11.5基础设施IT一般性控制内部控制矩阵

1、.精品资料网cnshu25万份精华管理资料，2万多集管理视频讲座：.；精品资料网cnshu 专业提供企管培训资料11.5根底设备IT普通性控制内部控制矩阵业务目的业务风险控制点适用单位不相容岗位控制点分值控制点相关资料相关制度索引会计报表认定会计报表工程1存在和发生/真实性；2完好性；3权益与义务；4估价或分摊；5表达和披露；6准确性1234561网络管理1.1网络根底管理1.12.12.2运营风险：网络管理制度不健全，导致网络管理存在破绽。合规风险：信息根底设备的运用未遵守维护知识产权、合同法等有关国家法律、法规，股份公司声誉遭到损害，遭到相关部门处分。1.1.1 总部和分子公司根据以下简称

2、及相关管理制度和任务流程实施对网络的管理，包括网络运转维护管理、网络互联管理、网络设备密码管理、网络管理员管理、远程接入网络管理、病毒防护管理等。信息系统管理部分(子)公司5网络管理方法2.10.51.1运营风险：网络相关管理人员配备不到位，导致网络管理存在平安隐患。1.1.2 各级信息管理部门根据及相应岗位职责，配备网络管理员、平安管理员，由信息管理部门担任人审批。信息系统管理部分(子)公司平安管理员网络管理员3网络管理员、平安管理员授权文档2.10.51.1运营风险：未编制网络运转维护技术文档或文档未妥善保管，导致网络运转维护缺乏技术资料等重要根据。1.1.3 各级信息管理部门担任编制网络

3、运转维护的相关技术文档，包括网络拓扑图、IP地址分配表以及网络设备配置文件等，由专人担任整理和保管。信息系统管理部分子公司4IP地址分配表网络拓扑图网络设备配置记录表2.10.51.1运营风险：网络设备密码设置强度不够或更改不及时，呵斥公司内部网络被非授权访问和攻击。1.2 网络设备登录设置合理的密码规那么，密码要求长度六位以上，采用数字和字符组合方式，新密码不得与前五次历史密码一样。网络管理员必需每六个月修正网络设备登录密码，填写密码改换记录，经平安管理员确认并在信息管理部门备案。信息系统管理部分子公司平安管理员网络管理员5密码变卦记录2.10.51.3网络互联平安管理1.1运营风险：网络互

4、联接口处未部署平安设备，导致内部网络被非授权访问和攻击。1.3.1 总部和分子公司根据相关要求，在关键网络互联接口处部署平安设备，信息管理部门授权专人担任平安设备的管理，并备有平安设备配置文档。分子公司与外部网互联情况上报信息系统管理部备案。信息系统管理部分子公司4平安设备配置文档与外部网互联备案记录表2.10.21.1运营风险：平安管理员未及时发现平安设备规那么存在的破绽，导致内部网络被非授权访问和攻击。1.3.2 平安管理员每季度对平安设备的规那么进展复核、确认、检查，填写平安设备配置检查记录表。信息系统管理部分子公司4平安设备配置检查记录表2.10.21.1运营风险：平安管理员未及时对相

5、关日志审计分析，导致内部网络被非授权访问和攻击。1.3.3平安管理员每周对网络设备登录日志、防火墙日志、入侵检测日志等进展分析审计。信息系统管理部分子公司4网络设备登陆日志审阅表防火墙日志审阅表入侵检测日志审阅表2.10.21.4 终端用户接入管理1.1运营风险：用户未经授权即可接入网络，导致内部网络被非授权访问和攻击。1.4.1 用户终端接入网络需填写恳求表，由恳求人所在部门确认，信息管理部门责任处(科室)担任人同意并备案。恳求表内容应包含终端接入平安责任条款。信息系统管理部分子公司3终端用户接入恳求表2.10.51.1运营风险：未对用户登录网络进展管理，导致内部网络被非授权访问和攻击。1.

6、4.2建立用户登录网络认证机制，防止对中国石化内部网络未经授权的访问。信息系统管理部分子公司32.10.51.1运营风险：人事部门未及时提供人员离任交接表，或信息管理部门未及时将离任人员网络接入效力注销，导致内部网络被非授权访问和攻击。1.4.3根据人事部门提供的人员离任交接表，信息管理部门应及时注销该用户的网络接入效力。人事部信息系统管理部分子公司3离任人员交接表2.10.51.1运营风险：未经相关指点授权开通远程接入网络效力，导致内部网络被非授权访问和攻击。1.5 远程接入网络恳求人根据相关要求，填写远程接入效力恳求表和远程用户接入效力平安承诺书，由所在部门担任人确认，信息管理部门责任处(

7、科室)担任人审批并备案。信息系统管理部分子公司恳求部门 信息管理部门3远程用户接入效力恳求表远程用户接入效力平安承诺书2.10.51.1运营风险：未在内部网络部署防病毒系统或未及时晋级，导致内部网络被病毒损害。1.6 根据相关要求，网络管理员担任部署防病毒系统并及时进展版本和病毒特征库晋级；平安管理员每周对防病毒系统日志等进展分析审计。信息系统管理部分子公司网络管理员平安管理员3防病毒系统日志审阅记录表2.10.52.10.22.效力器管理1.1运营风险：效力器相关管理人员配备不到位，导致系统运转管理存在隐患。2.1 各级信息管理部门配备系统管理员，由信息管理部门责任处(科室)担任人审批。信息

