企业核心财务数据保护初探

信息科学与工程2015年8期企业核心财务数据保护初探谢甲天（湖南长沙410100）摘要：现代企业大都抛弃了原始的手工记账的办公模式，进入了信息化办公行列。企业的财务数据量也越来越大，许多财务数据，例如各类报表、成本核算、库存统计、盈亏数据、工资福利、费用平衡等重要的文件资料，一旦泄露的话，将危害到整个企业利益。因此，如何安全保护企业的核心财务数据不被泄密，如何防范企业的财务文件资料不被窃取，是所有企业老总和财务人员都必须加以重视和认真对待的课题。通过操作控制、堵塞漏洞、完善备份和数据加密等手段来加以防范，可以确保企业的财务数据在安全方面得到保障。关键词：企业；财务数据；安全保护随着我国经济的飞速发展，企业的财务数据量也越来越大，现代的企业大都抛弃了原始的手工记账的办公模式，进入了信息化办公行列。财务数据以电子文档形式存储于计算机中，并且借助互联网络和各种移动存储设备进行快速的传播和共享，而电子文档易复制、易修改的特点又导致了财务数据的安全风险性大大超过了传统纸质文档。许多核心财务数据，例如各类报表、成本核算、库存统计、盈亏数据、工资福利、费用平衡等重要的文件资料，一旦泄露的话，将危害到整个企业利益：对内可能产生一系列的矛盾、对外则可能导致竞争对手的关注，如此将会使得企业的管理和发展处于非常被动状态。因此，如何安全保护企业的财务数据不被泄密，如何防范企业的财务文件资料不被窃取，是所有企业老总和财务人员都必须加以重视和认真对待的课题。一、操作控制要保护企业的核心财务数据的安全，人的因素永远是第一位的。按照会计“内部控制”理论的要求，企业一方面要努力提高财务人员的思想道德水平及业务水平、增强财务人员识别舞弊行为的能力，另一方面还要设计内部控制制度，并认真贯彻执行。1、组织与管理控制企业应按照财政部颁发的《会计电算化工作规范》的要求，建立“电算主管，软件操作，审计记账，电算维护，电算审查，数据分析”等电算化会计岗位，并设立明确的职责分工制度，以达到相互牵制、相互制约、防止或减少错弊发生的目的。其中应特别重视的是，要选派具有较全面的计算机知识的人员担任电算审查岗位的工作，以期能够充分发挥其监督职责，特别是对电算维护岗位人员的牵制作用。2、系统维护控制当财务操作系统发生故障时，应及时通知维护人员处理，其他人不得随意自行处理。但是，也要强调对系统维护的控制，因为维护人员对于软件所采用的控制技术、保密措施等都很熟悉，他们一旦发生舞弊行为，其他人将很难觉察。因此，可以采取一些相应的措施：例如维护人员不得单独接触与财务操作系统有关的数据文件、程序文件；维护人员需要接触财务操作系统时，电算审查员应该在场；财务操作系统经过重大维护之后，必须先经过电算审查员的审核，才能交付使用；等等。3、操作人员权限控制有效的身份识别是财务数据安全的保障，财务操作系统必须有严格的身份认证，企业所有能进入财务操作系统的工作人员，都应各自设置该系统使用权限密码，确保只有授权人员才能使用，防止非授权人员调用或修改数据文件。此外，在财务操作系统的使用方面，不仅要正确划分各个岗位的人员操作财务软件的权限，还要划分各个岗位的人员操作调试软件、维护软件、工具软件的权限，防止这些软件被用于窃密或解密。二、堵塞漏洞计算机漏洞是指应用软件或操作系统软件在信息科学与工程2015年8期逻辑设计上的缺陷或在编写时产生的错误，这个缺陷或错误可以被不法者或者电脑黑客利用，通过植入木马、病毒等方式攻击或控制整个电脑，从而窃取电脑中的重要资料和信息，甚至破坏整个系统。因此，必须加以堵塞。1、财务软件漏洞目前，大多数的财务软件开发商都将注意力集中在如何扩充与完善软件功能、如何适应不断变化发展的财务制度等问题上，很少去关注软件用户的财务数据的保密问题。他们对财务软件所做的加密处理，实际上是对软件本身进行加密，其目的是防止盗版；而对于用户的财务数据安全保护问题，大多数的软件开发商都未予以足够的重视，这里既包括上市的软件公司，也包括小型软件作坊，他们的财务软件，均不同程度地存在着一些漏洞，有些软件甚至未设置任何保护措施。对于财务软件漏洞的处理，首先是企业的相关人员在使用时要随时注意，发现漏洞及时记录与报告。当然，相关软件开发商在确定情况后应立即修复，并快速将修补程序以补丁的形式发送给用户，杜绝因软件漏洞给企业带来财务数据的损失。2、路由器漏洞企业财务操作系统是与互联网紧密联系的，而路由器则是企业局域网中的标配，但其安全性却异常脆弱。国家互联网应急中心发现，市面上多款主流的路由器产品都存在着漏洞，当黑客利用这些漏洞入侵控制企业的路由器后，可以监控连接这个路由器的所有设备的上网数据，窃取企业财务数据，如账号密码等隐私信息。此外，企业如果没有修改无线路由器出厂默认的管理密码，黑客利用恶意网页能够篡改路由器DNS。而DNS相当于上网的导航仪，DNS被篡改后，访问任意网站都可能被黑客指向虚假的钓鱼网站，包括网银账户也可能因此被黑客窃取。