Phân Tích và Thiết Kế Hệ Thống Thông Tin Doanh Nghiệp: Kiểm Soát và Trách Nhiệm

Khám phá phần 2 của ebook về phân tích, thiết kế và thực hành hệ thống thông tin doanh nghiệp, cung cấp kiến thức chuyên sâu và ứng dụng thực tiễn.

• Trường học: Trường Đại Học
• Chuyên ngành: Phân Tích và Thiết Kế Hệ Thống Thông Tin Doanh Nghiệp
• Đề tài: Phân Tích và Thiết Kế Hệ Thống Thông Tin Doanh Nghiệp - Phần 2
• Loại tài liệu: bài luận
• Năm xuất bản: 2008
• Địa điểm: Hà Nội

Mục lục chi tiết

• 9. Chapter 9: Information systems: control and responsibility
• 9.1. Feedback control systems
• 9.2. Feedforward control system
• 9.3. Preventive control systems
• 9.3.1. Documentation
• 9.3.2. Procedures manual
• 9.3.3. Separation of functions

Tóm tắt

I. Tổng Quan Về Phân Tích và Thiết Kế Hệ Thống Thông Tin Doanh Nghiệp

Phân tích và thiết kế hệ thống thông tin doanh nghiệp là một quá trình quan trọng giúp tổ chức tối ưu hóa hoạt động và quản lý thông tin hiệu quả. Hệ thống thông tin doanh nghiệp không chỉ đơn thuần là công nghệ mà còn là một phần không thể thiếu trong chiến lược phát triển của doanh nghiệp. Việc hiểu rõ các khái niệm cơ bản và quy trình thiết kế sẽ giúp doanh nghiệp nâng cao khả năng cạnh tranh và đáp ứng nhanh chóng với các thay đổi trong môi trường kinh doanh.

1.1. Khái Niệm Cơ Bản Về Hệ Thống Thông Tin Doanh Nghiệp

Hệ thống thông tin doanh nghiệp bao gồm các phần mềm, phần cứng và quy trình nhằm thu thập, lưu trữ và phân tích dữ liệu. Điều này giúp doanh nghiệp đưa ra quyết định chính xác và kịp thời.

1.2. Vai Trò Của Hệ Thống Thông Tin Trong Doanh Nghiệp

Hệ thống thông tin đóng vai trò quan trọng trong việc quản lý dữ liệu, cải thiện quy trình làm việc và tăng cường khả năng ra quyết định. Nó giúp doanh nghiệp theo dõi hiệu suất và tối ưu hóa hoạt động.

II. Những Thách Thức Trong Phân Tích Hệ Thống Thông Tin Doanh Nghiệp

Trong quá trình phân tích hệ thống thông tin, doanh nghiệp thường gặp phải nhiều thách thức như việc xác định yêu cầu chính xác, quản lý dữ liệu lớn và đảm bảo tính bảo mật thông tin. Những thách thức này có thể ảnh hưởng đến hiệu quả của hệ thống và sự hài lòng của người dùng.

2.1. Xác Định Yêu Cầu Hệ Thống Thông Tin

Việc xác định yêu cầu hệ thống là một bước quan trọng nhưng cũng đầy khó khăn. Doanh nghiệp cần phải thu thập thông tin từ nhiều bên liên quan để đảm bảo rằng hệ thống đáp ứng được nhu cầu thực tế.

2.2. Quản Lý Dữ Liệu Lớn Trong Hệ Thống

Quản lý dữ liệu lớn là một thách thức lớn trong thiết kế hệ thống thông tin. Doanh nghiệp cần có các công cụ và phương pháp hiệu quả để xử lý và phân tích dữ liệu một cách nhanh chóng và chính xác.

III. Phương Pháp Phân Tích Hệ Thống Thông Tin Doanh Nghiệp Hiệu Quả

Để phân tích hệ thống thông tin doanh nghiệp một cách hiệu quả, cần áp dụng các phương pháp như phân tích yêu cầu, mô hình hóa quy trình và kiểm thử hệ thống. Những phương pháp này giúp đảm bảo rằng hệ thống được thiết kế phù hợp với nhu cầu thực tế của doanh nghiệp.

