2023年8月1日发(作者：)

安全攻略　ＯＲＡＣＬＥ财务数据库管理如何应对ＳＯＸ４０４审计　梁嘉华　（中国海洋石油总公司信息技术中心，北京１０００１０）　摘要：随着美国萨班斯法案的颁布，许多国际大公司都更加重视财务系统的ｉＴ审计。重点介绍ＯＰ￣ＡＣＬＥ财务数据库管理在审　计中所需要采取的控制措施，这些经验将对公司管理人员和财务系统管理员在风险控制方面具有很好的指导意义。　关键词：ＳＯＸ４０４；盯审计；ＯｇＡＣＬＥ；财务数据库　ＯＲＡＣＬＥ　Ｄａｔａｂａｓｅ　Ｍａｎａｇｅｍｅｎｔ　Ｈｏｗ　ｔｏ　Ｄｅａｌ　ｗｉｔｈ　ｔｈｅ　Ｆｉｎａｎｃｉａｌ　Ａｕｄｉｔ　ＳＯＸ４０４　ＬｌＡＮＧ　Ｊｉａ—ｈｕａ　（Ｃ／ｍａ　Ａ／ａｌ；／ｏｎａ／Ｏｆｆｓｈｏｒｅ　０／７　Ｃｏｌｐ＇，ＩＴ　ＣＯ＃ｇＯ／＇，Ｂｅ＃／？ｌｇ，ＩＯＯＯ１０．Ｏｈ＃Ｔａ）　Ａｂｓｔｒａｃｔ：Ｗｉｔｈ　ｔｈｅ　ｐｒｏｍｕｌｇａｔｉｏｎ　ｏｆ　ｔｈｅ　Ｕ．Ｓ．Ｓａｒｂａｎｅｓ－０ｘｌｅｙ　Ａｃｔ，ｍａｎｙ　ｌａｒｇｅ　ｃｏｍｐａｎｉｅｓ　ｐａｙ　ｍｏｐｅ　ａｔｔｅｎｔｉｏｎ　ｔ０　ｔｈｅ　ｉｎｔｅｒｎａｔｉｏｎａｌ　ｆｉｎａｎｃｉａｌ　ｓｙｓｔｅｍ，ＩＴ　ａｕｄｉｔ．Ｔｈｉｓ　ａｒｔｉｃｌｅ　ｗｉｌｌ　ｆｏｃｕｓ　ｏｎ　Ｏ￣ＡＣＬＥ　ｄａｔａｂａｓｅ　ｍａｎａｇｅｍｅｎｔ　ｉｎ　ｔｈｅ　ｆｉｎａｎｃｉａｌ　ａｕｄｉｔ　ｒｅｑｕｉｒｅｄ　ｃｏｎｔｒｏｌ　ｍｅａｓｕｒｅｓ．Ｔｈｅｓｅ　ｅｘｐｅｒｉｅｎｃｅｓ　ｗｉｌｌ　ｂｅ　ｔｈｅ　ｃｏｍｐａｎｙ　ｍａｎａｇｅｍｅｎｔ　ａｎｄ　ｒｉｓｋ　ｃｏｎｔｒｏｌ　ｉｎ　ｆｉｎａｎｃｉａｌ　ｓｙｓｔｅｍｓ　ａｄｍｉｎｉｓｔｒａｔｏｒ　ｈａｓ　ａ　ｇｏｏｄ　ｇｕｉｄｅ　Ｋｅｙ　ｗｏｒｄｓ：ＳＯＸ４０４；ＩＴ　ａｕｄｉｔ；ＯＲＡＣＬＥ；ｆｉｎａｎｃｉａｌ　ｄａｔａｂａｓｅ　１引言　自美国安然和世通财务丑闻案发生后，２００２年，美　急或临时用户账号的管理。确保用户账号的权限分配与用　户职责范围相符。　国国会通过了一系列法案，其中包括萨班斯・奥克斯利法　案，该法案，特别是其中的４０４章节，对在美国上市的所　有企业都具有重大的影响。ＳＯＸ４０４法案要求在美国上市　（５）定期进行用户账号的清查工作，保证系统中过期　账号被及时清除，同时保证用户更换工作岗位之后，其权　限得到相应的修改　的公司必须建立一套有效的内部控制制度，并在年报中对　内部控制的有效性进行评价，评价结果还需要经过审计师　的审计。随着信息化在企业所承载的压力越来越多，ＩＴ　审计无疑成为这场审计之战的第一战场。而作为系统管理　则是ＩＴ审计之根本。　２．