用友软件首页

企业信息系统测试也须警惕“开门迎盗”!

2016-2-4 0:0:0 wondial

企业信息系统测试也须警惕“开门迎盗”!

企业信息系统测试也须警惕“开门迎盗”!

  案例
  2013年7月,北京一家软件公司的工程技术人员在维护内部服务器时发现,该公司研发的一套“会议管理系统”有被黑客入侵的痕迹,因怀疑相关程序及信息遭到盗窃,于是立即报警。最终,警方锁定了在北京某高校任职的教师张某。随后警方在张某的私人电脑中发现了该软件公司会议管理系统的源代码,及该公司多条客户公司经销商的身份认证信息和详细个人资料。
  张某在某高校从事计算机信息系统的研发。案发前,他也在开发一套与受害公司类似的系统,由于在开发中遇到了技术困难,便设法搞到受害公司的源代码用于抄袭。该套系统的主要功能是为举办会议的公司做参会登记签到。张某冒充客户要体验受害公司的这款系统,得到了一个系统测试账号。在使用时张某发现该系统有漏洞,于是他向服务器中植入木马,窃取了会议管理系统的源代码及受害公司的客户信息。
  2014年1月,张某因犯非法获取计算机信息系统数据罪被判处有期徒刑三年,缓刑三年。

  评述
  随着互联网和信息技术的飞速发展,企业的信息系统安全也受到了来自各方面的威胁。信息系统安全工作的重点逐渐从运行环境、基础设施的安全转向应用系统、信息内容本身的安全保护和访问控制。
  从案例来看,张某之所以能从受害公司获取信息系统的源代码,关键在于公司授予张某的系统测试账号。在信息系统的风险管理中,很重要的一点便是权限管理。根据系统设置的安全规则或策略,用户可以访问且只能访问自己被授权的资源。
  通常,信息系统的安全管理员会按照经过审批的规则或权限清单来设置系统用户的访问及操作权限。一旦权限管理不合理,必然会留下系统漏洞,给信息系统舞弊大开方便之门。那要如何防止类似案例事件的发生呢?信息系统访问控制是关键,可以基于逻辑方式或物理方式进行控制。

  (一)逻辑访问控制
  逻辑访问控制是企业采取的主要控制措施之一,不充分的逻辑访问控制会增加暴露风险并带来损失的机率,包括技术性暴露风险和计算机犯罪。
  身份识别与验证。身份识别与验证是一切逻辑访问控制的前提,系统用户通过向系统提交有效的身份证明,系统验证身份证明后向用户授予访问系统特定资源的权力。在日常生活中最常见的就是账号和密码。此外,还有一些其他身份识别与验证的方法,如令牌设备(比如银行U盾)、声音、指纹等。身份识别与验证是实现信息系统安全的重要基础,同时也是绝大数类型的访问控制采取的方法。
  逻辑访问路径。系统可以通过设置不同路径来进行逻辑访问,而每种路径都应该有适当的访问安全级别,通过对系统进入端口的管理可以控制用户对信息资源的访问能力。如一些特定的信息系统,需要在特定的系统端口(电脑等)或通过特定服务器才能进行访问,而远程访问模式则需要确认远程用户的个人账号和密码。通过对访问路径的控制,可以更加有效地补充由身份识别与验证带来的不足。
  逻辑访问授权。逻辑访问控制在正确识别用户身份后,要通过授权过程赋予用户对系统逻辑访问的能力,并把授权内容正式记录在案,以便于在系统中执行及日后检查审核。一般情况下,逻辑访问控制基于最小授权原则,只对因工作需要访问信息系统的人员进行必要的授权。如本案中的软件公司授予张某系统测试账号,其实是给予他过高的访问权限。如果受害公司更严谨一点的话,应在张某使用完账户后就对系统和内部服务器进行检测,以确认系统没有被进行篡改或者破坏。
  信息系统的访问有多种级别控制,在逻辑访问授权时,应该清楚系统用户在某一级别的访问能做什么,不能做什么。如果系统用户在企业中变换工作角色或是离职时,安全管理人员就应该及时地更新授权。

