为保证访问资金管理系统的安全性，系统用户采用（）方式登陆，系统通过公司统一用户管理系统管控各用户访问权限

阅读以下关于信息系统安全性的叙述。

某企业根据业务扩张的要求，需要将原有的业务系统扩展到互联网上，建立自己的B2C业务系统，此时系统的安全性成为一个非常重要的设计需求。为此，该企业向软件开发商提出如下要求：

(1) 合法用户可以安全地使用该系统完成业务;

(2) 灵活的用户权限管理;

(3) 保护系统数据的安全，不会发生信息泄漏和数据损坏；

(4) 防止来自于互联网上各种恶意攻击；

(5) 业务系统涉及到各种订单和资金的管理，需要防止授权侵犯；

(6) 业务系统直接面向最终用户，需要在系统中保留用户使用痕迹，以应对可能的商业诉讼。

该软件开发商接受任务后，成立方案设计小组，提出的设计方案是：在原有业务系统的基础上，保留了原业务系统中的认证和访问控制模块；为了防止来自互联网的威胁，增加了防火墙和入侵检测系统。

企业和软件开发商共同组成方案评审会，对该方案进行了评审，各位专家对该方案提出了多点不同意见。李工认为，原业务系统只针对企业内部员工，采用了用户名/密码方式是可以的，但扩展为基于互联网的B2C业务系统后，认证方式过于简单，很可能造成用户身份被盗取；王工认为，防止授权侵犯和保留用户痕迹的要求在方案中没有体现。而刘工则认为，即使是在原有业务系统上的扩展与改造，也必须全面考虑信息系统面临的各种威胁，设计完整的系统安全架构，而不是修修补补。

[问题1]

信息系统面临的安全威胁多种多样，来自多个方面。请指出信息系统面临哪些方面的安全威胁并分别予以简要描述。

[问题2]

认证是安全系统中不可缺少的环节，请简要描述主要的认证方式，并说明该企业应采用哪种认证方式。

[问题3]

请解释授权侵犯的具体含义；针对王工的意见给出相应的解决方案，说明该解决方案的名称、内容和目标。

X公司董事会委托y会计师事务所对该公司200 X年6月30 H与财务报表相关的内部控制的有效性的认定进行审核.X公司采用手工会计系统.在审核的过程中.A和B注册会计师了解了 X公司内部控制的设卄与执行过程中部分内容播录如下：

（1）为加强货币资金.支付管理，货币资金支付审批实行分级管理办法：单笔付款金额在10 万元以下的由财务部经理审批单笔金额在10万元上、50万元以下的?由财务总监审批；单笔付款金额在50万元以上的，由总经理审批.

（2）为统一财务管理.提高会计核算水平.设置内部审计部.与财务部一并由财务总监分管。内部审计部的主要职责是对公司内部控制的健全、有效，会计及相关信息的真实、合法、完整.资产的安全、完整，经营绩效以及经营合规性进行检查、监督和评价.

（3）为保证公司投资业务的不相容岗位相互分离、制约和监督.投资业务分由不同部门或不同职员负责.其中：投资部的甲职员负责对外投资预算的编制；投资部的乙职员负责对外投资项目的分析论证及其评估；财务部负责对外投资业务的相关会计记录.

（4）在发出原材料的过程中.仓库部门根据生产部门开出的领料单发出原材料。领料单必须列明所需原材料的数量和种类.以及领料部门的名称.领料单可以一料一单.也可以多料一单.通常需一式繭联.仓库部门发出原材料后.其中一联连同原材料交还领料部门.一联留仓库部门据以查记原材料明细账.

（5）丙职员在核对商品装运凭证和相应的经批准的销售单后.开具销售发票。具体程序为：根据已授权批准的商品价目表填写销售发票的金额，根据商品装运凭证上的数量填写销售发票的数量；销售发票的其中一联交财务部丁职员据以登记与销售业务相关的总账和明细账.