２　ＯＲＡＣＬＥ财务数据库中数据修改流程　修改　修改申请表；　籼　舯　娟黼一■　（２）数据修改前需要由专人进行授权和审批；　（３）数据修改后将数据修改结果记录在数据修改记录　表中；　２公司层面应有相应管理规定　公司应有相应ＩＴ管理架构，具体可以参考ＩＴＳＭ管　理体系以及Ｃ０ＩＢＴ管理体系，只有完善了管理体系，才　（４）在应用系统、数据库和操作系统层面建立临时账　号，外部人员需要使用时开启账号，并在使用过程中对该　账号进行的操作进行监控，使用完毕后禁用该账号。　能保证所有控制目标有相应的措施，使风险降低到管理者　可以接受的范围。在这里将不再赘述。以下是０　ｒａｃｌｅ财　务数据库管理中常被忽视的控制点。　２．３　ＯＲＡＣＬＥ财务数据库数据提取流程：　（１）由业务部门或数据需求人提出正式的数据提取申　请，填写数据提取申请表；　２．１账号管理流程　（１）严格按照建立的制度进行Ｏｒａｃｌｅ财务系统用户账　（２）数据提取前需要由专人进行授权和审批，确保数　据的保密性；　（３）如果数据提取过程比较复杂，应先对数据抽取程　序在测试环境中进行测试，确保数据抽取操作不会影响数　据的准确性和完整性；　号管理。用户账号的申请，权限的修改必须填写申请表，　进行审批，申请资料妥善保管；　（２）建立临时以及紧急用户账号管理的流程。对于临　时使用的账号，应该定期清查，保证这些账号在不使用后　能够及时删除，并建立专门的账号处理紧急问题，保证这　（４）数据修改完成并得到需求部门或需求人的认可后　将数据提取过程记录在数据提取记录表中。　些紧急问题的操作有据可查；　（３）将员工账号删除作为离职手续的一部分，以确定　员工离职信息会及时传达给０ｒａｃｌｅ系统管理员进行相应　的用户账号删除；　２．４　ＯＲＡＣＬＥ财务数据库的灾难备份　（１）详细规定管理层人员职责，以确保中断的核心业　务能够得到及时有效的恢复；　（２）设立专门的设备的场所，作为灾难恢复的硬件环境；　（３）制定详细灾难恢复计划，用来规范恢复方法和恢　（４）建立完善的书面流程进行用户账号的管理，包括　账号的创建，删除和权限更改，超级用户的管理，以及紧　安全攻略　复步骤；　０ｒａｃｌｅ　Ｅｎｔｅｒｐｒｉｓｅ　Ｅｄｉｔｉｏｎ下，提供０ｒａｃｌｅ　（４）并制定定期的灾难恢复演习计划，形成演习报告。　Ａｄｖａｎｃｅｄ　Ｓｅｃｕｒｉｔｙ模块，可以对网络通讯进行加密。如　果必要，建议打开。　３　ＯＲＡＣＬＥ数据库的固化配置　３．１启用审核　（１）开启审核功能；　（２）开启对数据辞典的保护。　命令如下：　３．８账户的最小化　账户方面需要采取以下步骤：　（１）不用的账户应该被锁死和过期；　（２）修改系统账户的密码，如ＳＹＳ、ＳＹ　蹦、ＣＴＸＳＹＳ、　Ｍ　、ＤＩ　伊和０ＩＪ１１Ｎ；　编辑文件（ｉｎｉｔｄｂｓｉｄ．