账户远程核准影像管理系统风险评估报告.doc

人民币银行结算账户核准影像管理系统
风险评估报告

项 目 名 称：人民币银行结算账户核准影像管理系统
风险评估单位：

2008年8 月28日

目 录
1、风险评估项目概述 1
1.1 工程项目概况 1
1.1.1 建设项目基本信息 1
1.1.2 建设单位基本信息 1
1.1.3承建单位基本信息 2
1.2 风险评估实施单位基本情况 2
2、风险评估活动概述 4
2.1 风险评估工作组织管理 4
2.2 风险评估工作过程 5
2.3 依据的技术标准及相关法规文件 6
2.4 保障与限制条件 7
3、评估对象 8
3.1 评估对象构成与定级 8
3.1.1 网络结构 8
3.1.2 业务应用 9
3.2 评估对象等级保护措施 10
4、资产识别与分析 12
4.1 资产类型与赋值 12
4.2 关键资产说明 12
5、威胁识别与分析 13
6、脆弱性识别与分析 16
7、风险分析 16
7.1 关键资产的风险计算结果 16
7.2 关键资产的风险等级 16
7.2.1 风险等级列表 16
7.2.2 风险等级统计 17
7.2.3 基于脆弱性的风险排名 17
7.2.4 风险结果分析 18
8、综合分析与评价 18
9、整改意见 20
附件1：管理措施表 21
附件2：技术措施表 23
附件3：资产类型与赋值表 25
附件4：脆弱性赋值表 27

1、风险评估项目概述
1.1 工程项目概况
1.1.1 建设项目基本信息

工程项目名称
人民币银行结算账户远程核准影像管理系统
工程项目批复的建设内容
非涉密信息系统部分的建设内容
在不改变现有账户管理系统操作流程的前提下，通过对纸质开户资料进行扫描、传输、审核、比对、存贮、查阅和管理，实现远程核准银行结算账户和账户资料档案影像化管理。
相应的信息安全保护系统建设内容
以WIN2003 Server做为服务器平台；数据库使用MYSQL网络数据库；以人行省会中支网间互联平台为基础；与人民币银行结算账户管理系统共享客户端硬件资源。
项目完成时间
2011年8月3日
项目试运行时间
2011年8月8日

