1、IT部门信息系统整体控制一、流程概览本流程主要描述了商贸有限公司关于计算机整体环境的相关控制。商贸有限公司的计算机整体环境控制主要包括信息系统规划、信息系统运作、信息安全和信息系统开发和变更管理等流程。 二、不兼容职责表 ABCDEFGHIJKABCDEFGHIJKX：表示相互冲突的职责A：业务用户B：信息系统安全管理C：用户权限管理D：服务器操作系统维护E：数据库管理F：网络维护与安全管理G：系统数据备份管理H：信息系统开发I：系统测试J：用户验收测试K：系统变更上线第一节：信息系统规划1.0 流程综述本流程描述了商贸针对信息系统规划执行的相关控制，确保信息系统的战略、规划和预算与实体业务和2、战略目标保持一致。2.0 相关部门职责描述商贸综合管理部负责承担公司信息化发展战略的规划，具体信息基础架构及系统的建设、运维、信息安全及开发变更的管理职能，具体包括公司信息化建设的整体规划及阶段实施方案的制订，信息化建设项目的可行性分析、立项论证及项目管理，信息系统硬件设备的选型与采购，并对用于信息化建设的资金提出使用意见。3.0 流程101: SGDL-GCC-CA-1014.0 控制矩阵风险编号风险控制目标编号控制目标控制活动编号控制活动手工/系统控制控制活动责任部门/岗位SGDL-GCC-R-101缺乏正式的信息系统建设规划，导致系统建设无法满足业务需要，给业务发展造成瓶颈。SGDL-G3、CC-CO-101信息系统的战略、规划和预算与实体业务和战略目标保持一致。SGDL-GCC-CA-101制定信息化建设长短期计划商贸对信息化建设制定了长期和短期计划，以支持实体的整体业务战略和信息系统要求。公司管理层根据长期及短期计划监督IT基础环境、信息系统等的建设。手工综合管理部/部门领导SGDL-GCC-R-102信息系统规划不合理，可能造成信息孤岛或重复建设，导致企业经营管理效率低下。SGDL-GCC-CO-101信息系统的战略、规划和预算与实体业务和战略目标保持一致。SGDL-GCC-CA-101制定信息化建设长短期计划商贸对信息化建设制定了长期和短期计划，以支持实体的整体业务战略和4、信息系统要求。公司管理层根据长期及短期计划监督IT基础环境、信息系统等的建设。手工综合管理部/部门领导SGDL-GCC-R-102信息系统规划不合理，可能造成信息孤岛或重复建设，导致企业经营管理效率低下。SGDL-GCC-CO-101信息系统的战略、规划和预算与实体业务和战略目标保持一致。SGDL-GCC-CA-102评估IT规划执行情况管理层、综合管理部及相关业务部门定期回顾IT规划的执行情况，并评估信息系统水平与业务实际需求的差距，及时调整更新系统建设规划。手工综合管理部/部门领导SGDL-GCC-R-103管理层未能制定及核准信息系统的战略与长期及短期预算，以支持实体的整体业务战略和信息5、系统要求，导致信息系统建设及运维无法获得足够支持，影响公司战略的实现。SGDL-GCC-CO-101信息系统的战略、规划和预算与实体业务和战略目标保持一致。SGDL-GCC-CA-103建立信息化建设资金审批机制信息化发展规划、IT预算及信息化项目费用等均需经过商贸管理层的批准，信息化建设可以得到有效地资金及其他支持和保障。手工综合管理部/部门领导5.0相关报告/表单1. 信息化发展规划 （待拟）2. 信息化项目预算 （待拟）第二节：信息系统运作1.0 流程综述本流程主要包括运维制度的制定、人员培训、用户支持、信息系统运作环境巡检、批处理任务设置与监控、数据备份管理等。2.0相关部门职责描述商6、贸综合管理部负责公司信息系统运行维护及日常管理制度的制订，并监督各信息系统运维岗位及系统管理人员落实和执行信息系统运作相关内部控制活动。对于非综合管理部直接管理的系统，各业务部门系统运维管理岗位人员须参照综合管理部制定的系统运维标准和规范开展系统日常运维工作。3.0流程图201: SGDL-GCC-CA-201203: SGDL-GCC-CA-203204: SGDL-GCC-CA-204205: SGDL-GCC-CA-2054.0控制矩阵风险编号风险控制目标编号控制目标控制活动编号控制活动手工/系统控制控制活动责任部门/岗位SGDL-GCC-R-201缺乏系统运行维护的管理规范、操作指引，7、难以保证IT人员进行日常运维时有指导规范制度可供遵循，给信息系统的正常运行带来风险。