國際注冊內(nèi)部審計(jì)師

信息保護(hù)

1 Elements of Information Security

信息安全的基本要素

信息的保密性、完整性和可用性是信息安全的基本要素：

· 保密性：保證敏感信息（包括隱私信息）不被非授權(quán)地瀏覽或截取。

· 完整性：保證信息（如財(cái)務(wù)報(bào)告）的完整和準(zhǔn)確。

· 可用性：保證信息隨時(shí)可用，并能在各種故障或?yàn)?zāi)難發(fā)生后能迅速恢復(fù)數(shù)據(jù)。

信息安全是大多數(shù)IT控制的基礎(chǔ)，它包括數(shù)據(jù)安全和基礎(chǔ)設(shè)施安全兩個(gè)方面。數(shù)據(jù)安全通過基于角色的訪問控制等手段，保證信息不被非授權(quán)的用戶所訪問，并通過日志系統(tǒng)保留用戶活動的審計(jì)蹤跡；安全基礎(chǔ)設(shè)施則是應(yīng)用安全的系統(tǒng)基礎(chǔ)，包括其主機(jī)和服務(wù)器系統(tǒng)，通過各種安全軟件保證基礎(chǔ)系統(tǒng)不被非法侵入。

2 Malware

惡意軟件

惡意軟件統(tǒng)指各種以非法途徑訪問系統(tǒng)，并以控制、破壞系統(tǒng)或竊取數(shù)據(jù)為目的的軟件。現(xiàn)在以營利為目的的專業(yè)惡意軟件市場已經(jīng)形成，并且愈演愈烈。盡管多數(shù)惡意軟件基于微軟的桌面操作系統(tǒng)平臺，但針對其它流行系統(tǒng)（如Linux）和服務(wù)器平臺的惡意軟件也在不斷增加。

病毒軟件（virware）是一類惡意軟件，包括：

· 病毒（virus）是一段計(jì)算機(jī)代碼，它可自行復(fù)制并感染其他計(jì)算機(jī)執(zhí)行程序；

· 宏病毒（macro virus）是一種可附著于word等數(shù)據(jù)文件的宏程序中的特殊病毒；

· 蠕蟲（worms）是一個(gè)計(jì)算機(jī)程序，它通常僅存在于內(nèi)存中，但可以通過網(wǎng)絡(luò)快速并大量地將自身復(fù)制到其它系統(tǒng)中，從而消耗計(jì)算機(jī)或網(wǎng)絡(luò)資源；蠕蟲按其傳播方式有電子郵件蠕蟲、即時(shí)通訊（IM）蠕蟲和移動設(shè)備蠕蟲等。

特洛伊木馬（trojan horse）是一個(gè)計(jì)算機(jī)程序或隱藏于某個(gè)應(yīng)用程序中的一段代碼，它從表面上看是正常的程序，但是實(shí)際上卻隱含著惡意意圖。特洛伊木馬可能用于竊取密碼等敏感信息，也可以用于進(jìn)一步安裝其它惡意軟件（如間諜軟件），從而為其編制者長期所用。相對于病毒，木馬軟件無需自行復(fù)制功能，因此更容易開發(fā)也更隱蔽，其增長速度也要大大高于其它惡意軟件。

木馬軟件的種類繁多，根據(jù)目的和行為可分為后門、邏輯炸彈、特洛伊代理、超級用戶工具箱等。

其它惡意軟件和威脅

· 僵尸網(wǎng)絡(luò)（botnet）：BotNet病毒與木馬的使用方式相仿，但木馬通常只會攻擊特定目標(biāo)，而BotNet不但會攻擊其它電腦，而且它具有“蟲”的特性，會慢慢在網(wǎng)絡(luò)空間中“爬行”，一遇到有漏洞的電腦主機(jī)，就會自行展開攻擊。