  (二)物理访问控制
  信息系统用户或者相关人员出入系统的关键区域,需要采用适当的物理访问控制。物理访问控制如果管理不善,其中存在的风险可能引发财务损失、法律诉讼、信誉受损甚至丧失竞争优势。物理访问风险可能来自对安全规定的违反,包括未经授权进入信息处理场所,毁损、破坏或窃取设备、财产或文件,复制或偷看敏感的信息等。
  信息系统的相关处理场所和实施都要纳入物理访问控制范围。通用的物理访问控制包括门锁或是组合门锁、摄像监控、出入陪同、访问日志登记、自动报警系统等。企业需要针对不同的物理访问控制区域,选择合适的安保措施,利用有效的物理访问控制技术,保障物理访问的安全。所谓“道高一尺,魔高一丈”,企业对于信息系统安全风险的控制永远不能松懈,而是应该随着技术的发展,不断地提高自身的管理水平,守护好企业信息系统的大门。 

如果您的问题还没有解决,可以到 T+搜索>>上找一下答案

分享到:

微博关注

bj用友软件

最新信息

热点文章

新闻资讯

  • 【新年首签】天津用友&通广集团签署战略协议

    【新年首签】天津用友&通广集团签署战略协议

    天津用友软件技术有限公司(以下简称天津用友)和天津通信广播集团有限公司(以下简称通广集团)就企业信息化建设事宜进行战略签约。

    参加此次会议有天津用友总经理赵永春,天津用友副总经理王成岩、通广集团副总经理马严、通广集团科技质量部部长尹刚、七一二公司技术质量部部长门国梁、七一二公司技术中心主任黄建尧等。

    image

  • 会计职场堪比宫斗剧

    会计职场堪比宫斗剧

     近几年,各种宫斗剧火爆,《甄嬛传》《芈月传》等等都脍炙人口,许多人经常打趣自己像某个人物,若是在古代能活到第几集。让人不禁想起,会计职场又何尝不是一场宫斗,每天要察言观色,明了领导的内心,就像后宫谁也不敢惹皇后一样。但当你坐上领导位置的时候,盯着你的眼睛就会很多,稍有不慎就会被取代。就像后宫的嫔妃一样,就算坐上了皇后的位置也要时刻担心有没有人觊觎。

    image

知 识 库

  • 用友软件凭证填制环节常见问题及解决方案

    用友软件凭证填制环节常见问题及解决方案

    用友软件凭证填制环节常见问题及解决方案用友软件凭证填制环节常见问题及解决方案

      用友软件的账务处理采用放射式数据处理流程,对业务数据采用集中收集、统一处理、数据共享的操作方法,凭证数据库既是数据归集的“信息仓库”,又是后续业务处理的“信息源泉”。因此,凭证填制数据的正确与否直接关系到后续账表及相关业务信息的准确性。
      在用友软件中,其基础设置及凭证管理模块为我们提供了凭证类别控制、受控科目控制、制单序时控制、支票控制、制单权限控制等功能,加强了对发生业务的及时管理和控制,通过严密的制单控制保证填制凭证的正确性。然而在实际应用中,却常因用户不理解各项控制参数的含义,以及对后续操作的影响;没有准确无误地设置相关控制参数及基础信息;没有正确完整地录入凭证辅助信息等原因,使先进的控制工具无法充分发挥效用,损失了部分数据信息,降低了软件的使用效能。对此,笔者将以用友ERP-U8.72软件为例,总结凭证填制环节的常见问题,结合典型案例,追根寻源,深入剖析其产生的原因,以便对症解决。一、凭证类别设置时常见问题
      出错信息描述:“不满足借方必有条件”,“不满足贷方必有条件”,“不满足借贷必无条件”,“不满足凭证必有条件”。
      典型案例剖析:2009年8月16日,总经理办公室支付业务招待费1 200元,转账支票号ZZR003。凭证内容如下:
      借:管理费用/招待费(660205)1 200
      贷:银行存款/工行存款(100201)1 200
      当凭证保存时,弹出出错信息框,提示“不满足借贷必无条件”。此信息说明用户之前为不同类别的凭证设置了限制条件,指定了相应的限制类型和限制科目。这样,当凭证填制时,系统就会根据所设置的凭证类别判断凭证内容是否符合限制条件,不相符时就会出现类似的出错信息。对于此类问题,用户首先应根据提示信息,认真查对所选凭证类别与所录入的业务内容是否相符,然后进一步判断究竟是凭证类别设置错误,还是会计科目选择错误?
      此案例中的凭证类别选择的是“转账凭证”,转账凭证的限制类型应为“凭证必无”,限制科目为“1001,100201,100202”,即在凭证借贷方不能出现这三个科目。而该凭证的贷方却出现了100201科目,显然违背了所设置的限制条件。进一步判断可知,此问题是因凭证类别设置错误所致的。根据业务内容该凭证类别应为“付款凭证”,而非“转账凭证”。当更正凭证类别后,问题即得到解决。经进一步分析得知,用户在填制凭证时,因为看到在业务中用到了转账支票,就认为这应该是一张转账凭证,从而导致凭证类别判断错误。而追根寻源是由于用户对业务的凭证类别判断不准,不明白凭证类别的限制条件,甚至于不清楚什么是收、付、转凭证。当问题出现时,就会因不理解凭证类别限制条件的含义而找不到问题解决的方向和方法。
      此外,对于此类问题,如果用户在认真查对后,发现凭证类别与凭证内容匹配,但仍出现出错信息,则应考虑可能是因用户粗心将凭证类别的限制条件设置有误。常见的错误有将收款凭证和付款凭证的限制类型设反了,或将转账凭证的限制类型设为“凭证必有”,或未写全限制科目。