SGDL-GCC-CO-201系统运行维护等工作按照规范的管理程序执行。SGDL-GCC-CA-201制定并发布IT管理制度商贸建立了一系列的IT管理制度、规范等，并以公司文件、公告等形式进行了发布，涵盖系统运行维护、信息安全管理、系统变更、IT项目等方面。手工综合管理部/部门领导SGDL-GCC-R-201缺乏系统运行维护的管理规范、操作指引，难以保证IT人员进行日常运维时有指导规范制度可供遵循，给信息系统的正常运行带来风险。SGDL-GCC-CO-202用户得到有关应用系统使用的适当培训。SGDL-GCC-8、CA-202建立培训管理机制商贸建立了正式的培训管理机制（内/外部培训，外出考察等），对员工的年度培训课时做出了明确安排；每年年初综合管理部收集员工的培训需求，并根据需求制定培训计划；培训过程中，有专人负责出勤考核。另外，各系统管理人员通过各种不固定的方式，为系统用户提供技术支持。手工综合管理部/部门领导SGDL-GCC-R-202未能对计算机处理环境的性能和能力进行监控，并及时报告经管理层复核，信息系统的持续有效的运行无法保证，进而对公司业务经营造成影响。SGDL-GCC-CO-203计算机环境异常会被及时发现和纠正。SGDL-GCC-CA-203机房硬件运行巡检和维护机房值班人员每天对机房9、环境、服务器、网络设备、网络流量等进行巡检，并解决或通知其他系统管理人员及时解决巡检中发现的问题。手工综合管理部/机房值班人员SGDL-GCC-R-202未能对计算机处理环境的性能和能力进行监控，并及时报告经管理层复核，信息系统的持续有效的运行无法保证，进而对公司业务经营造成影响。SGDL-GCC-CO-204用户获得适当的支持以确保应用系统的功能依照其预定的目标运行。SGDL-GCC-CA-204建立完善的IT服务台机制商贸建立了完善的IT服务台机制(helpdesk)，在公司内部设立了用户支持专线负责解答用户的各种问题，同时在OA系统上服务指南已经列示。手工综合管理部/IT服务台SGDL-10、GCC-R-202未能对计算机处理环境的性能和能力进行监控，并及时报告经管理层复核，信息系统的持续有效的运行无法保证，进而对公司业务经营造成影响。SGDL-GCC-CO-205计算机处理环境得到具有适当技能和经验的人员的充分支持及保证。SGDL-GCC-CA-205信息安全事件汇总报告IT服务台会记录每一次的问题事件处理经过，并对问题的类型趋势等进行统计。手工综合管理部/IT服务台SGDL-GCC-R-203系统运行维护和安全措施不到位，可能导致信息泄漏或毁损，系统无法正常运行。SGDL-GCC-CO-206实施和管理物理访问限制，以确保仅有经适当的授权人员可以访问和使用信息资源。SGDL-G11、CC-CA-206机房物理访问控制商贸计算机设备被存放在临潼厂区的计算机房内，机房安装了物理门锁，且只有机房管理人员拥有机房大门钥匙。机房大门日常处于上锁状态。手工综合管理部/机房管理员SGDL-GCC-R-203系统运行维护和安全措施不到位，可能导致信息泄漏或毁损，系统无法正常运行。SGDL-GCC-CO-206实施和管理物理访问限制，以确保仅有经适当的授权人员可以访问和使用信息资源。SGDL-GCC-CA-207机房外来人员访问管理外来人员进入机房必须获得机房管理员的同意，并由机房管理人员全程陪同。在进入时要登记来访事由、访客姓名等信息，离开时要登记离开时间等信息。手工综合管理部/机房管理12、员SGDL-GCC-R-204缺乏专业的IT管理职能部门，导致企业信息系统没有归口管理部门，系统管理职权混乱，信息系统资源滥用或浪费。SGDL-GCC-CO-207计算机处理环境的服务水平达到或超过管理当局的期望。SGDL-GCC-CA-208建立完善的信息系统规划管理机制商贸信息系统的规划、运维、安全、变更等由综合管理部统一管理。对于只有单一部门使用的专业系统（如用友财务系统等）由业务部门自行管理，综合管理部对其进行指导和监督。手工综合管理部业务部门/系统管理员SGDL-GCC-R-204缺乏专业的IT管理职能部门，导致企业信息系统没有归口管理部门，系统管理职权混乱，信息系统资源滥用或浪费。13、SGDL-GCC-CO-205计算机处理环境得到具有适当技能和经验的人员的充分支持及保证。