الشركات الصناعية األردنية

Transcript

1 مدى فاعلية إجراءات الرقابة الداخلية المعلومات أمن توفير في اإللكترونية في الشركات الصناعية األردنية The Degree of Effectiveness of Internal Control Procedures in Providing Electronic Information Security in Jordanian Manufacturing Companies الطالب إعداد يوسف خليل يوسف عبدالجابر 0004 إش ارف الدكتور مضر عبداللطيف قدمت هذه استكماال الرسالة لمتطلبات الصوول عل درجة الماجستير ي المصاسبة قسم المصاسبة والتمويل كلية األعمال جامعة الشرق األوسط الثان كانون - 004

2 تفويض ب

3 ج أنا الطالب يوسفخليل يوسف عبدالجابر أفوض جامعة الشرق األوسط بتزويد نسخ من رسالتي ورقيا والكترونيا للمكتبات أو المنظمات أو الهيئات والمؤسسات المعنية باألبحاث والد ارسات العلمية عند طلبها. االسم: يوسف خليل يوسف عبدالجابر التاريخ: -- التوقيع: قرار لجنة المناقشة

4 د ولا تقدير الشكر قال تعال } ف ت ع ال ى ه للا ال م ل ك ال ح ق و ل ت ع ج ل ب ال ق ر آن م ن ق ب ل أ ن ي ق ض ى إ ل ي ك و ح ي ه و ق ل ر ب ز د ن ي [طه : ع ل م ا} ] بداية أصمد اهلل وأشكره لجالل وجهك ينبغ كما الصمد لك رب يا مباركا طيبا كثي ار شك ار وعظيم سلطانك العمل. هذا إلنجاز ل وتوييقك يضلك عل الشكككر والثنككاى إلكك أسككتاذا الككدكتور مضككر عبككد اللطيككف الككذا قبككل اإلشكك ارف علكك رسككالت يكان قبوال صسنا وأشرف يكان إش اريا أمينا وعلم يكان تعليما متقنا وج ازه اهلل خير الج ازى. والشكر إل أساتذت ي جامعة الشرق االوسط لما قدموه ل من علم ومعرية ومنهم األستاذ الدكتور عبد الناور نور واألستاذ الدكتور مصمد مطر واألستاذ الدكتور مصمد النعيم والدكتور أسامة جعارة والدكتور عدنان األعرج والدكتور مصمد الشورة والشكر إل لجنة المناقشة الت تفضلت بقبول الرسالة. مناقشة الشكر والثناى إل من كللهما اهلل بالهيبة والوقار... إل من علمان العطاى بدون انتظار.. إل والدا العزيزين كل الشكر والتقدير.... والشكر والثناى إل رييقة درب وأم أوالدا إل زوجت الصبيبة تما ار. والشكككر مووكككول إلكك زمال ككك وزميالتككك يكك جامعكككة الشككرق األوسكككط الكككذين قككدموا لككك ككككل مسككككاعدة طلبككككت مككككنهم مككككن نوككككص لاورشككككاد وتوجيكككك وأخكككك بالككككذكر الككككزمالى زيككككد الشككككوابكة وعككككامر العرموط ولكل من مد ل يد العون والمساعدة.

5 ه اإلهداء إلى والدي العزيزين إلى زوجتي الحبيبة إلى ولدي الحبيبين تاال وخليل إلى كل من كان سببا في وصولي إلى ما وصلت إليه

6 و فهرس المحتويات الموضوع العنوان تفويض ق ارر لجنة المناقشة الشكر والتقدير اإلهداى يهرس المصتويات يهرس الجداول الصفحة أ ب ج د ه و ط الملخ الملخ باللغة العربية باللغة اإلنجليزية م س الفصل األول: مقدمة عامة للدراسة تمهيد مشكلة الد ارسة وأس لتها يرضيات الد ارسة أهداف الد ارسة أهمية الد ارسة صدود الد ارسة التعريفات اإلج ار ية

7 ز الفصل الثاني: اإلطار النظري والدراسات السابقة المقدمة الرقابة الداخلية 09 نظم المعلومات المصاسبية اإللكترونية أمن المعلومات الد ارسات السابقة 45-0 ما يميز هذه الد ارسة عن الد ارسات السابقة الفصل الثالث: الطريقة واإلجراءات المقدمة منهجية الد ارسة 4 مجتمع الد ارسة وعينتها أداة الد ارسة وموادر الصوول عل المعلومات المعالجة االصوا ية المستخدمة الفصل الرابع: نتائج الدراسة واختبار الفرضيات 0- المقدمة ووف خوا الد ارسة عينة استع ارض نتا ج الد ارسة 70 اختبار يرضيات الد ارسة - الفصل الخامس : االستنتاجات والتوصيات المقدمة

8 ح االستنتاجات التوويات قائمة المراجع العربية واألجنبية قا مة الم ارجع العربية قا مة الم ارجع األجنبية قائمة المالحق 005 ملصق رقم )0( نموذج االستبانة

9 أ/ ج/ أ/ ط فهرس الجداول رقم الجدول الموضوع مقياس تصديد األهمية النسبية للوسط الصساب الصفحة معامل ثبات كرونباخ ألفا) الداخل االتساق لمجاالت االستبانة (مقياس الخوا صسب العينة توزيع الديموغ اريية 0-5 المتوسط الصساب واالنص ارف المعيارا إلجابات أي ارد العينة عل اإلج ارىات المتعلقة بالرقابة عل مخاطر سرقة كلمة السر --4 المتوسط الصساب واالنص ارف المعيارا إلجابات أي ارد العينة عل 5 اإلج ارىات المتعلقة بالرقابة ي صالة التعرض لالخت ارق أثناى --4 ب/ مصاولة معالجة اخت ارق سابق المتوسط الصساب واالنص ارف المعيارا إلجابات أي ارد العينة عل 57 اإلج ارىات المتعلقة بالرقابة عل مخاطر هجمات صقن قواعد --4 البيانات المتوسط الصساب واالنص ارف المعيارا إلجابات أي ارد العينة عل اإلج ارىات المتعلقة بالرقابة الداخلية عل مخاطر إدعاى جهة معينة بأنها جهة موثوق بها من قبل المستخدم تطلب من --4 استخدام ملف مريق يكون ضا ار ب المتوسط الصساب واالنص ارف المعيارا إلجابات أي ارد العينة عل 0 اإلج ارىات المتعلقة بالرقابة الداخلية عل مخاطر معينة بأنها جهة أخرى معروية من قبل المستخدم إدعاى جهة بصيث يتم --4 ب/ الطلب من تقديم المعلومات بشكل مباشر

10 ج/ ج/ أ/ ي المتوسط الصساب واالنص ارف المعيارا إلجابات أي ارد العينة عل اإلج ارىات المتعلقة بالرقابة الداخلية عل ووول رسالة مخاطر 4 مزيفة من جهة )غالبا مالية ومعروية( لطلب معلومات أو التصقق --4 منها ولتصقيق ذلك قد تصتوا هذه الرسا ل عل اربط مزيف لجهة معروية المتوسط الصساب واالنص ارف المعيارا إلجابات أي ارد العينة عل 5 اإلج ارىات المتعلقة بالرقابة الداخلية عل مخاطر الب ارمج تظهر بأنها تعمل بشكل معين ومفيد للمستخدم بينما ه الت ي 4-4- الواقع تقوم بعمل ضار وخف عن المستخدم 7 المتوسط الصساب واالنص ارف المعيارا إلجابات أي ارد العينة عل اإلج ارىات المتعلقة بالرقابة الداخلية عل مخاطر الفيروسات 4-4- ب/ المتوسط الصساب واالنص ارف المعيارا إلجابات أي ارد العينة عل اإلج ارىات المتعلقة بالرقابة الداخلية عل مخاطر البرمجيات 4-4- الت تؤدا إل التجسس عل المعلومات الشخوية دون علم 9 مستخدم الصاسوب. وغالبا ما يتم تنزيلها بشكل سرا بصيث تكون م اريقة لتنزيل برمجيات أو ملفات مجانية من اإلنترنت 7 المتوسط الصساب واالنص ارف المعيارا إلجابات أي ارد العينة عل إج ارىات الرقالة الداخلية عل أمن المعلومات -4- المتوسط الصساب واالنصر اف المعيارا إلجابات أي ارد العينة عل 70 اإلج ارىات المتعلقة بمعوقات إج ارىات الرقابة الداخلية عل أمن 5-4- المعلومات نتا ج اختبار One-Sample t-test مالىمة مدى من للتصقق 7 استجابات الشركات الوناعية األردنية لمخاطر الصتيال 0-- اإللكترون المرتبط بأمن المعلومات قبل صدوث

