AQA 信息与通信技术/ICT4/法律方面
企业信息系统 (IS) 安全策略旨在保护公司免受威胁。此安全策略应成为组织战略管理的一部分。将其做好至关重要，因为
- 为公司提供保护自身所需的安全性需要成本
- 用户对计算机系统的安全性持怀疑态度，并且高度意识到所涉及的风险
人们不想参与一家以不安全而闻名的公司
信息系统安全策略的存在是为了
- 保护系统免受可用性、完整性或机密性损失
- 防止和检测滥用，包括针对相关法案和公司内部政策的滥用
- 根据政策中规定的程序调查和处理任何滥用行为
- 限制和恢复损失
信息系统安全中的三道防线是
- 预防
- 检测
- 恢复
企业信息系统策略应包括考虑对系统最终用户的安全意识培训和推广，因为安全漏洞很可能发生在那里。
他们应该接受有关从互联网下载未知可执行文件或不使用易于猜测的通用密码等事宜的教育。
审计是公司对其软件和硬件进行的调查。审计是为了最大程度地减少公司资源数据库（通常用于保险目的）的错误，监控系统的效率以及确保其软件符合适当的许可证。
审计结果用于提高公司硬件数据库的准确性，从而更好地支持和容量规划。
许多公司使用外部审计师来最大程度地减少内部欺诈的可能性，但一些公司出于成本考虑进行内部审计。根据法律（针对注册公司），每年都需要对财务记录进行审计。
审计还可能涵盖系统（特别是财务系统）的准确性。有三种类型的审计技术，其中审计师手动计算系统的预期输出并检查其是否匹配。
- 实时数据测试 - 审计师使用系统当前处理的实际数据。这样做有不能检查所有可能数据类型的缺点。
- 历史数据测试 - 在这种情况下，审计师将旧数据重新输入系统，因此除了手动检查之外，审计师还可以检查系统在两次运行时是否一致。
- 虚拟数据测试 - 审计师在此生成假数据，以测试所有可能性
这种审计方式的问题在于，当系统对审计师可用时，它无法用于其正常功能，并且它只提供了系统在那一刻的快照。
审计跟踪是系统创建的日志，显示哪些内容已更改以及谁做了什么。（Mediawiki 有一个很好的例子，例如，请查看 此页面的历史记录页面。）
- 人为错误（数据输入错误、程序错误、操作员错误）
- 计算机犯罪（黑客攻击、非法修改数据、病毒和逻辑炸弹）
- 自然灾害（火灾、地震、飓风、洪水）
- 战争和恐怖主义活动（炸弹、火灾）
- 硬件故障（电源故障、磁盘磁头损坏、网络故障）
建筑安全旨在保护场所免受闯入、未经授权的访客等。
授权软件涉及用户 ID 和密码。它强制用户登录才能访问其计算机和网络，并且可以强制执行“访问权限”，限制对某些文件和文件夹的权限。
通信安全可以使用回拨（当触发时，它会拨给你，而不是你拨进来 - 确认你的身份）、握手（两台计算机之间预定的交换，通常遵循算法）和加密 - 通过仅由两个通信系统知道的设置算法更改文本。
操作安全涉及使用日志来显示系统的使用情况并创建审计跟踪。
人员安全是必要的，因为人员通常是信息系统中最容易被利用的部分。需要基本的用户信息安全才能防止使用“社会工程学”进行访问。缺乏动力的员工也可能对公司数据造成破坏。通过将事务中的任务拆分，因此需要多个人参与，从而减少欺诈。
这是整个公司 ICT 安全策略的一部分，是管理人员而不是技术人员需要做的事情。风险分析可能包括找到以下问题的答案
- 系统中存储的是什么类型的数据？
- 如何使用数据？
- 谁可以访问系统？
- 如果数据丢失、损坏或被盗，公司将损失多少钱？
灾难（见自然灾害）计划通常只关注业务的关键方面，而不太重要的功能通常成本太高。
为了防止企业在灾难中倒闭，可以实施两种“最后的手段控制” - 保险和灾难恢复计划。保险不是一种预防措施，但它确实有助于减少损失的财务影响。
灾难恢复计划必须包含备份设施的规定，这些设施可以在灾难发生时使用。一些可能性是
- 公司拥有的备份设施，地理位置分散 - 有时称为“冷备用”站点。
- 与另一家运行兼容计算机系统的公司的互惠安排。
- 订阅灾难恢复服务。
如何选择合适的恢复计划？使用各种标准
- 组织及其 ICT 系统的规模
- 运营的性质：在线系统可能需要在几个小时内恢复，而批处理计费流程可以在离线状态下运行几天。
- 不同选项的相对成本：拥有多个站点通过电信连接的公司可能能够制定 DRP，将运营暂时转移到另一个站点。
- 灾难发生的感知可能性。一家位于 Intake 的公司可能需要一个计划来应对盗窃，但不需要应对地震。
我们已经在ICT1中涉及了涵盖 ICT 的立法。对于 ICT4，你需要能够回忆起数据保护法案、版权、设计和专利法案、计算机滥用法案和健康与安全法案。在设计公司信息系统策略时，公司应确保其符合相关的法律法规。