ｏｒｇ／ｓｐｆｉｌｅｄｂｓｉｄ．ｏｒａ，其中　ｄｂｓｉｄ是特定的数据库名称），增加一行　０７一ＤＩＣＴＩＯＮＡＲＹ—ＡＣＣＥＳＳＩＢＬＥ＝ＦＡＬＳＥ　（３）对ＳＹＳ．ＬＩＮＫ￥表进行加密，因为它存储有连接　远程数据库的密码信息；　（４）采用ＣＲＥＡＴＥ　ＤＡＴＡＢＡＳＥ命令创建的数据库，　系统自动会创建用户ＯＵＴＬＮ，需要修改其密码和权限，　因为默认的权限包含ＥＸＥＣＵＴＥ　ＡＮＹ　ＰＲＯＣＥＤＵＲＥ。　３，２　ＴＮＳ　Ｌｉｓｔｅｎｅｒ的配置固化　Ｏｒａｌｃｅ　１　０ｇ版本之前，ＴＮＳ　Ｌｉｓｔｅｎｅｒ默认状态没有　配置密码，需要手工设置。　命令序列如下：　使用程序ｌｓｎｒｃｔｌ　ＬＳＮＲＣＴＬ＞　ｓｅｔ　ｃｕｒｒｅｎｔ　ｌｉｓｔｅｎｅｒ　１０．１．１．１１（　说明：本地Ｏｒａｃｌｅ服务器的ＩＰ地址）　ＬＳＮＲＣＴＬ＞　ｃｈａｎｇｅ—ｐａｓｓｗｏｒｄ　ＬＳＮＲＣＴＬ＞　ｓｅｔ＿ｐａｓｓｗｏｒｄ　一３．３默只认有Ｌ下ＳＡＮｄｍＲ所有的用户都可以管理ＬｉＣ；　Ｔ可Ｌ以＞管ｓ理ａｖｅＬ＿　ｃｏ。ｎｆ　。ｉ　ｇ　，ｓｔｅｎｅｒ，需要限制　为只有Ａｄｍｉｎ才可以。命令如下：　修改数据库配置文件（１ｉｓｔｅｎｅｒ．ｏｒａ）　ＡＤＭＩＮ—ＲＥＳＴＲＩＣＴＲ１０Ｎ—ｌｉｓｔｅｎｅｍａｍｅ＝ＯＮ　其中ｌｉｓｔｅｎｅｍａｍｅ是实际Ｌｉｓｔｅｎｅｒ名称　３．４　ＴＣＰ连接检查　默认下，数据库接受所有网络设备的连接请求，应该　加以限制。命令如下：　修改配置文件（ｐｒｏｔｏｃｏ１．ｏｒａ或者ｓｑｌｎｅｔ．ｏｒａ）　ＴＣＰ．ＶＡＬＩＤＮ０ＤＥＣＨＥＣＫＩＮＧ＝ＹＥＳ　ＴＣＰ．ＩＮＶＩＴＥＤ—ＮＯＤＥＳ＝｛以，分隔的ＩＰ地　址列表｝　３．５　ＸＭＬ数据库关闭　编辑文件（ｉｎｉｔｄｂｓｉｄ．ｏｒａ　或者ｓｐｆｉｌｅｄｂｓｉｄ．ｏｒａ，其　中ｄｂｓｉｄ是实际值），删除以下一行：　．ｄｉＳ　Ｄ　ａ　ｔＣ　ｈｅ　ｒｓ＝　（Ｐ　Ｒ　Ｏ　Ｔ　Ｏ　Ｃ　Ｏ　Ｌ＝Ｔ　Ｃ　Ｐ）　（ＳＥＲＶＩＣＥ＝ｄｂｓｉｄＸＤＢ）’　３．６关闭外部过程调用　应该禁止ＰＬ／ＳＱＬ调用操作系统的应用（ＵＮＩＸ下的　ＳＯ或者Ｗｉｎｄｏｗｓ下的ｄｌ１）。　３．７网络通讯的加密　一　（３）定期检查密码强度是否符合要求，定期把密码过　期，而且不允许循环使用密码。　３．９角色　默认的ＣＯＮＮＥＣＴ角色具有创建存储过程和数据库　连接的权限，建议去除，而改为通过两个新建的角色来分　别提供相应的权限。　（１）禁止在客户端进行用户身份认证；　（２）启用账户锁死功能，一旦登录失败的次数超过指　定次数，以防止对密码的暴力破解；　（３）尽可能把对用户的授权控制在最小可能的范围内。　３．