سیستمعامل چیست و چگونه منابع سازمان را کنترل میکند؟
سیستمعامل؛ حلقه پنهان قابلیت اتکای اطلاعات مالی
فرض کنید حسابرس، کنترلهای دسترسی یک نرمافزار مالی را بررسی کرده و به این نتیجه رسیده است که فقط افراد مجاز میتوانند اسناد حسابداری را ثبت، تأیید یا اصلاح کنند. اما یک سؤال مهم باقی میماند: «اگر فردی در سطح سیستمعاملِ سرور به دسترسی مدیریتی نامحدود دست یافته باشد، آیا همچنان میتوان به کنترلهای داخل نرمافزار مالی اعتماد کرد؟»
سیستمعامل، نرمافزار پایهای است که میان کاربران، برنامههای کاربردی و تجهیزات رایانهای قرار میگیرد. ویندوز سرور و لینوکس نمونههایی از سیستمعاملهایی هستند که بسیاری از نرمافزارهای مالی، سامانههای ERP، پایگاههای داده و خدمات سازمانی بر بستر آنها اجرا میشوند. سیستمعامل موارد زیر را تعیین میکند:
- چه کسی میتواند وارد سیستم شود.
- چه برنامهها و خدماتی اجازه اجرا داشته باشند.
- کاربران به کدام فایلها و پوشهها دسترسی پیدا کنند.
- چه کسی بتواند تنظیمات امنیتی را تغییر دهد.
- فعالیت کاربران چگونه ثبت و قابلپیگیری شود.
بنابراین، برای حسابرس، سیستمعامل صرفاً یک موضوع فنی متعلق به واحد فناوری اطلاعات نیست؛ بلکه بخشی از محیط کنترلی مؤثر بر قابلیت اتکای اطلاعات مالی است. برای مثال، ممکن است در نرمافزار حسابداری، حذف اسناد قطعیشده ممنوع باشد. این کنترل در سطح نرمافزار بهدرستی طراحی شده است. بااینحال، فردی که به سیستمعامل سرور دسترسی مدیریتی دارد، بسته به معماری سامانه، ممکن است بتواند فایلها یا تنظیمات برنامه را تغییر دهد، حساب جدیدی ایجاد کند، خدمات امنیتی را متوقف سازد، نسخههای پشتیبان را دستکاری کند یا گزارشهای فعالیت را حذف کند. در این شرایط، کنترل نرمافزاری همچنان وجود دارد؛ اما ضعف کنترل در لایه زیربنایی، امکان دورزدن یا بیاثرکردن آن را فراهم کرده است.
به همین دلیل، حسابرس نباید بررسی خود را به منوها و سطوح دسترسی داخل نرمافزار مالی محدود کند و حداقل باید از موارد زیر مطلع گردد:
- نرمافزار مالی روی چه سیستمعاملی اجرا میشود؟
- چه کسانی به سیستمعامل سرور دسترسی دارند؟
- چه افرادی دارای دسترسی ادمین هستند؟
- ایجاد و تغییر دسترسیهای ویژه چگونه تأیید میشود؟
- فعالیت کاربران ممتاز چگونه ثبت و بازبینی میشود؟
- آیا تغییرات مهم سیستمعامل تحت فرایند مدیریت تغییر قرار دارند یا خیر؟
البته این موضوع به آن معنا نیست که هر حسابرس باید متخصص سیستمعامل یا مهندس شبکه باشد. حسابرس قرار نیست تنظیمات پیچیده سرور را شخصاً ارزیابی کند؛ اما باید وابستگی میان کنترلهای نرمافزار مالی و امنیت زیرساخت را درک کند، سؤالهای درست بپرسد و در صورت نیاز از متخصص فناوری اطلاعات کمک بگیرد. نکته اساسی این است:
|
«سیستمعامل، پیِ ساختمان کنترلهای نرمافزاری است؛ اگر این پی بهدرستی محافظت نشود، کنترلهای داخل نرمافزار نیز ممکن است قابلاتکا نباشند.» |
سیستمعامل چگونه منابع سازمان را کنترل میکند؟
یک ساختمان اداری را تصور کنید که اتاقهای متعددی در آن وجود دارد: «اتاق امور مالی، بایگانی اسناد، خزانه، اتاق سرور و دفتر مدیریت». مدیر ساختمان باید تعیین کند چه کسی اجازه ورود دارد، هر فرد میتواند وارد کدام اتاق شود، چه کسانی کلید اتاقهای حساس را در اختیار داشته باشند و استفاده از امکانات ساختمان چگونه کنترل شود. سیستمعامل نیز در محیط فناوری اطلاعات نقشی مشابه «مدیر ساختمان» دارد. با این تفاوت که بهجای اتاقها، کلیدها و تجهیزات فیزیکی، منابع دیجیتال سازمان را مدیریت میکند. مهمترین این منابع به شرح زیر هستند:
- کاربران و حسابهای کاربری: سیستمعامل مشخص میکند چه افرادی بتوانند وارد سیستم شوند و هر حساب کاربری چه ویژگیها و مجوزهایی داشته باشد.