  • 浅议电算化会计中若干会计方法

    浅议电算化会计中若干会计方法

    浅议电算化会计中若干会计方法浅议电算化会计中若干会计方法

      一、电算会计中借贷记账法是否不适用
      在借贷记账法中,“借”既可以表示增,也可以表示减,而“贷”既可以表示减,也可以表示增,卢卡?帕乔利提出的复式借贷簿记方法之所以几百年来一直为人们所推崇,正是因为其“有借必有贷,借贷必相等”的锱铢必较、泾渭分明的科学原理。尽管我国会计实务也曾一段时间对增减记账法和收付记账法情有独钟,但最终仍达成共识,采用了国际上通用的借贷记账法。有人以会计软件常以正、负号分别替代借、贷符号为由,企图说服人们相信这一记账法已经难以胜任新形势。应当注意的是,即使借、贷符号在数据库中不采用“借”和“贷”加以表示,也并不表明借贷记账法就可放弃。不可否认,在将借贷记账凭证的发生额登录到总账之后,对于登账后所结计的期末余额往往以正数表示借方余额,而以负数表示贷方余额,甚至在借贷库文件中只设一个金额字段,在该字段中分别以正负号表示借贷方。但所有这些标记都没能改变“有借必有贷,借贷必相等”的规则,其实质仍然是借贷记账法。这里的正、负号与增减记账法的增减符号的属性风马牛不相及。
      从长远来看,随着原始凭证的逐步电子化,记账凭证的自动生成势在必行,届时,何种记账方法使自动生成更可行,当然要根据其科学性而定。智能软件的设计凭借的是科学的方法和严密的思维与推断,而经过了数百年磨练的借贷记账法,无疑是未来智能专家设计会计软件的最佳选择。当然,一味否定增减记账法的科学性也是错误的。在计算机之中,当采用增减记账法填制记账凭证之后,我们完全可以编写一段简短的程序将其转换为借贷记账法下的相应记账凭证。其转换的主要依据是各该科目的记账符号与所属科目类别。以从银行提取现金为例,在增减记账法下,增记“现金”,减记“银行存款”。现金和银行存款都是资产类科目,对资产类科目,其增加就转换为“借”,其减少就转换为“贷”。依此,也可将借贷记账法下的凭证转换为增减法下的凭证。