SGDL-GCC-CA-209明确信息系统岗位职责商贸对各信息系统的管理和维护人员有明确详细的岗位职责及技术能力、经验要求。手工综合管理部/部门领导SGDL-GCC-R-205系统内的在线及批处理任务配置不合理，或任务执行不成功或未及时完成，导致业务数据和财务数据的准备完整难以保证。SGDL-GCC-CO-208所有进行批处理和在线作业及产生报表之生产程序均能及时运行并正常完成。SGDL-GCC-CA-210系统后台任务执行监控机制系统管理人员每日检查系统内的批处理及在线任务的执行情况，对于出现异常的系统14、任务要重新手工执行，并对检查和问题解决情况进行记录。手工综合管理部业务部门/系统管理员SGDL-GCC-R-205系统内的在线及批处理任务配置不合理，或任务执行不成功或未及时完成，导致业务数据和财务数据的准备完整难以保证。SGDL-GCC-CO-209仅经过授权的后台任务可以被执行。SGDL-GCC-CA-211系统后台任务设置审核机制商贸建立了系统后台任务创建及修改管理流程，只有经过业务部门或系统管理部门批准，才可创建或修改后台任务。商贸严格限制后台任务的维护管理权限，只有系统管理员可以访问和维护后台处理任务。手工综合管理部业务部门/系统管理员SGDL-GCC-R-206公司未与信息系统服务15、商签订了正式的服务合同，导致公司信息系统无法获得足够的技术支持及服务，影响信息系统的可靠性。SGDL-GCC-CO-210外包供应商的选择符合管理当局的意愿。SGDL-GCC-CA-212与服务商签订维护服务协议商贸各信息系统服务商均签订了正式的维护服务协议，协议中规定了服务内容及服务水平。手工综合管理部业务部门/部门领导SGDL-GCC-R-206公司未与信息系统服务商签订了正式的服务合同，导致公司信息系统无法获得足够的技术支持及服务，影响信息系统的可靠性。SGDL-GCC-CO-211外包供应商的服务水平达到或超过管理当局的期望。SGDL-GCC-CA-213服务水平评审机制商贸通过各种渠16、道（正式数据统计、业务部门人员非正式访谈沟通等）检查信息系统服务商提供的服务是否满足业务的需要，达到双方服务合同规定的服务水平。手工综合管理部业务部门/系统管理员SGDL-GCC-R-207信息系统数据缺乏有效的备份机制，包括备份策略、自动备份工具使用、备份任务运行监控等，在紧急状态下，系统数据无法及时获取导致系统服务中断。SGDL-GCC-CO-212依照法律,法规或公司政策保存数据,以便必要时可随时取得。SGDL-GCC-CA-214制定完善的备份策略商贸制定了信息系统数据备份策略，根据各业务需要对系统数据进行备份。系统综合管理部业务部门/系统管理员SGDL-GCC-R-207信息系统数据17、缺乏有效的备份机制，包括备份策略、自动备份工具使用、备份任务运行监控等，在紧急状态下，系统数据无法及时获取导致系统服务中断。SGDL-GCC-CO-212依照法律,法规或公司政策保存数据,以便必要时可随时取得。SGDL-GCC-CA-215监控备份执行情况备份管理人员根据实际需要，通过系统自动备份任务计划或者手工运行备份任务，对信息系统的数据进行备份。对于才用自动备份任务方式进行备份的，备份管理人员定期检查备份任务的运行情况，出现异常时重新执行备份。系统综合管理部业务部门/系统管理员SGDL-GCC-R-207信息系统数据缺乏有效的备份机制，包括备份策略、自动备份工具使用、备份任务运行监控等，18、在紧急状态下，系统数据无法及时获取导致系统服务中断。SGDL-GCC-CO-212依照法律,法规或公司政策保存数据,以便必要时可随时取得。SGDL-GCC-CA-216执行备份数据恢复测试备份管理员定期执行备份数据恢复测试，确认备份数据的完整性及可用性。手工综合管理部业务部门/系统管理员SGDL-GCC-R-208信息系统备份介质没有储存在安全的环境内，导致介质丢失、损坏等风险。SGDL-GCC-CO-212依照法律,法规或公司政策保存数据,以便必要时可随时取得。SGDL-GCC-CA-217备份介质存放的物理安全所有备份介质都存放在安全的、有物理环境防护的地点。手工综合管理部业务部门/系统管19、理员SGDL-GCC-R-208信息系统备份介质没有储存在安全的环境内，导致介质丢失、损坏等风险。