- فایلها و پوشهها: سیستمعامل تعیین میکند چه کسی بتواند یک فایل را مشاهده، ایجاد، تغییر، اجرا یا حذف کند. این موضوع درباره فایلهای مالی، تنظیمات نرمافزارها، گزارشهای سیستمی و نسخههای پشتیبان اهمیت ویژهای دارد.
- برنامهها و فرایندهای در حال اجرا: هر برنامه برای اجرا به مجوز و منابع نیاز دارد. سیستمعامل باید مانع شود یک برنامه یا کاربر غیرمجاز، فرایندهای حیاتی سازمان را متوقف یا دستکاری کند.
- حافظه و توان پردازشی: سیستمعامل ظرفیت پردازنده و حافظه را میان برنامهها تقسیم میکند. تخصیص نامناسب یا مصرف کنترلنشده منابع میتواند موجب کندی یا توقف سامانههای مالی و عملیاتی شود.
- تجهیزات ذخیرهسازی: دیسکها، سرورها و سایر تجهیزات ذخیرهسازی حاوی اطلاعات حساس سازماناند. سیستمعامل نحوه استفاده و دسترسی به این تجهیزات را کنترل میکند.
- چاپگرها و سایر تجهیزات: حتی دسترسی به چاپگر نیز میتواند اهمیت امنیتی داشته باشد. برای مثال، گزارش حقوق کارکنان یا اطلاعات مشتریان نباید روی چاپگری عمومی و بدون نظارت چاپ شود.
- ارتباطات شبکهای: سیستمعامل در ایجاد و مدیریت ارتباط با سایر رایانهها، سرورها و سامانهها نقش دارد. ضعف در این بخش ممکن است زمینه انتقال غیرمجاز اطلاعات یا نفوذ به سیستم را فراهم کند.
اهمیت کنترل منابع سازمان برای حسابرس فناوری اطلاعات
فرض کنید در نرمافزار مالی، یک کاربر اجازه حذف اسناد قطعیشده را ندارد. کنترل داخل نرمافزار بهدرستی طراحی شده است. بااینحال، همان کاربر در سطح سیستمعامل به پوشه فایلهای برنامه یا نسخههای پشتیبان دسترسی دارد. در چنین شرایطی، او ممکن است نتواند سند را از طریق منوی نرمافزار حذف کند، اما دسترسی نامناسب در لایه زیرین میتواند زمینه آسیبدیدن فایلها، تغییر تنظیمات، حذف نسخههای پشتیبان یا مختلشدن امکان بازیابی اطلاعات را فراهم کند. بنابراین، حسابرس نباید کنترل دسترسی را فقط از دریچه نرمافزار مالی ببیند. او باید موارد زیر را بررسی کند:
- چه کسانی به منابع حساس سیستمعامل دسترسی دارند؟
- هر کاربر دقیقاً چه اقداماتی میتواند انجام دهد؟
- آیا مجوزها با وظایف شغلی افراد تناسب دارند؟
- چه کسی میتواند مجوزها را تغییر دهد؟
- آیا دسترسی کارکنان منتقلشده یا ترکخدمتکرده اصلاح یا حذف شده است؟
- آیا دسترسیها بهصورت دورهای بازبینی میشوند؟
این بررسی با سه هدف اصلی امنیت اطلاعات زیر نیز ارتباط مستقیم دارد:
- دسترسی نامناسب ممکن است محرمانگی اطلاعات را نقض کند.
- امکان تغییر یا حذف فایلها میتواند یکپارچگی اطلاعات را از بین ببرد.
- مصرف یا تخریب منابع ممکن است دسترسپذیری سامانهها را مختل کند.
نکته کلیدی به شرح زیر است:
|
«سیستمعامل نگهبان منابع فناوری اطلاعات است؛ اما اگر کلیدهای بیشتری از نیاز در اختیار کاربران قرار دهد، خود میتواند به منشأ ریسک تبدیل شود.» |
بیتا مشایخی (استاد دانشگاه تهران)
منبع: کتاب حسابرسی فناوری اطلاعات، تالیف جیمزهال، انتشارات دانشگاه تهران
https://press.ut.ac.ir/book_3882.html