· 垃圾部件工具（spamtool）：收集電子郵件地址以用于發(fā)送垃圾郵件。

· 鍵盤跟蹤軟件（keylogger）：跟蹤并分析用戶的擊鍵行為，從中獲取其感興趣的信息（如網(wǎng)上銀行的登錄密碼）。

· 撥號器（dialer）：自動撥打900等高收費(fèi)電話號碼。

· 廣告軟件（ADware）：不斷產(chǎn)生彈出式廣告窗口。

· 間諜軟件（spyware）：收集用戶機(jī)器的各種軟硬件和配置信息，以用于商業(yè)或其它目的。

· 拒絕服務(wù)攻擊（DOD）：通過超大量地發(fā)送消息或服務(wù)請求，將某個(gè)站點(diǎn)的網(wǎng)絡(luò)或系統(tǒng)資源消耗殆盡，使其徹底癱瘓或無法提供正常服務(wù)。這是網(wǎng)絡(luò)恐怖主義者最常用也最難防范的攻擊手段。

· 網(wǎng)絡(luò)釣魚（phishing）：偽裝成一個(gè)合法正規(guī)的網(wǎng)站，并通過各種方式（如建立虛假鏈接、大量發(fā)送帶有誘惑性的電子郵件），引誘其客戶前來登錄，從而騙取其用戶ID和口令。

· 網(wǎng)址嫁接（Pharming）：和phishing相仿，也是偽裝一個(gè)合法正規(guī)的網(wǎng)站，但通過篡改DNS服務(wù)器直接將其使用者導(dǎo)引到偽造的網(wǎng)站上。

· 雙面惡魔（evil twin）是一個(gè)自制的無線接入點(diǎn)（熱點(diǎn)），偽裝成合法的接入點(diǎn)在終端用戶不知情的情況下收集個(gè)人或企業(yè)信息。

· 尾隨（piggybacking）：通常指物理上尾隨某個(gè)合法人員進(jìn)入受控區(qū)域，有時(shí)也指趁某個(gè)已登錄用戶暫離現(xiàn)場時(shí)，利用其身份邏輯訪問網(wǎng)絡(luò)。

3 How to Prevent Malwares and Computer Crimes

防范惡意軟件和計(jì)算機(jī)犯罪

通過合理地維護(hù)和配置系統(tǒng)可以增強(qiáng)系統(tǒng)的健壯性和免疫能力，如：

· 及時(shí)下載并安裝操作系統(tǒng)和應(yīng)用系統(tǒng)的補(bǔ)丁包。

· 在系統(tǒng)運(yùn)行時(shí)關(guān)閉管理員特權(quán)。

· 限制特權(quán)代碼的使用。

· 只從經(jīng)過驗(yàn)證或指定的網(wǎng)站下載。

· 啟用高安全級別；阻斷各種惡意軟件的進(jìn)入渠道。

· 通過直接輸入U(xiǎn)RL地址來訪問網(wǎng)站，如不要點(diǎn)擊電子郵件中的鏈接。

· 加密敏感信息或離線保存。

建立多層次的病毒防范體系。有兩種預(yù)防及偵測病毒感染的方法，其一是建立規(guī)范、嚴(yán)謹(jǐn)?shù)墓芾聿呗耘c程序；其二是采用技術(shù)方法，如防病毒軟件。

預(yù)防和偵測病毒的管理控制策略包括：

· 安裝正版軟件。

· 凡未在單機(jī)中掃毒的軟件（無論是否正版）不允許在網(wǎng)絡(luò)環(huán)境中使用。

· 確保在工作站、主機(jī)和服務(wù)器中均已安裝殺毒軟件。

· 隨時(shí)更新病毒特征庫。

· 備份數(shù)據(jù)也需要經(jīng)過殺毒程序，以確保備份的有效性。

· 教育用戶遵守公司的策略及程序。

· 至少每年審核一次防毒策略與程序。

防病毒軟件的功能通常包括：掃描、動態(tài)監(jiān)控、完整性檢查、行為阻斷，此外，防病毒軟件應(yīng)具有預(yù)防控制的功能。應(yīng)定期更新病毒特征庫，否則防病毒軟件將無法有效防止病毒。但即使擁有最新的病毒特征庫，也不能保證查殺所有病毒，因此不能過于依賴防病毒軟件。

4 Privacy

隱私權(quán)

隱私權(quán)是個(gè)人對其私有信息享有的權(quán)利，如企業(yè)未經(jīng)授權(quán)不得將客戶的電話號碼、地址等信息泄露給第三方。信息技術(shù)使侵犯隱私權(quán)變得更容易，任何進(jìn)入信息系統(tǒng)的個(gè)人信息，都有可能被永久地用于商業(yè)目的甚至非法活動（如恐嚇信）。隨著信息系統(tǒng)應(yīng)用的深入，對隱私權(quán)的保護(hù)越來越受到重視。