11 ك للتصقق من مدى مالىمة استجابات الشركات الوناعية األردنية لكشف االصتيال اإللكترون المرتبط بأمن المعلومات بعد صدوث للتصقق من مدى مالىمة استجابات الشركات الوناعية األردنية لتوصيص الثغ ارت الت أدت لالصتيال اإللكترون المرتبط بأمن المعلومات للتصقق من مدى مالىمة استجابات الشركات الوناعية األردن للمعوقات الت تؤثر عل تفعيل إج ارىات الرقابة الداخلية المرتبطة بمخاطر أمن معلومات نظم المعلومات المصاسبية اإللكترونية نتا ج االختبار للتصقق من الفروق ي اجابات أي ارد عينة الد ارسة تعود إل الخلفية الشخوية لكل منهم تبعا للعمر نتا ج االختبار للتصقق من الفروق ي اجابات أي ارد عينة الد ارسة تعود إل الخلفية الشخوية لكل منهم تبعا الدور الوظيف الصال نتا ج االختبار للتصقق من الفروق ي اجابات أي ارد عينة الد ارسة تعود إل الخلفية الشخوية لكل منهم تبعا الرتبة الوظيفية نتا ج االختبار للتصقق من الفروق ي اجابات أي ارد عينة الد ارسة تعود إل الخلفية الشخوية لكل منهم تبعا المؤهل العلمي نتا ج االختبار للتصقق من الفروق ي اجابات أي ارد عينة الد ارسة تعود إل الخلفية الشخوية لكل منهم تبعا لعدد سنوات الخبرة نتا ج االختبار للتصقق من الفروق ي اجابات أي ارد عينة الد ارسة تعود إل الخلفية الشخوية لكل منهم تبعا للصوول عل شهادات مهنية نتا ج االختبار للتصقق من الفروق ي اجابات أي ارد عينة الد ارسة تعود إل الخلفية الشخوية لكل منهم تبعا لتونيف الشركة

12 ل نتا ج االختبار للتصقق من الفروق ي اجابات أي ارد عينة الد ارسة تعود إل الخلفية الشخوية لكل منهم تبعا لعدد الموظفين نتا ج االختبار للتصقق من الفروق ي اجابات أي ارد عينة الد ارسة تعود إل الخلفية الشخوية لكل منهم تبعا لنوع الشركة

13 م الملخص باللغة العربية مدى فاعلية إجراءات الرقابة الداخلية في المعلومات أمن توفير اإللكترونية في الشركات الصناعية األردنية إعداد يوسف خليل عبد الجابر إشراف الدكتور مضر عبد اللطيف هديت الد ارسة إل السع الكتشاف مدى ياعلية إج ارىات الرقابة الداخلية ي الشركات الوناعية األردنية المستخد مة لنظم المعلومات المصاسبية اإللكترونية ي تخفيض مخاطر أمن المعلومات لديها والمعوقات الت تؤثر عل ياعلية هذه اإلج ارىات من خالل تصديد ثالثة مخاطر تهدد أمن نظم المعلومات وه مخاطر اخت ارق الشبكات ومخاطر الهندسة االجتماعية وأخي ار مخاطر البرمجيات الضارة كما غطت ياعلية الرقابة الداخلية ي منع واكتشاف المخاطر وتوصيصها ي صالة وقوعها. ولتصقيق هذا الغرض تم توميم استبانة وقد تم توزيعها عل عينة الد ارسة المكونة من ثالثين شركة وناعية عاملة ي المملكة األردنية الهاشمية تستخدم نظم المعلومات المصاسبية. ولتصليل البيانات قام الباصث باستخدام أساليب إصوا ية تمثلت ي المتوسطات الصسابية.One Sample t-test واالنص اريات المعيارية واختبار كروسكال والس واختبار مان وتن واختبار أظهرت نتا ج التصليل اإلصوا ياعلية إج ارىات الرقابة الداخلية ي تويير أمن المعلومات اإللكترونية ي الشركات الوناعية األردنية من خالل أوجهها الثالثة )المنع واالكتشاف والتوصيص(

14 ن من خالل اختبار ثالثة أنواع من المخاطر الت تهدد أمن المعلومات االلكترونية وه مخاطر اخت ارق الشبكات والهندسة االجتماعية والبرمجيات الضارة كما أظهرت النتا ج داللة ذات يروق إصوا ية بين إجابات أي ارد العينة تعود للخلفية الشخوية لكل منهم خاوة ي مجاالت طبيعة الدور الوظيف وسنوات الخبرة وصيازة شهادات مهنية وصجم الشركة وكونها أجنبية أو مصلية. أظهرت النتا ج أيضا وجود معوقات وتصديات تواج تطبيق إج ارىات رقابة داخلية يعالة ومنها عدم مواكبة التطور المتسارع ألساليب االصتيال اإللكترون وأيضا عدم دعم اإلدارة ألنشطة الرقابة الداخلية المتعلقة بأمن المعلومات. اقترصت لقد الد ارسة مجموعة من التوويات منها ضرورة دعم اإلدارة ألنشطة الرقابة الداخلية عل أمن المعلومات من خالل تويير الكوادر المؤهلة وكذلك تصفيز العاملين ي الشركات الوناعية للصوول عل الشهادات المهنية ذات العالقة.

15 س ABSTRACT The Degree of Effectiveness of Internal Control Procedures in Providing Electronic Information Security in Jordanian Manufacturing Companies Prepared by: Yousef Khalil Abdel Jaber Supervised by: Dr. Modar Abdullatif This study aimed to explore the degree of effectiveness of internal control procedures in Jordanian manufacturing companies that use electronic accounting information systems in reducing information security risks. In addition, the study covered the possible obstacles that limit the effectiveness of internal control in these companies. The study identified three general groups of risks (hacking, social engineering, and malware), and covered the effectiveness of internal controls in preventing and detecting these risks, and correcting the situation in case of their occurrence. To achieve its aims, the study employed a questionnaire that was administered to thirty manufacturing companies operating in Jordan that use electronic accounting information systems. To analyze the findings, the researcher used statistical methods including means, standard deviations, Kruskal-Wallis and Mann Whitney tests, and one-sample t-tests. The findings showed that internal control procedures used by the companies are generally effective in preventing and detecting risks related to hacking, social engineering and malware, and in correcting their effects in case of their occurrence. In addition, the findings showed statistically significant differences in views of the study sample that may be attributed to the respondent's job nature, professional experience, and possession of a

16 ع professional certificate, and to the company's size and affiliation with an international company. The results also showed the presence of obstacles and challenges facing the application of effective internal control procedures, including the rapid development of electronic fraud methods and the lack of management support for the activities of internal controls related to information security. The study suggested a number of recommendations including management support for the activities of internal control over information security through the provision of qualified personnel, and encouraging them to obtain related professional certificates.

17 الفصل األول مقدمة عامة للدراسة

18 الفصل األول مقدمة عامة للدراسة تمهيد مشكلة الد ارسة وأسئلتها - - فرضيات الد ارسة هدف الد ارسة أهمية الدراسة حدود الدراسة التعريفات اإلج ارئية

19 - تمهيد: واجهت منظمات األعمال العديد من التصديات المرتبطة بازدياد المنايسة ي جميع كان والت المجاالت من أهم أسباب هذه التصديات ظهور ما يسم بالعولمة والتطور التكنولوج ساهما بدورهما اللذين إ ازلة الصواجز ي منظمات األعمال بين والصدود من جهة والعمالى من جهة إذ أخرى أوبصت الصدود بين الدول المنظمة يعيق ما أخر ي تصقيق أهدايها صول االنتشار ي العالم. Electronic Accounting ( ظهرت وقد أنظمة المعلومات المصاسبية اإللكترونية كأصد نتا ج هذا التطور التكنولوج انتشرت صيث المتسارع )Information Systems - EAIS هذه األنظمة بعدة عوامل كبيرة مديوعة بسرعة منها الصاجة لتويير المعلومات المال مة والموثوقة والت تساعد اإلدارة اتخاذ عل الق ار ارت المناسبة من صيث استخدام الموارد المصدودة بالشكل األمثل لمواجهة المنايسة المت ازيدة عل الوعيدين ازدادت وأيضا والدول المصل صاجة المنظمات لهذه النظم بسبب داخل البلد أو صول العالم سواى يروعها انتشار الواصد باإلضاية لتطور العمليات وتعقيدها ووعوبة تعامل العنور البشرا هذا مع الصجم الها ل من البيانات الناتجة عنها. نتج عن لذلك باإلضاية ظهور أنظمة المعلومات المصاسبية اإللكترونية العديد من التصديات والمخاطر معروية لم تكن الت ي السابق والت تستدع من أن تقوم إدارة الشركة بتطوير أنشطة الرقابة الداخلية لديها من خالل إعداد السياسات واإلج ارىات الت الرقابة عل تتيص هذه األنظمة اإللكترونية.

20 4 ومن أبرز التصديات الت اريقت ظهور وانتشار نظم المعلومات المصاسبية اإللكترونية ي بي ة تتسم بالمنايسة الشديدة المخاطر ارتفاع المرتبطة بأمن المعلومات االلكترون )EAIS( اهتمام استدع والذا إدارة الشركات ب من صيث تطبيق إج ارىات رقابة داخلية يعالة للمصايظة أمن عل المعلومات داخل الشركة أو اكتشاف صاالت تسريب المعلومات لألشخا غير المورح لهم. مشكلة الد ارسة وأسئلتها: - أنظمة انتشار أدى المعلومات المصاسبية كل ما مع اإللكترونية تصتوي من إل إيجابيات مخاطر صديثة ظهور ي النظام الورق السابق ي تكن معروية لم أمن نظم المعلومات ومنها اإللكترونية والمرتبط بإمكانية سرقة المعلومات أو تعديلها أو يقدانها والبيانات من خالل أي ارد من خارج المنظمة أو من خالل األير اد المستخدمين للنظام باإلضاية إلمكانية إطالع المبرمجين عل كاية البيانات المخزنة ضمن قواعد بيانات. ذلك عل وبناى يإن مشكلة الد ارسة يمكن تلخيوها ي عدم توير المعرية الكايية عن اصتواى مدى أنظمة المعلومات المصاسبية ي الشركات الوناعية األردنية عل وسا ل وأدوات لمنع اكتشاف و األساليب المختلفة لالصتيال اإللكترون المرتبطة بأمن المعلومات المصاسبية اإللكترونية واإلج ارىات الالزمة لتوصيص ثغ ارت النظام. يمكن آنفا لما ذكر واستنادا إظهار مشكلة الد ارسة بوورة أكثر وضوصا من خالل األس لة التالية:

