11.5基础设施IT一般性控制内部控制矩阵VIP免费

第1页共4页编号：时间：2021年x月x日书山有路勤为径，学海无涯苦作舟页码：第1页共4页11.5基础设施IT一般性控制内部控制矩阵业务目标业务风险控制点适用单位不相容岗位控制点分值控制点相关资料相关制度索引会计报表认定会计报表项目1存在和发生/真实性；2完整性；3权利与义务；4估价或分摊；5表达和披露；6准确性1234561．网络管理1.1网络基础管理1.12.12.2经营风险：网络管理制度不健全，导致网络管理存在漏洞。合规风险：信息基础设施的使用未遵守保护知识产权、合同法等有关国家法律、法规，股份公司声誉受到损害，受到相关部门处罚。1.1.1总部和分（子）公司依据《中国石油化工股份有限公司网络管理办法》（以下简称《网络管理办法》）及相关管理制度和工作流程实施对网络的管理，包括网络运行维护管理、网络互联管理、网络设备密码管理、网络管理员管理、远程接入网络管理、病毒防护管理等。信息系统管理部分(子)公司5网络管理办法2.10.51.1经营风险：网络相关管理人员配备不到位，导致网络管理存在安全隐患。1.1.2各级信息管理部门依据《网络管理办法》及相应岗位职责，配备网络管理员、安全管理员，由信息管理部门负责人审批。信息系统管理部分(子)公司安全管理员网络管理员3网络管理员、安全管理员授权文档2.10.51.1经营风险：未编制网络运行维护技术文档或文档未妥善保管，导致网络运行维护缺乏技术资料等重要依据。1.1.3各级信息管理部门负责编制网络运行维护的相关技术文档，包括网络拓扑图、IP地址分配表以及网络设备配置文件等，由专人负责整理和保存。信息系统管理部分（子）公司4IP地址分配表网络拓扑图网络设备配置记录表2.10.51.1经营风险：网络设备密码设置强度不够或更改不及时，造成公司内部网络被非授权访问和攻击。1.2网络设备登录设置合理的密码规则，密码要求长度六位以上，采用数字和字符组合方式，新密码不得与前五次历史密码相同。网络管理员必须每六个月修改网络设备登录密码，填写密码更换记录，经安全管理员确认并在信息管理部门备案。信息系统管理部分（子）公司安全管理员网络管理员5密码变更记录2.10.51.3网络互联安全管理1.1经营风险：网络互联接口处未部署安全设备，导致内部网络被非授权访问和攻击。1.3.1总部和分（子）公司依据《网络管理办法》相关要求，在关键网络互联接口处部署安全设备，信息管理部门授权专人负责安全设备的管理，并备有安全设备配置文档。分（子）公司与外部网互联情况上报信息系统管理部备案。信息系统管理部分（子）公司4安全设备配置文档与外部网互联备案记录表2.10.21.1经营风险：安全管理员未及时发现安全设备规则存在的漏洞，导致内部网络被非授权访问和攻击。1.3.2安全管理员每季度对安全设备的规则进行复核、确认、检查，填写安全设备配置检查记录表。信息系统管理部分（子）公司4安全设备配置检查记录表2.10.21.1经营风险：安全管理员未及时对相关日志审计分析，导致内部网络被非授权访问和攻击。1.3.3安全管理员每周对网络设备登录日志、防火墙日志、入侵检测日志等进行分析审计。信息系统管理部分（子）公司4网络设备登陆日志审阅表防火墙日志审阅表入侵检测日志审阅表2.10.21.4终端用户接入管理1.1经营风险：用户未经授权即可接入网络，导致内部网络被非授权访问和攻1.4.1用户终端接入网络需填写申请表，由申请人所在部门确认，信息管理部门（责任处(科）室)负责人批准并备案。申请表内容应包含终端信息系统管理部分（子）公司3终端用户接入申请表2.10.5第2页共4页第1页共4页编号：时间：2021年x月x日书山有路勤为径，学海无涯苦作舟页码：第2页共4页业务目标业务风险控制点适用单位不相容岗位控制点分值控制点相关资料相关制度索引会计报表认定会计报表项目1存在和发生/真实性；2完整性；3权利与义务；4估价或分摊；5表达和披露；6准确性123456击。接入安全责任条款。1.1经营风险：未对用户登录网络进行管理，导致内部网络被非授权访问和攻击。1.4.2建立用户登录网络认证机制，避免对中国石化内部网络未经授权的访问。信息系统管理部分（子）公司32.10.51.1经营风险：人事部门未及时提供人员离职交接表，...