浅谈SOX法案与企业信息安全

浅谈SOX法案与企业信息安全
安全专业服务部-技术研究部
目录
一、SOX法案产生的背景 二、SOX法案的目标 三、《萨班斯—奥克斯利法案》的组件 四、《萨班斯—奥克斯利法案》对企业不同部门的影响 五、《萨班斯—奥克斯利法案》对IT的影响 六、建议企业信息系统的安全技术采纳的原则 七、《萨班斯—奥克斯利法案》相关的安全技术 八、遵从《SOX法案》404条款的十大难题 九、用IT系统化解访问控制难题 十、《SOX法案》合规的身份识别及访问管理系统
Page 9
内部控制的定义
什么是内部控制（internal control，IC）
– 内控被广泛定义为一种过程（process），被 企业董事会、高管及其他人员所实施，用来提 供对下列目标达成的合理的保证
• 运营的效力（effectiveness）和效率（efficiency） ； • 财务报告的可靠性（reliability）； • 对法律法规的符合性（compliance）
Page 11
构建符合SOX法案的内控框架
COSO只提供了一般性的指南，并没有就SOX合规性审计的具体操作和评价指标做 出强制统一规定，更没有特别针对IT风险管理和控制，因此，具体IT活动的实施还 需要其他的补充标准作为指导 第三方咨询公司都建议企业利用Cobit治理框架制定IT管控目标，并实施ITIL/IT服务 管理流程提高IT管理能力和IT服务水平，在满足SOX合规要求的同时，提高IT部门 工作效力和客户满意度。 – Cobit － Control Objectives for Information and related Technology • 是一套将IT与业务需求联系在一起的IT过程及控制框架 – ISO/IEC27001:2005 / BS7799 • 是实施信息安全管理的一套最佳实践 – ITIL －IT Infrastructure Library • 是一套IT服务管理的最佳实践
• • • 经营效率与效果（Operational efficiency and effectiveness） 财务报告可靠（Financial reporting reliability） 合规性（Compliance with laws and regulations
– 五项要素：
• • • • • 控制环境（Control environment） 风险评估（Riskassessment） 控制活动（Control activities） 信息与沟通（Information&Communication ） 监控（Monitoring）
Page 8 公司层面的控制措施。
Sarbanes-Oxley 中与安全最相关的是什么？
SOX法案将对财务报告的内部控制作为关注的具体内容。要求高管报告公 司对财务报告的内部控制，并要求独立审计师证实管理层报告的准确性； 什么是内部控制（internal control，IC） ?
Page 2
一、SOX法案产生的背景
2002年12月2日安然公司承认会计错误和非正常会计处置（导 致安然公司自1994年以来收入激增6亿美元的原因）后不到一 个月，安然公司申请破产保护。安然公司资产额为628亿美元 ，这是当时美国历史上最大的破产案。 安然事件不久后，世通公司被410亿美元债务和不久批露的关 于其隐藏39亿美元费用的丑闻拖垮，世通公司也申请了破产保 护，其资产额为1070亿美元。就这样世通公司取代安然成为美 国历史上最大的破产案。 安然和世通公司的破产，使人们震惊于上市公司财务与信息系 统的漏洞，改变了投资者和广大公众一直以来对会计和财务报 告自律措施的信赖。 2002年7月30日，美国总统布什签署了《萨班斯—奥克斯利法 案》
Page 6
条款 101－109 201－209 301－309 401－409 501 601－604 701－705 801－807 901－906 1001 1101－1107
三、《萨班斯—奥克斯利法案》的组件
法案的关键组件： 301条款到308条款涉及公司责任，401条款到 409条款涉及强化财务信息批露，这两部分内 容是最具强制执行性质的内容，同时也是备受 关注和广为分析的内容。302条款论述信息批 露控制和程序，404条款论述内部控制和程序 ，这两个条款相关性最大，也得到人们的最广 泛研读。
•
Page 14
四、《萨班斯—奥克斯利法案》对企业不同部门的影响
很明显SOX法案的目标对象主要为财务系统，是一个会计改革 法案，但该法案的出台会对企业的各个部门产生巨大的影响， 如图所示，。 SOX法案对不同 部 门的影响程度可以 看出，实际上企业 财务系统的准确性 和可靠性最终取决 于企业的IT支撑系 统，所以整个萨班 斯法案符合性最终 落地必然是在企业 的IT支撑系统的安 全，必须要求加强 企业的内部控制 Page 15
Page 13
Cobit34个高层控制目标