１Ｏ开启归档模式　财务数据库应开启归档模式，命令如下：　ＳＱＬ＞ｓｈｕｔｄｏｗｎ　ｉｍｍｅｄｉａｔｅ；　ＳＱＬ＞ｓｔａｒｔｕｐ　ｍｏｕｎｔ；　ＳＱＬ＞ａｌｔｅｒ　ｄａｔａｂａｓｅ　ａｒｃｈｉｖｅｌｏｇ；　ＳＱＬ＞ａｌｔｅｒ　ｄａｔａｂａｓｅ　ｏｐｅｎ；　４总结　本文所述的内容只是日常管理中应引起足够重视的内　容，在许多管理细节上，还需要认真对待，例如系统管理　员与数据库管理员必须分开，在ＵＮＩＸ下财务数据库文　件的权限应设置为７５４等等；把所有可能引发安全事件或　带来风险的事项都考虑到，才最大限度地保证系统的信息　安全　另外，有效的行政管理手段对于ＩＴ的风险控制相　当重要，作为管理规定下发，将有效规避某些任务管理的　风险；这些应引起管理层的重视，把有效规定管理由上至　下进行发布，引起所有相关者的重视，才能在日常工作中　关注控制目标所带来的风险，从而降低或规避风险，达到　Ｓ０Ｘ４０４的要求。　参考文献：　［１］Ｃａｒｌ　Ｓ．Ｗａｒｒｅｎ等．公司财务会计．北京大学出版社，２００５年．　［２】滕永昌．０ＥＡＣＬＥｇｉ数据库管理员使用大全．清华大学出　版社，２００４年．　［５】孙强．信息系统审计．机械工业出版社，２００３年．　【４】迈克尔．拉莫斯，李海风译．如何遵循Ｓ０Ｘ４０４条款一评　估内部控制的效果（第二版）．中国时代经济出版社，２００７年．　收稿日期：２０１　０－－０４—２　

2023年8月1日发(作者：)

安全攻略　ＯＲＡＣＬＥ财务数据库管理如何应对ＳＯＸ４０４审计　梁嘉华　（中国海洋石油总公司信息技术中心，北京１０００１０）　摘要：随着美国萨班斯法案的颁布，许多国际大公司都更加重视财务系统的ｉＴ审计。重点介绍ＯＰ￣ＡＣＬＥ财务数据库管理在审　计中所需要采取的控制措施，这些经验将对公司管理人员和财务系统管理员在风险控制方面具有很好的指导意义。　关键词：ＳＯＸ４０４；盯审计；ＯｇＡＣＬＥ；财务数据库　ＯＲＡＣＬＥ　Ｄａｔａｂａｓｅ　Ｍａｎａｇｅｍｅｎｔ　Ｈｏｗ　ｔｏ　Ｄｅａｌ　ｗｉｔｈ　ｔｈｅ　Ｆｉｎａｎｃｉａｌ　Ａｕｄｉｔ　ＳＯＸ４０４　ＬｌＡＮＧ　Ｊｉａ—ｈｕａ　（Ｃ／ｍａ　Ａ／ａｌ；／ｏｎａ／Ｏｆｆｓｈｏｒｅ　０／７　Ｃｏｌｐ＇，ＩＴ　ＣＯ＃ｇＯ／＇，Ｂｅ＃／？ｌｇ，ＩＯＯＯ１０．Ｏｈ＃Ｔａ）　Ａｂｓｔｒａｃｔ：Ｗｉｔｈ　ｔｈｅ　ｐｒｏｍｕｌｇａｔｉｏｎ　ｏｆ　ｔｈｅ　Ｕ．Ｓ．Ｓａｒｂａｎｅｓ－０ｘｌｅｙ　Ａｃｔ，ｍａｎｙ　ｌａｒｇｅ　ｃｏｍｐａｎｉｅｓ　ｐａｙ　ｍｏｐｅ　ａｔｔｅｎｔｉｏｎ　ｔ０　ｔｈｅ　ｉｎｔｅｒｎａｔｉｏｎａｌ　ｆｉｎａｎｃｉａｌ　ｓｙｓｔｅｍ，ＩＴ　ａｕｄｉｔ．Ｔｈｉｓ　ａｒｔｉｃｌｅ　ｗｉｌｌ　ｆｏｃｕｓ　ｏｎ　Ｏ￣ＡＣＬＥ　ｄａｔａｂａｓｅ　ｍａｎａｇｅｍｅｎｔ　ｉｎ　ｔｈｅ　ｆｉｎａｎｃｉａｌ　ａｕｄｉｔ　ｒｅｑｕｉｒｅｄ　ｃｏｎｔｒｏｌ　ｍｅａｓｕｒｅｓ．