21 5 ياعلية إج ارىات الرقابة الداخلية ي الشركات الوناعية األردنية ي منع االصتيال - ما مدى اإللكترون المرتبط بأمن المعلومات قبل صدوث ياعلية إج ارىات الرقابة الداخلية ي الشركات الوناعية األردنية ي اكتشاف االصتيال - ما مدى اإللكترون المرتبط بأمن المعلومات بعد صدوث ياعلية - ما مدى إج ارىات الرقابة الداخلية ي الشركات الوناعية األردنية ي توصيص الثغ ارت الت تسببت باالصتيال اإللكترون المرتبط بأمن المعلومات ياعلية عل 4- ما ه المعوقات الت تؤثر إج ارىات الرقابة الداخلية المرتبطة بمخاطر أمن معلومات نظم المعلومات المصاسبية اإللكترونية ي الشركات الوناعية األردنية يروق ذات داللة إصوا ية ي اجابات أي ارد عينة الد ارسة تعود إل الخلفية 5- هل يوجد الشخوية )العمر الدور الوظيف الصال الرتبة الوظيفية المؤهل العلم عدد سنوات الخبرة الصوول عل شهادات مهنية تونيف الشركة عدد الموظفين نوع الشركة( لكل منهم - فرضيات الد ارسة: تنطلق يرضيات الد ارسة من مصاولة اإلجابة عن األس لة الد ارسة مشكلة ي الت وردت وعل النصو التال :

22 الفرضية األولى: ال تتسم إج ارىات الرقابة الداخلية ي الشركات الوناعية األردنية بالفاعلية ي منع :HO االصتيال اإللكترون المرتبط بأمن المعلومات قبل صدوث ويتفرع عن هذه الفرضية الفرضيات الفرعية التالية: 0- ال تتسم إج ارىات الرقابة الداخلية ي الشركات الوناعية األردنية بالفاعلية ي منع. االصتيال اإللكترون الخا باخت ارق الشبكات الصاسوبية )Hacking( قبل صدوث 0- ال تتسم إج ارىات الرقابة الداخلية ي الشركات الوناعية األردنية بالفاعلية ي منع )Social Engineering( بالهندسة االجتماعية الخا االصتيال اإللكترون قبل صدوث. -ال تتسم إج ارىات الرقابة الداخلية ي الشركات الوناعية األردنية بالفاعلية ي منع. االصتيال اإللكترون الخا بالبرمجيات الضارة )Malware( قبل صدوث الفرضية الثانية: ال تتسم إج ارىات الرقابة الداخلية ي الشركات الوناعية األردنية بالفاعلية ي :HO اكتشاف االصتيال اإللكترون المرتبط بأمن المعلومات بعد صدوث ويتفرع عن هذه الفرضية الفرضيات الفرعية التالية:

23 ال ال تتسم إج ارىات الرقابة الداخلية ي الشركات الوناعية األردنية بالفاعلية ي )Hacking( اكتشاف االصتيال اإللكترون من خالل اخت ارق الشبكات والمرتبط بأمن صدوث بعد المعلومات. 0- ال تتسم إج ارىات الرقابة الداخلية ي الشركات الوناعية األردنية بالفاعلية ي Social ( اكتشاف االصتيال اإللكترون من خالل الهندسة االجتماعية والمرتبط بأمن المعلومات بعد صدوث. )Engineering تتسم إج ارىات الرقابة الداخلية ي الشركات الوناعية األردنية بالفاعلية ي )Malware( اكتشاف االصتيال اإللكترون من خالل البرمجيات الضارة والمرتبط بأمن المعلومات. صدوث بعد الفرضية الثالثة: ال تتسم إج ارىات الرقابة الداخلية ي الشركات الوناعية األردنية بالفاعلية ي :HO توصيص الثغ ارت الت تسببت باالصتيال اإللكترون المرتبط بأمن المعلومات ويتفرع عن هذه الفرضية الفرضيات الفرعية التالية: 0- ال تتسم إج ارىات الرقابة الداخلية ي الشركات الوناعية األردنية بالفاعلية ي توصيص الثغ ارت الت تسببت باالصتيال اإللكترون المرتبط بأمن المعلومات عن طريق اخت ارق الشبكات الصاسوبية.)Hacking(

24 ال- ال ال تتسم إج ارىات الرقابة الداخلية ي الشركات الوناعية األردنية بالفاعلية ي توصيص الثغ ارت الت تسببت باالصتيال اإللكترون المرتبط بأمن المعلومات عن طريق الهندسة االجتماعية Engineering(.)Social 4- ال تتسم إج ارىات الرقابة الداخلية ي الشركات الوناعية األردنية بالفاعلية ي توصيص الثغ ارت الت تسببت باالصتيال اإللكترون المرتبط بأمن المعلومات عن طريق البرمجيات الضارة.)Malware( الفرضية الرابعة: ال توجد معوقات تؤثر عل ياعلية إج ارىات الرقابة الداخلية المرتبطة بمخاطر أمن :HO4 معلومات نظم المعلومات المصاسبية اإللكترونية ي الشركات الوناعية األردنية. الفرضية الخامسة: يروق توجد ال ذات داللة إصوا ية ي اجابات أي ارد عينة الد ارسة تعود إل الخلفية :HO5 الشخوية لكل منهم ويتفرع عن هذه الفرضية الفرضيات الفرعية التالية: يروق توجد ذات داللة إصوا ية ي اجابات أي ارد عينة الد ارسة تعود إل الخلفية الشخوية لكل منهم تبعا للعمر. يروق توجد ذات داللة إصوا ية ي اجابات أي ارد عينة الد ارسة تعود إل الخلفية. الشخوية لكل منهم تبعا للدور الوظيف الصال

25 ال- ال- ال- ال- ال- ال- ال- 9 يروق توجد ذات داللة إصوا ية ي اجابات أي ارد عينة الد ارسة تعود إل الخلفية الشخوية لكل منهم تبعا للرتبة الوظيفية. يروق توجد ذات داللة إصوا ية ي اجابات أي ارد عينة الد ارسة تعود إل الخلفية 4 الشخوية لكل منهم. تبعا للمؤهل العلم يروق توجد ذات داللة إصوا ية ي اجابات أي ارد عينة الد ارسة تعود إل الخلفية 5 الشخوية لكل منهم تبعا لعدد سنوات الخبرة. يروق توجد ذات داللة إصوا ية ي اجابات أي ارد عينة الد ارسة تعود إل الخلفية الشخوية لكل منهم تبعا للصوول عل شهادات مهنية. يروق توجد ذات داللة إصوا ية ي اجابات أي ارد عينة الد ارسة تعود إل الخلفية 7 الشخوية لكل منهم تبعا لتونيف الشركة. يروق توجد ذات داللة إصوا ية ي اجابات أي ارد عينة الد ارسة تعود إل الخلفية 8 الشخوية لكل منهم تبعا لعدد الموظفين ي الشركة. يروق توجد ذات داللة إصوا ية ي اجابات أي ارد عينة الد ارسة تعود إل الخلفية 9 الشخوية لكل منهم تبعا لنوع الشركة. 4- أهداف الد ارسة: الهدف يتمثل الر يس للد ارسة ي السع الكتشاف مدى ياعلية إج ارىات الرقابة الداخلية ي الشركات الوناعية األردنية المستخدمة لنظم المعلومات المصاسبية اإللكترونية ي تخفيض

26 مخاطر أمن المعلومات لديها والمعوقات الت تؤثر عل ياعلية هذه اإلج ارىات ويمكن تقسيم هذا الهدف إل التالية: األهداف مدى ياعلية إج ارىات الرقابة الداخلية ي منع االصتيال اإللكترون المتعلق بأمن المعلومات - بيان قبل أن يصدث. مدى ياعلية إج ارىات الرقابة الداخلية ي اكتشاف االصتيال اإللكترون المتعلق بأمن - بيان المعلومات بعد أن يصدث. مدى ياعلية إج ارىات الرقابة الداخلية ي توصيص ثغ ارت النظام تسببت الت باالصتيال - بيان اإللكترون المتعلق بأمن المعلومات. المعوقات الت تؤثر عل ياعلية إج ارىات الرقابة الداخلية المرتبطة بمخاطر أمن معلومات 4- بيان نظم المعلومات المصاسبية اإللكترونية. يروق ذات داللة إصوا ية ي اجابات أي ارد عينة الد ارسة تعود إل الخلفية الشخوية 5- بيان وجود لكل منهم. 5- أهمية الدراسة: األهمية تنبع النظرية للد ارسة من أهمية المعلومات أمن عل المصايظة والبيانات الخاوة بالشركات الوناعية األردنية وصمايتها من مما لها يقدانها اصتمال من تأثير عل إست ارتيجيتها وخططها المستقبلية وبالتال نموها وتطورها ي القطاع الت. تنتم إلي لقد واجهت بعض الشركات ي الواقع العمل مشاكل بسبب ضعف أمن المعلومات نظام اإللكترونية بياناتها اخت ارق إل مما أدى لديها واالصتيال عليها أو إتالف بياناتها وبالتال تكبدها خسا ر مالية كبيرة لتعويض هذا األمر.