计划和组织 – 1 定义战略性的信息技术规划（PO1） – 2 定义信息体系结构（PO2） – 3 决定技术方向（PO3） – 4 定义信息技术的组织机构及关系（PO4） – 5 管理信息技术投资（PO5） – 6 沟通管理层的目标和方向（PO6） – 7 管理人力资源（PO7） – 8 确保遵从外部要求（PO8） – 9 评估风险（PO9） – 10 管理项目（PO10） – 11 管理质量（PO11） 采购和实施 – 1 确定自动化的解决方案（AI1） – 2 采购和维护应用软件（AI2） – 3 采购和维护技术基础设施（AI3） – 4 开发和维护程序（AI4） – 5 系统的安装和鉴定（AI5） – 6 管理变更（AI6） • 交付和支持 – 1 定义和管理服务水平（DS1） – 2 管理第三方服务（DS2） – 3 管理性能和容量（DS3） – 4 确保持续的服务（DS4） – 5 确保系统安全（DS5） – 6 确认和分配成本（DS6） – 7 教育与培训用户（DS7） – 8 帮助及向客户提建议（DS8） – 9 管理配置（DS9） – 10 管理问题和事件（DS10） – 11 管理数据（DS11） – 12 管理设施（DS12） – 13 管理操作（DS13） 监控 – 1 监控处理过程（M1） – 2 评估内部控制的适当性（M2） – 3 获得独立的保证（M3） – 4 提供独立的审计（M4）
– 包括IT一般控制和应用控制：
• IT general controls针对基本的计算基础设施，包括 物理和逻辑网络安全、DB管理、灾难恢复等
Page 10
• Application controls针对支持财务报告的特定应用
COSO的核心内容
内部控制是为达到目标提供合理保证而设 计的过程： – 三类目标：
Page 12
Cobit简介
Cobit是由ISACA（InformationSystems Audit and ControlAssociation）在1996年公布的、目前在国际上公认 的最先进、最权威的安全与信息技术管理和控制标准。 Cobit是一套专供企业经营者、使用者、IT专家、审计员与 安控人员来强化和评估IT管理和控制的规范。 Cobit架构的主要目的是为业界提供关于IT控制的一个清楚 的政策和发展的良好的典范，这个架构定义了34个高级IT控 制目标和318个详细控制目标。，分成4个领域：PO（ Planning &Organization）、AI（ Acquisition&Implementation）、DS（Delivery andSupport ）、和Monitoring，所有的程序中提供了最佳的施行指导。 Cobit 涉及的方面很广，但在萨班斯法案要求下，我们只考 虑应用Cobit中与财务报告相关的控制。
PagБайду номын сангаас 4
二、SOX法案的目标
萨班斯法案的第一句话是：“遵守证券法律以提高公司披露
的准确性和可靠性，从而保护投资者及其他目的。”
这句话较好地阐述了萨班斯法案的基本目标。 萨班斯法案是一部涉及会计职业监管、公司治理、证券市场监管等方面改 革的重要法律。由于该法案在颁布时没有提出具体的适用豁免条件，这就 意味着目前所有在美国上市的公司，包括在美国注册的上市公司和在外国 注册而于美国上市的公司，都必须遵守该法案萨班斯法案 为公众公司的外部审计师创建了一个新的监督体制，并把对财务报告的内 部控制作为关注的具体内容，不仅要求管理层报告公司对财务报告的内部 控制，而且要求外部审计师证实管理层报告的准确性。 美国企业界普遍认为，《萨班斯法案》是自20世纪30年代通过证券法案以 来，对美国商界和会计界影响最为巨大的一次立法。《萨班斯法案》完善 了现行美国法规在处理虚假财务报表、虚假财务审计、销毁财务证据等方 面的漏洞。
SOX法案内容繁博，我们无法详细论及每条法规，但是，有一 些重要的法规执行了SOX法案中的关键条款，我们可以了解以 下一些内容（点击打开）：
Page 7
三、《萨班斯—奥克斯利法案》的组件
404条款：内部控制。
404条款要求进行评价的内部控制包括针对与会计报表中所有重要科 目和信息披露相关的所有会计认定所实施的内部控制，包括： 在财务报告中主要交易是如何启动、授权、记录、处理和报告的； 用以防范或找出与重要账户、交易种类和披露相关的错误或舞弊的 内部控制措施； 其它重要内控措施所依赖的内部控制，包括一般性控制，例如信息 系统控制； 非经常性、非系统交易或财务估计的内控措施； 财务报表关账和汇总过程中的内控措施； 资产保护的控制措施；
Page 5
三、《萨班斯—奥克斯利法案》的组件
组件 标题一：公众公司会计监督 标题二：审计师独立性 标题三：公司责任 标题四：强化财务信息批露 标题五：分析师利益冲突 标题六：委员会的资源和权威 标题七：研究和报告 标题八：公司和刑事欺诈责任 标题九：加重白领犯罪处罚 标题十：公司纳税申请表 标题十一：公司欺诈和责任