Ｔｈｅｓｅ　ｅｘｐｅｒｉｅｎｃｅｓ　ｗｉｌｌ　ｂｅ　ｔｈｅ　ｃｏｍｐａｎｙ　ｍａｎａｇｅｍｅｎｔ　ａｎｄ　ｒｉｓｋ　ｃｏｎｔｒｏｌ　ｉｎ　ｆｉｎａｎｃｉａｌ　ｓｙｓｔｅｍｓ　ａｄｍｉｎｉｓｔｒａｔｏｒ　ｈａｓ　ａ　ｇｏｏｄ　ｇｕｉｄｅ　Ｋｅｙ　ｗｏｒｄｓ：ＳＯＸ４０４；ＩＴ　ａｕｄｉｔ；ＯＲＡＣＬＥ；ｆｉｎａｎｃｉａｌ　ｄａｔａｂａｓｅ　１引言　自美国安然和世通财务丑闻案发生后，２００２年，美　急或临时用户账号的管理。确保用户账号的权限分配与用　户职责范围相符。　国国会通过了一系列法案，其中包括萨班斯・奥克斯利法　案，该法案，特别是其中的４０４章节，对在美国上市的所　有企业都具有重大的影响。ＳＯＸ４０４法案要求在美国上市　（５）定期进行用户账号的清查工作，保证系统中过期　账号被及时清除，同时保证用户更换工作岗位之后，其权　限得到相应的修改　的公司必须建立一套有效的内部控制制度，并在年报中对　内部控制的有效性进行评价，评价结果还需要经过审计师　的审计。随着信息化在企业所承载的压力越来越多，ＩＴ　审计无疑成为这场审计之战的第一战场。而作为系统管理　则是ＩＴ审计之根本。　２．２　ＯＲＡＣＬＥ财务数据库中数据修改流程　修改　修改申请表；　籼　舯　娟黼一■　（２）数据修改前需要由专人进行授权和审批；　（３）数据修改后将数据修改结果记录在数据修改记录　表中；　２公司层面应有相应管理规定　公司应有相应ＩＴ管理架构，具体可以参考ＩＴＳＭ管　理体系以及Ｃ０ＩＢＴ管理体系，只有完善了管理体系，才　（４）在应用系统、数据库和操作系统层面建立临时账　号，外部人员需要使用时开启账号，并在使用过程中对该　账号进行的操作进行监控，使用完毕后禁用该账号。　能保证所有控制目标有相应的措施，使风险降低到管理者　可以接受的范围。在这里将不再赘述。以下是０　ｒａｃｌｅ财　务数据库管理中常被忽视的控制点。　２．３　ＯＲＡＣＬＥ财务数据库数据提取流程：　（１）由业务部门或数据需求人提出正式的数据提取申　请，填写数据提取申请表；　２．１账号管理流程　（１）严格按照建立的制度进行Ｏｒａｃｌｅ财务系统用户账　（２）数据提取前需要由专人进行授权和审批，确保数　据的保密性；　（３）如果数据提取过程比较复杂，应先对数据抽取程　序在测试环境中进行测试，确保数据抽取操作不会影响数　据的准确性和完整性；　号管理。用户账号的申请，权限的修改必须填写申请表，　进行审批，申请资料妥善保管；　（２）建立临时以及紧急用户账号管理的流程。