Chương 3 Rủi ro và Kiểm soát trong AIS Phần 2: Kiểm soát trong môi trường máy tính

Chương 3Rủi ro và Kiểm soát trong AIS Phần 2: Kiểm soát trong môi trường máy tínhChương 3Rủi ro và Kiểm soát trong AIS Phần 2: Kiểm soát trong môi trường máy tínhChương 3Rủi ro và Kiểm soát trong AIS Phần 2: Kiểm soát trong môi trường máy tínhChương 3Rủi ro và Kiểm soát trong AIS Phần 2: Kiểm soát trong môi trường máy tínhChương 3Rủi ro và Kiểm soát trong AIS Phần 2: Kiểm soát trong môi trường máy tínhChương 3Rủi ro và Kiểm soát trong AIS Phần 2: Kiểm soát trong môi trường máy tínhChương 3Rủi ro và Kiểm soát trong AIS Phần 2: Kiểm soát trong môi trường máy tính

Chương 3 Rủi ro và Kiểm soát trong AIS

Phần 2: Kiểm soát trong môi

trường máy tính

1

Mục tiêu

• Trong phần này chúng ta sẽ tìm hiểu:

– Các đặc điểm riêng biệt của môi trường xử lý

thông tin bằng máy tính– Các rủi ro có thể xảy ra– Các thủ tục kiểm soát chung– Các thủ tục kiểm soát ứng dụng

2

Đặc điểm của môi trường máy tính

Cấu trúc tổ chức:

• Đòi hỏi trình độ nhân viên cao => gian

lận bằng cách sửa chữa chương trình

xử lý kế toán

3

Đặc điểm của môi trường máy tính (tt)

Đặc điểm xử lý dữ liệu, thông tin:

• Chứng từ sử dụng: có trường hợp nhập dữ liệu mà không có

chứng từ, vd: tự động tính khấu hao, đặt hàng trực tuyến

• Khó lưu lại dấu vết, các dấu vết nghiệp vụ không quan sát

được bằng mắt

• Xét duyệt và thực hiện nghiệp vụ: một số nghiệp vụ thực hiện

tự động

• Cập nhật 1 lần, ảnh hưởng tới nhiều tập tin

• Các thủ tục kiểm soát có thể được lập trình

• Khối lượng DL ghi nhận nhiều, sử dụng nhiều lần

• Thông tin cung cấp nhiều, đa dạng

• Phụ thuộc vào khả năng hoạt động của phần mềm, phần

cứng

4

Đặc điểm của môi trường máy tính

Khả năng truy cập, phá hủy hệ thống và DL

• Khả năng truy cập, phá hủy hệ thống và DL

rất cao => xây dựng chính sách đảm bảo an toàn cho hệ thống

• Thiết bị lưu trữ DL, hệ thống xử lý dễ hư

hỏng, phá hoại => phải có chính sách sao lưu và bảo trì

• Chương trình và DL có thể tập trung

5

RỦI RO TRONG MÔI TRƯỜNG XỬ LÝ BẰNG MÁY TÍNH

• Rủi ro xử lý thông tin:

– Ghi nhận dữ liệu sai, không đầy đủ, không hợp lệ – Xử lý sai ( dữ liệu bị sai như việc phân loại sai, tính tóan sai

do chương trình xử lý không chính xác) – Cung cấp thông tin không đầy đủ, tin cậy, chính xác, báo

cáo có thể được chuyển giao không đúng người nhận

• Rủi ro hệ thống: Liên quan đến việc xây dựng, bảo dưỡng, sử

• Dữ liệu bị phá hủy do cố tình phá hoại

• Dữ liệu dễ bị thâm nhập, phá hoại để sửa CT,phá hũy

• Dữ liệu dễ bị mất do máy hư, phá hoại, ăn cắp tbị lưu trữ

6

8

CÁC THỦ TỤC KS TRONG MÔI TRƯỜNG MT

Rủi ro xử lý thông tin

chung

CÁC THỦ TỤC KIỂM SOÁT

– Bao gồm các thủ tục, chính sách kiểm soát áp

dụng chung cho toàn bộ môi trường xử lý

thông tin

– Bao gồm các thủ tục kiểm soát nhập liệu, xử

lý và kết xuất áp dụng cho 1 chương trình ứng dụng xử lý thông tin cụ thể

9

Nợ phải thu

Nợ phải trả

Bán hàng Tiền

Tổng hợp Báo cáo TSCĐ

KIỂM SOÁT CHUNG

1 Tổ chức bộ máy trong môi trường máy tính

2 Kiểm soát quá trình phát triển HTTT

3 Chuẩn hóa các tài liệu liên quan

4 Kiểm soát truy cập từ bên ngoài

5 Kiểm soát truy cập lôgic

6 Đảm bảo hoạt động liên tục

7 Kế hoạch khắc phục hậu quả nếu xảy ra…

11

KIỂM SOÁT CHUNG

1 Tổ chức bộ máy trong môi trường máy tính

 Tách biệt chức năng xử lý thông tin với các bộ

KIỂM SOÁT CHUNG

1 Tổ chức bộ máy xử lý thông tin

Phân tích HT

Thiết kế HT

Lập trình HT

KS dữ liệu

Nhập liệu

Quản lý

dữ liệu

Mạng và truyền thông

Quản trị CSDL

KS chất lượng HT

Xét duyệt Thực hiện Bảo vệ TS

Tổ chức nhập liệu tập trung

KIỂM SOÁT CHUNG

2 Kiểm soát quá trình phát triển HTTT

– Lập kế hoạch phát triển– Xác định các yêu cầu đặt ra– Phân chia trách nhiệm phát triển hệ thống– Sự tham gia của người sử dụng

