AIS- 13th Marshall B.Romney & Paul John Company Steinbart : chapter 8,9,10 LOGO Kiểm soát hệ thống thông tin kế toán Nguyễn Bích Liên Mục tiêu Kiểm soát hệ thống thông tin kế toán Hiểu các thủ tục kiểm soát cần thiết để đảm bảo an ninh cho hệ thống thông tin Hiểu các thủ tục kiểm soát cần thiết để đảm bảo bảo mật thông tin nhạy cảm của DN Bảo vệ tính riêng tư thông tin cá nhân của các bên có lợi ích liên quan Hiểu các thủ tục kiểm soát cần thiết để đảm bảo tính toàn vẹn của hệ thống Các thủ tục kiểm soát cần thiết để đảm bảo tính sẵn sàng, liên tục của hệ thống 2 Nguyễn Bích Liên Nội dung Kiểm soát hệ thống thông tin kế toán Kiểm soát an ninh hệ thống Kiểm soát bảo mật thông tin Kiểm soát quyền riêng tư Kiểm soát tính toàn vẹn Kiểm soát tính khả dụng của hệ thống 3 Nguyễn Bích Liên Thuật ngữ Kiểm soát hệ thống thông tin kế toán STT Thuật ngữ Trang Diễn giải 1 Access control matrix 237 Ma trận kiểm soát truy cập 2 Authentication 235 Xác thực 3 Backup 294 Sao lưu 4 Batch totals 289 Tổng lô 5 Business continuity plan 297 Kế hoạch tiếp tục kinh doanh 6 Change control and 246 Kiểm soát thay đổi và quản lý việc thay change management đổi 7 Check digit 288 Số kiểm tra 8 Check digit verification 288 Xác nhận số kiểm tra 9 Checksum 291 Kỹ thuật kiểm tra độ chính xác của dữ liệu truyền tải thông qua thuật toán băm của tập tin 10 Closed-loop verification 289 Kiểm tra vòng lặp kín Thuật ngữ Kiểm soát hệ hống thông tin kế toán Thuật ngữ Tran Diễn giải g 11 Compatibility test 237 Kiểm tra sự tương thích giữa các kiểm soát xác nhận và ma trận kiểm soát truy cập 12 Completeness check (or 288 Kiểm tra tính đầy đủ test) 13 Concurrent update controls 290 Kiểm tra cập nhật đồng thời 14 Cookies 267 Cookies 15 Cross-footing balance test Kiểm tra chéo số dư 16 Data loss prevention (DLP) 263 Phần mềm ngăn ngừa việc mất dữ liệu 17 Data masking 265 Chương trình làm thay đổi giá trị thực của dữ liệu 18 Defense-in-depth 231 Nguyên tắc an ninh phòng thủ sâu 19 Differential backup 296 Sao lưu lũy tiến 20 Digital watermark 263 Mã đánh dấu 5 Nguyễn Bích Liên Thuật ngữ Kiểm soát hệ hống thông tin kế toán Thuật ngữ Trang Diễn giải 21 Disaster recovery plan (DRP) 296 Kế hoạch phục hồi sau thảm họa 22 Encryption 269 Mã hóa 23 Fault tolerance 293 Dung sai/ sức chịu đựng lỗi hệ thống 24 Field check 288 Kiểm tra kiểu dữ liệu 25 Financial total 289 Tổng tài chính 26 Hash total 289 Tổng hash 27 Incremental backup 295 Sao lưu từng phần 28 Information rights 262 Phần mềm quản trị quyền thông tin management (IRM) 29 Intrusion detection system 248 Hệ thống phát hiện thâm nhập (IDS) 30 Limit check 288 Kiểm tra giới hạn 6 Nguyễn Bích Liên Thuật ngữ Kiểm soát hệ hống thông tin kế toán STT Thuật ngữ Trang Diễn giải 31 Log analysis 247 Phân tích nhật ký 32 Multifactor authentication 235 33 Multimodal 235 authentication 34 Parity bit 291 Một bit được thêm vào dữ liệu truyền tải nhằm kiểm tra sự chính xác 35 Parity checking 291 Kiểm soát sự chính xác thông tin qua kỹ thuật parity 36 Penetration test 248 Kiểm tra sự xâm nhập/kiểm tra bảo mật 37 Prompting 289 Nhắc nhập liệu 38 Range check 288 Kiểm tra giới hạn 39 Reasonableness test 288 Kiểm tra hợp lý 40 Record count 289 Đếm mẫu tin 7 Nguyễn Bích Liên Thuật ngữ Kiểm soát hệ hống thông tin kế toán STT Thuật ngữ Trang Diễn giải 41 Recovery point objective 295 Mốc phục hồi dữ liệu 42 Recovery time objective 295 Mốc thời gian phục hồi 43 Sequence check 289 Kiểm tra tuần tự 44 Sign check 288 Kiểm tra dấu 45 Size check 