要求：假定X公司的其他内部控制不存在缺陷，请从企业内部控制的理论和方法角度.分别指出X公司内部控制设计与执行过程中是否存在缺陷.并简要说明理由。

甲公司是一家国有全资电力公司，主要为国内企事业单位和个人提供生产、生活用电。甲公司成立于一百多年前，一直采用煤炭发电。甲公司承担着保持社会稳定发展及民生的责任，为居民提供合理或较低价格水平的电力服务，政府对甲公司产生的亏损提供补贴。为鼓励甲公司提高营运效率，建立符合市场竞争需求的运行模式，政府于2010年决定将甲公司改制为股份有限公司，通过公开招股筹集资金并将其股票上市交易。2011年，甲公司股票上市后，政府持有甲公司股票的比率由原有的100%降至51%。甲公司上市后，开始着手研究并实行低成本、低碳排放的发电模式，如研究用风力发电、地热发电、天然气发电取代煤炭发电的可能性。同时，甲公司还着手对上市前咨询机构提交的多个境外投资方案进行评估。但当甲公司管理层要求信息技术部提供评估需要的相关数据时，信息技术部告知有关信息系统的一些月度数据被人删除，无法提供。甲公司经调查发现，一名已被甲公司辞退的后勤部职员，在退职后未经允许进入系统删除了有关信息。为此甲公司进行了信息系统安全风险评估。要求：（）简述信息系统安全风险评估常用的模式及其特点，并指出甲公司为防止信息被删除应采取的一般控制措施

X公司董事会委托Y会计师事务所对该公司2008年6月30日与财务报表相关的内部控制的有效性的认定进行审核。X公司采用手工会计系统，在审核过程中，A和B注册会计师了解了X公司内部控制的设计与执行过程，部分内容摘录如下：

1．为加强货币资金支付管理，货币资金支付审批实行分级管理办法：单笔付款金额在10万元以下的，由财务部经理审批；单笔付款金额在10万元以上50万元以下的，由财务总监审批；单笔付款金额在50万元以上的，由总经理审批。

2．为统一财务管理、提高会计核算水平，设置内部审计部，与财务部一并由财务总监分管。内部审计部的主要职责是对公司内部控制的健全、有效，会计及相关信息的真实、合法、完整，资产的安全、完整，经营绩效以及经营合规性进行检查、监督和评价。

3．为保证公司投资业务的不相容岗位相互分离、制约和监督，投资业务分由不同部门或不同职员负责，其中：投资部的甲职员负责对外投资预算的编制；投资部的乙职员负责对外投资项目的分析论证及其评估；财务部负责对外投资业务的相关会计记录。

4．在发出原材料过程中，仓库部门根据生产部门开出的领料单发出原材料。领料单必须列明所需原材料的数量和种类，以及领料部门的名称。领料单可以一料一单，也可以多料一单，通常需一式两联。仓库部门发出原材料后，其中一联连同原材料交还领料部门，一联留仓库部门据以登记原材料明细账。

5．为加强在建工程项目的管理，要求审批人根据工程项目相关业务授权批准制度的规定，在授权范围内进行审批，不得超越审批权限。经办人在职责范围内，按照审批人的批准意见办理工程项目业务。对于审批人超越授权范围审批的工程项目业务，经办人虽无权拒绝办理，但在办理后，应及时向审批人的上级授权部门报告。

6．丙职员在核对商品装运凭证和相应的经批准的销售单后，开具销售发票。具体程序为：根据已授权批准的商品价目表填写销售发票的金额，根据商品装运凭证上的数量填写销售发票的数量；销售发票的其中一联交财务部丁职员据以登记与销售业务相关的总账和明细账。

要求：

假定X公司的其他内部控制不存在缺陷，请从企业内部控制的理论和方法角度，分别指出X公司内部控制设计与执行过程中是否存在缺陷?并简要说明理由。

ABC会计师事务所接受X股份有限责任公司（以下简称X公司）董事会委托，对X公司2003年6月30日与会计报表相关的内部控制的有效性的认定进行审核。A和B注册会计师接受指派实施该项审核，于2003年8月15日完成审核工作，出具内部控制审核报告。