1.1.2 建设单位基本信息

工程建设牵头部门
部门名称
中国人民银行
工程责任人

通信地址

联系电话

电子邮件

工程建设参与部门
部门名称

工程责任人

通信地址

联系电话

电子邮件

工程建设参与部门
部门名称

工程责任人

通信地址

联系电话

电子邮件

1.1.3承建单位基本信息
单位名称

单位性质

法人代表

通信地址

联系电话

电子邮件

1.2 风险评估实施单位基本情况
评估单位名称

法人代表

通信地址

联系电话

电子邮件

二、风险评估活动概述
2.1 风险评估工作组织管理
1．建立评估领导小组
领导小组的工作职责是：在中支计算机信息安全工作领导小组的领导下，确定评估的范围和目的、组织结构和任务分工，并对最终评估结果进行评审。信息安全评估领导小组人员组成及分工如下：
办公室的主要职责是：编写评估方案，组织宣传培训，围绕关键业务威胁、风险的技术分析，评估各阶段的具体实施工作，及时向领导小组反馈问题，提交最终评估报告。
2、原则
（1）保密原则
在风险评估过程中，将严格遵循保密原则，对评估过程中涉及到的任何信息未允许不向其他任何第三方泄露。
（2）互动原则
在整个风险评估过程中，将强调员工的互动参与，进而更好地进行风险评估工作。
（3）最小影响原则
风险评估工作应尽可能小地影响系统和网络的正常运行，不能对业务的正常运行产生明显的影响，如无法避免，则应做出说明。
（4）规范性原则
信息安全风险评估的实施必须依照规范的操作流程进行，对操作过程和结果要有相应的记录。
（5）质量保障原则
在整个风险评估过程中，将特别重视项目质量管理。项目的实施将严格按照项目实施方案和流程进行，并由评估领导小组从中监督，控制项目的进度和质量。
2.2 风险评估工作过程
本次评估的重点范围是：制度建设和管理情况、设备和人员的单点运行风险、冗余备份设备与数据的可用性、设备运行的可靠性、运行监控和安全审计系统的有效性、安全防护设施的有效性、系统配置的合理性与安全性。
检查评估的具体内容：
1、管理脆弱性。检查制度、操作规程、岗位设置与职责分工、执行监督等。
2、技术脆弱性。检查通信网络的线路、设备备份有效性，网络设备配置参数、子网划分以及子网间访问控制措施的合理性与安全性；检查机房基础设施的安全性，有效性；检查生产系统资源冗余度，进行业务系统压力测试；对服务器进行健康检查（包括补丁更新情况）；检查运行维护监控系统的有效性；检查安全防护设施的有效性；检查不必要端口的关闭情况。
本次信息安全评估以自评估的方式进行，按照风险评估的组织方式、内容和流程，评估管理脆弱性与技术脆弱性。
1、管理脆弱性评估：以现场调查为主，综合评估检查组织体系、制度体系和管理体系方面存在的问题。
2、技术脆弱性评估：以查看设备配置、验证性测试和检测为主，把局部风险与系统性风险评估检查相结合，系统地分析网络与信息系统所面临的威胁及其存在的脆弱性。
2.3 依据的技术标准及相关法规文件
风险评估参照了以下办法和标准实施：
《中国人民银行突发事件应急预案管理办法》（银发[2005] 196号）
《中国人民银行IT系统应急预案指引》（银办发[2006]154号）
《中国人民银行信息安全管理规定》（银办发[2005]211号）
《中国人民银行计算机机房规范化工作指引》（银办发[2006]154号）
《计算机信息系统安全保护等级划分准则》GB 17859—1999
《信息安全风险评估规范》（GB/T20984-2007）
2.4 保障与限制条件
1、现场查看了以下文档：
·系统的用户手册、管理员手册、操作维护手册。
·操作系统的用户手册、管理员手册。
·所用的网络设备如路由器、交换机等管理员手册。
·所用的安全设备、系统、软件的管理员手册。
·系统的安全日志、试运行维护日志等各种日志记录。
2、人员准备
确定了配合现场评估工作的技术人员：系统的运行维护人员、网络管理员；安全员；应用系统的操作人员，这些人员都能操作每个关键测试点的系统或配置界面。
3、评估对象
3.1 评估对象构成与定级
本次评估范围为人民币银行结算账户远程核准影像管理系统。
该系统是一个基于 B/S 架构的办公自动化系统，主要对象是网络结构、业务应用和系统等级保护措施。
3.1.1 网络结构
为保证安全，服务器放置在人民银行省级数据中心业务网防火墙的DMZ区，人民银行用户通过系统对内映射IP（11.84.17.2）访问系统，商业银行用户通过系统对外映射IP（9.168.45.17）访问系统，同时，通过配置相应的访问规则及限定访问端口以进一步保障系统的访问及使用安全。
网络连接拓扑图如下所示：