27 وي األردن يإن بعض الشركات قد تعان من ضعف ي تويير متطلبات أمن الرقابة عل معلوماتها نظ ار لضعف أنظمتها للرقابة الداخلية ومن هنا تأت هذه الد ارسة لتسهم ي اكتشاف واقع هذا األمر ي الشركات الوناعية األردنية ويؤمل أن تؤدا هذه الد ارسة إل تقديم نتا ج وتوويات مفيدة للشركات الوناعية األردنية بعض تصديد ي تساهم نقاط الضعف ضمن مكونات نظم المعلومات المصاسبية اإللكترونية للمصايظة عل أمن معلوماتها وسبل معالجتها. - حدود الدراسة: اقتورت الد ارسة عل الشركات الوناعية األردنية الت تقوم بتطبيق نظم المعلومات المصاسبية. :)Accounting Information System( التعريفات اإلج ارئية: - نظام المعلومات المحاسبي 7- هو النظام الذا يتم من خالل التسجيل والمعالجة والتقرير عن األصداث باستخدام األساليب المصاسبية لتصقيق األهداف المصاسبية. )999 )Boockholdt, - أمن المعلومات Security( :)Information ه درجة الثقة باألمن والصماية من المخاطر المصتملة والناتجة عن استغالل ثغ ارت وضعف النظام. )007 Fichadia, )Raval & - الرقابة الداخلية Control( :)Internal عملي ه تتأثر بمجلس إدارة المنظمة لاودارتها وأي ارد آخرين وممت لتويير تأكيد معقول لضمان تصقيق األهداف المتعلقة بالرقابة عل كفاىة وياعلية العمليات وموثوقية القوا م المالية والتأكد من االمتثال للقوانين واألنظمة والسياسات ذات العالقة بالمنظمة. )Committee of Sponsoring Organizations - COSO, 994)

28 - الرقابة أنشطة Activities( :)Control ه توميم وتنفيذ مجموعة من السياسات واإلج ارىات لضمان االستجابة الفعالة للمخاطر. 994) COSO, )Committee of Sponsoring Organizations - Prevention procedures for electronic إجراءات منع ( االحتيال اإللكتروني - :)fraud ه اإلج ارىات الت تهدف لمنع سرقة أو تعديل أو اتالف البيانات المدخلة من خالل نظم المعلومات المصاسبية اإللكترونية والمخزنة ضمن قواعد البيانات. Detection procedures for electronic ( إجراءات اكتشاف االحتيال اإللكتروني - :)fraud ه اإلج ارىات الت من شأنها سرقة البيانات اكتشاف والمعلومات أو تعديلها أو اتاليها والمدخلة من خالل نظم المعلومات المصاسبية اإللكترونية والمصفوظة ضمن قواعد البيانات. Correction procedures for ( إجراءات تصحيح االحتيال اإللكتروني - :)electronic fraud ه اإلج ارىات الت تهدف لمعالجة الثغ ارت ضمن مكونات نظم المعلومات المصاسبية وذلك سرقة البيانات لمنع تك ارر والمعلومات أو تعديلها أو اتاليها والت تم خالل من إدخالها نظم المعلومات المصاسبية اإللكترونية. - الشبكة :)Network( ه مجموعة من األجهزة المرتبطة معا من خالل قنوات االتوال السلكية و/أو الالسلكية )Raval & Fichadia, 007(

29 - الشبكات اختراق :)Hacking( وهو الووول غير المورح ب للشبكة الصاسوبية أو نظام المعلومات المصاسب بهدف تعديل البيانات و المعلومات أو سرقتها أو تدميرها. )0 Steinbart, )Romney & الهندسة Engineering( :)Social - االجتماعية مستخدم الصاسوب تصفيز عل اإليواح عن بيانات سرية من خالل طرح أس لة بسيطة بهدف جمع معلومات دون إثارة أا شبهة. )0 Steinbart, )Romney & - البرمجيات الضارة :)Malware( الب ارمج وه المتخووة بتسهيل التسلل إل النظام أو الشبكة الصاسوبية بهدف تدميره Romney & وما أن يتم تثبيت البرمجية الضارة يإن من الوعب جدا إ ازلتها. ( )Steinbart, 0

30 4 الفصل الثاني اإلطار النظري والد ارسات السابقة

31 5 الفصل الثاني اإلطار النظري والد ارسات السابقة - المقدمة - الرقابة الداخلية نظم المعلومات المحاسبية اإللكترونية - 4- أمن المعلومات 5- الدراسات السابقة - ما يميز هذه الدراسة عن الدراسات السابقة

32 - المقدمة: لعل واصدة من أهم صقا ق األعمال المتعارف عليها أن نظم المعلومات المصاسبية تشكل إصدى األدوات المهمة للتقرير عن أنشطة وربصية منظمات األعمال. استخدام كان لاوذا تكنولوجيا )Paper-Based AIS( أصدث تصوال قد المعلومات ي نظم المعلومات المصاسبية الورقية باتجاه )Computer-Based AIS( نظم المعلومات المصاسبية القا مة عل استخدام الصاسوب يإن أهمية توظيف تكنولوجيا المعلومات واستخدامها ي بنية نظم المعلومات المصاسبية تتأت من كونها مكنت من إعادة توميم نظم الرقابة الداخلية المصاسبية باتجاه ضمان كفاىة تشغيلية أكبر من ) ناصية وموضوعية أداى أوثق من ناصية أخرى. شكر و صمدان و )مشته ) ويرى )الرمص والذيبة أن نظام المعلومات المصاسب يقدم معلومات دقيقة باعتباره نظام دعم وهذا يمكن عناور سلسلة القيمة من تأدية وظا فها وأنشطتها بشكل يعال هذا النظام من يتمكن صيث تصقيق ذلك من خالل تصسين اإلنتاجية وزيادة الكفاىة والفاعلية من خالل تقديم معلومات دقيقة والمشاركة ي المعرية من خالل مشاركة عدد كبير من الموظفين ي المعلومات من مكاتب عدة ي مؤسسة واصدة القدرة عل وتصسين الق ارر. اتخاذ تقوم الشركات الت تعمل ي العالم اإللكترون بتخزين البيانات والمعلومات الصساسة ي أجهزة الصاسوب المتولة بالشبكات وقد تكون هذه الشبكات عرضة لالخت ارق وبالتال قد تؤدا لتلف البيانات وبناى علي يجب أن المعلومات أمن يكون أهم جزى ي تطبيقات األعمال. )Smith, 009(

33 7 - الرقابة الداخلية: تعتبر الرقابة الداخلية ي الشركات الوناعية هاما جزىا صيث يؤدا من عملياتها تطبيق نظام رقابة داخلية قوا لصوول المنظمة عل يوا د عديدة منها: من خالل انخفاض مخاطر التدقيق. - تخفيض كلفة التدقيق الخارج بشكل يعال - تمكين المنظمة من السيطرة عل أوول الشركة. المالىمة والموثوقية للمعلومات المستخدمة التخاذ الق ارر. - زيادة يؤدا بينما نظام رقابة داخلية ضعيف إل وضع الشركات الوناعية ي مخاطر عديدة منها إتاصة الفروة لسرقة األوول من قبل الموظفين واصتمالية يقدان المعلومات المتعلقة وغيرها من بالعمليات المخاطر والتهديدات الت قد تؤدا إل منظمات األعمال يشل ي تصقيق أهدايها. -- تعريف الرقابة الداخلية وأهدافها: Committee of ( تم تعريف الرقابة الداخلية من قبل تمويل لجنة المنظمات )Sponsoring Organizations - COSO ضمن األطار المتكامل للرقابة الداخلية والمنشور ي عام 994 بأنها عملية تتأثر )Internal Control integration Framework( بمجلس إدارة المنظمة لاودارتها وأي ارد آخرين وممت لتويير تأكيد معقول يضمن تصقيق األهداف التالية: 994) )COSO, - كفاىة وياعلية العمليات Operations(.)Effectiveness and Efficiency of - موثوقية القوا م المالية ( Reporting.)Reliability of Financial

34 8 Compliance with ( للقوانين والتشريعات ذات العالقة بالمنظمة - االمتثال.)applicable laws and regulations مكونات الرقابة الداخلية: -- (COSO) تمويل لجنة صددت لقد المنظمات ضمن الإلطار المتكامل للرقابة الداخلية خمسة عناور مت اربطة للرقابة الداخلية وه : - بي ة الرقابة Environment( :)Control تتكون بي ة الرقابة الداخلية من مجموعة من سياسات لاوج ارىات وأيعال تعكس سلوك Elder, المد ارى واإلدارة العليا والمالكين تجاه الرقابة الداخلية وأهميتها للشركة. ( )Beasley & Arens, 00 - تقييم المخاطر Assessment( :)Risk الشركات تواج من عدة متعددة مخاطر طبيعة مثل داخلية موادر أنشطة المنشأة وخارجية مثل التطو ارت التكنولوجية واألوضاع االقتوادية ويجب عل المنظمة تصديد هذه المخاطر وكيفية التعامل معها وهنا يتم التركيز عل كل من اصتمالية صدوث الخطر واألثر المادا المتوقع ل والتخطيط ي ضوى ذلك ولذلك يجب عل المنظمة وضع آلية لتصديد وتصليل لاودارة المخاطر الت قد تواجهها. - أنشطة الرقابة Activities( :)Control الت اإلجر اىات ه توضع من أجل الرقابة الداخلية وتصقيق أهداف المنظمة ومنها يول المهام وتفويض الوالصيات بشكل مناسب واالصتفاظ بالسجالت والوثا ق والرقابة المادية عل السجالت واألوول. )Soltani, 007)