SGDL-GCC-CO-212依照法律,法规或公司政策保存数据,以便必要时可随时取得。SGDL-GCC-CA-218建立异地备份机制商贸对数据进行异地备份存档(archived off-site)以便最大限度减少数据丢失的可能性。手工综合管理部业务部门/系统管理员SGDL-GCC-R-209缺乏有效的灾难恢复管理办法，在紧急情况下系统无法在可接受的时间内恢复。SGDL-GCC-CO-213在发生灾难事故时，核心的业务处理和信息系统可得到及时恢复。SGDL-GCC-CA-219建立灾难恢复机制商贸建20、立了符合业务实际需要和当前信息系统特点的灾难恢复管理办法，并定期进行测试和演练。手工综合管理部业务部门/部门领导5.0相关制度制度名称生效日期计算机设备管理办法待拟管理信息资源共享平台运行维护管理办法待拟商贸中心机房管理制度v1.0 待拟6.0相关报告/表单1. 信息安全事件记录2. 信息安全事件汇总报告3. 机房巡检表4. 商贸中心机房出入登记表5. 系统服务商服务水平协议6. 信息系统备份情况记录表7. 备份数据恢复测试计划8. 备份数据恢复测试报告9. 信息系统灾难恢复计划10. 信息系统灾难恢复测试报告第三节：信息安全1.0 流程综述本流程涉及信息系统的安全管理，包含公司信息安全策略的21、制定与执行、系统访问权限管理、密码安全、网络与加密管理、日志安全、防病毒管理、敏感区域物理安全等。2.0 相关部门职责描述综合管理部负责制定商贸整体信息安全策略，并为信息系统的安全配置及具体管理流程提供指导意见。各系统的管理员（综合管理部及业务部门）按照信息安全策略配置系统安全参数，开展日常用户权限管理、运行维护、物理安全管理等工作。综合管理部负责技术内网及办公网络的分离管理。3.0 风险控制矩阵风险编号风险控制目标编号控制目标控制活动编号控制活动手工/系统控制控制活动责任部门/岗位SGDL-GCC-R-301系统运行维护和安全监控措施不到位，可能导致信息系统运行效率低下，信息安全问题或系统故22、障未被及时发现和纠正。SGDL-GCC-CO-301系统故障及安全事件被及时发现并解决。SGDL-GCC-CA-203机房硬件运行巡检和维护机房值班人员每天对机房环境、服务器、网络设备、网络流量等进行巡检，并解决或通知其他系统管理人员及时解决巡检中发现的问题。手工综合管理部/机房值班人员SGDL-GCC-R-301系统运行维护和安全监控措施不到位，可能导致信息系统运行效率低下，信息安全问题或系统故障未被及时发现和纠正。SGDL-GCC-CO-301系统故障及安全事件被及时发现并解决。SGDL-GCC-CA-204建立完善的IT服务台机制商贸建立了完善的IT服务台机制(helpdesk)，在公司23、内部设立了用户支持专线负责解答用户的各种问题，同时在OA系统上服务指南已经列示。手工综合管理部/IT服务台SGDL-GCC-R-302缺乏正式的IT安全管理制度，其中包含用户授权管理，特殊账号管理，密码安全管理，防病毒管理，IT设备安全防护等，导致IT管理标准不一，系统权限混乱，密码设置脆弱等问题，影响信息系统的安全性及可靠性。SGDL-GCC-CO-302实施及配置逻辑安全管理工具和技术来限制对程序,数据及其他信息资源的访问。SGDL-GCC-CA-301制定正式的信息安全政策商贸制定了正式的信息安全政策（制度、规范等）为信息安全的总体方向及执行提供指引。同时，安全管理制度作为公司文件或正式24、通知进行了发布，确保所有相关人员均可获取和了解公司的信息安全管理要求。手工综合管理部/部门领导SGDL-GCC-R-303系统内的特权账号未得到有效管理，被授予了不适当的人员，导致系统正常运行参数及系统内数据面临非法修改的风险。SGDL-GCC-CO-302实施及配置逻辑安全管理工具和技术来限制对程序,数据及其他信息资源的访问。SGDL-GCC-CA-302特权帐号管理商贸各信息系统的系统管理员或其他特权账号（应用层、服务器操作系统、数据库、及网络等）均被限制给适当的系统管理人员。手工综合管理部业务部门/系统管理员SGDL-GCC-R-304信息系统账号授权缺乏正式的流程，导致用户授权与实际职25、责不符，用户对系统内的数据进行非法操作等，影响财务及业务数据的安全。SGDL-GCC-CO-302实施及配置逻辑安全管理工具和技术来限制对程序,数据及其他信息资源的访问。