3.1. Phân Tích Yêu Cầu Hệ Thống

Phân tích yêu cầu là bước đầu tiên trong quá trình thiết kế hệ thống. Nó bao gồm việc thu thập và phân tích thông tin từ người dùng và các bên liên quan để xác định các tính năng cần thiết.

3.2. Mô Hình Hóa Quy Trình Kinh Doanh

Mô hình hóa quy trình giúp doanh nghiệp hình dung rõ ràng các bước trong quy trình làm việc. Điều này giúp xác định các điểm cần cải thiện và tối ưu hóa quy trình.

IV. Ứng Dụng Thực Tiễn Của Hệ Thống Thông Tin Doanh Nghiệp

Hệ thống thông tin doanh nghiệp có thể được ứng dụng trong nhiều lĩnh vực khác nhau như quản lý khách hàng, quản lý tài chính và quản lý chuỗi cung ứng. Những ứng dụng này giúp doanh nghiệp nâng cao hiệu quả hoạt động và cải thiện dịch vụ khách hàng.

4.1. Quản Lý Khách Hàng Bằng Hệ Thống Thông Tin

Hệ thống thông tin giúp doanh nghiệp theo dõi và quản lý thông tin khách hàng một cách hiệu quả. Điều này giúp cải thiện mối quan hệ với khách hàng và tăng cường sự hài lòng.

4.2. Quản Lý Tài Chính Với Hệ Thống Thông Tin

Hệ thống thông tin tài chính giúp doanh nghiệp theo dõi chi phí, doanh thu và lợi nhuận. Điều này giúp đưa ra quyết định tài chính chính xác và kịp thời.

V. Kết Luận Về Phân Tích và Thiết Kế Hệ Thống Thông Tin Doanh Nghiệp

Phân tích và thiết kế hệ thống thông tin doanh nghiệp là một quá trình phức tạp nhưng cần thiết để đảm bảo rằng doanh nghiệp hoạt động hiệu quả. Việc áp dụng các phương pháp và công nghệ hiện đại sẽ giúp doanh nghiệp tối ưu hóa quy trình và nâng cao khả năng cạnh tranh.

5.1. Tương Lai Của Hệ Thống Thông Tin Doanh Nghiệp

Tương lai của hệ thống thông tin doanh nghiệp sẽ tiếp tục phát triển với sự xuất hiện của công nghệ mới như trí tuệ nhân tạo và phân tích dữ liệu lớn. Những công nghệ này sẽ giúp doanh nghiệp cải thiện khả năng ra quyết định và tối ưu hóa quy trình.

5.2. Tầm Quan Trọng Của Bảo Mật Thông Tin

Bảo mật thông tin là một yếu tố quan trọng trong thiết kế hệ thống thông tin. Doanh nghiệp cần phải đảm bảo rằng dữ liệu được bảo vệ an toàn trước các mối đe dọa từ bên ngoài.

Nội dung chính

Giáo trình Phân tích và Thiết kế Hệ thống Thông tin Doanh nghiệp

Tổng quan về giáo trình

Giáo trình Phân tích và Thiết kế Hệ thống Thông tin Doanh nghiệp (Business Information Systems: Analysis and Design) là tài liệu học thuật thuộc khối kiến thức chuyên ngành cốt lõi trong chương trình đào tạo bậc đại học và sau đại học của các ngành Hệ thống thông tin quản lý (Management Information Systems - MIS), Khoa học máy tính, Công nghệ thông tin và Quản trị kinh doanh. Giáo trình định vị hệ thống thông tin như một hệ thống kinh tế - xã hội - kỹ thuật (socio-technical system), nơi các thành phần công nghệ phần cứng, phần mềm liên kết chặt chẽ với quy trình vận hành thủ công, cơ cấu nhân sự và khung pháp lý doanh nghiệp.

