Tema : Kontrollet e sistemeve të informacionit për besueshmërinë e sistemeve.

Detyrë Kursi Kontabilitet Bankar

Punoi : Jona Ciro

Çështjet që do të trajtohen në lidhje me kontrollet dhe besueshmërinë e sistemeve të informacionit janë :

o Konfidencialiteti

o Privatësia

o Integriteti i procesimit

oDisponushmëria

►Konfidencialiteti

Informacioni konfidencial përfshin të dhëna të ndjeshme për çdo organizatë.Ruajtja e konfidencialitetit kërkon që menaxhimi të identifikojë se cili informacion është konfidencial.

Kontrollet e konfidencialitetit janë përmbledhur si më poshtë :

Situata KontrolletRuajtja Kontrolle kodimi dhe aksesiTransferimi KodimiHedhja Grirje, fshirje, shkatërrim fizikTë përgjithshme Kategorizim që reflekton vlerën dhe trajnimin në

praktikat e duhura të punës

Kodimi i informacionit

• Kodimi i domosdoshëm për të mbrojtur konfidencialitetin e informaconit të ndjeshëm.

• Nëse të dhënat janë të koduara para se të dërgohen, krijohet një rrjet virtual privat (VPN), përdorimi i të cilit sjell disa përparësi:

1. Eshtë i arritshëm vetëm për personat e autorizuar

2. Kosto e ulët e programit3. I lehtë për tu menaxhuar

Kontrollet e aksesit

Shumë skema kodimi mund të thyhen prandaj nevojiten kontrolle aksesi në mënyrë që :1. Të pengojë palët e paautorizuara të marrin të dhëna

të koduara2. Sepse jo gjithmonë informacioni konfidencial mund

të jetë i koduar

Aksesi në produktet e sistemit duhet të kontrollohet :3. Nuk duhen lejuar vizitorë në mjediset e

pavëzhguara të ndërtesës

4. Kompjuterat duhet të jenë të mbrojtur me fjalëkalime

5. Të kufizohet aksesi për dhomat ku ndodhen printerat dhe fakset etj...

Përdorimi i emailit dhe mesazheve nga punonjësit përbën ndoshta dy nga kërcënimet kryesore të konfidencialitetit të informacionit të ndjeshëm, prandaj organizata duhet të zhvillojë politika të posacme për përdorimin e duhur të këtyre teknologjive për qëllime biznesi si psh :

-Kodoni të gjitha emailet me informacion sensitiv.-Shumë organizata ndalojnë përdorimin e emailit apo mesazhit dhe blejnë produkte me elementë sigurie të lartë.-Përdoruesit që dërgojnë email duhet të trajnohen që të jenë të kujdesshëm mbi identitetin e marrësit.

Kontrollet për të mbrojtur konfidencialitetin duhet të rishikohen dhe ndryshohen vazhdimisht për tꞌiu përgjigjur kërcënimeve të reja të krijuara vazhdimisht për shkak të përparimit të shpejtë të teknologjisë.

►PrivatësiaNjë tjetër parim i sistemeve të besueshme të informacionit, i lidhur ngushtë me parimin e konfidencialitetit është privatësia. Ndërkohë që konfidencialiteti fokusohej te të dhënat sensitive të organizatës, privatësia fokusohet në mbrojtjen e të dhënave personale në lidhje me klientët e saj.

Modeli i Shërbimeve të Mirëbesimit mbi privatësinë i (AICPA), (CICA) liston dhjetë praktikat e pranuara ndërkombëtare për mbrojtjen e fshehtësisë së informacionit personal të klientëve :

• Menaxhimi• Njoftimi• Zgjedhja dhe miratimi• Mbledhja• Përdorimi dhe ruajtja • Aksesi• Dhënia e informacioneve palëve të treta• Siguria• Cilësia

Monitorimi dhe forcimi

Sikurse konfidencialiteti, kodimi dhe kontrolli i aksesit janë dy mekanizma bazë për mbrojtjen e informacionit personal të konsumatorit.

Organizatat duhet patjetër të marrin parasysh kodimin e informacionit personal në ruajtje të klientëve.