3.1.2 业务应用
该系统在不改变现有账户管理系统操作流程的前提下，通过对纸质开户资料进行扫描、传输、审核、比对、存贮、查阅和管理，实现远程核准银行结算账户和账户资料档案影像化管理，极大方便了农村地区和牧区银行机构和存款人开立、注销和变更银行结算账户等业务，同时也解决了纸质账户资料保管、查询和调阅困难的问题。账户影像系统的建设，构建起了快捷、高效、优质的城乡一体化的银行结算账户网上核准业务处理模式。目前主要取得五方面成效：一简化开户流程，提升金融服务水平，二是节约开户成本，提高社会经济效益，三是提高账户普及率，助推农村经济发展，四是规范账户资料，实现账户档案电子化，五是改善结算环境，提高支付结算业务量
3.2系统等级保护措施
本系统由于刚建成，正处于试运行阶段，所以还没有进行系统等级定级，我们参照人民银行的有关规定和做法，暂时按三级保护的级别加以保护，采取的保护措施如下：
1、管理措施：我们按照国家有关规定，建立、健全了计算机信息系统安全管理制度，成立有中支计算机系统信息安全领导小组，确定安全管理责任人，负责计算机信息系统的安全保护工作。按照规定定期对计算机信息系统开展安全状况、安全管理制度及措施的落实情况进行自查。制定了计算机信息系统重大安全事件报告制度，制定了系统应急预案。建立并执行中支计算机机房安全管理制度、安全责任制度、系统运行维护制度、设备、介质管理制度及数据备份制度；
2、安全技术措施：我们采取了下列安全保护技术措施：
（一）服务器选用惠普388G7，主频为2.13GHz的双CPU，内存为8GB，双电源，采用RAID0+1磁盘阵列技术；采用总行统一下发的诺顿计算机病毒防治系统；
（二）安装补丁、扫描病毒，关闭不必要的服务和端口，删除来历不明的程序。删除非法用户，检查并恢复系统正常的权限设置。修改系统配置，提高安全防御能力，系统运行和用户使用日志记录保存一年以上。
（三）网络系统采用双线路、双机热备份处理、故障自动切换模式。电信2M线路与联通线路互备，Huawei Quidway2840与Huawei Quidway4640路由器互为备份， 2台Cisco Catalyst4506互为交换机备份，应用系统服务器部署在省级数据中心的DMZ区。见下图：

人民币银行结算账户核准影像管理系统的等级保护管理措施情况见附表一。
人民币银行结算账户核准影像管理系统的等级保护技术措施情况见附表二。

4、资产识别与分析
4.1 资产类型与赋值
见附件3《资产类型与赋值表》。
4.2 关键资产说明
在分析被评估系统的资产基础上，列出对评估单位十分重要的资产，作为风险评估的重点对象，并以清单形式列出如下：
关键资产列表

资产编号
资产名称
应用
资产权重
Zhhzyx_1
服务器G7
是本系统的载体，是运行合管理的平台
4
Zhhzyx_8
账户影像系统1.0
本系统的程序指令
3
Zhhzyx_9
系统操作及维护手册
是本系统安装、运行、维护和操作的指南
2
Zhhzyx_10
账户影像数据
是本系统运行的最终结果
4
Zhhzyx_12
系统运行维护制度
是本系统安全稳定运行的保证。
4

5、威胁识别与分析

威胁来源名称
影响资产
影响值
软硬件故障
主机、网络设备、安全设备、通讯线路、保障设备、应用系统、数据
4
物理环境
主机、网络设备、安全设备、通讯线路、保障设备
4
无作为或操作失误
主机、网络设备、安全设备、通讯线路、保障设备、应用系统、数据、文档资料、人员
3
管理不到位
主机、网络设备、安全设备、通讯线路、保障设备、应用系统、数据、文档资料、人员
4
恶意代码和病毒
主机、网络设备、安全设备、通讯线路、应用系统、数据
3
越权或滥用
主机、网络设备、安全设备、通讯线路、保障设备、应用系统、数据、文档资料
3
网络攻击
主机、网络设备、安全设备、通讯线路、应用系统
3
物理攻击
主机、网络设备、安全设备、通讯线路、保障设备、应用系统、数据、
3
泄密
主机、网络设备、应用系统、数据、文档资料
3
篡改
数据、文档资料、应用系统
3
抵赖
数据、文档资料、应用系统
3
粗心、好奇或培训不足的员工
主机、网络设备、安全设备、通讯线路、保障设备、应用系统、数据、文档资料、人员
3
内部人员犯罪
主机、网络设备、安全设备、通讯线路、保障设备、应用系统、数据、文档资料、人员
3
恶意第三方
主机、网络设备、安全设备、通讯线路、保障设备、应用系统、数据、文档资料、人员
2
外部计算机犯罪
主机、网络设备、安全设备、通讯线路、保障设备、应用系统、数据、文档资料、人员
2
外部黑客
主机、网络设备、安全设备、通讯线路、应用系统、数据、文档资料、人员
2
不可抗力
主机、网络设备、安全设备、通讯线路、保障设备、应用系统、数据、文档资料、人员
1
恐怖分子
主机、网络设备、安全设备、通讯线路、保障设备、应用系统、数据、文档资料、人员
1
社会工程
主机、网络设备、安全设备、通讯线路、保障设备、应用系统、数据、文档资料、人员
1
威胁影响性赋值