– Đánh giá, chọn lựa quá trình phát triển

14

KIỂM SOÁT CHUNG

3 Chuẩn hóa các tài liệu liên quan

– Tài liệu quản trị: Bao gồm các tài liệu liên quan đến

quá trình phát triển hệ thống, quy định quyền sử dụng…

– Tài liệu ứng dụng: Hướng dẫn sử dụng chương trình

(nhập liệu, xử lý, báo cáo, tìm kiếm, sửa chữa…) – Tài liệu hệ thống: Các yêu cầu về hệ thống, hệ thống

mã chương trình, tập tin lưu trữ, các hướng dẫn phục hồi dữ liệu khi sự cố xảy ra

15

KIỂM SOÁT CHUNG

4 Kiểm soát truy cập từ

bên ngoài

.Hạn chế đối tượng

không liên quan tiếp cận trực tiếp với hệ thống xử lý

.Phân loại đối tượng sử

dụng hệ thống

16

Hệ thống

xử lý

Khóa địa điểm Bảo vệ ngoài

KIỂM SOÁT CHUNG

5 Kiểm soát truy cập lôgic: Hạn chế quyền

sử dụng của nguời sử dụng trực tiếp hệ thống

• Nhận dạng người sử dụng (account user)

• Xác nhận người sử dụng (Password)

• Phân quyền truy cập (Access right)

• Theo dõi quá trình sử dụng (Nhật kí sử

dụng)

17

KIỂM SOÁT CHUNG

18

Các hoạt động

Các chu trình

Khai báo Nhập liệu Cập nhật/báo cáo

Xem Thêm sửa/xóa Chỉnh

Ma trận truy cập

Minh họa ma trận truy cập

Menu KT trưởng KT phải thu KT tồn kho …

Khai báo

+ Khách hàng X, T, S X X+ Hàng hóa X, T, S X X

KIỂM SOÁT CHUNG

6 Đảm bảo hoạt động liên tục

– Kiểm soát thiết bị lưu trữ (Đĩa cứng, đĩa mềm,

đĩa CD… ): Đảm bảo an toàn thiết bị lưu trữ, Dán nhẵn, đặt tên, sắp xếp theo trình thự thời gian

– Sao lưu dự phòng dữ liệu (Back-up) – Hạn chế mất mát dữ liệu khi mất điện

20

KIỂM SOÁT CHUNG

7 Kế hoạch khắc phục hậu quả nếu xảy ra…

– Các thứ tự ưu tiên phục hồi– Phân chia trách nhiệm phục hồi– Sao lưu dự phòng chương trình nguồn, dữ

liệu– Mua bảo hiểm hệ thống– Các kế hoạch phải được thể hiện dưới dạng

văn bản

21

KIỂM SOÁT ỨNG DỤNG

Với mục tiêu Đầy đủ, Hợp lệ, Chính xác:

dữ liệu ghi vào tập tin chính)

22

Kiểm soát nguồn dữ liệu

• Kiểm tra tính trình tự số chứng từ: Hạn chế việc ghi trùng hay bỏ sót nghiệp vụ

• Sử dụng chứng từ luân chuyển trong hệ thống: chứng từ được nhập 1 lần và luân chuyển trong hệ thống máy tính

• Xét duyệt nghiệp vụ: Dữ liệu phải được xét duyệt trước khi nhập vào hệ thống

• Đánh dấu chứng từ đã sử dụng

• Quét chứng từ để kiểm tra tính hợp pháp của chứng từ (vd dùng cho hóa đơn)

23

Kiểm soát nhập liệu, xử lý

24

Kiểm soát nhập liệu, xử lý

• Kiểm soát phát hiện

– Lập danh sách các nghiệp vụ sai sót– Thông báo các trường hợp bất thường– Dùng tổng kiểm soát, tổng hash

– Kiểm tra tính phù hợp– Đối chiếu dữ liệu giữa 2 nguồn độc lập

27

Kiểm soát phát hiện

Kiểm tra tính phù hợp dữ liệu X

Lập danh sách các nghiệp vụ sai

Dùng tổng kiểm soát, tổng hash X

Đối chiếu kết quả xử lý giữa 2

28

28

Kiểm soát nhập liệu, xử lý

• Kiểm soát sửa sai

– Lập danh sách các nghiệp vụ sai sót– Quy định trình tự sửa sai

– Xét duyệt các nghiệp vụ đã sửa sai– Nhập lại các nghiệp vụ đã sửa sai theo trình tự thông thường như các nghiệp vụ nhập ban đầu

29

Kiểm soát kết xuất, báo cáo

• Kiểm tra thời điểm, thời kì kết xuất, sử dụng báo cáo, thông tin

• Phân chia quyền được kết xuất và sử dụng báo cáo, thông tin

• Quy định chế độ bảo mật thông tin

• Kiểm tra nguồn gốc phát sinh: Từ các thông tin trên báo cáo có thể xem các chứng từ gốc liên quan (dấu vết kiểm toán-> audit trail)

30

Yêu cầu

401: thực hiện kiểm toán trong môi trường tin học

31