8、系统管理部分子公司3系统管理员任命资料2.10.71.1运营风险：未建立效力器档案，导致效力器运转维护缺乏配置参数等重要根据。2.2 系统管理员须建立效力器档案，内容包括设备的详细硬件配置、设备独一性标志和设备用途等信息。信息系统管理部分子公司4效力器档案2.10.72.3效力器操作系统管理1.1运营风险：随意创建操作系统用户，导致系统管理混乱，影响系统运转，存在平安隐患。2.3.1 操作系统用户须填写操作系统用户恳求表，经信息管理部门责任处(科室)担任人审批后，由系统管理员创建。信息系统管理部分子公司3操作系统用户恳求表2.10.71.1运营风险：操作系统用户授权超期未锁定或删除，导致信息泄

9、密或系统平安存在隐患。2.3.2 系统管理员每半年检查操作系统用户授权情况并记录，对超期运用帐号的用户进展锁定或删除。信息系统管理部分子公司3操作系统用户授权记录2.10.71.1运营风险：操作系统用户密码设置强度不够或更改不及时，呵斥系统非授权访问。2.3.3 操作系统用户密码要求长度八位以上，采用数字和字符组合方式，新密码不得与前五次历史密码一样。系统管理员至少每季度修正操作系统用户密码，填写密码改换记录、经平安管理员确认并在信息管理部门备案。信息系统管理部分子公司5密码改换记录2.10.72.10.21.1运营风险：系统管理员对操作系统运转监控不到位，未能及时发现隐患，平安管理员未履行检

10、查职责，影响系统稳定运转。2.3.4 系统管理员监控操作系统运转情况，每日巡检操作系统日志，并将巡检情况记录存档。平安管理员每月对系统巡检记录进展检查，对存在问题提出整改意见，上报信息管理部门责任处科室担任人审批后实施。信息系统管理部分子公司3操作系统每日巡检记录应包含平安管理员检查记录，以及存在问题改良情况2.10.72.10.23.机房管理1.12.2运营风险：机房管理制度不健全，导致机房管理存在破绽。3.1 各级信息管理部门根据相关制度和规范，制定计算机机房管理方法，实施对机房的管理。管理方法主要内容包括人员出入管理、设备出入管理、机房工况管理和备份介质管理等。信息系统管理部分子公司4机

11、房管理方法2.10.81.1运营风险：机房出入人员管理不严，导致资源受损或系统瘫痪。3.2 机房应设门禁系统，或由专人担任机房出入管理并填写人员出入登记表。信息系统管理部分子公司3机房人员出入登记表门卡发放记录钥匙领用记录2.10.81.1运营风险：设备随意进出机房，导致信息泄密或设备丧失。3.3设备出入机房，携带设备人员填写设备出入登记表，由信息管理部门责任处(科室)担任人审批并备案。信息系统管理部分子公司3机房设备出入登记表2.10.81.1运营风险：机房环境参数异常，导致设备发生缺点，影响系统稳定运转。3.4 机房管理人员每日对机房UPS、空调、温湿度和电源系统巡检，并填写巡检记录。信息

12、系统管理部分子公司3机房巡检记录2.10.84备份介质管理1.1运营风险：备份介质标志不规范，导致备份数据查找困难、数据恢复困难。4.1 系统管理员要对备份介质进展标志。标志内容有：备份介质编号、运用称号、IP地址、备份日期、备份内容和备份人。信息系统管理部分子公司32.10.91.1运营风险：备份介质管理不规范，导致备份介质损坏或系统及数据恢复困难。4.2 重要信息系统的备份介质必需异地存放并分类存档。系统管理员按照厂商提供的运用年限按期改换备份介质。备份介质存放环境和备份介质存储内容的销除满足备份管理方法的相关要求。信息系统管理部分子公司32.10.91.1运营风险：备份介质出入库管理不规

13、范，导致备份介质损坏或系统及数据恢复困难。4.3 备份介质有出入库记录。借出备份介质时，借用人须填写恳求表，经相关部门担任人审核，信息管理部门责任处(科室)担任人审批后，办理介质出库手续。信息系统管理部分子公司3介质入库记录介质借用恳求表2.10.95缺点处置1.1运营风险：信息根底设备缺点处置流程和应急预案不健全，导致信息根底设备正常运转存在隐患。5.1 信息管理部门担任制定本单位信息根底设备缺点处置流程及应急预案。信息系统管理部分(子)公司4缺点处置流程信息根底设备应急预案2.10.62.10.71.1运营风险：网络、效力器缺点处置不及时，记录不完好，导致信息系统不能正常运转。5.2网络、效力器发生缺点时，运维人员应及时处置缺点，并填写任务记录。信息系统管理部分(子)公司3任务记录应记录缺点发生时间、处置人、缘由、处置结果等内容2.10.71.1运营风险：终端用户计算机设备缺点处置不及时，任务单填写不完好，影响用户正常任务。5.3终端用户计