其实，只需要三步操作可以防范路由器被恶意篡改：（1）修改路由器用户名和密码，尽量设置相对复杂的密码，它并不会影响日常上网，即使遗忘，日后也可以通过“复位”键恢复成出厂设置；（2）修改路由器管理地址，它是用户上网设备与外部联系的出口，目前大部分路由器的管理地址是192.168.1.1或192.168.0.1，用户进入设置页面后，依次点击左边菜单高级设置\LAN口设置\在IP地址框输入修改后的地址\保存即可完成；（3）关闭路由器远程管理或远程WEB管理功能，并在WAN口设置的高级设置项中，取消手动设置DNS服务器的勾选项。三、完善备份缜密完善的备份制度，可以有效的保护财务操作系统稳定、安全的运行。为了切实防范财务数据不会丢失，企业应根据系统的实际情况，制定相应的备份制度。1、备份内容财务操作系统备份包括操作系统层备份、数据库层备份和应用系统层备份。各层面的备份，要求在系统升级、安装补丁、修改系统配置或其它可导致系统改变的情况发生时，都必须进行备份。所有备份文件应异地存放，且至少应保留两年以上。所有本地存放的数据库备份也应至少保留一年以上。（1）操作系统层备份：包括操作系统和系统运行所产生的登录和操作日志文件，应每半年至少备份一次。系统运行所产生的登录和操作日志文件应每月至少备份一次。备份工作由主机管理员负责实施。（2）数据库层备份：包括数据库的日志文件、数据文件和系统程序文件。ERP财务系统完成月结和年结后，应立即完成数据库日志文件、数据文件、系统程序文件的备份。数据库数据文件应每周至少备份一次，数据库归档日志应每天进行增量备份。当数据库发生故障时，如需进行系统恢复，应先备份故障数据库的数据文件。备份工作由数据库管理员负责实施。（3）应用系统层备份：包括应用系统程序文件和日志文件，每月至少备份1次。日志文件应每月进行一次备份。备份工作由数据库管理员负责实施。2、备份方式（1）按数据完整程度来说，财务操作系统的数据备份方式分为全备份和增量备份。全备份是指在停止应用系统和数据库后的进行数据文件的完整备份；增量备份指在不停止应用系统和数据库时只备份前次备份后发生变动或新产生的文件。（2）按备份频率来说，财务操作系统的数据备份方式又可以分为定期备份和临时备份。定期备份应采用定期运行的批处理脚本的方式。临时备份一般采用手工操作的方式。除数据库归档日志文件、应用系统并发日志文件和输出文件采用增量备份方式外，其它文件应采用冷备份的方式。四、数据加密数据源是财务数据保密性的基础部分，对数据源进行复杂的加密，使破译的难度上升。所谓数据加密技术是指将一个信息经过加密钥匙及加密函信息科学与工程2015年8期数转换，变成无意义的密文，而接收方则将此密文经过解密函数、解密钥匙还原成明文。加密技术是网络安全技术的基石，常见的主要就是全盘加密和驱动级加密技术。1、全盘加密技术全盘加密技术主要是对磁盘进行全盘加密，并且采用主机监控、防水墙等其他防护手段进行整体防护，磁盘加密主要为用户提供一个安全的运行环境，数据自身未进行加密，操作系统一旦启动完毕，数据自身在硬盘上以明文形式存在，主要靠防水墙的围追堵截等方式进行保护。2、驱动级加密技术驱动级技术是信息加密的主流技术，采用进程+后缀的方式进行安全防护，用户可以根据企事业单位的实际情况灵活配置，对重要的数据进行强制加密，大大提高了系统的运行效率。驱动级加密技术与磁盘加密技术的最大区别就是驱动级技术会对用户的数据自身进行保护，驱动级加密采用透明加解密技术，用户感觉不到系统的存在，不改变用户的原有操作，数据一旦脱离安全环境，用户将无法使用，有效提高了数据的安全性；另外驱动级加密技术比磁盘加密技术管理可以更加细粒度，有效实现数据的全生命周期管理，可以控制文件的使用时间、次数、复制、截屏、录像等操作，并且可以对文件的内部进行细粒度的授权管理和数据的外出访问控制，做到数据的全方位管理。甚至还可以设定自毁程序，在遭到暴力破解的情况下自动销毁数据。这可能造成数据的丢失，但对数据保密性的保证却是比较有利的。综上所述，财务数据在很大程度上影响着企业的业务发展，为了确保其安全，可以采用操作控制、堵塞漏洞、完善备份和数据加密等手段来加以防范，这样企业才可能在财务数据安全方面得到保障，以利于进一步用核心财务数据应对市场的竞争。（作者单位：湖南大唐工程机械有限公司；收稿日期：2015年6月）参考文献[1]浅议高校财务信息化的安全问题，刘燕;杨铁铣;王兵，电子科技大学学报(社科版)，2014/06[2]中小型企业网络财务安全性研究，郑阳平，微处理机，2014/01[3]网络财务系统的信息安全及对策，张永毅，现代电视技术，2012/02[4]网络财务安全问题及对策浅析，晓晖，昆明理工大学学报(社会科学版)，006/03[5]我国物流企业网络财务信息系统安全机制研究，陈海军，物流技术，2012/23[6]网络财务安全防范措施的研究，李艺博，燕山大学，2014/12[7]网络环境下会计信息系统安全问题防范对策研究，倪江陵，湖南大学，2008/04