組織和員工在隱私權(quán)的問題存在天然的矛盾，因?yàn)榻M織需要保護(hù)其自身的利益和防止不適當(dāng)?shù)幕顒?，而員工則要求其個(gè)人行為和信息不受侵犯。組織對其雇員的過度監(jiān)控會導(dǎo)致員工士氣的低落，因此清晰的政策和良好的溝通十分重要，政策應(yīng)告知員工什么是受監(jiān)控的，什么是不受監(jiān)控的，以及對員工的期望。

組織侵犯了隱私權(quán)可能給當(dāng)事人帶來巨大的傷害，越來越多的國家制定了各種保護(hù)隱私權(quán)的法律、條例，組織應(yīng)確保予以遵守。大多數(shù)國家的隱私權(quán)立法均部分地基于美國聯(lián)邦貿(mào)易委員會提出的公平信息原則（FIP），F(xiàn)IP認(rèn)為交易雙方均對對方負(fù)有責(zé)任，個(gè)人擁有隱私權(quán)但需要證明其身份，而組織則對信息的采集和使用承擔(dān)責(zé)任。FIP包括：

· 通告：在采集數(shù)據(jù)之前，WEB站點(diǎn)必須披露采集者的身份和其他受眾、數(shù)據(jù)的用途、是否自愿以及將采取哪些措施保護(hù)數(shù)據(jù)。

· 選擇：消費(fèi)者應(yīng)能夠選擇如何在交易之外使用該信息。

· 訪問：消費(fèi)者應(yīng)能夠方便訪問和修改其個(gè)人信息而無需支付昂貴的費(fèi)用。

· 安全：數(shù)據(jù)采集者必須保證其擁有足夠的數(shù)據(jù)控制。

· 強(qiáng)制：通過各種法律法規(guī)保證FIP條款的強(qiáng)制實(shí)施。

組織至少應(yīng)采取合理的措施，以避免招致法律訴訟、罰款以及負(fù)面的公眾形象和信譽(yù)等嚴(yán)重后果。

典型試題

【例題】依靠反病毒軟件的主要風(fēng)險(xiǎn)是反病毒軟件（?。?

a.不能檢測出某些病毒。

b.使軟件的安裝變得過于復(fù)雜。

C.干擾系統(tǒng)的正常操作。

d.耗費(fèi)太多的系統(tǒng)資源。

【答案】a

【解題思路】

a.正確。依賴反病毒軟件的風(fēng)險(xiǎn)之一是反病毒軟件只能針對已知病毒，而且對已知病毒的變種也不一定完全有效。換句話說，反病毒軟件不能確保識別出所有病毒。

b.不正確。反病毒軟件一般不會使軟件的安裝變得過于復(fù)雜。

c.不正確。反病毒軟件不是必然要和系統(tǒng)運(yùn)行沖突，因?yàn)榭梢允孪仍O(shè)定其運(yùn)行計(jì)劃使其不影響其他程序的運(yùn)行。

d.不正確。反病毒軟件可以被設(shè)置為在不造成耗費(fèi)過多系統(tǒng)資源的時(shí)刻執(zhí)行（如，啟動時(shí)）。

【例題】由于計(jì)算機(jī)技術(shù)的高速發(fā)展，下面哪一種情況會對組織產(chǎn)生新的暴露風(fēng)險(xiǎn)?

a.針對計(jì)算機(jī)被濫用的情況，組織報(bào)告風(fēng)險(xiǎn)和控制風(fēng)險(xiǎn)的程序發(fā)生了變更。

b.對磁帶庫管理程序的控制。

C.操作系統(tǒng)的復(fù)雜性和對數(shù)據(jù)隱私的控制。

d.組織行為的變更。

【答案】C

【解題思路】

a.不正確。組織報(bào)告風(fēng)險(xiǎn)的程序與技術(shù)的發(fā)展并沒有直接的關(guān)系。

b.不正確。對磁帶庫管理程序的控制不會因技術(shù)的發(fā)展而產(chǎn)生重大變化。

c.正確。計(jì)算機(jī)技術(shù)的高速發(fā)展帶來了更復(fù)雜的系統(tǒng)環(huán)境，尤其是隨著遠(yuǎn)程訪問系統(tǒng)的出現(xiàn)，非授權(quán)個(gè)體獲得和篡改重要信息的風(fēng)險(xiǎn)在增加。