288 Kiểm tra dung lượng 46 Time-based model of 231 Nguyên tắc an ninh dựa trên thời gian security 47 Turnaround document 288 Chứng từ luân chuyển 48 Validity check 288 Kiểm tra hợp lệ 49 Zero-balance test 290 Kiểm tdra số dư bằng 0 8 Nguyễn Bích Liên Kiểm soát hệ thống thông tin Kiểm soát hệ thống thông tin kế toán ❖Mục tiêu ❖Đảm bảo hệ thống thông tin tin kiểm soát cậy và tuân thủ luật, qui định ❖Hoạt động kiểm soát The Trust Services Framework 9 Nguyễn Bích Liên Kiểm soát hệ thống thông tin Kiểm soát hệ thống thông tin kế toán Khuôn mẫu về niềm tin dịch vụ - the trust services framework Hệ thống thông tin đáng tin cậy Bảo mật Bảo vệ Tính toàn Tính khả thông tin quyền vẹn dụng confidentia- riêng tư Processing Availability lity Privacy integrity An ninh/an toàn thông tin : (security) 10 Nguyễn Bích Liên Phần 1. Kiểm soát an ninh/an toàn thông tin Kiểm soát hệ hống thông tin kế toán 1. Chu kỳ an ninh của hệ thống (security life Cycle) 1. Hai nguyên tắc cơ bản để xây dựng kiểm soát an ninh thông tin (Two fundamental information security concept) 1.
Kiểm soát ngăn ngừa (preventive Controls) 1. Kiểm soát phát hiện (detective Controls) 11 Nguyễn Bích Liên 1. Chu kỳ an ninh thông tin Kiểm soát hệ hống thông tin kế toán 1.Đánh giá nguy cơ và lựa chọn phản ứng với rủi ro 4. Phát triển và đánh giá sự hữu truyền thông hiệu chính sách 3.
Đạt được & triển khai giải pháp 12 Nguyễn Bích Liên 1. Hai nguyên tắc cơ bản để xây dựng an ninh thông tin Kiểm soát hệ thống thông tin kế toán ❖An ninh là vấn đề quản lý, không chỉ là vấn đề kỹ thuật ➢ Ngoài các công cụ kỹ thuật 1.Đánh giá nguy cơ thì sự tham gia và hỗ trợ và lựa chọn phản ứng với RR của BQL cấp cao hoàn toàn cần thiết cho sự thành công 4. Phát triển và đánh giá sự hữu truyền thông với an ninh thông tin hiệu chính sách • Nhân viên an ninh thông tin: đánh giá nguy cơ 3. Đạt được & • BQL cấp cao: triển khai giải • Giai đoạn 1: lựa chọn phản ứng RR pháp • Giai đoạn 2: tham gia 1) Xây dựng chính sách an ninh; (2) huấn luyện và truyền thông • Giai đoạn 3.
ủy quyền việc đầu tư các nguồn lực cần thiết • Giai đoạn 4. (1) Xác định lại các mức độ chấp nhận rủi ro (2) có thể Thực hiện thay đổi chính sách an ninh; (3) xem xét các giải pháp mới 13 Nguyễn Bích Liên 1. Hai nguyên tắc cơ bản để xây dựng an ninh thông tin Kiểm soát hệ thống thông tin kế toán ❖Phòng thủ sâu và mô hình an ninh dựa trên thời gian ❖ Phòng thủ sâu (defense in depth) • Sử dụng nhiều bước, nhiều tầng kiểm soát để tránh việc có duy nhất một điểm yếu (vd: tường lửa, mật khẩu, mã bảo mật, và bảo mật sinh trắc học) • Sử dụng kết hợp kiểm soát ngăn ngừa, kiểm soát phát hiện, và kiểm soát bù đắp ❖ Mô hình an ninh dựa trên thời gian (Time-base model of security P > D + C Thời gian để vượt qua Thời gian để phát Thời gian để phản ứng lại với các kiểm soát ngăn hiện một cuộc tấn cuộc tấn công và thực hiện ngừa của DN công kiểm soát sửa sai 14 Nguyễn Bích Liên 1. Kiểm soát ngăn ngừa Kiểm soát hệ hống thông tin kế toán Con người: xây dựng văn hóa nhận biết an ninh (security – conscious culture) và huấn luyện (training) Qui trình: kiểm soát truy cập người dùng (User access controls) Giải pháp IT • KS phần mềm độc hại (malware controls) • KS truy cập mạng truyền thông (network access controls) • KS phần mềm & thiết bị (device and sofware hardening controls) • Mã hóa (Encryption) KS truy cập vật lý (Physical security access controls) KS thay đổi và quản lý thay đổi (Change controls & change management) 15 Nguyễn Bích Liên 1.
