财务流程的网络安全控制

企业内部是否有人持有可以转移资金或更改会计记录的凭证 - 银行门户登录、付款或工资单启动权限或总账的管理访问权限？

这个问题涵盖了整个评论。如果内部人员持有可以转移资金或更改分类账的凭证，则下面的访问、隔离、验证和恢复控制由您设计和操作。如果一切都由提供商执行，则控制工作的性质就会发生变化：它变成提供商保证、合同义务以及对提供商所做工作的实体级验证。常见的陷阱是被遗忘的凭据 - 旧的银行令牌或“以防万一”保留的休眠管理员登录名 - 这会悄悄地将实体放回第一类别。

这个问题涵盖了整个评论。如果内部人员持有可以转移资金或更改分类账的凭证，则下面的访问、隔离、验证和恢复控制由您设计和操作。如果一切都由提供商执行，则控制工作的性质就会发生变化：它变成提供商保证、合同义务以及对提供商所做工作的实体级验证。常见的陷阱是被遗忘的凭据 - 旧的银行令牌或“以防万一”保留的休眠管理员登录名 - 这会悄悄地将实体放回第一类别。

官方指南： GAO 内部控制标准

如何授予、维护和删除用户对总账以及银行和工资门户的访问权限？

访问管理是其他财务控制的基础：每一次付款发布、日记账分录和主文件更改都必须追溯到一个负责人。从系统生成的用户列表中回答，而不是从记忆中回答。如果您选择第二个选项，审核将继续，但将缺少的重新认证作为记录的发现继续进行 - 过时的访问权限是离职员工和角色蔓延悄悄成为付款风险的原因。

控制活动组件的框架参考，包括关于技术的一般控制活动的原则 11。

官方指南： GAO 内部控制标准

• COSO 内部控制 - 综合框架

是否在银行门户、薪资系统、对账本的远程和管理员访问以及可以批准付款的每个人的电子邮件帐户上强制执行多重身份验证（而不仅仅是可用）？

测试声明，而不是设置：从新设备登录并观察实际需求。反复出现的陷阱包括绕过 MFA 的传统电子邮件协议、以月为单位衡量的“记住此设备”范围，以及向那些邮箱攻击者旨在批准付款的高管授予豁免。审批者电子邮件属于此列表，因为受损的邮箱是伪造和拦截付款指令的原因。

测试声明，而不是设置：从新设备登录并观察实际需求。反复出现的陷阱包括绕过 MFA 的传统电子邮件协议、以月为单位衡量的“记住此设备”范围，以及向那些邮箱攻击者旨在批准付款的高管授予豁免。审批者电子邮件属于此列表，因为受损的邮箱是伪造和拦截付款指令的原因。

官方指南： GAO 内部控制标准

任何一个人（包括所有者或簿记员）都可以创建或更改供应商的付款详细信息并批准或发放给该供应商的付款，而无需第二个人吗？

根据系统权限而不是工作描述来判断 - 门户管理员角色通常同时拥有两种权力，即使日常工作将它们分开，如果这些权限在一次登录中共存，答案是“是”。在完全分离不切实际的小型团队中，标准补偿控制是银行强制执行的电汇和 ACH 双重发布，加上所有者每个周期对收款人变更报告的独立审查。

根据系统权限而不是工作描述来判断 - 门户管理员角色通常同时拥有两种权力，即使日常工作将它们分开，如果这些权限在一次登录中共存，答案是“是”。在完全分离不切实际的小型团队中，标准补偿控制是银行强制执行的电汇和 ACH 双重发布，加上所有者每个周期对收款人变更报告的独立审查。

官方指南： GAO 内部控制标准

当供应商、员工或贷方要求更改银行帐户详细信息或发送新的付款指令时，在更新或付款之前如何验证该请求？

商业电子邮件泄露是通过劫持或模仿真正的通信线程来实现的，因此通过请求通道进行的任何验证都是循环的 - 攻击者控制请求和确认。有效的控制是故意无聊的：对实体已经持有的号码进行带外呼叫，记录在变更表上，紧急的、高管发起的或季度末的请求也不例外。如果您仅依赖门户自动化，请为高于价值阈值的收款人添加人工回调。

商业电子邮件泄露是通过劫持或模仿真正的通信线程来实现的，因此通过请求通道进行的任何验证都是循环的 - 攻击者控制请求和确认。有效的控制是故意无聊的：对实体已经持有的号码进行带外呼叫，记录在变更表上，紧急的、高管发起的或季度末的请求也不例外。如果您仅依赖门户自动化，请为高于价值阈值的收款人添加人工回调。

官方指南： GAO 内部控制标准

如果今天早上发生欺诈性付款，团队是否可以在当天执行书面回复——谁打电话给银行尝试召回，谁提出执法投诉，谁保留电子邮件和批准——以及财务人员在过去一年内是否接受过有关支付欺诈危险信号的培训？

欺诈性电汇或 ACH 的恢复前景在最初几个小时后急剧下降，因此必须在需要之前编写、命名和演练响应 - 在事件发生期间为时已晚，无法查询银行的欺诈服务台。培训很重要，因为人是控制面：危险信号是紧急情况、更改的汇款详细信息、新的银行指令以及调用高管姓名的压力，而在培训中见过该模式的员工会在收件箱中认出它。

欺诈性电汇或 ACH 的恢复前景在最初几个小时后急剧下降，因此必须在需要之前编写、命名和演练响应 - 在事件发生期间为时已晚，无法查询银行的欺诈服务台。培训很重要，因为人是控制面：危险信号是紧急情况、更改的汇款详细信息、新的银行指令以及调用高管姓名的压力，而在培训中见过该模式的员工会在收件箱中认出它。

官方指南： GAO 内部控制标准

会计系统和支持财务记录是否自动备份到受感染的管理员帐户无法更改或删除的副本，并且在过去一年内是否实际测试过恢复？

勒索软件操作者故意使用与生产相同的被盗管理员凭据来寻找备份，因此，只有至少有一个副本超出了这些凭据（离线、不可变或在单独的身份验证下）并且已经进行了端到端的恢复演练，“我们有备份”才算数。对于云会计平台，了解提供商的弹性实际上可以保证什么，以及您需要导出和保护什么，例如附件、配置和集成。

勒索软件操作者故意使用与生产相同的被盗管理员凭据来寻找备份，因此，只有至少有一个副本超出了这些凭据（离线、不可变或在单独的身份验证下）并且已经进行了端到端的恢复演练，“我们有备份”才算数。对于云会计平台，了解提供商的弹性实际上可以保证什么，以及您需要导出和保护什么，例如附件、配置和集成。

官方指南： GAO 内部控制标准

如果员工发现可疑登录、网络钓鱼电子邮件或意外付款，他们是否确切知道该告诉谁，升级路径是否会到达财务领导层和银行（而不仅仅是 IT 支持渠道）？

金融事件是两种响应合二为一：技术遏制和资金响应——银行召回电话、暂停付款、账本更正和保险公司通知。两者都是从员工快速发言开始的，这就是为什么无责备、广为人知的报告路径本身就是一种内部控制。测试很简单：今天询问三名员工，如果他们收到可疑电子邮件，他们会告诉谁，然后看看答案是否符合程序。

金融事件是两种响应合二为一：技术遏制和资金响应——银行召回电话、暂停付款、账本更正和保险公司通知。两者都是从员工快速发言开始的，这就是为什么无责备、广为人知的报告路径本身就是一种内部控制。测试很简单：今天询问三名员工，如果他们收到可疑电子邮件，他们会告诉谁，然后看看答案是否符合程序。

官方指南： GAO 内部控制标准