X公司采用手工会计系统。在审核过程中，A和B 注册会计师了解了X公司内部控制的设计，评价了内部控制设计的合理性，测试和评价了内部控制执行的有效性，并编制了相关审核工作底稿。审核工作底稿中记载的有关X公司内部控制设计和运行的部分内容摘录如下：

（1）为加强货币支付管理，货币资金支付审批实行分级管理办法；单笔付款金额在10万元以下的，由财务部经理审批；单笔付款金额在10万元以上、50万元以下的，由财务总监审核；单笔付款金额 在50万元以上的，由总经理审批。

（2）为统一财务管理、提高会计核算水平，设置内部审计部，与财务部一并由财务总监分管。内部审计的主要职责是对公司内部控制的键全、有效、会计及相关信息的真实、合法、完整，资产的安全、完整，经营绩效以及经营合规性进行检查、监督和评价。

（3）为保证公司投资业务的不相容岗位相互分离、制约和监督，投资业务分由不同部门或不同职员负责。其中：投资部的甲职员负责对外投资预算的编制；投资部门的乙职员负责对外投资项目的分析论证及评估；财务部负责对外投资业务的相关会计记录。

（4）在发出原材料过程中，仓库部门根据生产部门开出的领料单了出原材料。领料单必须列明所需原材料的数量和种类，以及领料部门的名称。领料单可以一料一单，也可以多料一单，通常需一式两联，仓库部门发出原材料后，其中一联连同原材料交还领部门，一联留仓库部门据以登记原材料明细账。

（5）为加强在建工程项目 的管理，要求审批人根据工程项目相关业务授权批准制度的规定，在授权范围内进行审批，不得超过审批权限。经办人在职责范围内，按照审批人的批准意见办理工程项目业务。对于审批人超越授权范围审批的工程项目业务，经办人虽无权拒绝办理，但在办理后，应及时向审批人的上级授权部门报告。

（6）丙职员在核对商品装运凭证和相应的经批准的销售单后，开具销售发票。具体程序为：根据已授权批准的商品价目表填写销售发票的金额，根据商品装运凭证上的数量填写销售发票的的数量；销售发票的其中一联交财务部丁职员据以登记与销售业务相关的总账和明细账。 要求：

（1）在测试和评价X公司内部控制执行的有效性时，A和B注册会计师通常应当实施哪些审核程序？

（2）假定X公司的其他内部控制不存在缺陷，请指出X公司上述内部控制在设计与运行方面的缺陷，并简要说明理由。

（3）如果A和B注册会计师认为X公司上述内部控制存在重大缺陷，而X公司管理当局未在书面声明 中对该等重大缺陷及其对实现控制目标的影响予以说明，A和B 注册会计师决定发表保留意见，并草拟了下述内部控制审核报告 。请指出其中存在的不恰当之处，并予以改正（请在答题卷第8页中给定的内部控制审核报告中修改，修改时先在不当之处下面划线，然后再在划线下空白处写出修改建议；无需考虑说明段） 内部控制审核报告 X股份有限公司董事会：

我们接受委托，审核了贵公司管理当局对2003年1月1日至2003年6月30日止的内部控制有效性的认定。贵公司管理当局的责任是建立健全内部控制并保持其有效性，我们的责任是对贵公司内部控制的有效性发表意见。

我们的审核是依据《中国注册会计师独立审计准则》进行的。在审核过程中，我们实施了包括了解、测试和评价内部控制设计的合理性和执行的有效性，以及我们认为必要的其他程序。我们相信，我们的审核为发表意见提供了合理的基础。

内部控制具有固有限制，存在由于错误或舞弊而导致错报发生和未被发现的可能性。此外，由于情况的变化可能导致内部控制变得不恰当，或降低对控制政策、程序遵循的程度，根据内部控制评价结果推测未来内部控制有效性具有一定的风险。