SGDL-GCC-CA-303系统帐号唯一性原则各信息系统中为需要使用系统的人员创建了唯一账号（User ID），商贸严格禁止多人共用一个系统账号进行操作。系统综合管理部业务部门/系统管理员SGDL-GCC-R-304信息系统账号授权缺乏正式的流程，导致用户授权与实际职责不符，用户对系统内的数据进行非法操作等，影响财务及业务数据的安全。SGDL-GCC-CO-303逻辑安全管理工具和技术得到适当管理，以限制对程序、数据和其他信26、息资源的访问。SGDL-GCC-CA-304系统权限申请审核机制商贸建立了正式的信息系统账号权限管理制度和流程。用户申请账号必须通过书面、OA系统表单完成，注明需要的权限及使用者部门、岗位、姓名、工号等重要信息，经部门领导批准后，由系统管理员为其创建账号。手工综合管理部业务部门/系统管理员SGDL-GCC-R-304信息系统账号授权缺乏正式的流程，导致用户授权与实际职责不符，用户对系统内的数据进行非法操作等，影响财务及业务数据的安全。SGDL-GCC-CO-303逻辑安全管理工具和技术得到适当管理，以限制对程序、数据和其他信息资源的访问。SGDL-GCC-CA-305系统权限变更注销管理当员工27、离职或转岗时，人力资源或业务部门须及时通知系统管理人员移除用户的所有系统访问权限，以确保信息系统的安全。手工综合管理部业务部门人力资源部/系统管理员SGDL-GCC-R-304信息系统账号授权缺乏正式的流程，导致用户授权与实际职责不符，用户对系统内的数据进行非法操作等，影响财务及业务数据的安全。SGDL-GCC-CO-303逻辑安全管理工具和技术得到适当管理，以限制对程序、数据和其他信息资源的访问。SGDL-GCC-CA-306系统权限定期复核机制系统管理员定期与用户部门确认系统内的用户及权限分配情况是否与最新的工作岗位职责一致，对在复核中发现的问题要及时纠正。手工综合管理部各业务部门/部门领28、导系统管理员SGDL-GCC-R-304信息系统账号授权缺乏正式的流程，导致用户授权与实际职责不符，用户对系统内的数据进行非法操作等，影响财务及业务数据的安全。SGDL-GCC-CO-302实施及配置逻辑安全管理工具和技术来限制对程序,数据及其他信息资源的访问。SGDL-GCC-CA-307系统帐号实名制管理商贸禁止使用系统管理员等非实名制账号进行业务操作，避免出现由于误操作或其他原因导致系统数据被修改，并保证用户系统行为的可辨识性。系统综合管理部业务部门/系统管理员SGDL-GCC-R-305公司没有配置了防火墙、路由器等网络设备，或网络设备的访问记录未得到有效监控，导致公司内网及服务器设备29、面临外部攻击的风险。SGDL-GCC-CO-302实施及配置逻辑安全管理工具和技术来限制对程序,数据及其他信息资源的访问。SGDL-GCC-CA-308网络安全管理商贸在重要的网络接口及网络区域之间设置了防火墙，并配置了适当的安全策略，从网络层面保护信息系统及数据的安全。系统综合管理部/网络管理员SGDL-GCC-R-305公司没有配置了防火墙、路由器等网络设备，或网络设备的访问记录未得到有效监控，导致公司内网及服务器设备面临外部攻击的风险。SGDL-GCC-CO-302实施及配置逻辑安全管理工具和技术来限制对程序,数据及其他信息资源的访问。SGDL-GCC-CA-309涉密网络物理隔离机制商30、贸技术网与办公网在物理层面进行了隔离，以控制涉密资料的安全性和机密性。系统综合管理部/网络管理员SGDL-GCC-R-306用户在系统中的重要、敏感操作缺乏日志记录，不适当的用户操作或系统入侵难以被及时发现，系统面临非法访问的风险。SGDL-GCC-CO-303逻辑安全管理工具和技术得到适当管理，以限制对程序、数据和其他信息资源的访问。SGDL-GCC-CA-310系统审计功能设置应用系统、数据库和操作系统中的账号审计功能均被开启，系统管理员定期检查并复核用户访问日志，及时发现异常或不适当的登录和系统操作。系统综合管理部业务部门/系统管理员SGDL-GCC-R-307IT设备缺乏有效的物理环境31、保护和访问控制，系统面临各种物理灾害和非法接触的风险。SGDL-GCC-CO-302实施和管理物理访问限制，以确保仅有经适当的授权人员可以访问和使用信息资源。