35 9-4 المعلومات واالتوال Communication( :)Information & وجود نظام للمعلومات واالتوال يمكن األشخا العاملين ي المنظمة من التقاط وتبادل المعلومات الالزمة إلج ارى لاودارة وم ارقبة عملياتها. (994 )COSO, صيث تؤثر جودة المعلومات الت يتم الصوول عليها من خالل نظام المعلومات المصاسب ي قدرة االدارة عل اتخاذ الق ار ارت المناسبة ييما يتعلق بالرقابة عل أنشطة المنظمة لاوعداد قوا م مالية يمكن االعتماد عليها. )005 al, )Hayes et 5 -الم ارقبة :)Monitoring( يجب عل اإلدارة متابعة نظام الرقابة الداخلية صيث يمكن تقييم جودة أداى نظام )COSO, 994) الرقابة الداخلية من خالل م ارقبت بشكل مستمر. ومن المعلومات الت يمكن هذا اإلطار ي منها االستفادة تقرير المدقق الداخل Porter, Simon & والمعلومات الواردة من الموظفين التشغيليين ( )Hayes et al, 005( ومن الزبا ن )Hatherly,008 نظم المعلومات المحاسبية اإللكترونية: - -- تعريف نظام المعلومات المحاسبي: يمكن تعريف نظام المعلومات المصاسب بأن نظام يتم من خالل جمع البيانات ومعالجتها )Bagranoff, Simkin & Norman, 005( للصوول عل معلومات مفيدة لمتخذا الق ارر كذلك تم تعريف بأن نظام يتم من خالل تجميع وتسجيل وتخزين ومعالجة البيانات ي سبيل الصوول عل معلومات لمتخذا الق ارر كما يتم من خالل صماية أوول المنشأة بما ييها البيانات..)Romney & Steinbart, 0(

36 كذلك تم تعريف نظام المعلومات المصاسب بأن النظام الذا يتم من خالل التسجيل والمعالجة والتقرير عن األصداث باستخدام األساليب المصاسبية لتصقيق األهداف المصاسبية. )Boockholdt, 999( -- مكونات نظام المعلومات المحاسبي: قد يكون نظام المعلومات المصاسب بسيطا جدا من خالل تطبيق النظام اليدوا أو أن يكون معقدا من خالل تطبيق آخر ما توولت إلي التكنولوجيا ويمكن أن يكون بين هذين المستويين. 0( Steinbart, )Romney & نظم إن المعلومات المصاسبية كغيرها من األنظمة األخرى لها مكونات خاوة بها تسهل عليها عملية القيام بالوظا ف واألهداف الت وضعت ويمكن توضيص من أجلها هذه المكونات والوظا ف الت تدعمها كالتال : )0 Steinbart, )Romney & باستخدام - الموادر البشرية الت تقوم هذا النظام وتؤدا من خالل وظا ف مختلفة. اليدوية واإللكترونية الت تستخدم ي تجميع ومعالجة وصفظ - التعليمات واإلج ارىات لاويوال المعلومات صول أنشطة المنظمة. الصاسوب األجهزة الطريية - البيانات صول المنظمة وأسلوب عملها. 4- الب ارمج المستخدمة ي معالجة بيانات المنظمة. 5- البنية التصتية لتكنولوجيا المعلومات والت تشمل أجهزة وشبكة االتواالت الت تجمع وتصفظ وتعالج البيانات والمعلومات. تضمن والت أمن البيانات ي نظام المعلومات - التدقيق الداخل ومقاييس األمن المصاسب.

37 وتمكن هذه المكونات الستة نظام المعلومات المصاسب ثالث من تلبية وظا ف مهمة )Romney & Steinbart, 0( وه للمنظمة : - جمع وصفظ المعلومات عن نشاطات المنظمة. وموارد - تصويل البيانات إل معلومات مفيدة لوناعة الق ارر وهذا يمكن اإلدارة من التخطيط والرقابة وتقييم النشاطات والموارد والموظفين. للمصايظة عل أوول المنظمة بما ي ذلك للتأكد من المعلومات - تقديم رقابة كفؤة تويرها عند الصاجة وأن البيانات دقيقة وموثوقة. 4- أمن المعلومات: -4- تعريف أمن المعلومات: )Protection( موطلص األمن )Security( يعن ضمنا الصماية ويعتمد هذا المفهوم عل السياق الذا ذكر يي أمن الد ارسة ي هذه وهو نظم المعلومات المصاسبية. أيضا غالبا ما يشير هذا الموطلص للثقة )Confidence( أو لمستوى ال ارصة المرتبطة باألمن والصماية من الضرر الناتج عن المخاطر باإلضاية لذلك يإن األض ارر المصتملة تأت من التهديدات الت تستغل ثغ ارت أو ضعف النظام Vulnerability(.)System's بناى عل ما سبق يمكن تعريف أمن المعلومات بأنها درجة الثقة باألمن والصماية من المخاطر المصتملة والناتجة عن استغالل ثغ ارت وضعف النظام. )007 Fichadia, )Raval &

38 -4- أهداف أمن المعلومات: الهدف الر يس من أمن المعلومات هو صماية نظام المعلومات بالشركة ومكونات بناى عل ذلك يإن السبب الريس ألمن األوول المعلوماتية هو التأكد من عدم تعرضها للمخاطر وأنها متاصة لألشخا المورح لهم. )007 Fichadia, )Raval & Raval & Fichadia, ( : عل ما تقدم يإن بناى أهداف أمن المعلومات بما يل تتلخ )007 تكون المعلومات نزيهة عندما تكون - ن ازهة المعلومات Integrity( :)Information المعلومات المستخرجة من النظام دقيقة وموثوقة. يجب اإلصتفاظ بالمعلومات السرية بعيدا عن األشخا - السرية :)Confidentiality( غير المورح لهم. المستخدم عملية ه هوية عل الموادقة - التصقق من Authentication( :)User األشخا المورح لهم. ولتصقيق أهداف أمن المعلومات المشار إليها أعاله يرى الباصث ضرورة أن يكون لدى اإلدارة العليا بالشركات الوناعية األردنية والمصاسبين والمدققين الداخليين معرية جيدة بآلية عمل نظم المعلومات المصاسبية اإللكترونية )EAIS( والتأكد من اصتوا ها عل متطلبات الرقابة الداخلية بشكل عام وكيفية المصايظة عل سرية البيانات والمعلومات المخزنة ضمن قواعد بشكل البيانات خا.

39 -4- الرقابة على أمن المعلومات: تعتبر الرقابة عل أمن المعلومات من المواضيع الهامة والت يجب االهتمام بها من قبل اإلدارة العليا نظ ار لألهمية اإلست ارتيجية الت تتمتع بها إذ إن هناك سببين ر يسين للمصايظة عل المعلومات داخل الشركة وهما: )007 Fichadia, )Raval & اخت ارق - اصتمالية األنظمة وسرقة المعلومات والبيانات منها أو تعديلها بشكل غير مرغوب أو أن يتم تعديلها من قبل مستخدم النظام بشكل مقوود أو غير مقوود. لمتطلبات الصماية قوانين والخوووية وعل سبيل المثال يجب المصايظة - االمتثال عل خوووية المعلومات المتعلقة بالموظفين والزبا ن والموردين... إن أا إذ الخ. القوانين لهذه انتهاك يمكن أن تؤدا إل نتا ج سلبية تؤثر عل الموقف القانون للشركة وسمعتها الرقابة الوقائية: تصتوا الرقابة الوقا ية عل ضوابط تهدف لمنع وقوع األصداث السلبية والخسا ر ي األوول والموارد ومن أمثلة هذه الضوابط يول المهام بين الوظا ف اإلدارية والعمليات وتوثيقها وتقييد الووول ألوول وموارد المنشأة. )0 )Boczko, بناى عل ما سبق يمكن تعريف الرقابة الوقا ية بأنها الرقابة المعنية بمنع صدوث الخطر وتتضمن الوظا ف التالية: 0( Steinbart, )Romney & التدريب أ- :)Training( يجب أن يتم تدريب الموظفين عل الممارسات استخدام عند اآلمنة الصاسوب عدم يتص ومنها الملفات المريقة بالبريد اإللكترون مجهول المودر وصور استخدام البر امج بالمرخوة يقط

40 4 واالصتفاظ بكلمة السر وعدم اإليواح عنها ألا شخ واالصتفاظ بالصاسوب المصمول بمكان آمن وخوووا خالل السفر. )0 Steinbart, )Romney & :)User Access Controls( ب- الرقابة على تصريح الدخول :)Authentication( ويمكن تقسيمها إل وظيفتين ر يسيتين هما: التصقق أوال أا التأكد :)Authorization( من هوية الشخ أو الجهاز الذا يقوم بالولوج للنظام التوريص وثانيا أا صور الولوج للنظام أو جزى من باألشخا المخولين وتصديد الوالصيات لكل شخ مستخدم. )Romney & Steinbart, 0( التصقق أوال: :)Authentication( ويتم التصقق من الموادقة إما من خالل ش ى يتم معريت مثل كلمة السر الت تعتبر األكثر شيوعا ي مثل هذا المجال أو رقم التعريف الشخو مثل امتالك يتم ش ى من خالل أو البطاقات الذكية أو بطاقات تعريف الشخوية أو عن طريق بعض الخوا مثل المادية بومة اإلوبع أو الووت. )0 Steinbart, )Romney & التوريص ثانيا: :)Authorization( ويتم تطبيقها من خالل إنشاى موفوية والصيات الدخول وه عبارة عن جدول يصدد والصيات مستخدم النظام. 0( Steinbart, )Romney & )Authorization( التصقق يتمثل )Authentication( و التوريص بسياسات الشركة للنظام الولوج بتقييد الخاوة وتقييد العمليات الت يمكن تنفيذها من قبل مستخدم النظام وصسب الوالصيات المعتمدة لكل مستخدم. صيث يجب عمل اختبار لتقييم التوايق مع هذه السياسات من خالل تصليل سجل Analysis( )Log باإلضاية لذلك النظام استخدام يمن المهم إج ارى اختبار دورا لتقييم كفاىة إج ارىات األمن المطبقة ي الشركة. إذ يقوم النظام بتنفيذ التوايق اختبار

