(jīng)過(guò)授權(quán)、測(cè)試、記錄、控制，并且有充分的變更審計(jì)軌跡見IT控制模塊的“變更控制程序”變更控制程序運(yùn)用正式的變更控制程序，嚴(yán)格控制變更的實(shí)施生產(chǎn)系統(tǒng)變更的技術(shù)檢查檢查應(yīng)用控制和完整性程序是否進(jìn)行了折衷確保年度計(jì)劃涵蓋對(duì)生產(chǎn)系統(tǒng)變更的測(cè)試及時(shí)通告生產(chǎn)系統(tǒng)的變更確保對(duì)業(yè)務(wù)持續(xù)計(jì)劃的適當(dāng)變更生產(chǎn)系統(tǒng)變更的技術(shù)檢查檢查應(yīng)用控制和完整性程序是否進(jìn)行了折衷軟件變更的嚴(yán)格控制不鼓勵(lì)對(duì)使用的供應(yīng)商軟件包進(jìn)行變更僅對(duì)副本進(jìn)行變更變更之前，檢查是否有內(nèi)部控制的補(bǔ)償是否征得賣方的同意是否能從賣方那里獲得所需的變更對(duì)未來(lái)維護(hù)的影響軟件變更的嚴(yán)格控制不鼓勵(lì)對(duì)使用的供應(yīng)商軟件包進(jìn)行變更隱蔽通道和特洛伊代碼

僅通過(guò)可靠的渠道購(gòu)買軟件源代碼一同購(gòu)買使用經(jīng)評(píng)估的產(chǎn)品使用之前檢查源代碼控制對(duì)代碼修改的過(guò)程使用有信譽(yù)的員工隱蔽通道和特洛伊代碼僅通過(guò)可靠的渠道購(gòu)買軟件外包軟件開發(fā)許可證、代碼所有權(quán)工作質(zhì)量的認(rèn)證僅通過(guò)可靠的渠道購(gòu)買軟件代碼的質(zhì)量特洛伊代碼的測(cè)試外包軟件開發(fā)許可證、代碼所有權(quán)總結(jié)在新系統(tǒng)中植入安全應(yīng)用系統(tǒng)的安全—輸入、處理和輸出控制加密控制–