对于临　时使用的账号，应该定期清查，保证这些账号在不使用后　能够及时删除，并建立专门的账号处理紧急问题，保证这　（４）数据修改完成并得到需求部门或需求人的认可后　将数据提取过程记录在数据提取记录表中。　些紧急问题的操作有据可查；　（３）将员工账号删除作为离职手续的一部分，以确定　员工离职信息会及时传达给０ｒａｃｌｅ系统管理员进行相应　的用户账号删除；　２．４　ＯＲＡＣＬＥ财务数据库的灾难备份　（１）详细规定管理层人员职责，以确保中断的核心业　务能够得到及时有效的恢复；　（２）设立专门的设备的场所，作为灾难恢复的硬件环境；　（３）制定详细灾难恢复计划，用来规范恢复方法和恢　（４）建立完善的书面流程进行用户账号的管理，包括　账号的创建，删除和权限更改，超级用户的管理，以及紧　安全攻略　复步骤；　０ｒａｃｌｅ　Ｅｎｔｅｒｐｒｉｓｅ　Ｅｄｉｔｉｏｎ下，提供０ｒａｃｌｅ　（４）并制定定期的灾难恢复演习计划，形成演习报告。　Ａｄｖａｎｃｅｄ　Ｓｅｃｕｒｉｔｙ模块，可以对网络通讯进行加密。如　果必要，建议打开。　３　ＯＲＡＣＬＥ数据库的固化配置　３．１启用审核　（１）开启审核功能；　（２）开启对数据辞典的保护。　命令如下：　３．８账户的最小化　账户方面需要采取以下步骤：　（１）不用的账户应该被锁死和过期；　（２）修改系统账户的密码，如ＳＹＳ、ＳＹ　蹦、ＣＴＸＳＹＳ、　Ｍ　、ＤＩ　伊和０ＩＪ１１Ｎ；　编辑文件（ｉｎｉｔｄｂｓｉｄ．ｏｒｇ／ｓｐｆｉｌｅｄｂｓｉｄ．ｏｒａ，其中　ｄｂｓｉｄ是特定的数据库名称），增加一行　０７一ＤＩＣＴＩＯＮＡＲＹ—ＡＣＣＥＳＳＩＢＬＥ＝ＦＡＬＳＥ　（３）对ＳＹＳ．ＬＩＮＫ￥表进行加密，因为它存储有连接　远程数据库的密码信息；　（４）采用ＣＲＥＡＴＥ　ＤＡＴＡＢＡＳＥ命令创建的数据库，　系统自动会创建用户ＯＵＴＬＮ，需要修改其密码和权限，　因为默认的权限包含ＥＸＥＣＵＴＥ　ＡＮＹ　ＰＲＯＣＥＤＵＲＥ。　３，２　ＴＮＳ　Ｌｉｓｔｅｎｅｒ的配置固化　Ｏｒａｌｃｅ　１　０ｇ版本之前，ＴＮＳ　Ｌｉｓｔｅｎｅｒ默认状态没有　配置密码，需要手工设置。　命令序列如下：　使用程序ｌｓｎｒｃｔｌ　ＬＳＮＲＣＴＬ＞　ｓｅｔ　ｃｕｒｒｅｎｔ　ｌｉｓｔｅｎｅｒ　１０．１．１．１１（　说明：本地Ｏｒａｃｌｅ服务器的ＩＰ地址）　ＬＳＮＲＣＴＬ＞　ｃｈａｎｇｅ—ｐａｓｓｗｏｒｄ　ＬＳＮＲＣＴＬ＞　ｓｅｔ＿ｐａｓｓｗｏｒｄ　一３．３默只认有Ｌ下ＳＡＮｄｍＲ所有的用户都可以管理ＬｉＣ；　Ｔ可Ｌ以＞管ｓ理ａｖｅＬ＿　ｃｏ。ｎｆ　。ｉ　ｇ　，ｓｔｅｎｅｒ，需要限制　为只有Ａｄｍｉｎ才可以。命令如下：　修改数据库配置文件（１ｉｓｔｅｎｅｒ．ｏｒａ）　ＡＤＭＩＮ—ＲＥＳＴＲＩＣＴＲ１０Ｎ—ｌｉｓｔｅｎｅｍａｍｅ＝ＯＮ　其中ｌｉｓｔｅｎｅｍａｍｅ是实际Ｌｉｓｔｅｎｅｒ名称　３．