Mục tiêu học tập (Learning Outcomes) của giáo trình tập trung trang bị cho người học năng lực:

• Mô tả cơ chế kiểm soát của mô hình phản hồi (feedback) và tiền phản hồi (feedforward) trong hệ thống thông tin.
• Đánh giá và thiết lập các biện pháp kiểm soát phòng ngừa (preventive controls) nhằm bảo vệ tính toàn vẹn của dữ liệu và tài sản.
• Xác định và thực thi các biện pháp kiểm soát dòng dữ liệu xuyên suốt các giai đoạn: nhập liệu (input), lưu trữ (storage), xử lý (processing), kết xuất (output) và truyền dẫn thông tin (data transmission).
• Thiết kế cơ chế phân quyền truy cập thông qua ma trận kiểm soát hệ điều hành và hệ quản trị cơ sở dữ liệu.
• Phân tích các trách nhiệm pháp lý, chuẩn mực đạo đức nghề nghiệp và áp dụng các nguyên tắc của luật bảo vệ dữ liệu (Data Protection Legislation) trong thiết kế hệ thống.
• Ứng dụng các phương pháp định lượng và heuristic để phân tích rủi ro và tối ưu hóa chi phí - lợi ích trong kiểm soát hệ thống.

Cấu trúc giáo trình tiếp cận toàn diện từ nguyên lý điều khiển học (cybernetics) đến các biện pháp kỹ thuật chuyên sâu và quản trị tổ chức. Điểm đặc sắc là nguyên tắc xem an toàn và kiểm soát là yếu tố cốt lõi phải được thiết kế đồng thời trong suốt vòng đời phát triển hệ thống, không phải là thành phần bổ sung sau khi hệ thống đã hoàn thiện.

---

Nội dung kiến thức cốt lõi

                             HỆ THỐNG KIỂM SOÁT
Kiểm soát Phản hồi          Kiểm soát Tiền phản hồi      Kiểm soát Phòng ngừa
(Feedback Control)          (Feedforward Control)        (Preventive Controls)
  - Cảm biến (Sensor)         - Dự báo tương lai           - Thiết kế tài liệu
  - So sánh (Comparator)      - Mô hình hóa logic          - Sổ tay quy trình
  - Bộ điều khiển             - Điều chỉnh chủ động        - Tách biệt chức năng
  - Bộ tác động (Effector)                                 - Kiểm soát nhân sự

Các chương/chủ đề chính

Nội dung giáo trình được triển khai theo tiến trình logic từ mô hình hóa tiến trình nghiệp vụ, thiết lập cơ chế kiểm soát, đến thiết kế hệ thống tổng thể và chi tiết:

1. Mô hình hóa và Phân tích Quy trình (Chương 12): Cung cấp công cụ lưu đồ tài liệu (Document Flowcharts) để chuẩn hóa lộ trình luân chuyển chứng từ giữa các bộ phận, làm nền tảng cho việc ngăn ngừa sai sót và gian lận.
2. Hệ thống Kiểm soát và Trách nhiệm trong Hệ thống Thông tin (Chương 9):
   • Mô hình kiểm soát hệ thống: Phân tích ba cơ chế kiểm soát cơ bản gồm phản hồi (feedback), tiền phản hồi (feedforward) và phòng ngừa (preventive).
   • Kiểm soát dòng dịch chuyển dữ liệu: Quy định kiểm soát tại 5 điểm chốt: nhập liệu (kiểm tra định dạng picture AAA/99AAA, kiểm tra giới hạn, tính hợp lý, thuật toán số kiểm tra Modulus-11); tổng kiểm soát (batch control totals, hash totals, record count, sequence checks); ghi vết (error log, transaction log); lưu trữ (vòng đời sao lưu Grandparent-Parent-Child, kỹ thuật dump cơ sở dữ liệu, kiểm soát đồng thời concurrency control); và truyền thông (parity bit, echo check, SSL, S-HTTP).
   • Kiểm soát truy cập và Mật mã học: Phân quyền thông qua ma trận truy cập (access matrix), danh sách kiểm soát truy cập (ACL); nguyên lý mã hóa đối xứng DES (chuẩn 64-bit mở rộng lên 128-bit) và mã hóa bất đối xứng khóa công khai (Public Key Cryptography dựa trên phân tích tích số nguyên tố lớn).
   • Kiểm soát tổ chức và Đạo đức nghề nghiệp: Cơ cấu phân định chức năng phòng IS; bảo hộ quyền sở hữu trí tuệ (Copyright và Patent); 8 nguyên tắc bảo vệ dữ liệu cá nhân theo Đạo luật DPA 1998 (UK) và Chỉ thị 95/46/EC; phân định trách nhiệm pháp lý của nhà cung cấp dịch vụ Internet (ISP).
   • Nhận diện và Đánh giá Rủi ro: Xây dựng ma trận hiểm họa - kiểm soát (Hazard-Control Matrix), mô hình định lượng chi phí - tổn thất kỳ vọng và phương pháp tiếp cận heuristic (checklists, phân tích kịch bản).
3. Thiết kế Hệ thống và Thiết kế Chi tiết (Chương 14 & Chương 15): Tích hợp các module kiểm soát, kiến trúc cơ sở dữ liệu và giao diện bảo mật vào bản đặc tả thiết kế kỹ thuật hoàn chỉnh.