SGDL-GCC-CA-206机房物理访问控制商贸计算机设备被存放在临潼厂区的计算机房内，机房安装了物理门锁，且只有机房管理人员拥有机房大门钥匙。机房大门日常处于上锁状态。手工综合管理部/机房管理员SGDL-GCC-R-307IT设备缺乏有效的物理环境保护和访问控制，系统面临各种物理灾害和非法接触的风险。SGDL-GCC-CO-302实施和管理物理访问限制，以确保仅有经适当的授权人员可以访问和使用信息资源。SGDL-GCC-CA-207机32、房外来人员访问管理外来人员进入机房必须获得机房管理员的同意，并由机房管理人员全程陪同。在进入时要登记来访事由、访客姓名等信息，离开时要登记离开时间等信息。手工综合管理部/机房管理员SGDL-GCC-R-307IT设备缺乏有效的物理环境保护和访问控制，系统面临各种物理灾害和非法接触的风险。SGDL-GCC-CO-304通过物理安全防护设备保护信息设备免受各种物理灾难的损害。SGDL-GCC-CA-311机房安全防护设备管理机房内安装了防静电地板、空调、UPS、温度及烟雾感应探测系统，防止各种物理灾害对信息系统及数据安全带来的损害。手工综合管理部/机房管理员SGDL-GCC-R-308信息系统使用33、简单密码，或系统默认账号的初始密码未被修改，导致账号被非法使用，影响系统数据的真实准确完整。SGDL-GCC-CO-302实施及配置逻辑安全管理工具和技术来限制对程序,数据及其他信息资源的访问。SGDL-GCC-CA-312系统默认帐号测试帐号管理在系统上线时，信息系统内的供应商默认账号、测试账号等的初始密码已经被修改，或这些账号已经被禁用。系统综合管理部业务部门/系统管理员SGDL-GCC-R-308信息系统使用简单密码，或系统默认账号的初始密码未被修改，导致账号被非法使用，影响系统数据的真实准确完整。SGDL-GCC-CO-302实施及配置逻辑安全管理工具和技术来限制对程序,数据及其他信息34、资源的访问。SGDL-GCC-CA-313系统账号密码管理当用户账号的初始密码由系统管理员分配时，系统应尽可能强制用户在初次登录时修改初始密码。系统综合管理部业务部门/系统管理员SGDL-GCC-R-309企业未根据业务性质、重要性程度、涉密情况等确定信息系统的安全等级，建立不同等级信息的授权使用制度，并采用相应技术手段，无法保证信息系统运行安全有序和数据的机密性。SGDL-GCC-CO-302实施及配置逻辑安全管理工具和技术来限制对程序,数据及其他信息资源的访问。SGDL-GCC-CA-314涉密网络物理隔离机制商贸技术网与办公网在物理层面进行了隔离，以控制涉密资料的安全性和机密性。系统业务35、部门/加密管理员安全员SGDL-GCC-R-309企业未根据业务性质、重要性程度、涉密情况等确定信息系统的安全等级，建立不同等级信息的授权使用制度，并采用相应技术手段，无法保证信息系统运行安全有序和数据的机密性。SGDL-GCC-CO-302实施及配置逻辑安全管理工具和技术来限制对程序,数据及其他信息资源的访问。SGDL-GCC-CA-315技术网数据加密管理商贸建立了数据加密管理规范，并通过加密系统对涉密信息进行加密和解密管理。解密密钥由业务部门数据安全员及IT部门解密员分别掌握，经过业务部门领导及综合管理部批准的数据须在业务部门安全员及IT解密员共同操作进行解密。系统业务部门/加密管理员安36、全员SGDL-GCC-R-309企业未根据业务性质、重要性程度、涉密情况等确定信息系统的安全等级，建立不同等级信息的授权使用制度，并采用相应技术手段，无法保证信息系统运行安全有序和数据的机密性。SGDL-GCC-CO-302实施及配置逻辑安全管理工具和技术来限制对程序,数据及其他信息资源的访问。SGDL-GCC-CA-316建立存储设备报废处理机制商贸计算机存储设备报废时，须按照计算机设备报废处理流程，将系统内的数据清理后，由第三方公司将硬盘进行物理破坏。手工综合管理部/设备管理员SGDL-GCC-R-310信息系统缺乏有效的病毒防护，面临病毒感染，影响系统正常运作的风险。SGDL-GCC-C37、O-305实体的程序、数据及其他信息资源均受到保护以防病毒侵害。SGDL-GCC-CA-317防病毒软件安装商贸制定统一的计算机病毒防护策略，统一安装了商业病毒防护软件，并通过设置更新及定期扫描策略，降低病毒感染的风险。