P.Sh organizatat mund të përdorin SSL (The Secure Sockets Layer), e cila është një praktikë e zakonshme për të koduar të gjitha të dhënat personale të transmetueshme midis individëve dhe faqes së internetit të organizatës.

Megjithatë SSL mbron vetëm informacionin në transmetim, prandaj nevojiten kontrolle më të forta për ruajtjen e tyre.

Shqetësimi në rritje në lidhje me privatësinë

Zhvillimet teknologjike të shpejta në ditët e sotme e ulin sigurinë në lidhje me privatësinë e informacioneve private.

Një shqetësim i tillë përfshin vëllimin e madh të spam :

• Spam është Email i padëshiruar që përmban reklama apo përmbajtje ofenduese.

• Redukton efikasitetin e emailit.• Eshtë një burim i shumë viruseve dhe përmbajtjeve të tjera me

qëllim të keq.

Si rrjedhojë e shqetësimeve të tilla Kongresi i SHBA miratoi aktin CAN-SPAM, i cili :• Parashikon dënime penale dhe civile për shkelje të ligjit.• Zbatohet për emaile komerciale, kryesisht me qëllime promovimi.• Mbulon shumicën e emaileve të dërguar nga organizatat për

klientët apo furnizuesit etj...

Trajnimi i punonjësve nga organizata për menaxhimin e të dhënave personale të klientëve

Punonjësit duhet të trajnohen për ruajtjen e informacioneve të klientëve veçanërisht e rëndësishme për informacionet me natyrë mjekësore dhe financiare.

Keqpërdorimi i qëllimshëm ose zbulimi i paautorizuar i informacionit mund të sjellë pasoja të rënda ekonomike duke përfshirë :

• Ulje në çmimin e aksioneve• Padi të konsiderueshme• Pezullim i aktivitetit të biznesit nga organet

qeveritare etj...

Vjedhja e identitetit

Një tjetër shqetësim në rritje i lidhur me privatësinë është dhe vjedhja e identitetit.Organizatat kanë detyrim moral dhe etik për mbrojtjen e bazave të të dhënave që përmbajnë informacion personal të klientëve të tyre.

Disa hapa që mund të ndjekin individët për të minimizuar rrezikun e të qënit viktimë e vjedhjes së identitetit të tyre janë :

• Grisja e të gjitha dokumentave tashmë të panevojshme por që përmbajnë të dhëna personale.

• Asnjëherë mos dërgoni personalisht informacion identifikues në email të pakoduar.

• Kujdes nga emailet, telefonatat, dhe kërkesat për «të verifikuar» të dhëna personale që pala kërkuese tashmë duhet ti disponojë.

• Kufizoni sasinë e informacionit identifikues të shtypur mbi çeqe.• Menjëherë anuloni çdo kartë krediti të humbur ose të vjedhur.• Përdorni program të veçantë për të pastruar tërësisht çdo media

dixhitale para flakjes, ose shkatërrimit fizik të medias etj...

►Integriteti i procesimitNjë sistem i besueshëm prodhon informacion që është i saktë, në kohë, pasqyron rezultatet e transaksioneve të autorizuara dhe përfshin rezultatet e të gjitha aktiviteteve të organizatës gjatë një periudhe të caktuar kohe. Një sistem i mirë informacioni kërkon kontrollin mbi cilësinë e të dhënave dhe përpunimin e të dhënave.

Pesë kategoritë e kontrolleve të integritetit që përmbushin objektivat e mësipërme janë :

1. Kontrollet e të dhënave në burim2. Kontrollet e regjistrimit të të dhënave3. Kontrollet e përpunimit4. Kontrollet e transmetimit të të dhënave5. Kontrollet e produktit

Kontrollet e të dhënave në burim

Nqs të dhënat e futura në një sistem nuk janë të sakta, apo janë të paplota, atëherë edhe produkti do të jetë i tillë.

Organizatat duhet të vendosin procedurat e kontrollit për tu siguruar që të gjitha dokumentat e burimit të jenë të autorizuara, të sakta, të plota, të kontabilizuara saktësisht dhe të regjistruara në sistem në kohën e duhur.