Kiến thức nền tảng được xây dựng

• Lý thuyết Điều khiển học (Cybernetics): Ứng dụng mô hình điều khiển học của Stafford Beer (1994) vào quản trị doanh nghiệp, phân tầng kiểm soát quản lý từ cấp tác nghiệp đến quản trị cấp cao thông qua báo cáo ngoại lệ (exception reporting) và báo cáo tổng hợp (summary reporting).
• Nguyên lý Đánh giá Chi phí - Lợi ích (Cost-Benefit Dimension): Xác lập nguyên tắc một cơ chế kiểm soát chỉ được áp dụng khi chi phí cài đặt và vận hành (kèm xác suất thất bại của kiểm soát) thấp hơn tổn thất kỳ vọng (expected loss) do rủi ro gây ra.
• Toán học và Mật mã ứng dụng: Phương pháp tính số kiểm tra theo modulo 11 để phát hiện lỗi sao chép đơn lẻ (chiếm 86%) và lỗi hoán vị chữ số (chiếm 8%); thuật toán mã hóa khóa công khai dựa trên tính bất khả thi về mặt tính toán khi phân tích thừa số nguyên tố lớn.
• Khung Pháp lý Dữ liệu Cá nhân: Hệ thống hóa 8 nguyên tắc xử lý dữ liệu hợp pháp, minh bạch, đúng mục đích, bảo mật và hạn chế chuyển giao ra ngoài Khu vực Kinh tế Châu Âu (EEA).

Kỹ năng phát triển

• Kỹ năng Kỹ thuật: Thiết kế giao diện nhập liệu đồng bộ với chứng từ gốc; cấu hình thuật toán xác thực; thiết lập ma trận phân quyền cơ sở dữ liệu chi tiết đến cấp trường dữ liệu phụ thuộc giá trị (value-dependent access).
• Kỹ năng Phân tích: Xây dựng ma trận rủi ro hiểm họa - kiểm soát (Hazard-Control Matrix); tính toán tổn thất tài chính kỳ vọng; phân tích phương sai chi phí định mức (standard cost variance analysis).
• Kỹ năng Quản trị & Nghiệp vụ: Xây dựng sổ tay quy trình vận hành (procedures manual); thiết lập đường vết kiểm toán (audit trail); hoạch định kế hoạch ứng phó sự cố và khôi phục sau thảm họa (disaster recovery / contingency plan).

---

Phương pháp giảng dạy và học tập

                                  TIẾP CẬN SƯ PHẠM
Lý thuyết Hệ thống              Nghiên cứu Tình huống           Bài tập Thực hành &
(Cybernetics, Controls)        (Vụ án phần mềm, Sâu Blaster)    Tính toán Định lượng

Phương pháp tiếp cận sư phạm

Giáo trình áp dụng mô hình sư phạm kết hợp giữa kiến thức lý thuyết hệ thống trừu tượng với các bài toán nghiệp vụ kinh doanh thực tế. Mỗi chương đều mở đầu bằng bảng chuẩn đầu ra (Learning Outcomes) định lượng và kết thúc bằng phần tóm lược trọng tâm, câu hỏi thảo luận lý thuyết và bài tập giải quyết vấn đề.