d.不正確。組織行為的變更與技術(shù)的發(fā)展也沒有直接的關(guān)系。

利用以下信息回答3-4題：

計(jì)算機(jī)病毒的一個(gè)主要種類是一些程序，這些程序可以附著在其他程序中并進(jìn)一步感染其他程序。盡管這類病毒中有許多是相對無害的，但其中也有一些可能對系統(tǒng)造成嚴(yán)重的損害。

【例題】以下哪一項(xiàng)可以表明這類計(jì)算機(jī)病毒已經(jīng)出現(xiàn)?

a.頻繁地出現(xiàn)電涌并損壞計(jì)算機(jī)設(shè)備。

b.莫名其妙的數(shù)據(jù)丟失和修改現(xiàn)象。

C.不充分的備份、恢復(fù)和應(yīng)急計(jì)劃。

d.已購軟件的非授權(quán)使用并導(dǎo)致大量的侵犯版權(quán)現(xiàn)象。

【答案】b

【解題思路】

a.不正確。電涌是因?yàn)楣╇娫O(shè)施的質(zhì)量不佳引起，和上述病毒無關(guān)。

b.正確。某些病毒運(yùn)行后，可能自行刪除或修改數(shù)據(jù)，導(dǎo)致系統(tǒng)內(nèi)數(shù)據(jù)的丟失或損壞。

c.不正確。備份、恢復(fù)和應(yīng)急計(jì)劃屬于系統(tǒng)實(shí)施控制，和上述病毒無關(guān)。

d.不正確。本現(xiàn)象的出現(xiàn)通常是因?yàn)榻M織內(nèi)部的版權(quán)控制缺陷，而不是病毒。

【例題】以下哪項(xiàng)操作過程增加了組織感染病毒的風(fēng)險(xiǎn)?

a.加密數(shù)據(jù)文件。

b.頻繁的文件備份。

C.從電子公告板上下載公用軟件。

d.在硬盤上安裝已購軟件的原始拷貝。

【答案】C

【解題思路】

a.不正確。加密數(shù)據(jù)文件可以防止信息泄露，不會導(dǎo)致病毒的侵入。

b.不正確。文件備份有利于數(shù)據(jù)的恢復(fù)，不會導(dǎo)致病毒的侵入。

C.正確。電子公告板上的公用軟件有可能包含病毒，下載并運(yùn)行這些軟件就會使系統(tǒng)感染病毒。

d.不正確。一般來說，正版軟件的原始拷貝不會包含病毒。

【例題】通過從電腦網(wǎng)絡(luò)下載軟件來獲取有關(guān)軟件的潛在風(fēng)險(xiǎn)是下載軟件可能含有有害程序編碼，這些編碼可以附著于其他程序，從而在整個(gè)公司蔓延。這種有害編碼被稱為

a.邏輯炸彈（logic bomb）。

b.陷阱門（trapdoor）。

C.特絡(luò)伊木馬（trojan horse）。

d.病毒（Virus）

【答案】d

【解題思路】

a.不正確。邏輯炸彈是隱藏在正常程序中的一段代碼，該段代碼可在某種條件下觸發(fā)運(yùn)行，并對系統(tǒng)產(chǎn)生危害，但不會自動蔓延。

b.不正確。陷阱門是系統(tǒng)中存在的某種漏洞，利用它可以繞過正常的訪問控制，從而竊取信息或獲得某種特權(quán)。陷阱門也不會蔓延。

c.不正確。特洛伊木馬是一類黑客程序，通過冒充正常的程序（如登錄程序）以非法獲得信息（如用戶命令等）。特洛伊木馬本身不會蔓延。

d.正確。病毒可以附著于其他程序，一旦激活可以在網(wǎng)絡(luò)中蔓延。

（責(zé)任編輯：中大編輯）

共2頁,當(dāng)前第1頁  第一頁  前一頁  下一頁