知识点：信息技术与信息系统相关的风险控制（掌握）
1.信息技术与信息系统相关的风险控制
（1）信息安全控制层面
①预测性。确定可能的问题并提出适当的控制。
②预防性。将发生风险的可能降至最低，例如，防火墙可以防止未经授权的访问。
③侦察性。日志能够保存那些未经授权的访问记录。
④矫正性。对未经授权的访问造成的后果提出修正的方法。
（2）信息技术/信息系统控制类型（重点掌握）
| 类型 | 具体类型 | 描述 |
| 一般控制 | 人员控制 | 涉及人员招募、训练和监督的人员控制。包括部门内部职责的分离和数据处理部门的分离。例如，企业应立即停止已离开公司职员所有的访问权限。 |
| 逻辑访问控制 | 逻辑访问控制对未经授权的访问提供了安全防范。最普遍的安全访问是使用密码，可对密码定义其格式、长度、加密和常规的变化。例如，要求系统用户定期更改密码并要求密码包含至少八位数值，且其中必须包含数字、字母和符号。 | |
| 设备控制 | 包括物理保护及管理。保护是指物理保护，对计算机设备进行物理保护，例如，把它们锁在一间保护室或保护柜中，并使用报警系统，如果计算机从其位置上发生移动，报警系统将被激活。管理是指将新增、报废、流转的设备建档登记，统一管理。 | |
| 业务连续性 | 在系统故障、设备操作系统、程序或数据丢失或毁坏的情况下，业务持续性或灾难恢复计划可从信息系统中恢复关键的业务信息 | |
| 应用控制 | 输入控制 | 输入控制的目的是发现和防止错误的交易数据的录入，其中包括： A.交易前的数据录入，如在发票与收到的货物，文件和采购订单相匹配后，核准供应商的发票。 B.数据输入屏幕的规定格式令使用者不得跳过强制输入字段。 C.输入体系内容的合理检查，如检查给予顾客的折扣是否在允许的限度内。 |
| 过程控制 | 过程控制确提分程的发生按照公司的要求进行，没有被忽略或处理不当的交易发生。最常见的控制是交易记录、分批平衡和总量控制系统 | |
| 输出控制 | 输出控制确保输入和处理活动已经被执行，而且生成的信息可靠并分发给用户。主要的输出控制形式是交易清单和例外报告等 |
| 类型 | 具体类型 | 描述 |
| 软件控制和软件盗版 | 防止制作或安装未经授权的软件拷贝，防止因非法使用造成经济处罚的风险。因此，从有信誉的经销商处购买正版软件是重要的控制方式，可以减小上述风险，并且维护好所有软件的实物存盘是必不可少的。 | |
| 网络控制 | 防火墙 | 它包括相应的硬件和软件，存在于企业内部网和公共网络之间传播。它是一套控制程序，即允许公众访问公司计算机系统的某些部分，同时限制其访问其他部分 |
| 数据加密 | 在传输前被转化成非可读格式，在传输后重新转换回来。这些数据只能被匹配的解密接收器读取 | |
| 授权 | 客户通过身份验证和密码进行注册 | |
| 病毒防护 | 病毒是一种计算机程序，它能够自我复制，并在被感染的计算机之间传播。病毒能够修改、删除文件，甚至删除计算机硬盘驱动中的所有内容。因此，使用病毒检测和防护软件扫描病毒，更改用户和删除病毒有助于避免计算机数据遭到破坏 | |
适当的岗位分工与授权审批为所有的信息系统或信息技术提供支撑，以确保有关控制能提供控制的有效性和力度。
·系统开发和变更过程中不相容岗位（或职责）一般应包括：
开发（或变更）立项、审批、编程、测试。
·系统访问过程中不相容岗位（或职责）一般应包括：
申请、审批、操作、监控。
·一般来说，企业计算机信息系统战略规划、重要信息系统政策等重大事项应当经由董事会（或者由企业章程规定的经理、厂长办公会等类似的决策、治理机构）审批通过后，方可实施。
·财会部门负责信息系统中各项业务账务处理的准确性和及时性、会计电算化制度的制定、财务系统操作规定等。
2.信息技术支持服务（了解）
信息技术部门的规模和结构取决于公司的规模、信息需求和对信息技术的需求程度，以及其信息技术系统是内部供应还是外包。
信息中心执行某些或以下所有职能满足企业的信息系统战略、信息技术战略和信息管理战略。
3.信息技术基础设施库
信息技术基础设施库协助企业调整其信息技术服务。它包括十个流程和一项功能。
·五个服务支持流程和目标包括配置管理、事件管理、变更管理、问题管理、发布管理；
·五个流程侧重于提供服务，包括服务级别管理、可用性管理、能力管理、信息技术服务持续性管理、财务管理。
服务台的功能是对所有十个流程的功能接口提供从客户到信息技术的单点联系。