系统综合管理部/部门领导5.0相关制度制度名称生效日期办公自动化系统管理规定待拟商贸中心机房管理制度v1.0 待拟商贸技术内网数据安全管理制度待拟6.0相关报告/表单1. 信息安全事件记录2. 信息安全事件汇总报告3. 机房巡检表4. 商贸中心机房出入登记表5. 信息系统权限新增/变更/删除 申请单6. 信息系统人员权限清单7. 电子文件解密申请单8. 信息系统日志审核记录第四38、节：信息系统开发与变更管理1.0 流程综述本流程主要包含信息系统的开发、变更及IT项目管理中的重要控制活动，涵盖系统开发变更管理规范、开发变更审批、测试管理、用户验收、开发测试及生产环境管理、系统开发管理流程中的职责分工要求等。2.0 相关部门职责描述综合管理部负责商贸信息系统的规划及IT项目管理，包括系统开发、变更立项审批、需求调研确认、开发测试过程管理与监督、上线审批、项目质量控制等。具体系统使用部门负责系统需求确认、系统开发实施过程中的业务流程指导、用户验收测试与确认、上线后系统功能与问题反馈等。3.0流程图401: SGDL-GCC-CA-401402: SGDL-GCC-CA-40239、404: SGDL-GCC-CA-404405: SGDL-GCC-CA-405406: SGDL-GCC-CA-406408: SGDL-GCC-CA-408411: SGDL-GCC-CA-4114.0风险控制矩阵风险编号风险控制目标编号控制目标控制活动编号控制活动手工/系统控制控制活动责任部门/岗位SGDL-GCC-R-401信息系统变更没有严格遵循开发变更流程，可能导致系统在非受控的状态下被修改的风险。SGDL-GCC-CO-401系统变更遵循正式的变更管理流程。SGDL-GCC-CA-401制定信息化项目相关管理制度商贸制定了商贸信息化项目管理办法对系统开发、审批、测试、验收等进行了40、规定。手工综合管理部/部门领导SGDL-GCC-R-401信息系统变更没有严格遵循开发变更流程，可能导致系统在非受控的状态下被修改的风险。SGDL-GCC-CO-402系统的购买、实施、开发、变更等均符合公司管理层的意愿及实际业务需要。SGDL-GCC-CA-402系统采购和开发的核准机制商贸管理层会对所有购买或开发系统的议案进行核准，并与开发商或系统供应商、实施商签订正式的服务合同。只有经批准的软件开发项目才能正式启动。 手工综合管理部/部门领导SGDL-GCC-R-401信息系统变更没有严格遵循开发变更流程，可能导致系统在非受控的状态下被修改的风险。SGDL-GCC-CO-402系统的购买41、实施、开发、变更等均符合公司管理层的意愿及实际业务需要。SGDL-GCC-CA-403系统变更审批机制系统变更在实施前，须经过综合管理部及相关业务部门（如涉及具体业务功能）批准。手工综合管理部/部门领导SGDL-GCC-R-402信息系统变更未实施足够的测试计划(包括(如适当)：系统和单元测试、界面测试、并行测试(parallel testing)、容量测试及用户验收测试)，可能无法确保新系统功能得到恰当实施并符合管理层意愿。SGDL-GCC-CO-401系统变更遵循正式的变更管理流程。SGDL-GCC-CA-404系统变更的验收测试机制商贸要求系统变更上线前，用户部门须执行验收测试。公司须42、制定正式的变更和测试计划，并记录和及时处理测试中发现的问题。只有通过验收测试的变更可以发布至生产环境。手工综合管理部业务部门/系统变更相关管理岗位SGDL-GCC-R-403系统开发不符合内部控制要求，授权管理不当，可能导致无法利用信息技术实施有效控制。SGDL-GCC-CO-402系统的购买、实施、开发、变更等均符合公司管理层的意愿及实际业务需要。SGDL-GCC-CA-405系统变更流程的职责划分系统变更过程中，商贸制定了严格的工作职责划分，系统开发、测试及变更发布人员之间应相互独立，开发及测试人员无法直接对生产环境进行修改。手工综合管理部/项目负责人SGDL-GCC-R-404信息系统开43、发、变更、实施过程中，缺乏有效的职责分工控制，导致系统变更与管理层意图不符或不满足业务需要，造成资源浪费。SGDL-GCC-CO-401系统变更遵循正式的变更管理流程。