威胁来源名称
威胁可能性
威胁影响
威胁值
软硬件故障
4
4
4
物理环境
2
4
2
恶意代码和病毒
4
3
3
无作为或操作失误
2
3
2
管理不到位
4
4
4
越权或滥用
2
3
2
网络攻击
2
3
2
物理攻击
2
3
2
泄密
2
3
2
篡改
2
3
2
抵赖
2
3
2
粗心、好奇或培训不足的雇员
2
3
2
内部人员犯罪
2
3
2
恶意第三方
2
2
1
外部计算机犯罪
1
2
1
外部黑客
1
2
1
竞争对手
1
1
1
恐怖分子
1
1
1
社会工程
1
1
1
经过对上面章节的安全威胁进行分析，可发现，对于本系统来说，最严重的威胁来源是：管理不到位、计算机病毒及恶意软件和设备故障因素。

六、脆弱性识别与分析
见附件5：脆弱性分析赋值表

七、风险分析
7.1 关键资产的风险计算结果
资产编号
资产风险值
资产名称
Zhhzyx_12
4
系统运行维护制度
Zhhzyx_1
4
服务器G7
Zhhzyx_10
4
账户影像数据
Zhhzyx_8
3
账户影像系统1.0
Zhhzyx_9
2
系统操作及维护手册

7.2 关键资产的风险等级
7.2.1 风险等级列表
资产风险等级表
资产编号
资产风险值
资产名称
资产风险等级
Zhhzyx_12
4
系统运行维护制度
3
Zhhzyx_1
4
服务器G7
3
Zhhzyx_10
4
账户影像数据
3
Zhhzyx_8
3
账户影像系统1.0
2
Zhhzyx_9
2
系统操作及维护手册
1

7.2.2 风险等级统计
资产风险等级统计表
风险等级
资产数量
所占比例
3
3
60%
2
1
20%
1
1
20%

7.2.3 基于脆弱性的风险排名
基于脆弱性的风险排名表
脆弱性
风险值
所占比例
运行维护管理脆弱性
2
37.5%
3
25%
灾备与应急响应脆弱性
2
25%
3
12.5%

7.2.4 风险结果分析
该系统资产类型主要由硬件、软件、文档、系统所产生的数据和管理制度组成。在硬件设备中，网络设备是共用设备，其风险已经加固；软件系统中，对Windows Server 2003和MYSLQ我们已经严格按照有关技术规定和指引进行了配置，安装了防病毒系统等安全系统，其应用系统在真实的生产环境中已经得到检验；各类文档都有备份并按规定妥善保存。在排除以上情况后，从该系统资产类型分析，能够产生该系统风险的资产就只有用于该系统运行的服务器、系统运行所产生的数据和运行管理制度的制定和执行情况。
从风险等级统计得知，服务器、系统运行所产生的数据和运行管理制度的制定和执行情况的风险等级为3的占比达60%；从脆弱性的风险排名可以看出，运行维护管理制度的风险占比达62.5%，因此，该系统主要风险集中于该系统运行维护管理制度的制定和执行情况。