（说明段省略）

我们认为，除上述内部控制的重大缺陷及其对实现控制目标的影响外，未发现贵公司按照XX标准于2003年1月1日至2003年6月30日止在所有重大方面未保持有效的内部控制。

ABC会计师事务所 中国注册会计师A（签名并盖章）

中国 XX市 中国注册会计师B（签名并盖章）

2003年8月15日

试题四（共20分）

阅读以下说明，回答问题1和问题2，将解答填入答题纸的对应栏内。

【说明】

电脑经销商甲欲采购一批电脑，他从某大型电子商务网站看到了电脑供应商乙的供应信息，于是利用该电子商务网站平台与其进行了在线洽谈，达成购买意向，并利用该网站的电子采购功能签订了电子合同。同时通过银行的企业网上银行功能实现了货物资金结算，网站采用SSL协议保证交易的安全性。

【问题 1】（10分）

1. 采用企业网上银行支付流程如图4-1所示，请根据图中提示将其补充完整，将答案填在答题纸上。

备选答案：

A．发卡行 B．收单行 C．CA认证中心

D．资金清算系统 E．付款确认 F．到款通知

G．资金划出 H．资金入账 I．付款通知

2. CA认证中心的核心职能是 （10） 。

A．发放和管理数字证书 B．提供商品交易平台

C．负责结算货款 D．保证货物运送

【问题 2】（10分）

1．该电子商务网站提供的电子商务服务属于 （11） 模式。

A．C2C B．B2C C．B2B D．B2G

2．为了验证电脑供应商乙的身份，电脑经销商甲要求其提供数字证书，以下描述

正确的是 （12） 。

A．电脑经销商甲无法知道数字证书的版本信息

B．电脑经销商甲能够验证给电脑供应商乙颁发数字证书的 CA的数字签名

C．电脑经销商甲可通过证书中电脑供应商乙的私钥验证其真实身份

D．电脑经销商甲必须出示自己的数字证书才能验证电脑供应商乙的身份

3．在基于 SSL协议的交易过程中，电脑经销商甲的购买信息首先发往 （13） 。

A．发卡行 B．收单行 C．电脑供应商乙 D．CA认证中心

4．基于SSL协议提供的安全服务不包括 （14） 。

A．客户机和服务器间传递信息的保密性

B．客户机和服务器间传递信息的完整性

C．客户机和服务器间传递信息的不可抵赖性

D．客户机和服务器的身份认证

5．SSL协议的通信过程主要包括以下几个阶段：

①协商会话密钥 ②身份认证 ③申请建立会话

④会话（数据传输） ⑤会话结束

正确的步骤是 （15） 。

A．①②③④⑤ B．②①③④⑤

C．②③①④⑤ D．③②①④⑤

(一)建立新账套

1．账套信息

账套号：001；账套名称：北京××科技有限公司；采用默认账套路径；启用会计期：2010年1月；会计期问设置：1月1日至l2月31日

2．单位信息

单位名称：北京××科技有限公司；单位名称：××公司

3．核算类型

该企业的记账本位币为人民币(RMB)；企业类型为工业；待业性质为新会计制度；账套主管为陈明；按行业性质预置科目

4．基础信息

该企业有外币核算，进行经济业务处理时，需要对存货、客户、供应商进行分类

5．分类编码方案

科目编码级次：42222

其他：默认

6．数据精度

该企业对存货数量、单价小数位定为2

(二)财务分工

1．001陈明(口令：①——账套主管)

负责财务软件运行环境的建立，以及各项初始设置工作；负责财务软件的日常运行管理工作，监督并保证系统的有效、安全、正常运行；负责总账系统的凭证审核、记账、账簿查询、月末结账工作；负责报表管理及其财务分析工作。

具有系统所有模块的全部权限。

2．002王晶(口令：②——出纳)