41 5 Authentication من خالل مطابقة موادقة المستخدم )Compatibility Test( مع موفوية الوالصيات وبالتال تنظيم دخول المستخدمين للنظام كل صسب )Credential) )Romney & Steinbart, 0( والصيات. :)Controlling Physical Access ( ج- الرقابة على الوصول المادي منها ويقود منع الووول المادا وصماية مكونات نظم المعلومات المصاسبية من أجهزة وبرمجيات وبنية تصتية وذلك من خالل صور الووول لهذه المكونات باألشخا المورح لهم بذلك وصمايتها من التلف من خالل تزويد مبن الشركة بأنظمة إطفاى الصريق مثال. :)Network Access Controls( )Romney & Steinbart, 0( د- الرقابة على الوصول إلى الشبكة الحاسوبية تخضع المعلومات المرسلة من خالل اإلنترنت إل نوعين من البروتوكوالت وهما (Transmission Control Protocol - TCP( برتوكوالت التصكم باإلرسال والذا يعمل من خالل تصديد اإلج ارىات لتقسيم الملفات والوثا ق إل صزم لاوعادة تجميعها عند ووولها (Internet Protocol - IP( لوجهتها. أما البروتوكول اآلخر يهو برتوكول اإلنترنت وهو الذا يصدد هيكلة الصزم وكيفية ووولها إل وجهتها الوصيصة إذ تتكون كل صزمة من صزم )Header( بروتوكول اإلنترنت )IP( هما العنوان ج أزين من والذا يصتوا عل عنوان مرسل الصزمة وعنوان الجهة المستقبلة لها والهيكل )Body( والذا يصتوا عل معلومات صول نوع )Routers( المعلومات المرسلة إذ يتم إرسال البيانات من خالل أجهزة لتصديد الوجهات )Header( وذلك من خالل ق ارىة صقل عنوان الجهة المستقبلة الموجود ي جزى العنوان. لتصديد الطريق الذا سيتم إرسال الصزمة التالية من خالل وتتم صماية شبكة الصاسوب من )Firewall( وذلك من خالل الرسا ل غير المرغوبة من خالل عدة وسا ل منها الجدار النارا

42 Romney & Steinbart, ( والسماح لمرور الصزم يلترة الصزم الت تلب شروط معينة يقط. )0 ه- توفير األمن والحماية لألجهزة والبرمجيات: استكمال خالل من المعلومات أمن يتعزز الضوابط مع الشبكة مصيط ي الوقا ية الضوابط الوقا ية والخادم العمل مصطات عل اإلضايية والطابعات واألجهزة الت األخرى )Romney & Steinbart, 0( المنظمة. شبكة تشكل الرقابة --4- االكتشافية: يتم تنفيذ هذا النوع من الرقابة عل األصداث بعد أنها تومم الكتشاف إذ صوولها Boczko, األصداث الت تصتوا عل نتا ج غير مرغوب ييها والت قد تكون صولت يعال. ( )0 وكما هو معروف يمن غير الممكن منع المخاطر قبل صدوثها بشكل قطع تصتاج لذلك الشركات باإلضاية للرقابة الوقا ية تطبيق رقابة إل موممة الكتشاف إذ صدوثها عند المخاطر الرقابة تعمل عل االكتشايية تصسين أمن النظام من خالل م ارقبة كفاىة الرقابة الوقا ية واكتشاف Log ( التصايل عل الرقابة الوقا ية ي صالة صدوثها إن إذ من الضرورا توير سجل دخول للنظام اسم مثال يي مدون المستخدم والجهاز والوقت والتاريخ الت تمت الصركة يي إل باإلضاية )File تصليل سجل الدخول ال ب د من اختبار النظام والتدقيق علي بشكل دورا وقد يتم ذلك من خالل أسلوب مسص الثغ ارت بواسطة برنامج خا يتم تشغيل لتصديد ما إذا كان يوجد ي النظام ثغ ارت أم ال. 0( Steinbart, )Romney &

43 الرقابة التصحيحية: يومم هذا النوع من الرقابة لعالج أو إلوالح الصاالت الت تمت يعال الخت ارق أنظمة )Boczko, 0( الصماية من خالل التهديدات أو / األصداث غير و المرغوبة. اكتشاف يعتبر مصاوالت التصايل سواى الناجصة أو غير الناجصة مهم جدا ولكن يفقد هذا االكتشاف قيمت ي صالة عدم إتباع ارىات توصيصية ب جإ لضمان الصد من تك ارره ومن هذه اإلج ارىات إنشاى يريق استجابة للتهديدات الت يتعرض لها النظام باإلضاية لتعيين مدير تنفيذا ألمن المعلومات بصيث يكون من واجبات تقييم البي ة الت يعمل النظام باإلضاية لتصليل ييها وتقييم ثغ ارت النظام وأخي ار من الضرورا تصديث الب ارمج ذات العالقة بشكل دورا مثل الب ارمج Romney & Steinbart, المضادة للفيروسات والجدار النارا وأنظمة التشغيل ( والتطبيقات. )0 التهديدات التي تواجه أمن المعلومات: 4-4- تت ازيد التهديدات الت تتعرض لها المنظمات نتيجة التطور المتسارع ي األساليب الت يمكن من خاللها الووول لبيانات ومعلومات سرية خاوة بالمنظمة بشكل تعديلها أو سرقتها أو صت تدميرها. غير مورح ب بهدف يمكن تونيف أساليب االصتيال اإللكترون بهدف الصوول عل المعلومات بأسلوب غير )Romney & Steinbart, 0( مورح ب إل ثالثة أساليب وه : :)Hacking( الشبكات اخت ارق أ- ويقود ب الووول غير المورح ب للشبكة أو نظام المعلومات المصاسب بهدف تعديل البيانات أو المعلومات أو سرقتها أو تدميرها ويصتوا هذا األسلوب عل عدة

44 س- 8 ت قنيات منها التالية الت تم اختيارها ي أداة الد ارسة كأمثلة عل تقنيات شا عة جدا ي )Romney & Steinbart, 0( هذا المجال : 0- سرقة كلمة السر cracking( )Password اخت ارق الشبكة واإلطالع عل المعلومات الخاوة بالشركة من خالل سرقة كلمة السر الخاوة بالمعنيين داخل الشركة..)Zero-day-attack( لالخت ارق أثناى مصاولة معالجة سابق اخت ارق 0- التعرض Structured Query Language Injection 4- هجمات صقن قواعد البيانات ( مثال من خالل إدخال برمجية ضارة مكان كلمة السر أو اسم )Attack إذ المستخدم تمكن المصتال من الووول إل قواعد البيانات بهدف سرقتها أو التعديل ييها أو تدميرها. ب-الهندسة Engineering( :)Social االجتماعية ويقود بها تصفيز المستخدم عل اإليواح عن بيانات سرية من خالل طرح أس لة بسيطة بهدف جمع معلومات دون إثارة أا شبهة ويصتوا هذا األسلوب عل عدة ت قنيات منها التالية الت تم اختيارها ي أداة الد ارسة كأمثلة عل تقنيات شا عة جدا ي هذا المجال: إدعاى جهة معينة بأنها جهة موثوق من منها 0- التوأمة الشريرة Twin( )Evil أا. قبل المستخدم تطلب من استخدام ملف مريق يكون ضا ار ب رقة الهوية theft( )Identity أا إدعاى جهة معينة بأنها جهة أخرى معروية 0 من قبل المستخدم بصيث يتم الطلب من تقديم المعلومات بشكل مباشر.

45 9 منها ووول رسالة مزيفة من جهة )غالبا مالية 4- التويد )Phishing( ويقود ومعروية( لطلب معلومات أو التصقق منها ولتصقيق ذلك قد تصتوا هذه الرسا ل عل اربط مزيف لجهة معروية. ج- البرمجيات الضارة :)Malware( عبارة وه عن ب ارمج متخووة لتسهيل التسلل إل النظام أو الشبكة بهدف تدميرها وما أن يتم تثبيت البرمجية الضارة يإن من الوعب جدا إ ازلتها ويصتوا هذا األسلوب عل ت قنيات منها عدة التالية الت تم اختيارها ي أداة الد ارسة كأمثلة عل تقنيات شا عة جدا ي هذا المجال: 0- صوان طروادة Horse( )Trojan وهو برنامج يظهر بأن يعمل بشكل معين ومفيد للمستخدم بينما هو ي الواقع يقوم بعمل ضار وخف عن المستخدم مثل اإلض ارر بالصاسوب أو إرسال معلومات إل المصتال. )Viruses( وه بر امج تدخل إل الصاسوب ويتول بالملفات المخزنة ب 0- الفيروسات ثم يكرر نفس بصيث يتم تدمير هذه الملفات. 4- ب ارمج التجسس )Spyware( وه البرمجيات الت تؤدا إل التجسس عل المعلومات الشخوية دون علم مستخدم الصاسوب وغالبا ما يتم تنزيلها بشكل سرا بصيث تكون م اريقة لتنزيل برمجيات أو ملفات مجانية من اإلنترنت.