Kontrolli i të dhënave të listuara më poshtë rregullojnë integritetin e inputit :1. Dizenjimet e formave2. Fshirja dhe ruajtja e dokumentave3. Autorizimi dhe ndarja e detyrave4. Skanimi vizual5. Kontrollet e regjistrimit të të dhënave6. Dokumentet e kthyeshme etj...

Kontrollet e regjistrimit të të dhënave

Pasi mblidhen të dhënat, janë të nevojshme të kryhen proçedurat e kontrollit të regjistrimit të të dhënave, për të siguruar që ato janë futur si duhet në sistem.Testet e zakonshme për të konfirmuar inputin përfshijnë :

• Kontrollin e fushës• Kontrollin e limitit• Kontrollin e kapacitetit• Kontrollin e plotësisë• Kontrolli i vërtetësisë• Kontrolli i racionalitetit• Kontrollin e shenjës.

Testet e mësipërme janë përdorur për përpunimin në grupe dhe online në kohë reale.

(vazhdim...)Për të dyja metodat e përpunimit, në grup dhe online në kohë reale, ka disa kontrolle shtesë që janë unike për secilën metode.Kontrolle shtesë të hyrjeve të procesimit të grupit të të dhënave :• Kontrolli i sekuencës• Regjistri i gabimeve• Totalet e grupeve

Kontrolle shtesë për hyrjet e të dhënave online :• Hyrje automatike e të të dhënave• Hedhja e hapit të parë nga sistemi• Verifikimi nga afër• Preformatimi• Regjistri i transaksioneve• Mesazhet e gabimeve

Kontrollet e përpunimit

Kontrollet e përpunimit janë kontrollet të cilat sigurojnë se të dhënat janë përpunuar saktë.

Këto kontrolle paraqiten si më poshtë :

• Përputhja e të dhënave• Etiketimet e dokumenteve• Rillogaritja e totaleve të grupit• Testi i kryqëzimit të balancës• Mekanizma që bllokojnë modifikimet• Integriteti i procesimit të bazës së të dhënave• Kontrollet e konvertimit të të dhënave

Kontrollet e transmetimit të të dhënave :

Përveç përdorimit të kodimit për të mbrojtur konfidencialitetin e informacionit të transmetuar, organizatat kanë nevojë për kontrolle për të minimizuar rrezikun e gabimeve në transmetimin e të dhënave.Kur njësia pritëse zbulon një gabim të transmetimit të të dhënave, ajo i kërkon njësisë dërguese të ridërgojë të dhënat. Zakonisht bëhet automatikisht.Ndonjëherë sistemi mund të mos jetë në gjëndje të kryejë ritransmetim automatik dhe do ti kërkojë dërguesit të ritransmetojë të dhënat.

Janë dy lloje themelore të kontrolleve të transmetimit të të dhënave :1. Kontrolli i njehsimit2. Teknikat e pranimit të mesazhit

Kontrolli i njehsimit

-Kompjuterat i paraqesin karakteret si një grup shifrash binare (bits).-Kur të dhënat transmetohen, disa copa mund të humbasin ose të merren me gabime.-Dy skemat bazë për të zbuluar këto ngjarje njihen si njehsimi çift dhe njehsimi tek.-Në secilin rast, u shtohet një bit shtesë shifrave që po transmetohen.Në njehsimin çift, ato vendosen në mënyrë të tillë që çdo karakter ka një numër çift me bit me vlerë 1.-Në njehsimin tek, objektivi është që një numër tek me bit duhet të ketë vlerën 1.-Pajisja marrëse kryen kontroll njehsimi për të verifikuar, nëse është marrë numri i duhur i bit për i përcaktuar për çdo karakter.-Më shumë saktësi mund të arrihet me skema më kompleksenjehsimi.

Teknikat e pranimit të mesazhit

Teknikat e pranimit të mesazhit që mund të përdoren për të njoftuar dërguesin që mesazhi është marrë janë të shumta, ndër të cilat përmendim :

• Kontroll jehonë

• Rekord fundor

• Grupe të numerizuar etj...