负责现金、银行账管理工作。

具有“总账——凭证——出纳签字”权限，具有“总账——出纳”的全部操作权限。

3．003马方(口令：③——会计)

负责总账系统的凭证管理工作以及客户往来和供应商往来管理工作。

具有“总账——凭证——凭证处理”的全部权限，具有“总账——凭证——查询凭证、打印凭证、科目汇总、摘要汇总表、常用凭证、凭证复制”权限．具有“总账——期末——转账设置、转账生成”权限。

(三)根据日常账务处理编制记账凭证

根据2009年12月份发生的下列经济业务填制并录入记账凭证，题目中所给出的销售金额均为含税价：

1．12月4日，总经办李斌报销招待费用2540元，现金支付，附单据12张。

2．12月7日，销售一部何亚报销文山差旅费用1250元，冲销原借款，余款现金支付，附单据8张。

3．12月8日，生产部张伟领用耐火管30只，保护阀30个，用于生产铂铑热电偶，领料单2张。

4．12月9日，缴纳11月份应交的增值税、城建税及教育费附加。龙泉路支行支付．票号01199745、01199746、O1199747，单据3张。

5．12月9日，北京昌平商贸公司汇入西昌路支行原欠热电偶款30000元．票号BJ5411212单据一张。

6．12月10日，青岛海尔洗衣机厂购铂铑热电阻10支，每支200元；智能数显表6台，每台480元，款项汇入西昌路支行，票号QD2135116。单据三张。

7．12月11日，北京昌平商贸公司购铂铑热电偶l0支，每支5000元，款未收。单据两张。

8．12月12日．新加坡殷实初仪表公司购铂铑热电偶6支，每支1000美元，外币款项收到，汇人中行。票号SINGA55124。单据6张。

9．12月13日，林梅领用铂铑10铂热电阻元件15个，用于生产铂铑热电阻，单据l张。

10．12月16日，高宁现金借支沈阳差旅费6000元，单据1张。

11．12月17日，空运4支铂铑热电偶发往沈阳金杯，每支4850元，空运运费合计250元，款已预收。单据4张。

12．12月21 13，西昌路支行转入3季度活期存款利息227．35元，票号IT22542。单据1张。13．12月28 13，现金支付电话费76(1元、办公用水电费1200元。单据2张。

14．12月30日，计算出本月应付工资．管理部门(总经办2500和财务部6000)工资8500．00元；供销部门工资7400．00元(供应部门l800，销售部门5600)；生产部门工资3150．00元，其中张伟工资1850．00元，计入铂铑热电偶，林梅工资1300元，计入铂铑热电阻。

15．12月30日。本月车问所有产品均生产完工，铂铑热电偶完工13支，铂铑热电阻完工100支。

16．12月31日计算本月应缴纳的增值税、城建税及教育费附加。

17．12月31日现金发放上月工资22800元，单据5张。

18．12月31日，设置并使用自定义转账功能完成以下转账分录：

①摊销管理部门办公用房租费．每月5600元。

②预提12月份正义路工行流动资金借款利息，年利5．31%。

③结转本月已销售商品成本。

④按应收款余额的5%。调整坏账准备。

19．12月31日，进行所得税汇算，相关资料如下：1～11月份的主营业务收入685 000元；其他业务收入150 000元；营业外支出中的税收罚款2500元；业务招待费8500元，无其他调整项目，计算本年度应交的企业所得税。

20．期末，设置并使用自定义转账功能，将本期的期间损益进行结转。

折扣连锁店营销秘诀

  目标商店是达顿——赫德逊公司的一家分公司。该公司敢于创新，处处为顾客着想，在零售行业中名闻遐迩。公司尤其令人称道的是它目光远大，战略计划细致独到，效益卓著。经营战略

  “目标商店”经营多种多样、数量庞大的大众化商品，遵循薄利多销的原则，即从每件卖出的商品中提取极低利润，目的是刺激购买，以增加周转率。

  开张之初，“目标商店”就采用了第一流的电脑处理系统，而且随时更新换代，不断完善现金收款、经营管理等项电子设备，有效控制存货、及时调低价格，迅速发现问题。进货人员也可完整及时地得到讯息，可以把货送到出售最快的分店或专柜。