46 5- الدراسات السابقة: ييما يل عرض للد ارسات السابقة والمتعلقة بالموضوع وذات العالقة: The application of )00( دراسة Fulford & Doherty بعنوان - information security policies in large UK-based organizations: an exploratory investigation هديت الد ارسة إل البصث ي استيعاب ونشر أثر سياسات أمن المعلومات ي الشركات الكبيرة ي المملكة المتصدة وخلوت إل أن عل الرغم من شيوع سياسات امن ييها ان ال ت ازل إال المعلومات درجة عالية من التنوع من صيث مصتواها ونشرها. المعلومات نظم فاعلية "مدى بعنوان تحقيق األمان في المحاسبية - دراسة القشي (00) والتوكيدية التجارة ظل في والموثوقية االلكترونية" هديت الد ارسة إل التعرف عل المشاكل الت تواج أنظمة المعلومات المصاسبية ي ظل استخدام التجارة اإللكترونية وتطوير نموذج للربط هذه األنظمة بين والتجارة اإللكترونية. وقد توولت الد ارسة إل أن التجارة اإللكترونية أثرت عل جميع المجاالت المهنية بشكل عام وعل مهنت المصاسبة والتدقيق بشكل خا تعمل ي و أنها بي ة يريدة من نوعها بصيث أن العمليات الت تتم من خاللها عمليات غير ملموسة تفتقد آللية التوثيق ي أغلب م ارصلها مما يسهم بشكل مباشر ي إيجاد مشكلتين ر يسيتين واجهتا مهنت المصاسبة آلية و هما والتدقيق التصقق واالعت ارف باإلي ارد المتولد من عمليات التجارة اإللكترونية آلية تخوي و الض ار ب عل مبيعات لاوي اردات عمليات التجارة اإللكترونية. و أووت الد ارسة بتويير سياسات و إج ارىات عملية

47 تساهم ي تصقيق األمان والموثوقية لمخرجات النظام المصاسب المتعامل بالتجارة اإللكترونية و إنشاى وتطوير نظام ربط بين نظام الشركة المصاسب وموقعها اإللكترون عل شبكة االنترنيت. Information systems )005( دراسة Gupta & Hammond بعنوان - security issues and decisions for small businesses: an empirical examination هديت الرسالة لجمع معلومات عن تكنولوجيا المعلومات والمتعلقة بأمن المعلومات للشركات الوغيرة ي قطاع الخدمات والشركات الوناعية وخلوت الد ارسة إل أن من الممكن أن تمتلك الشركات الوغيرة سياسات لاوج ارىات لمواجهة تطبق تقنيات لذلك و لكنها غير يعالة. المخاطر المتعلقة بأمن المعلومات وأن Evaluation of the )00( دراسة Hayale & Abu Khadra بعنوان -4 effectiveness of control systems in computerized accounting information systems: An empirical research applied on Jordanian banking sector هديت الد ارسة لتقييم درجة ياعلية نظام الرقابة الداخلية عل نظم المعلومات المصاسبية المصوسبة ي قطاع البنوك األردنية للمصايظة عل سرية ون ازهة بيانات البنوك لاوتاصتها. وخلوت أن البنوك الد ارسة إل األردنية تطبق نظام رقابة يعال لتقليل صوادث االصتيال والخطأ اإللكترون لكنها تفتقد إل نظم رقابية أخرى مثل الووول المادا والمنطق لألنظمة وأمن المعلومات وخطط الطوارئ واإلنترنت وعل االتوال االلكترون وأخي ار عل مخرجات الرقابة.

48 دراسة البحيصي و الشريف نظم "مخاطر بعنوان المعلومات المحاسبية )08( -5 اإللكترونية :دراسة على تطبيقية المصارف العاملة غزة" قطاع في المعلومات نظم تواج الت المخاطر عل للتعرف الد ارسة هذه هديت المصاسبية الموارف ي االلكترونية صدوث تلك إل تؤدا الت األسباب أهم و غزة قطاع ي العاملة المخاطر المخاطر. تلك وقوع دون تصول الت واإلج ارىات و من نتا ج الد ارسة أن المعلومات نظم مخاطر صدوث المصاسبية االلكترونية إل يرجع والوع الخبرة قلة بسبب البنك موظف وجود عدم بسبب المورف إدارة إل كما يرجع والتدريب سياسات ومكتوبة واضصة وضعف االج ارىات الرقابية. دراسة الحسبان بعنوان )08( "مدى مواكبة المدققين الداخليين لمتطلبات تكنولوجيا - معلومات أنظمة الرقابة الداخلية في الشركات المساهمة العامة األردنية" غطكت هكذه الد ارسكة المكدققين الكداخليين يك الشكركات المسكاهمة العامكة المدرجكة يك بوروكة عمان لألو ارق المالية ي السوق األول والثان يقط و تووكلت الك أن هنكاك تكأثير لبي كة تكنولوجيكا المعلومككات علكك نظككام الرقابككة الداخليككة صيككث أنكك عنككد تكككوين بي ككة الرقابككة يكك ظككل بي ككة تكنولوجيككا المعلومات يؤدا ذلك ال تعيكين مجلكس إدارة ولجنكة تكدقيق أكثكر خبكرة ود اريكة بأنظمكة تكنولوجيكا بي كة الرقابككة كمككا ي ارعكك تصديككد الوككالصيات والمسككؤوليات لكككل موظككف مككن ذوا العالقككة تكنولوجيككا ببي ككة المعلومات.

49 الحكيم دراسة بعنوان )0( "إمكانية الرقابة على نظم المعلومات المحاسبية المؤتمته -7 للمؤسسات العامة ذات الطابع االقتصادي من قبل مفتشي الجهاز المركزي للرقابة المالية" الداخلية الرقابة بنية بتقييم القيام إمكانية الد ارسة غطت الجهاز مفتش قبل من المؤتمتة المركزا للرقابة المالية المعلومات نظم تستخدم الت المؤسسات عل التدقيق بعملية قيامهم عند المصاسبية المعلومات. نظم عل الرقابة معايير ويق المؤتمتة ومن نتا ج الد ارسة أن الرقابية الفاعلية ازدياد عن تعبر إصوا ية داللة ذات يروق توجد ال المعلومات تقنية عل استخدام ازدياد مع وذلك الضوابط الرقابية المعايير ويق المتعلقة الرقابية عل الرقابية الفاعلية ازدياد عن تعبر إصوا ية داللة ذات يروق توجد ال عليها كما المتعارف استخدام ازدياد مع وذلك المعلومات تقنية المفتشين. قبل من الرقابة إج ارىات حمادة دراسة بعنوان )0( "أثر الضوابط الرقابية العامة لنظم المعلومات المحاسبية -8 اإللكترونية في زيادة موثوقية المعلومات المحاسبية )دراسة ميدانية(" الد ارسة هذه غطت الضوابط المعلومات لنظم العامة الرقابية المصاسبية االلكترونية وأثرها موثوقية زيادة ي المعلومات المصاسبية وقد تم توزيع دمشق ي التدقيق مكاتب عل إستبانة تضمنت الضوابط المعلومات لنظم األربعة العامة الرقابية المصاسبية الضوابط و ه اإللكترونية التنظيمية الووول عل الرقابة وضوابط الملفات وصماية أمن وضوابط وتوثيق تطوير وضوابط النظام. وخلوت للضوابط أن إل الد ارسة المعلومات لنظم العامة الرقابية المصاسبية االلكترونية موثوقية زيادة ي تأثير كبير لها المعلومات الشركات. ي المصاسبية

50 4 دراسة )0( الرحاحلة بعنوان "فاعلية متطلبات نظام الرقابة الداخلية على تكنولوجيا -9 المعلومات في الو ازرات والمؤسسات العامة األردنية" هديت الد ارسة إل التعرف عل ياعلية متطلبات نظام الرقابة الداخلية )القانونية والتشريعية والصماية واألمن واإلدارية( عل تكنولوجيا المعلومات ي الو از ارت والمؤسسات العامة األردنية وخلوت الد ارسة إل وجود ياعلية لمتطلبات نظام الرقابة الداخلية عل تكنولوجيا المعلومات مجتمعة Determinants Of Information دراسة (0) Joo et al بعنوان - Security Affecting Adoption of Web-Based Integrated Information Systems هديت الد ارسة لتصليل العوامل المصددة ألمن المعلومات والت تؤثر عل درجة االعتماد عل نظم المعلومات المستندة عل شبكة اإلنترنت وخلوت الد ارسة إل أن الرقابة الوقا ية تلعب ا دور مهما ويعاال ي أمن وصماية المعلومات وتقليل المخاطر المصتملة. Impacts of دراسة (0) Hall, Sarkani & Mazzuchi بعنوان - organizational capabilities in information security هديت الد ارسة الختبار العالقة بين است ارتيجية أمن المعلومات وأداى الشركة مع قد ارت الشركة كعامل مهم ي انجاح تطبيق است ارتيجية امن المعلومات و انجاح الشركة وخلوت إل عل دال ل وجود أن قد ارت المنظمة الت تشمل القدرة عل تطوير وع ظري عال الجودة بالمخاطر البي ية الصالية و المستقبلية والقدرة عل امتالك الوسا ل المناسبة والقدرة عل تنظيم االستجابة لمخاطر أمن المعلومات تنعكس إيجابيا عل ياعلية تطبيق است ارتيجية أمن المعلومات