Kontrollet e produktit

Kontrolli i kujdesshhëm i produktit të sistemit ofron kontroll shtesë mbi integritetin e përpunimit.

Kontrollet e produktit përfshijnë :

• Shqyrtimi i produktit nga përdoruesi

• Procedurat e përputhshmërisë

• Përputhja me të dhënat e jashtme

►DisponueshmëriaSistemet e besueshme janë në dispozicion për përdorim kurdo që nevojiten. Kërcënimet ndaj disponueshmërisë së sistemit e kanë origjinën në shumë burime duke përfshirë :1. Probleme në hardware dhe software2. Fatkeqësitë natyrore dhe ato të shkaktuara nga njeriu3. Gabimi njerëzor4. Viruset5. Sulmete mohimit të shërbimit dhe sabotime të tjera

Kontrollet e duhura mund të minimizojnë vonesat e konsiderueshme të sistemit të shkaktuara nga kërcënimet e mësipërme.Megjithatë është e pamundur të zhdukësh tërësisht të gjitha kërcënimet, prandaj organizatat duhet të zhvilllojnë një plan të rimëkëmbjes nga fatkeqësitë për të mundësuar rifillim të shpejtë të operacioneve normale pas një ngjarje të tillë.

Minimizimi i rrezikut për vonesa të sistemit

Humbja e disponueshmërisë së sistemit mund të skaktojë dëme të mëdha financiare për organizatën, prandaj ato mund të marrin një sërë hapash për të minimizuar rrezikun e inproduktivitetit të sistemit :

• Siguria e mirë kompjuterike zvogëlon rrezikun e vjedhjes apo sabotimit të burimeve SI.

• Mirëmbajtja parandaluese mund të zvogëlojë riskun e keqfunksionimit të hardware dhe software ( Pastrimi i diskut, Ruajtja e mirë e mediave magnetike optike etj...)

• Një mjet i furnizimit me energji elektrike të pandërprerë siguron mbrojtje nga një ndërprerje e zgjatur e energjisë dhe fiton kohë të mjaftueshme për sistemin që të ruajë të dhënat e rëndësishme dhe të mbyllet në mënyrë të sigurtë.

(vazhdim...)

• Rreziqet që lidhen me fatkeqësi natyrore mund të reduktohen me zgjedhjen e vendit dhe projektimin e duhur të dhomave të serverave dhe bazave të të dhënave më të rëndësishme.

• Trajnimi i punonjësve është gjithashtu shumë i rëndësishëm.Operatorët e mirëtrajnuar kanë më pak gjasa për të gabuar dhe janë më në gjëndje të korrigjojnë nëse bëjnë gabime.Trajnimi i punonjësve mbi ndërgjegjësimin e sigurisë, veçanërisht në lidhje me sigurinë e emailit dhe navigimit në internet, mund të zvogëlojne rrezikun e infektimit nga viruset.

Plani mbi rekuperimin nga fatkeqësitë dhe mbi vazhdimësinë e biznesit

Planet e rekuperimit nga fatkeqësitë natyrore dhe mbi vazhdimësinë e biznesit janë jetike nqs një organizatë shpreson për të mbijetuar nga një katastrofë e madhe.Të jesh pa një SI, qoftë edhe për një periudhë të shkurtër kohe mund të jetë mjaft e kushtueshme.

Objektivat e një plani mbi rekuperimin nga fatkeqësitë dhe mbi vazhdimësinë e biznesit janë të :• Minimizohet shkalla e problemit, dëmeve dhe

humbjeve.• Krijohet përkohësisht një alternativë për përpunimin e

informacionit.• Trajnohet personeli dhe të njihet me operacionet e

emergjencës.• Rifillohen aktivitetet normale sa më shpejt të jetë e

mundur.

Komponentët kryesorë të planit mbi rekuperimin efektiv nga fatkeqësitë natyrore përfshijnë :

Procedurat mbi rezervimin e të dhënaveNjë rezervë është një kopje e saktë e versionit më të fundit të një baze të dhëmash, dokumenti, ose programi software. Ajo nevojitet për përdorim në rast të një keqfunksionimi të hardware ose software.