  “目标商店”对其目标市场的动向，总是早预测、动手快、办法多、反应快、看得准。它们舍得花钱作广告，全力扩展行销。花花绿绿的商品广告，每个星期散发到的家庭数高达1300万户。由该公司出示的数据显示，这些DM的效果非常好，可以把成千吨计的存货推出店门，也可以把销售数字更上一层楼。

  保护消费者

  当代社会里，顾客希望商品买到手后就可立即使用，而且有的还应该经久耐用、安全可靠。“目标商店”的短期计划、长远战略都是建立在这种认识上的。“目标商店”不仅努力做到处处方便顾客，售后服务令人满意，并且贯彻到了商店经营的其他方面。

  “目标商店”的经营战略和管理政策充分表现在该公司制定的“发展指南”中的营运方针。这些指导方针是公司制定的，在数年的实施中指导了公司的每个工作环节，对公司业务迅速增长起了关键作用。我们在此介绍“目标商店”，目的之一就是推荐这份从未公开过的“发展指南”。它对更新经营观念，增强服务意识定有极大的参考价值。

  协调管理，减少搬运费用

  连锁零售，必须保证有个效率极高的分送体系。商品分送占了商店联营经销成本的一大部分，订货、接货、点数、登记、从生产厂家到车站码头，从总店仓库到分号仓库……不管货在何处，一旦前柜要求，就得立即送上，同时还得严格控制，压低费用。

请看以下案例并作出分析。

  

案例 折扣连锁店营销秘诀

  “目标商店”是美国达顿一赫德逊公司的一家分公司。该公司敢于创新，处处为顾客着想，在美国零售行业中闻名遐迩。公司尤其令人称道的是它目光远大，战略计划细致独到，效益卓著。

  经营战略

  “目标商店”经营多种多样、数量庞大的大众化商品，遵循薄利多销的原则，即从每件卖出的商品中提取极低利润，目的是刺激购买，以增加周转率。

  开张之初，“目标商店”就采用了第一流的电脑处理系统，而且随时更新换代，不断完善现金收款、经营管理等各项电子设备，有效控制存货、及时调低价格，迅速发现问题。送货人员也可完整及时地得到信息，可以及时把货送到出售最快的分店或专柜。

  “目标商店”对其目标市场的动向总是早预测、动手快、办法多、反应快、看得准。它们舍得花钱做广告，全力扩展行销。花花绿绿的商品广告，每个星期散发到的家庭数高达1300万户。由该公司出示的数据显示，这些宣传品的效果非常好，可以把成千吨计的存货推出店门，也可以使销售数字更上一层楼。

  保护消费者

  当代社会里，消费者希望商品买到手后就可立即使用，而且有的还应该经久耐用、安全可靠。“目标商店”的短期计划、长远战略都是建立在这种认识上的。“目标商店”不仅努力做到处处方便消费者，售后服务令人满意，并且贯彻到了商店经营的其他方面。

  “目标商店”的经营战略和管理政策充分表现在该公司制定的“发展指南”中的营运方针上。这些指导方针是公司制定的，在数年的实施中指导了公司的每个工作环节，对公司业务迅速增长起了关键作用。“目标商店”这份以前从未公开过的“发展指南”，对更新经营观念，增强服务意识有极大的参考价值。

  协调管理，减少搬运费用

  连锁零售，必须保证有一个效率极高的配送体系。商品配送占了商店联营经销成本的一大部分，订货、接货、点数、登记，从生产厂家到车站码头，从总店仓库到分号仓库……不管货在何处，一旦前柜要求，就必须立即送上，同时还必须严格控制，压低费用。

A．电力市场运营系统

B．SCADA系统

C．Web访问系统

D．厂站端控制系统