Nghiên cứu tình huống thực tế (Case Studies)

Giáo trình tích hợp hệ thống tình huống thực tế từ các nguồn tin tức kinh tế - kỹ thuật uy tín (như Financial Times, Computing):

• Án lệ Vi phạm Bản quyền Phần mềm tại Đức (Mini Case 9.1): Phân tích vụ đột kích của Cơ quan Cảnh sát Hình sự Liên bang Đức (BKA) triệt phá đường dây làm giả phần mềm Microsoft quy mô 16 triệu Euro, làm rõ ranh giới giữa giấy phép giáo dục và bản thương mại.
• Sự cố Sâu máy tính Blaster (Worm Blaster): Đánh giá lỗ hổng hệ điều hành Windows 2000/XP, cơ chế tự nhân bản, tấn công từ chối dịch vụ (DDoS) và vai trò của quy trình cập nhật bản vá (patch management).
• Ứng dụng Sinh trắc học Hộ chiếu tại Anh: Phân tích quy trình nhận diện khuôn mặt kết hợp gắn chip máy tính và cơ sở dữ liệu Lost, Stolen and Recovered (LSR) của Cơ quan Hộ chiếu Anh (UKPS) qua mạng Omnibase.
• Cơ sở dữ liệu Toàn cầu GRID của Regulatory DataCorp: Tình huống đạo đức và bảo mật thông tin khi 20 định chế tài chính lớn thu thập dữ liệu từ hơn 20,000 nguồn tại 250 khu vực tài phán để kiểm tra lý lịch khách hàng.
• Quy định APIS và Bản ghi Tên Hành khách (PNR): Xung đột pháp lý giữa yêu cầu kiểm soát an ninh hàng không của Hoa Kỳ và các điều khoản bảo vệ quyền riêng tư nghiêm ngặt của Liên minh Châu Âu (EU).

Hệ thống bài tập và lượng giá

• Bài tập định lượng: Tính toán và tạo số kiểm tra tài khoản bằng giải thuật Modulus-11; lập bảng tính toán chi phí kiểm soát tối ưu dựa trên xác suất và tổn thất hiểm họa (theo mô hình Burch & Grudnitski, 1986).
• Bài tập mô hình hóa: Ứng dụng mô hình tiền phản hồi (feedforward) vào bài toán lập kế hoạch dòng tiền (cash flow planning) và quản trị tồn kho; ứng dụng mô hình phản hồi (feedback) trong kiểm soát sản xuất và kiểm soát công nợ.
• Đánh giá năng lực: Đo lường khả năng thiết kế quy trình kiểm soát của sinh viên thông qua các câu hỏi đánh giá hệ thống sổ cái bán hàng (sales ledger) phục vụ hoạt động kiểm toán độc lập.

---

Điểm nổi bật và cập nhật

                     CÁC TRỌNG TÂM HIỆN ĐẠI HÓA HỆ THỐNG
Chuyển dịch Xử lý Dữ liệu      Tiêu chuẩn Mật mã học        Cập nhật Khung Pháp lý
(Batch -> Real-time online)     (DES 128-bit, SSL/S-HTTP)   (DPA 1998, Chỉ thị 95/46/EC)

1. Chuyển dịch từ xử lý theo lô sang thời gian thực: Giáo trình phản ánh rõ nét bước chuyển từ các hệ thống trung tâm xử lý dữ liệu theo lô (batch processing) sang môi trường cơ sở dữ liệu tương tác trực tuyến (online real-time), kéo theo sự thay đổi từ kiểm soát chứng từ giấy sang kiểm soát giao dịch tức thời và kiểm soát đồng thời (concurrency control).
2. Hiện đại hóa các tiêu chuẩn mật mã học: Phân tích sự suy giảm độ an toàn của chuẩn mã hóa DES 64-bit trước sức mạnh tính toán vét cạn ($2^{56}$ khóa), từ đó cập nhật yêu cầu nâng cấp lên độ dài khóa 128-bit ($2^{112}$ khóa) và tích hợp các giao thức bảo mật đường truyền Internet như S-HTTP và SSL.
3. Cập nhật khung pháp lý về quyền dữ liệu cá nhân: Phân tích sự chuyển biến từ Đạo luật Bảo vệ Dữ liệu 1984 sang Đạo luật DPA 1998 của Vương quốc Anh (thực thi Chỉ thị Châu Âu 95/46/EC), mở rộng phạm vi điều chỉnh sang cả dữ liệu thủ công có cấu trúc, hồ sơ y tế, giáo dục và quy định chi tiết quyền của chủ thể dữ liệu (Data Subject).
4. Mở rộng phạm vi kiểm soát phi kỹ thuật: Đặt trọng tâm vào cơ cấu tổ chức phòng hệ thống thông tin, sự phân tách trách nhiệm giữa bộ phận lập trình, vận hành và quản trị cơ sở dữ liệu để triệt tiêu nguy cơ thông đồng gian lận tài chính.