八、综合分析与评价
本次评估的人民币银行结算账户远程核准影像管理系统，从人民银行昕州市中支引进，以WIN2003 Server做为服务器平台；使用MYSQL网络数据库，账户影像系统的代码以二进制方式运行，与人民币银行结算账户管理系统共享客户端、网络系统、机房等硬件资源，以现有的网络架构为基础，依托人行西宁中支网间互联平台搭建完成。
从硬件上来看，服务器选用惠普388G7，主频为2.13GHz的双CPU，内存为8GB，双电源，采用RAID0+1磁盘阵列技术，网络设备共享现有的设备，经过了长时间的检验，并且实现了实时热备份功能。
从安全防护上来看，按照了总行统一下发的诺顿计算机病毒防治系统，安装了操作系统、数据库和防病毒补丁，严格按照总行关于《系统配置指引》的要求，关闭了不必要的服务和端口，删除非必须的用户，配置了权限。设置了系统密码，提高了安全防御能力。
从网络架构上来看，网络系统采用双线路、双机热备份处理、故障自动切换模式。电信2M线路与联通线路互备，Huawei Quidway2840与Huawei Quidway4640路由器互为备份， 2台Cisco Catalyst4506互为交换机备份，应用系统服务器部署在省级中心机房的DMZ区。
从该系统运行的环境来看，由于该系统部署在省级中心机房，防静电、防雷、防火、防水、温度、湿度等指标达到了标准要求，双路供电，所以该系统的运行环境优良。
从该系统的运行维护管理方面来看，我们制订有一系列关于计算机系统的运行、维护及安全制度，但由于服务器部署在省级中心机房，海西中支科技部门派人员前去做运行维护的工作显然不现实，虽然上级部门也指定人员管理，但就承担运行过程中出现的诸如日常维护、数据备份等责任问题没有明确，缺乏制度层面的约束性。
从该系统的应急管理来看，由于缺乏相应的管理制度，对运行过程中出现的运维流程不是很明确，所以没有制订出该系统的应急预案，更谈不上进行应急演练工作。
结论：该系统的硬件设施、网络配置、安全防护和运行环境方面都达到了优良，但由于缺乏运行维护制度，责任不明确，同时，缺乏相应的应急预案，所以，该系统存在运行维护管理和应急方面的风险。
九、整改意见
鉴于该系统存在的实际风险问题，建议领导尽快协商，达成共识，将该系统纳入到《人民币银行结算账户管理系统》的管理体系中，把该系统做为《人民币银行结算账户管理系统》的一个子系统进行管理，，并按照《人民币银行结算账户管理系统》的管理办法制定处该系统的应急预案。