４　ＴＣＰ连接检查　默认下，数据库接受所有网络设备的连接请求，应该　加以限制。命令如下：　修改配置文件（ｐｒｏｔｏｃｏ１．ｏｒａ或者ｓｑｌｎｅｔ．ｏｒａ）　ＴＣＰ．ＶＡＬＩＤＮ０ＤＥＣＨＥＣＫＩＮＧ＝ＹＥＳ　ＴＣＰ．ＩＮＶＩＴＥＤ—ＮＯＤＥＳ＝｛以，分隔的ＩＰ地　址列表｝　３．５　ＸＭＬ数据库关闭　编辑文件（ｉｎｉｔｄｂｓｉｄ．ｏｒａ　或者ｓｐｆｉｌｅｄｂｓｉｄ．ｏｒａ，其　中ｄｂｓｉｄ是实际值），删除以下一行：　．ｄｉＳ　Ｄ　ａ　ｔＣ　ｈｅ　ｒｓ＝　（Ｐ　Ｒ　Ｏ　Ｔ　Ｏ　Ｃ　Ｏ　Ｌ＝Ｔ　Ｃ　Ｐ）　（ＳＥＲＶＩＣＥ＝ｄｂｓｉｄＸＤＢ）’　３．６关闭外部过程调用　应该禁止ＰＬ／ＳＱＬ调用操作系统的应用（ＵＮＩＸ下的　ＳＯ或者Ｗｉｎｄｏｗｓ下的ｄｌ１）。　３．７网络通讯的加密　一　（３）定期检查密码强度是否符合要求，定期把密码过　期，而且不允许循环使用密码。　３．９角色　默认的ＣＯＮＮＥＣＴ角色具有创建存储过程和数据库　连接的权限，建议去除，而改为通过两个新建的角色来分　别提供相应的权限。　（１）禁止在客户端进行用户身份认证；　（２）启用账户锁死功能，一旦登录失败的次数超过指　定次数，以防止对密码的暴力破解；　（３）尽可能把对用户的授权控制在最小可能的范围内。　３．１Ｏ开启归档模式　财务数据库应开启归档模式，命令如下：　ＳＱＬ＞ｓｈｕｔｄｏｗｎ　ｉｍｍｅｄｉａｔｅ；　ＳＱＬ＞ｓｔａｒｔｕｐ　ｍｏｕｎｔ；　ＳＱＬ＞ａｌｔｅｒ　ｄａｔａｂａｓｅ　ａｒｃｈｉｖｅｌｏｇ；　ＳＱＬ＞ａｌｔｅｒ　ｄａｔａｂａｓｅ　ｏｐｅｎ；　４总结　本文所述的内容只是日常管理中应引起足够重视的内　容，在许多管理细节上，还需要认真对待，例如系统管理　员与数据库管理员必须分开，在ＵＮＩＸ下财务数据库文　件的权限应设置为７５４等等；把所有可能引发安全事件或　带来风险的事项都考虑到，才最大限度地保证系统的信息　安全　另外，有效的行政管理手段对于ＩＴ的风险控制相　当重要，作为管理规定下发，将有效规避某些任务管理的　风险；这些应引起管理层的重视，把有效规定管理由上至　下进行发布，引起所有相关者的重视，才能在日常工作中　关注控制目标所带来的风险，从而降低或规避风险，达到　Ｓ０Ｘ４０４的要求。　参考文献：　［１］Ｃａｒｌ　Ｓ．Ｗａｒｒｅｎ等．公司财务会计．北京大学出版社，２００５年．　［２】滕永昌．０ＥＡＣＬＥｇｉ数据库管理员使用大全．清华大学出　版社，２００４年．　［５】孙强．信息系统审计．机械工业出版社，２００３年．　【４】迈克尔．拉莫斯，李海风译．如何遵循Ｓ０Ｘ４０４条款一评　估内部控制的效果（第二版）．中国时代经济出版社，２００７年．　收稿日期：２０１　０－－０４—２