Kiểm soát ngăn ngừa Kiểm soát hệ thống thông tin kế toán ❖Con người: • Tạo văn hóa nhận thức an ninh: • Huấn luyện ❖Qui trình : Kiểm soát truy cập của người sử dụng ❖Giải pháp IT : • Kiểm soát chống virus, phần mềm tấn công • Kiểm soát truy cập mạng truyền thông • Kiểm soát thiết bị và phần mềm • Mã hóa dữ liệu/thông tin truyền thông • Kiểm soát truy cập vật lý ❖Kiểm soát và quản lý sự thay đổi 16 Nguyễn Bích Liên 1. Kiểm soát ngăn ngừa Kiểm soát hệ thống thông tin kế toán ❖Con người: • Tạo văn hóa nhận thức an ninh: o BQL truyền thông và là tấm gương tuân thủ chính sách an ninh; o Nhân viên tuân thủ chính sách an ninh • Huấn luyện o Tầm quan trọng của đo lường an ninh thông tin o Tuân thủ các thực hành an toàn máy tính o Các kiểu tấn công giả mạo, đánh lừa người sử dụng o Tần quan trọng của nhận thức an ninh thông tin 17 Nguyễn Bích Liên 1. Kiểm soát ngăn ngừa Kiểm soát hệ thống thông tin kế toán ❖Qui trình : Kiểm soát truy cập người dùng System access permission: (1) Physical system access; (2) Logical system access Có được qua authentication cổng không? controls Áp dụng cho 4 lớp an ninh: (1) Mạng (network); (2) Hệ Được thống hoạt động Platform làm gì (operating system); (3) đây? Database;(4) Application authorization controls 18 Nguyễn Bích Liên 1. Kiểm soát ngăn ngừa Kiểm soát hệ thống thông tin kế toán ❖Qui trình : Kiểm soát truy cập người dùng ➢ Kiểm soát xác thực (authentication controls) • Xác thực là quá trình xác minh danh tính của cá nhân hoặc thiết bị đang cố truy cập vào hệ thống, nhằm đảm bảo chỉ những người dùng hợp pháp mới có thể truy cập vào hệ thống • 3 cách để xác minh danh tính cá nhân, vdu: o Sử dụng mật khẩu, mã PIN o Sử dụng thẻ thông minh hoặc phù hiệu cá nhân o Sử dụng định danh sinh trắc học 19 Nguyễn Bích Liên 1.
Kiểm soát ngăn ngừa Kiểm soát hệ thống thông tin kế toán ❖Qui trình : Kiểm soát truy cập người dùng ➢ Kiểm soát phân quyền (authoriztion controls) • Phân quyền là quá trình hạn chế quyền truy cập của người dùng được xác thực đối với các phần hành cụ thể của hệ thống và hạn chế những thao tác mà họ được phép thực hiện ➢ Cách thực hiện: • Tạo ma trận kiểm soát truy cập (access control matrix) • Kiểm tra tương thích (compatibility test) (tương thích giữa người được xác thực và nhiệm vụ được qui định trên ma trận truy cập) 20 Nguyễn Bích Liên 1. Kiểm soát ngăn ngừa Kiểm soát hệ thống thông tin kế toán ❖Qui trình : Kiểm soát truy cập người dùng ➢ Kiểm soát phân quyền (authoriztion controls) ➢ Câu hỏi: vai trò của người quản lý BP sử dụng và quản lý an ninh (security administration) thế nào trong việc phân quyền và kiểm soát phân quyền ? 21 Nguyễn Bích Liên 1.