附件1：管理措施表
序号
层面/方面
安全控制/措施
落实
部分落实
没有落实
不适用
1
安全管理制度
管理制度

√

2
制定和发布
√

3
评审和修订
√

4
安全管理机构
岗位设置
√

5
人员配备
√

6
授权和审批
√

7
审核和检查
√

8
人员安全管理

人员离岗
√

9
人员考核
√

10
安全意识教育和培训
√

11
外部人员访问管理
√

12
系统建设管理
系统定级

√
13
安全方案设计
√

14
产品采购
√

15
自行软件开发

√
16
外包软件开发

√
17
工程实施
√

18
测试验收
√

19
系统交付
√

20
系统备案
√

21
系统运维管理
环境管理
√

22
资产管理
√

23
介质管理
√

24
设备管理
√

25
监控管理
√

26
网络安全管理
√

27
系统安全管理
√

28
恶意代码防范管理
√

29
密码管理
√

30
变更管理
√

31
备份与恢复管理
√

32
安全事件处置
√

33
应急预案管理
√

小计
33
29
1
0
3

附件2：技术措施表
序号
层面/方面
安全控制/措施
落实
部分落实
没有落实
不适用
1
物理安全
物理位置的选择
√

2
物理访问控制
√

3
防盗窃和防破坏
√

4
防雷击
√

5
防火
√

6
防水和防潮
√

7
防静电
√

8
温湿度控制
√

9
电力供应
√

10
电磁防护

√
11
网络安全
网络结构安全
√

12
网络访问控制
√

13
网络安全审计
√

14
边界完整性检查
√

15
网络入侵防范
√

16
恶意代码防范
√

17
网络设备防护
√

18
主机安全
身份鉴别
√

19
访问控制
√

20
安全审计
√

21
入侵防范
√

22
恶意代码防范
√

23
资源控制
√

24
应用安全
身份鉴别
√

25
访问控制
√

26
安全审计
√

27
通信完整性
√

28
抗抵赖
√

29
软件容错
√

30
数据安全及备份与恢复
数据完整性
√

31
数据保密性
√

32
备份和恢复
√

小计

31
0
0
1

附件3：资产类型与赋值表
类别
资产编号
资产名称
资产权重
赋值说明
硬件资产
Zhhzyx_1
服务器G7
4
重要， 其安全属性破坏后可能对中支造成比较严重的损失
Zhhzyx_2
Huawei Quidway2840
4
重要， 其安全属性破坏后可能对中支造成比较严重的损失
Zhhzyx_3
Huawei Quidway4640
4
重要， 其安全属性破坏后可能对中支造成比较严重的损失
Zhhzyx_4
Cisco Catalyst4506
4
重要， 其安全属性破坏后可能对中支造成比较严重的损失
Zhhzyx_5
PC用户终端
2
不太重要， 其安全属性破坏后可能对中支造成较低的损失
软件资产
Zhhzyx_6
Windos server2003
3
比较重要， 其安全属性破坏后可能对该系统造成中等程度的损失
Zhhzyx_7
MYSQL5.0
3
比较重要， 其安全属性破坏后可能对该系统造成中等程度的损失
Zhhzyx_8
账户影像系统1.0
3
比较重要， 其安全属性破坏后可能对该系统造成中等程度的损失
文档和数据资产
Zhhzyx_9
系统操作及维护手册
2
不太重要， 其安全属性破坏后可能对中支造成较低的损失
Zhhzyx_10
账户影像数据
4
重要， 其安全属性破坏后可能对中支造成比较严重的损失
制度资产
Zhhzyx_11
计算机系统信息安全管理制度
4
重要， 其安全属性破坏后可能对中支造成比较严重的损失
Zhhzyx_12
系统运行维护制度
4
重要， 其安全属性破坏后可能对中支造成比较严重的损失
Zhhzyx_13
机房安全管理制度
4
重要， 其安全属性破坏后可能对中支造成比较严重的损失
Zhhzyx_14
账户影像资料管理系统业务处理实施细则
4
重要， 其安全属性破坏后可能对中支造成比较严重的损失