      二、“反结账、反记账、取消审核”的可行性
      至今,尚有不少会计核算软件设置“取消审核”、“反记账”、“反结账”的功能。在实际工作中,这些设置的确给会计人员的会计处理带来许多方便,尽管许多学者对此提出异议,但不少实务工作者却对其依依不舍。有的学者甚至认为,在计算机特定的工作环境中,反记账的作用不可替代。其理由是,在实际工作中存在大量错误的记账凭证,如果不施行反记账的做法,则将导致账簿中存在大量无用的冗余信息,影响对会计信息的使用。
      所谓电算化会计中“反记账”,事实上也就是将一批原先已经登录到账簿上的发生额从各该账户再予以扣减,使各该账簿恢复至该批凭证登账之前账簿的发生额和余额状态。毋庸置疑,没有人会赞同手工会计下采用“反记账”。对手工的账簿记录,为了保证其有案可稽,当其发生错误时,不准涂改、挖补、刮擦或者用药水消除字迹,不准重新抄写。同时,对两种出错情况的更正应当分别加以严格处理:一是登记账簿时所发生的错误,“应当将错误的文字或者数字划红线注销,但必须使原有字迹仍可辨认”;在实际工作中,由于记账凭证出错而导致账簿记录发生差错时而发生。一般采用两种方式进行相应的修改:一是红字冲销法,二是补充更正法。这些详细而又具体的规定所强调的一点,那就是对出错之处必需留有修改的痕迹。
      在电算会计之中,记账错误和记账凭证填制错误仍然在所难免。虽然红线注销法在电算会计中难以操作,但对出错的电子数据,却不能不留下修改的痕迹。解决的办法只有一个,保留错误电子数据,另作更改的记账凭证,并据以登录账簿,换言之,要将正与误两张凭证同存于会计档案之中,同时,其所登录的正与误两处账簿记录并存于同一账簿之中。《会计核算软件基本功能规范》第十八条也作出与上相同的规定:“发现已经输入并审核通过或者登账的记账凭证有错误的,可以采用红字冲销法或者补充凭证法进行更正;记账凭证输入时,红字可用‘-’号或者其他标记表示”。
      由上可见,不管是手工会计,还是电算化会计,对出错的修改均强调留有痕迹。事实上,电算化会计中,由于电子数据的修改在技术上可不留痕迹,因而更需要对留有痕迹予以强调。

  • 最新文章排行
  • 热门文章排行

管理软件

  • T3卸载就会跳到安装界面去,用360工具也卸载不了。请问这种情况哪位老师遇见过,我们应该如何处理。谢谢、在线等。

    T3卸载就会跳到安装界面去,用360工具也卸载不了。请问这种情况哪位老师遇见过,我们应该如何处理。谢谢、在线等。

    T3卸载就会跳到安装界面去,用360工具也卸载不了。请问这种情况哪位老师遇见过,我们应该如何处理。谢谢、在线等。 T3卸载就会跳到安装界面去,用360工具也卸载不了。请问这种情况哪位老师遇见过,我们应该如何处理。谢谢、在线等。[]

    备份好账套,这种情况只能强制删除了,请备份好账套之后,停止数据库服务和T3产品服务,自动备份服务;然后删除T3安装路径以及C盘下ufcomsql文件夹,然后使用360清除无用注册表,最后重启电脑即可;

  • 用友T3-用友通标准版录完期初后,总账系统和往来管理中往来科目期初余额不一致

    用友T3-用友通标准版录完期初后,总账系统和往来管理中往来科目期初余额不一致

    用友T3-用友通标准版录完期初后,总账系统和往来管理中往来科目期初余额不一致 用友T3-用友通标准版录完期初后,总账系统和往来管理中往来科目期初余额不一致

    用友T3-用友通应收账款在总账系统明细表中期初余额为10元,但在往来管理客户科目余额表中期初余额为110元.
    挂上往来辅助核算之后在总账期初余额里录入期初,后来发现录错了,接着就取消往来辅助核算,直接清空总账期初余额表面的金额(下图红色),却没有删除期初余额往来中的明细(下图蓝色)

关于我们 | 公司动态 | 获奖记录 | 联系我们 | 招聘信息 | 用友产品中心 | 用友云基地
Copyright ©  www.kuaiji66.com  All Rights Reserved 天龙瑞德
京ICP备11046295号-1 技术支持 北京天龙瑞德信息技术有限责任公司   北京海淀上地十街辉煌国际大厦3号楼6层 总机:010-59798025   售后:4009908488
北京天龙瑞德信息技术有限责任公司