51 5 والذا بدوره ي ؤثر إيجابيا عل أداى المنظمة ومع ذلك ليس هناك عالقة ذات داللة إصوا ية بين ونع الق ارر و نجاح تطبيق است ارتيجية أمن المعلومات. هذه ما يميز - الد ارسة عن الد ارسات السابقة: هذه ما يميز إن أهم الد ارسة عن الد ارسات السابقة هو تركيزها عل أمن المعلومات اإللكترونية ي الشركات الوناعية األردنية باعتبارها أصد األوول اإلست ارتيجية لهذه والمهمة الشركات ي بي ة يت ازيد االعتماد ييها عل نظم المعلومات المصاسبية ي إدخال ومعالجة عملياتها اليومية هذه النظم النتشار ونتيجة اخت ارق أوبص أنظمة المعلومات المصاسبية خط ار يقلق العديد من الشركات ي السنوات األخيرة. أن ويرى الباصث ك يتم المصايظة عل أمن المعلومات ييجب التركيز عل إج ارىات الرقابة الداخلية الت تساعد هذه الشركات الصد من المخاطر ي سرية وأمن تؤثر عل الت معلوماتها والت لن تتصقق من وجهة نظر الباصث سوى من توميم خالل إج ارىات رقابية يعالة تقوم ومتكاملة ي البداية بتصديد وتقييم المخاطر المرتبطة بأمن المعلومات تمهيدا لتطوير اإلج ارىات سرقتها لمنع الالزمة ويقدانها والكشف عن سرقة أو يقدان هذه المعلومات إن صول وأخي ار م ارجعة هذه اإلج ارىات مستمر. بشكل دورا وعند الصاجة ي سبيل تطويرها وتصسينها بشكل وما يميز هذه الد ارسة عن سابقاتها أنها من الد ارسات النادرة ي األردن )ال يوجد د ارسة سابقة لها صسب علم الباصث( الت غطت المخاطر اإللكترونية وأنواعها لاوج ارىات الرقابة عليها بهذه الدرجة من التفويل وبالتال يإنها تقدم إضاية علمية بارزة ي مجال أمن المعلومات وأنظمة المعلومات المصاسبية والرقابة عليها ي الشركات الوناعية األردنية.

52 الفصل الثالث الطريقة واإلجراءات

53 7 الفصل الثالث الطريقة واإلجراءات - المقدمة - منهجية الدراسة - مجتمع الدراسة وعينتها أداة الدراسة 4- ومصادر الحصول على المعلومات 5- المعالجة اإلحصائية المستخدمة

54 8 - المقدمة: يتمثل الهدف الر يس للد ارسة ي السع الكتشاف مدى ياعلية إج ارىات الرقابة الداخلية ي الشركات الوناعية األردنية المستخدمة لنظم المعلومات المصاسبية اإللكترونية ي تخفيض مخاطر أمن المعلومات لديها والمعوقات الت تؤثر عل ياعلية هذه اإلج ارىات ولتصقيق هذا الهدف تم توميم وتطوير أداة الستطالع آ ارى أي ارد عينة الد ارسة سيتناول الباصث ي هذا الفول المنهجية المطبقة ي إج ارى هذه الد ارسة و يستعرض أداة الد ارسة وتفاويلها وودق وثبات أداة الد ارسة واألساليب اإلصوا ية المستخدمة وكذلك مجتمع الد ارسة وعينتها. - منهجية الدراسة: استخدمت هذه الد ارسة المنهج الووف ي عرض البيانات وتصليل نتا ج اإلستبانة الت تم توزيعها عل عينة الد ارسة. - مجتمع الدراسة وعينتها: يتكون مجتمع الد ارسة من المصاسبين والمدققين الداخليين وموظف تكنولوجيا المعلومات بمختلف درجاتهم الوظيفية الشركات ي الوناعية األردنية والت تقوم نظم المعلومات باستخدام 4 المصاسبية ي إدخال ومعالجة وتم اختيار عينة وقد البيانات شركة وناعية من عشوا ية مساهمة عامة أو ذات مسؤولية مصدودة عاملة ي األردن وتستخدم نظم المعلومات المصاسبية.

55 9 )70( قام الباصث بتوزيع )05( استبانة عل أي ارد عينة الد ارسة واسترداد استبانة والصة للتصليل وذلك بنسبة استرداد بلغت صوال %5 و ارع الباصث ي اختياره لهذه الشركات عدة معايير وه استخدامها لنظم المعلومات المصاسبية وأن تكون ضمن الشركات الوناعية العاملة ي األردن. أداة الدراسة 4- ومصادر الحصول على المعلومات: -4- مصادر الحصول على المعلومات: المصادر من نوعين على ا لعتماد تم المعلومات على للحصول الدراسة لهذه الالزمة وهما: المعلومات األولية: --4- مصادر تم االستعانة باالستبانة البيانات لجمع توميمها تم والت الر يسية القياس كأداة والمعلومات أي ارد إجابات عل التعرف بهدف الد ارسة عينة أي ارد عل توزيعها تم صيث الد ارسة لهذه الالزمة تأثير مدى صول العينة الرقابة الداخلية ي تويير أمن المعلومات اإللكترونية الشركات ي بتوزيع الباصث وقد قام الوناعية األردنية وعمل شخو بشكل الد ارسة عينة عل االستبانات الشركات الوناعية ي االستبانة بتوزيع المعن الشخ مع اللقاى عل األردنية بهدف توضيص البصث ولغايات تامة بسرية تعامل سوف جمعها يتم الت المعلومات وأن الد ارسة هذه من الغاية عدد يكون أن االسلوب هذا من يتوقع صيث الصق وقت ي االستبانات جمع تم وقد يقط العلم المستجيبين المساس دون اإللكترون أو البريدا التوزيع مع مقارنة أكبر إن إذ النتا ج بموثوقية ي يتدخل ال الباصث اإلجابة. 0( Kawuq, )Abdullatif &

56 4 المعلومات الثانوية: --4- مصادر النظرا اإلطار تصديد تم والم ارجع الكتب عل باالعتماد والدوريات العلمية والتقارير والد ارسات الولة ذات السابقة بالموضوع. -4- أداة الدراسة: االعتبار بعين األخذ مع استبانة وتطوير توميم تم الد ارسة أهداف لتصقيق األدبيات والد ارسات الولة ذات السابقة بالموضوع وتكونت من االستبانة األج ازى التالية: األول الجزء : معلومات لجمع ا لستبانة من الجزء هذا يخصص مجتمع أفراد عن شخصية ) والدور الوظيف العمر عل اصتوى إذ الد ارسة الوظيفية والرتبة الخبرة وسنوات العلم والمؤهل والشهادات المهنية. الجزى الثان : اصتوى هذا الجزى عل معلومات بالشركة خاوة )تونيف الشركة وعدد موظفيها ونوع الشركة(. 4 الجزى الثالث : بمدى ياعلية الخاوة األول بالفرضية تتعلق سؤاال عل الجزى هذا اصتوى إج ارىات الرقابة الداخلية ي منع االصتيال اإللكترون المتعلق بأمن المعلومات قبل أن يصدث وعل 0 خاوة سؤاال مدى ياعلية وه الثانية بالفرضية إج ارىات الرقابة الداخلية ي اكتشاف االصتيال اإللكترون المتعلق بأمن المعلومات بعد أن يصدث 0 وعل بالفرضية تتعلق سؤاال الثالثة وه مدى ياعلية إج ارىات الرقابة الداخلية ي توصيص ثغ ارت النظام الت تسببت باالصتيال اإللكترون المتعلق بأمن المعلومات.

57 4 الجزى ال اربع : بالفرضية تتعلق أس لة ستة عل هذا الجزى اصتوى بيان المعوقات الت وه ال اربعة تؤثر عل قد ياعلية إج ارىات الرقابة الداخلية المرتبطة بمخاطر أمن معلومات نظم المعلومات المصاسبية اإللكترونية. األس لة عرض تم وقد المتعلقة بالفرضيات األول والثانية والثالثة تسعة عرض أساس عل إل تنتم مختلفة مخاطر أمن معلومات نظم المعلومات المصاسبية اإللكترونية يتم خطر ولكل أهميت مدى عن السؤال االستجابات نوع من صيث ثمانية عرض تم إذ وجوده صال ي المصتملة استجابات خطر لكل مصتملة )ثم تم تك اررها لكل خطر بما يسمص بالمقارنة بين اإلجابات( تمثل ثالثة أنواع إلج ارىات الرقابة الداخلية : كالتال وه بالرقابة الوقا ية : وه 0- إج ارىات تتعلق أ- التوعية والتدريب المستمر لمستخدم النظام بالسياسات المتعلقة بأمن المعلومات المتبعة داخل الشركة. ب-تقييد الدخول عل النظام والشبكة باألشخا المورح لهم بذلك. ج- تصديد والصيات لهم. مستخدم النظام بما يتناسب مع صجم ونوع األعمال الموكلة د- استخدام األجهزة والبرمجيات الت تساعد عل زيادة الرقابة ي الدخول عل الشبكة. بالرقابة االكتشايية : وه 0- إج ارىات تتعلق أ- إنشاى سجل دخول للنظام. ب-اختبار النظام والتدقيق علي بشكل دورا.