附件4：脆弱性分析赋值表
检测项
检测子项
脆弱性
赋值
潜在影响
整改建议
标识
运行维护管理脆弱性
制度
该系统运行维护制度没有明确
3
系统一旦发生故障,可能出现责任不清的问题
建议与科技处协商，制订或明确本系统的运行维护管理办法，包括硬件的维修，明确责任。
V1
日常维护
服务器在西宁，日常维护要依赖科技处
2
日志不能及时分析，服务器运行状态了解不及时，系统就可能瘫痪等。
V2
系统漏洞补丁
操作系统及数据库安全补丁可能不及时升级
2
使系统暴露在病毒感染、黑客入侵、拒绝服务攻击以及其它可能的风险面前。
V3
病毒库升级
计算机病毒库可能升级不及时
2
系统轻则资源耗尽、重则感染病毒、被插木马、客户资料尽泄甚至会产生经济上的损失。
V4
硬件故障
硬盘故障、电源故障、芯片主板故障
3
硬件会造成死机，蓝屏，无法开机，等很多问题。
V5
灾备与应急响应脆弱性
应急预案
应急预案不完整，缺乏与上级的沟通机制和有关责任、义务。
2
对各类事故应急救援中对潜在事故的负责部门和支持部门、任务要求、应急准备和操作程序等不够明确。
完善应急预案，进行必要的应急演练。
V6
应急演练
没有进行该系统的应急演练
2
应急预案流程是否可行，操作是否合理没有经过实践验证。
V7
数据备份
数据备份在本机硬盘上
3
一旦遇到天灾人祸出现无法恢复的硬件故障，数据将全部丢失。
建议数据进行异地备份。
V8
3、通过活动，使学生养成博览群书的好习惯。
B比率分析法和比较分析法不能测算出各因素的影响程度。√
C采用约当产量比例法，分配原材料费用与分配加工费用所用的完工率都是一致的。Ｘ
C采用直接分配法分配辅助生产费用时，应考虑各辅助生产车间之间相互提供产品或劳务的情况。错
C产品的实际生产成本包括废品损失和停工损失。√
C成本报表是对外报告的会计报表。×
C成本分析的首要程序是发现问题、分析原因。×
C成本会计的对象是指成本核算。×
C成本计算的辅助方法一般应与基本方法结合使用而不单独使用。√
C成本计算方法中的最基本的方法是分步法。X
D当车间生产多种产品时，“废品损失”、“停工损失”的借方余额，月末均直接记入该产品的产品成本
中。×
D定额法是为了简化成本计算而采用的一种成本计算方法。×
F“废品损失”账户月末没有余额。√
F废品损失是指在生产过程中发现和入库后发现的不可修复废品的生产成本和可修复废品的修复费用。Ｘ
F分步法的一个重要特点是各步骤之间要进行成本结转。(√)
G各月末在产品数量变化不大的产品，可不计算月末在产品成本。错
G工资费用就是成本项目。(×)
G归集在基本生产车间的制造费用最后均应分配计入产品成本中。对
J计算计时工资费用，应以考勤记录中的工作时间记录为依据。(√)
J简化的分批法就是不计算在产品成本的分批法。(×)
J简化分批法是不分批计算在产品成本的方法。对
J加班加点工资既可能是直接计人费用，又可能是间接计人费用。√
J接生产工艺过程的特点，工业企业的生产可分为大量生产、成批生产和单件生产三种，X
K可修复废品是指技术上可以修复使用的废品。错
K可修复废品是指经过修理可以使用，而不管修复费用在经济上是否合算的废品。Ｘ
P品种法只适用于大量大批的单步骤生产的企业。×
Q企业的制造费用一定要通过“制造费用”科目核算。Ｘ
Q企业职工的医药费、医务部门、职工浴室等部门职工的工资，均应通过“应付工资”科目核算。Ｘ
S生产车间耗用的材料，全部计入“直接材料”成本项目。Ｘ
S适应生产特点和管理要求，采用适当的成本计算方法，是成本核算的基础工作。(×)
W完工产品费用等于月初在产品费用加本月生产费用减月末在产品费用。对
Y“预提费用”可能出现借方余额，其性质属于资产，实际上是待摊费用。对
Y引起资产和负债同时减少的支出是费用性支出。X
Y以应付票据去偿付购买材料的费用，是成本性支出。X
Y原材料分工序一次投入与原材料在每道工序陆续投入，其完工率的计算方法是完全一致的。Ｘ
Y运用连环替代法进行分析，即使随意改变各构成因素的替换顺序，各因素的影响结果加总后仍等于指标的总差异，因此更换各因索替换顺序，不会影响分析的结果。(×)
Z在产品品种规格繁多的情况下，应该采用分类法计算产品成本。对
Z直接生产费用就是直接计人费用。X
Z逐步结转分步法也称为计列半成品分步法。√

A按年度计划分配率分配制造费用，“制造费用”账户月末(可能有月末余额/可能有借方余额/可能有贷方余额/可能无月末余额)。
A按年度计划分配率分配制造费用的方法适用于(季节性生产企业)