SGDL-GCC-CA-406制定信息化项目实施计划信息系统项目开始前，项目组须制定正式的项目计划，包含重要的时间节点要求、参与人员、工作任务分配等，项目计划须经综合管理部等部门批准。手工综合管理部/项目负责人SGDL-GCC-R-404信息系统开发、变更、实施过程中，缺乏有效的职责分工控制，导致系统变更与管理层意图不符或不满足业务需要，造成资源浪费。SGDL-GCC-CO-401系统变更遵循正式的变更管理流程。SGDL-GCC44、-CA-405系统变更流程的职责划分系统变更过程中，商贸制定了严格的工作职责划分，系统开发、测试及变更发布人员之间应相互独立，开发及测试人员无法直接对生产环境进行修改。手工综合管理部/项目负责人SGDL-GCC-R-405没有独立的开发、测试环境，或开发、测试人员直接访问生产环境，导致未经充分测试的变更被发布到生产环境，或正式的业务数据面临被非授权修改的风险。SGDL-GCC-CO-402系统的购买、实施、开发、变更等均符合公司管理层的意愿及实际业务需要。SGDL-GCC-CA-407测试环境与生产环境隔离机制系统变更或新系统开发、实施时，应有与生产环境分离的独立测试环境。只有经过在测试环境中45、充分测试的变更，才能进入发布管理流程。系统综合管理部/项目负责人SGDL-GCC-R-405没有独立的开发、测试环境，或开发、测试人员直接访问生产环境，导致未经充分测试的变更被发布到生产环境，或正式的业务数据面临被非授权修改的风险。SGDL-GCC-CO-402系统的购买、实施、开发、变更等均符合公司管理层的意愿及实际业务需要。SGDL-GCC-CA-408开发测试人员禁止访问生产环境商贸要求系统变更发布由生产系统管理人员执行，禁止开发及测试人员直接将变更发布至生产环境。系统变更前需要制定正式的变更计划及回退方案，并获得管理层的批准。系统综合管理部/项目负责人SGDL-GCC-R-406系统、46、数据库、网络等的变更完成后，没有获得用户部门和管理层的验收批准即上线正式运行，导致系统变更结果与用户需求不一致，影响业务的运行及数据的处理。SGDL-GCC-CO-401系统变更遵循正式的变更管理流程。SGDL-GCC-CA-409系统变更业务部门验收机制系统变更、新系统上线前须经过业务部门用户的验收测试，并书面确认系统功能符合业务实际需要后才能正式上线运行。手工综合管理部/项目负责人SGDL-GCC-R-407系统未及时安装补丁或升级,导致可以利用系统漏洞对系统进行入侵,从而影响业务数据甚至影响整体业务运行。SGDL-GCC-CO-403现有应用系统和数据库的必要修改均能及时实施。SGDL-47、GCC-CA-410系统补丁更新管理系统管理人员跟踪软件商发布的补丁，并进行评估、测试，选择适用的补丁安装至生产环境。补丁安装应遵循公司已有的变更管理流程。手工综合管理部/系统管理员SGDL-GCC-R-408信息系统上线时，缺乏完整的计划和预案，未给业务操作和系统管理人员提供必须的培训，并制定新旧系统转换方案和应急预案，导致新旧系统无法顺利切换和平稳衔接。SGDL-GCC-CO-402系统的购买、实施、开发、变更等均符合公司管理层的意愿及实际业务需要。SGDL-GCC-CA-406制定信息化项目实施计划信息系统项目开始前，项目组须制定正式的项目计划，包含重要的时间节点要求、参与人员、工作任务48、分配等，项目计划须经综合管理部等部门批准。手工综合管理部/项目负责人SGDL-GCC-R-408信息系统上线时，缺乏完整的计划和预案，未给业务操作和系统管理人员提供必须的培训，并制定新旧系统转换方案和应急预案，导致新旧系统无法顺利切换和平稳衔接。SGDL-GCC-CO-402系统的购买、实施、开发、变更等均符合公司管理层的意愿及实际业务需要。SGDL-GCC-CA-411系统数据迁移管理系统变更涉及数据迁移的，应制定详细的数据迁移计划及验收方案，并由技术人员及业务部门共同对迁移结果进行检查，确保数据迁移的完整性和准确性。手工综合管理部业务部门/项目负责人部门负责人5.0相关制度制度名称生效日期商贸信息化项目管理办法待拟共用类信息化项目管理办法待拟6.0相关报告/表单1. 信息化项目实施计划2. 信息系统采购、开发申请单3. 验收测试记录4. 信息系统上线申请单5. 操作系统补丁测试报告6. 操作系统补丁安装申请单7. 信息系统数据迁移计划