国际注册内部审计师

8.3 How to Prevent Malwares and Computer Crimes

防范恶意软件和计算机犯罪

通过合理地维护和配置系统可以增强系统的健壮性和免疫能力，如：

· 及时下载并安装操作系统和应用系统的补丁包。

· 在系统运行时关闭管理员特权。

· 限制特权代码的使用。

· 只从经过验证或指定的网站下载。

· 启用高安全级别；阻断各种恶意软件的进入渠道。

· 通过直接输入URL地址来访问网站，如不要点击电子邮件中的链接。

· 加密敏感信息或离线保存。

建立多层次的病毒防范体系。有两种预防及侦测病毒感染的方法，其一是建立规范、严谨的管理策略与程序；其二是采用技术方法，如防病毒软件。

预防和侦测病毒的管理控制策略包括：

· 安装正版软件。

· 凡未在单机中扫毒的软件（无论是否正版）不允许在网络环境中使用。

· 确保在工作站、主机和服务器中均已安装杀毒软件。

· 随时更新病毒特征库。

· 备份数据也需要经过杀毒程序，以确保备份的有效性。

· 教育用户遵守公司的策略及程序。

· 至少每年审核一次防毒策略与程序。

防病毒软件的功能通常包括：扫描、动态监控、完整性检查、行为阻断，此外，防病毒软件应具有预防控制的功能。应定期更新病毒特征库，否则防病毒软件将无法有效防止病毒。但即使拥有最新的病毒特征库，也不能保证查杀所有病毒，因此不能过于依赖防病毒软件。

8.4 Privacy

隐私权

隐私权是个人对其私有信息享有的权利，如企业未经授权不得将客户的电话号码、地址等信息泄露给第三方。信息技术使侵犯隐私权变得更容易，任何进入信息系统的个人信息，都有可能被永久地用于商业目的甚至非法活动（如恐吓信）。随着信息系统应用的深入，对隐私权的保护越来越受到重视。

组织和员工在隐私权的问题存在天然的矛盾，因为组织需要保护其自身的利益和防止不适当的活动，而员工则要求其个人行为和信息不受侵犯。组织对其雇员的过度监控会导致员工士气的低落，因此清晰的政策和良好的沟通十分重要，政策应告知员工什么是受监控的，什么是不受监控的，以及对员工的期望。

组织侵犯了隐私权可能给当事人带来巨大的伤害，越来越多的国家制定了各种保护隐私权的法律、条例，组织应确保予以遵守。大多数国家的隐私权立法均部分地基于美国联邦贸易委员会提出的公平信息原则（FIP），FIP认为交易双方均对对方负有责任，个人拥有隐私权但需要证明其身份，而组织则对信息的采集和使用承担责任。FIP包括：

· 通告：在采集数据之前，WEB站点必须披露采集者的身份和其他受众、数据的用途、是否自愿以及将采取哪些措施保护数据。

· 选择：消费者应能够选择如何在交易之外使用该信息。

· 访问：消费者应能够方便访问和修改其个人信息而无需支付昂贵的费用。

· 安全：数据采集者必须保证其拥有足够的数据控制。

· 强制：通过各种法律法规保证FIP条款的强制实施。

组织至少应采取合理的措施，以避免招致法律诉讼、罚款以及负面的公众形象和信誉等严重后果。

 相关推荐

更多内审师考试模拟试题

更多内审师考试辅导资料

（责任编辑：中大编辑）

共2页,当前第1页  第一页  前一页  下一页