---

Đối tượng sử dụng giáo trình

Đối tượng người học / Nghiên cứu	Yêu cầu kiến thức tiên quyết (Prerequisites)	Mục đích sử dụng chính
Sinh viên Đại học năm 3 - 4 (Ngành Hệ thống thông tin, MIS, Khoa học máy tính)	Kiến thức cơ bản về cơ sở dữ liệu, phân tích thiết kế hướng cấu trúc, mạng máy tính	Hoàn thiện kiến thức phân tích thiết kế hệ thống; thực hành thiết kế giao diện, cơ chế kiểm soát dữ liệu và phân quyền bảo mật.
Học viên Cao học (Ngành Quản lý CNTT, Quản trị kinh doanh)	Kiến thức quản trị học, tổng quan hệ thống thông tin doanh nghiệp, tài chính doanh nghiệp	Nghiên cứu mô hình kiểm soát điều khiển học, hoạch định chính sách an toàn thông tin, phân tích định lượng chi phí - rủi ro dự án.
Sinh viên Kế toán - Kiểm toán (Chuyên ngành Kiểm toán HTTT)	Nguyên lý kế toán, kiểm toán căn bản, tin học đại cương	Hiểu rõ kiến trúc vết kiểm toán (audit trail), các thủ tục kiểm soát chứng từ, kiểm soát chạy ứng dụng phục vụ kiểm toán qua máy tính.
Giảng viên và Chuyên gia (Systems Analysts, IT Auditors)	Kinh nghiệm thực tế về phát triển phần mềm và quản trị hạ tầng IT	Sử dụng làm khung tài liệu chuẩn để biên soạn bài giảng, xây dựng tiêu chuẩn kiểm soát nội bộ và thẩm định quy trình phần mềm.

---

Câu hỏi thường gặp (FAQ)

1. Giáo trình này phù hợp với ai?

Giáo trình được thiết kế chuyên biệt cho sinh viên đại học, học viên cao học thuộc các khối ngành Hệ thống thông tin quản lý, Công nghệ thông tin, Quản trị kinh doanh và Kế toán - Kiểm toán. Ngoài ra, tài liệu phù hợp cho các nhà phân tích hệ thống (Systems Analysts) và kiểm toán viên công nghệ thông tin cần tài liệu tham chiếu về kiểm soát hệ thống.

2. Cần kiến thức nền tảng nào trước khi học?

Người học cần có kiến thức cơ bản về mô hình hóa quy trình kinh doanh, hiểu biết tổng quan về cấu trúc cơ sở dữ liệu quan hệ, nguyên lý hoạt động của mạng máy tính và các khái niệm cơ bản về hạch toán kế toán doanh nghiệp.

3. Điểm khác biệt của giáo trình này so với các tài liệu kỹ thuật phần mềm khác là gì?

Khác với các tài liệu thuần túy về lập trình hoặc kỹ thuật mạng, giáo trình tích hợp sâu lý thuyết điều khiển học (Cybernetics) với quản trị kinh doanh. Kiểm soát và bảo mật không chỉ được giải quyết bằng thuật toán hay phần cứng mà được phối hợp đồng bộ với thiết kế biểu mẫu, sổ tay quy trình, tổ chức nhân sự và khung pháp trị quốc tế.

4. Làm thế nào để tự học giáo trình đạt hiệu quả cao nhất?

Người học nên bám sát danh mục chuẩn đầu ra ở đầu mỗi chương; tự giải quyết các bài toán tính toán cụ thể (như thuật toán Modulus-11, ma trận hiểm họa - kiểm soát); và phân tích các câu hỏi thảo luận gắn với các tình huống án lệ thực tế trong văn bản.

5. Giáo trình liên kết với các chủ đề thiết kế nào khác trong toàn bộ tài liệu?

Chương kiểm soát hệ thống (Chương 9) liên kết trực tiếp với công cụ vẽ lưu đồ tài liệu ở Chương 12 (Phân tích và mô hình hóa quy trình) và cung cấp các tiêu chuẩn kiểm soát bắt buộc phải tích hợp vào Chương 14 (Thiết kế hệ thống) và Chương 15 (Thiết kế chi tiết).