Ka disa procedura të ndryshme të rezervimit të të dhënave:

• Një rezervim i plotë është një kopje e saktë e të dhënave të regjistruara në një tjetër media fizike (DVD, CD,kasetë etj...). Rezervimi i plotë kërkon shumë kohë, prandaj organizatat krijojnë rezerva të pjesshme.

• Rezervat e pjesshme mund të jenë -Rezervë në rritje ose Rezervimi diferencial

(vazhdim...)

Cilado qoftë procedura e rezervimit të përdorur, duhet të krijohen kopje të shumta rezervë dhe të ruhen në vende të ndryshme.

Një kopje mund të ruhet në vend për përdorim në rast incidentesh të vogla. Të paktën një kopje shtesë duhet të ruhet jashtë ndërtesës për të qenë e sigurtë në rast katastrofe.

Rezervat mbahen vetëm për një periudhë të caktuar kohore.Edhe për rezervat duhet të zbatohen të njëjtat kontrolle të sigurisë si për kopjen origjinale.

Aksesi në dokumentet rezervë duhet të kontrollohet me kujdes dhe të monitorohet.

Zëvëndësimi i infrastrukturës

Një komponent kyç i planit të rimëkëmbjes nga fatkeqësitë dhe vazhdimësisë së biznesit përfshin dispozita për zëvëndësimin e infrastrukturës së nevojshme kompjuterike, duke përfshirë :

• Kompjuterat• Pajisjet dhe aksesin në rrjet• Linjat telefonike• Pajisjet e zyrës• Mjete

Mundet gjithashtu, që të jetë e nevojshme të punësohet personel i përkohshëm deri në stabilizimin e situatës në të cilën mund të ndodhet organizata.

Dokumentimi dhe Testimi

Dokumentimi është një komponent i rëndësishëm që shpesh neglizhohet. Një plan rimëkëmbje nga katastrofa, duke përfshirë udhëzimet e nevojshme për njoftimin e personelit dhe hapat për të rifilluar funksionimin duhet të dokumentohet mirë.

Testimi dhe rishikimi periodik i planeve rekuperuese është, ndoshta, përbërësi më i rëndësishëm i një plani efektiv të rimëkëmbjes nga fatkeqësitë dhe të vazhdimësisë së biznesit. Shumica e planeve dështojnë në provën e tyre fillestare, për shkak se është e pamundur të parashikohet çdo gjë që mund të shkojë keq. Koha për të zbuluar këto probleme është e rëndësishme dhe duhet punuar në një mjedis ku dobësitë mund të analizohen me kujdes dhe të bëhen ndryshimet e duhura.

►Kontrollet e menaxhimit të ndryshimitNjësitë ekonomike vazhdimisht ndryshojnë SI për të reflektuar praktikat e reja të biznesit dhe për të përfituar nga përparimet në IT.Kontrollet janë të nevojshme për të siguruar që ndryshime të tilla të mos kenë ndikim negativ mbi besueshmërinë.Kontrollet egzistuese që lidhen me sigurinë, konfidencialitetit, privatësinë, integritetin e përpunimit dhe disponueshmërinë duhet të modifikohen për të ruajtur efektivitetin e tyre pas ndryshimit.

Të gjitha kërkesat e ndryshimit duhet të dokumentohen në një format standart që identifikon :

• Natyrën e ndryshimit• Arsyen e ndryshimit• Datën e kërkesës

(vazhdim...)

-Të gjitha ndryshimet duhet të miratohen nga nivelet e përshtatshme të menaxhimit.-Ndryshimet duhet të testohen tërësisht para zbatimit.-Të drejtat dhe privilegjet e përdoruesve duhet të monitorohen me kujdes gjatë procesit të ndryshimit për të siguruar ndarjen e duhur të detyrave.

Kontrolli më i rëndësishëm i menaxhimit të ndryshimeve është monitorimi dhe rishikimi adekuat nga menaxhimi i lartë për të siguruar që ndryshimet janë në përputhje me planin strategjik shumëvjeçar të njësisë ekonomike.

Objektivi : Të sigurohet që sistemi vazhdon të mbështesë në mënyrë efektive strategjinë e organizatës.

Faleminderit!