《管理信息系统》案例分析——法国兴业银行一交易员扰乱全球金融系统_法国兴业银行案例分析

《管理信息系统》案例分析——法国兴业银行一交易员扰乱全球金融系统由刀豆文库小编整理，希望给你工作、学习、生活带来方便，猜你可能喜欢“法国兴业银行案例分析”。

《管理信息系统》案例分析

——法国兴业银行一交易员扰乱全球金融系统

1． 本章中的哪些观点在案例中得以体现？

1.系统漏洞：

2.计算机犯罪：利用计算机作为犯罪工具，骗取银行，客户和其他金融机构。3.员工内部威胁：科维尔有特权信息的访问，他是通过组织的系统能够运行，不留痕迹。

4.安全和控制的商业价值：组织可以举办组织承担不必要的风险和造成伤害的，如果不采取适当的防护措施防止损失的机密信息，数据，腐败，或违反隐私。

5.科维尔在美国犯了他的行动，他已经违反了萨班斯-奥克斯利法案。组织人员可能已被追究刑事责任。

6.信息系统控制：一般控制管的设计，安全性和使用计算机程序和数据文件的安全性，一般在整个组织的信息技术基础设施。

7.应用控制：自动和手动程序，以确保只有经过授权的数据通过该应用程序是完全，准确地处理。

8.风险评估：确定风险水平的公司，如果一个特定的活动或过程控制不当

9.安全策略：驱动政策，确定可接受的使用该公司的信息资源和公司的成员有其信息资产的访问。

10.审计的作用：一个MIS审计考察公司的整体安全环境，以及个人信息系统的管制。

2． 描述兴业银行的管理弱点。其中有哪些管理、组织和技术缺陷？

管理：科维尔的上司看到一个报告书的时候其实他露出了银行很大的弊端，因为他进行交易的方式。科维尔在其他工作人员回家之后经常工作到很晚，以防止被发现了他的活动。经理没有强制休假的政策，将允许他们仔细检查他的工作，而他已经走了。据说，他用他的经理的计算机上执行他的一些欺诈性的交易，当经理看着他。科维尔的辩护律师认为，他的行为与他的上司的默许欺诈活动有很大关系。

组织：科维尔熟悉公司的安全程序和后端办公系统。然后，他被转移到另一个在公司工作，他可以利用这些知识。他知道兴业银行的内部控制，消除他的假交易系统只是几分钟前定期检查并重新输入他们的到来后的时间表。暂时的问题没有触发警报。

技术：科维尔能够使用其他员工的接入码和用户信息，进入假交易。系统无法检测到科维尔在一个方向上进行合法交易，但伪造的对冲，它们被认为合法的'抵消'。在一个单独的组合，从一个包含他的真实的交易不同，他进入虚假交易。没有一个系统检测软件的安装来检测这些交易。兴业银行的控制能力检测更复杂比简单的科维尔涉嫌犯的错误和欺诈性交易。

3． 谁应该为Kerviel的交易损失负责？兴业银行的系统扮演了什么角色？管理层扮演了什去么角色？

大多数学生可能会认为，在兴业银行的经理和管理人员应负责对科维尔的交易亏损。管理层应该制定政策和执行它们，以防止发生这类活动。

法国兴业银行的系统能够检测复杂的错误和更复杂的。然而，他能够承担未被发现的非常简单的欺诈性交易。系统控制显然是不彻底或强烈的，因为他们本来应该。有其他几个系统漏洞，科维尔能够利用犯下他的罪行。

经理决定卸任不久，他现欺诈资助科维尔的活动，尽管事实上，在当时的市场条件决然不利。这导致更大的问题在全球金融世界。美国证券交易委员会展开调查与否暗里诈骗后解除科维尔的立场，以及是否透露内幕信息起到了作用，在销售的兴业银行股票的丑闻公布前，兴业银行违反美国证券法。

4． 兴业银行避免Kerviel事件的途径有哪些？

一些可以防止科维尔的欺诈行为的方法包括：

实行访问控制，以防止未经授权的内部和外部不当存取系统。银行可以使用令牌，智能卡或生物的授权，而不是简单的密码认证技术，如。这将阻止科维尔能够使用其他员工的访问代码进入交易。

入侵检测系统可能已安装科维尔的活动检测。这些系统产生的报警，如果他们发现一个可疑或异常事件。他们也检查，看是否重要文件已被修改。监控软件检查，因为它们发生在正在进行中发现安全攻击的事件。许多科维尔的虚假‘抵消’交易，可能已被检测到使用这些系统之一。

更强的审计程序，并强制执行。审计人员可以通过该系统跟踪样本交易流程，并进行测试，使用自动化的审计软。使用计算机取证技术和技术帮助。电子证据驻留在计算机存储介质中的计算机文件的形式，并作为对普通用户是不可见的环境数据。科维尔对银行的存储介质中删除的数据可以通过各种技术已被追回。这些数据可以被用来作为证据在他的试验，并在跟进调查。

5． 如果你负责重新设计兴业银行的系统，你会如何弥补它的缺陷？

一般控制：规管的设计，安全性和使用计算机程序和数据文件一般在整个组织的信息技术基础设施的安全性。这些控制地址的软件控制，物理硬件控制，计算机操作控制，数据安全控制，实现系统进程控制和管理控制。表8-3描述了每个这些控件。兴业银行是最重要的这些需要。

应用控制：独特的每个电脑的应用程序特定的控件。他们包括自动和手动程序，以确保只有经过授权的数据完整，准确地处理应用程序。应用控制包括输入控制，处理控制和输出控制。

可接受的使用政策：兴业银行应该创建一个AUP定义可接受的用途，该公司的信息资源和计算设备，包括台式机和笔记本电脑，无线设备，电话和互联网。一个好的AUP不可接受的和可接受的行动，为每个用户定义，并规定对违规的后果。

授权管理系统：建立当用户被允许访问一个网站或企业数据库的某些部分。这样的系统允许每个用户只能访问到该人被允许进入的基础上建立的访问规则的一组中的信息，一个系统的那些部分。