---

Kết luận

Giáo trình Phân tích và Thiết kế Hệ thống Thông tin Doanh nghiệp cung cấp nền tảng học thuật chuẩn mực về nguyên lý kiểm soát, cơ chế bảo vệ dòng dữ liệu và trách nhiệm pháp lý trong hệ thống thông tin. Lộ trình học tập đề xuất bắt đầu từ việc nắm vững lý thuyết điều khiển học và các hình thức kiểm soát (feedback, feedforward, preventive), tiến đến thực hành kỹ thuật kiểm soát luân chuyển dữ liệu và phân quyền ma trận, sau đó phân tích định lượng chi phí - rủi ro và áp dụng các tiêu chuẩn pháp lý trong thiết kế hoàn thiện.

Hệ thống kiến thức trong giáo trình được hoàn thiện với các tài liệu bổ trợ chuyên sâu từ các nghiên cứu kinh điển về điều khiển học của Stafford Beer (1994), phương pháp phân tích rủi ro của Burch & Grudnitski (1986) cùng các văn bản chỉ thị an toàn thông tin quốc tế.

Trích đoạn nội dung tài liệu

qxd 1/31/08 1:29 PM Page 339 Chapter 9 Information systems: control and responsibility Learning outcomes On completion of this chapter, you should be able to: n Describe the controlling effect of feedback and feedforward in an information system n Evaluate the preventive measures necessary to effect control in an information system n Describe controls that can be applied to data in transmission n Evaluate a range of organizational controls that should be considered in the design and operation of an information system n Discuss the rights and responsibilities of individuals, organizations and society in the development, implementation and use of information systems n Apply principles of data protection legislation. Introduction This chapter introduces the general principles behind control and security in systems. These are then applied to computerized information systems. The increasing depend- ence of business on the reliable, complete and accurate processing of data by computers, often without manual checks, indicates that controls must be planned and designed.

This occurs before the development of computer systems and their surrounding manual procedures. Security and control should therefore be considered prior to systems design and certainly feature in the design process itself, not as afterthoughts. The increasing use of computers in the processing and transmission of confidential data and funds has also made computer systems attractive targets for fraud. The need to take steps to guard against this possibility has been a powerful stimulus to an emphasis on security in the process of systems analysis and design.

In the early part of this chapter, the basic concepts of control systems are developed by considering the general ideas behind feedback, feedforward and preventive controls. These are explained and applied to manual business systems. Controls over computer- ized information systems are introduced by identifying the various goals and levels of control that are applicable. Controls over data movement into, through and out of the computer system are covered, together with controls over the transmission of data 339 BIS_C09.qxd 1/31/08 1:29 PM Page 340 Chapter 9 · Information systems: control and responsibility between computers or through the public telecommunications network.

Some of the ways that fraud may be prevented are by restricting access to the computer system or to the data in it, or by scrambling the data prior to storage or transmission so that it is useless to any unauthorized person. The methods of achieving these ends are also explained. Computer systems always lie within and interface with a surrounding manual system. Not only should computer aspects of this combined socio-technical system be the subject of control but also the organizational and personnel elements.

To aid security, it is important that the system be structured in a way that facilitates this. The way that functions are separated as a means of control is developed in later sections of this chapter. The reliability of controls and security procedures operating over a working transaction- and information-processing system can be established by means of an audit. Although auditing is a large area in itself, the overall strategy adopted and the aid given by computer-assisted tools in the auditing of computer-based sys- tems is outlined.

The chapter also considers the relationship between information sys- tems, organizations and individuals. Issues such as crime, privacy and acceptability of behaviour raise questions of responsibility. Who should ensure that certain practices or activities are restrained or even prevented? Is it the duty of an individual, an orga- nization or society as a whole? There may be a collective belief amongst members of a community that there is a social responsibility in resolving a particular problem. In other situations the responsibility may rest on an organization.

In this case the reso- lution may be in corporate governance and how the organization manages its own affairs. Also, the form of action taken may vary greatly. Checks, controls and balances take many forms. They can be imposed by legislation, they can be adopted voluntarily by individuals or organizations or they can just become custom and practice with no for- mal agreement.

Judgments of the courses of actions taken are ethical considerations. Once a framework of policies, rules and legislation is in place, the ethics of actions taken can be considered.