KIỂM SOÁT HỆ THỐNG THÔNG TIN
6.1 Uỷ quyền tiếp cận tài liệu của công ty
6.1.1 Rủi ro
Dữ liệu kế toán và tài liệu của công ty (hồ sơ khách hàng, đăng ký tài sản, hồ sơ nhân viên,…) có thể bị sửa đổi, sao chụp, sử dụng theo cách bất lợi hoặc bị ai đó không có thẩm quyền phá huỷ.
6.1.2 Giải pháp
Từng người sử dụng máy tính cần có một tài khoản người sử dụng và mật khẩu duy nhất và bất kỳ phầm mềm nào cũng cần được thiết kế để vận hành với đúng tài khoản người sử dụng đó.
Các phần mềm cụ thể cũng nên được thiết kế theo cách mà những người sử dụng cụ thể được trao quyền sử dụng một phần hoặc tất cả phần mềm, hoặc tiếp cận một phần hoặc toàn bộ hồ sơ dữ liệu.
Công ty nên có chính sách rõ ràng bằng văn bản về điều này và chính sách này nên được Cán bộ Quản lý IT hoặc một người khác có thẩm quyền lưu giữ và thực hiện.
Sổ ghi người sử dụng máy tính và các phần mềm cần được kích hoạt khi có thể. Những người sử dụng thường xuyên không được phép có khả năng xoá hoặc sửa đổi sổ ghi (nghĩa là họ không được có quyền của cán bộ quản lý IT). Định kỳ công ty nên tiến hành kiểm tra độc lập về các sổ ghi để xác định những người sử dụng không được phép.
6.2 Bảo vệ cơ sở dữ liệu và tài liệu của công ty
6.2.1 Rủi ro
Các tệp tin dữ liệu, tài liệu của công ty và phần mềm độc quyền của công ty có thể bị hư hỏng do cháy, hỏng phần cứng, do những hành động phá hoại hay ăn cắp.
6.2.2 Giải pháp
Các tệp tin và bản ghi cần được thường xuyên lập bản sao dự phòng, tốt nhất là hàng ngày nhưng nhất định không được ít hơn mức hàng tuần.
Trong điều kiện lý tưởng nên có 2 tệp tin dự phòng hoặc nhiều hơn nữa, một tệp tin cất giữ an toàn ở văn phòng và một tệp tin cất giữ an toàn ngoài văn phòng.
Quy trình lập bản sao dự phòng phải được kiểm tra định kỳ và nên có một kế hoạch chi tiết cho việc phục hồi trong trường hợp tệp tin dữ liệu chính bị hỏng hoặc một trong những tệp tin dự phòng bị hỏng.
Các dữ liệu quan trọng nên được cất giữ ở máy chủ trung tâm, hoặc hệ thống lưu giữ mạng, và không nên lưu giữ ở các máy tính riêng lẻ. Điều này là rất quan trọng vì các đĩa cứng riêng lẻ dễ bị hỏng hóc, dẫn đến mất toàn bộ dữ liệu trên các đĩa cứng đó. Máy chủ và hệ thống lưu giữ mạng nên sử dụng RAID hoặc các hệ thống khác để ngay cả khi một đĩa cứng bị hỏng, dữ liệu cũng không bị mất.
Máy chủ tệp tin trung tâm, hệ thống lưu giữ liên quan đến mạng, và các đĩa dự phòng nên được để ở nơi an toàn, có khóa và chỉ một số người hạn chế có thể tiếp cận.
6.3 Bảo vệ hệ thống máy tính
6.3.1 Rủi ro
Phần cứng, phần mềm và các tệp tin dữ liệu có thể bị hỏng do việc sử dụng trái phép hoặc do tin tặc, do cài đặt phần mềm không đăng ký, hoặc do virus phá hoại.
6.3.2 Giải pháp
Công ty nên cài đặt phần mềm diệt virus, chẳng hạn như Norton Anti-Virus, trên tất cả các máy tính và thực hiện quy định là định kỳ chạy và cập nhật phần mềm này. Phần mềm diệt virus nên được thiết kế để quét tất cả các tệp tin công ty nhận qua email hoặc mở ra.
Công ty nên có quy định không được chạy phần mềm nào chưa cài đặt, không có bản quyền hoặc phần mềm tự chạy mà không được sự phê chuẩn bằng văn bản của cán bộ quản lý IT hoặc cấp quản lý phù hợp. Trong khi đó, người sử dụng bình thường mà dùng máy chạy trên môi trường Windows chỉ nên có quyền của “người sử dụng” để họ không thể cài đặt các phần mềm vào máy tính của họ. Theo cách này, chỉ cán bộ quản lý IT mới có thể cài đặt phần mềm vào các máy tính.
Nếu công ty có hệ thống mạng máy tính mà kết nối với internet thì công phải bắt buộc phải có bức tường lửa giữa mạng của công ty với internet. Nếu các máy tính đơn lẻ kết nối trực tiếp với internet, thì từng máy tính nên có bức tường lửa cho phần mềm, chẳng hạn như Norton Firewall, cài đặt trong từng máy và cần được thiết kế chính xác.
