淺析網絡會計信息系統的安全問題
梁曉卿
隨著網絡經濟的發展，企業的生產經營環境發生了很大的變化。在互聯網的影響下，會計目標、會計職能、會計操作手段以及會計監督都在朝著適應新型網絡經濟的方向變革和發展。會計信息的使用者變得更為廣闊，會計管理職能不斷強化，會計的操作手段更為先進，會計監督愈顯其重，網絡會計應運而生。企業的會計信息不再是一個信息孤島，而是信息集成。會計信息系統與管理層、外界緊密相聯成為一個整體，企業的交易變得十分快捷。此外，網絡技術的使用給企業的內部控制帶來了巨大的變化，促進了企業的管理工作。企業之間要實行信息集成，就必須接入互聯網中。在互聯網這樣的環境中，企業遭遇的不再僅僅是本企業內部的問題，還有黑客的非法入侵和病毒的侵襲。這使得企業的信息容易泄露，面臨較多的安全問題。因此，我們必須保證網絡會計信息系統安全、可靠地運行，這就需要強化對網絡會計信息系統的管理。
一、網絡會計信息系統安全現狀
目前總體上會計信息系統的安全建設較為落后，了解會計信息系統的安全現狀，有助于我們發現網絡會計信息系統存在的安全隱患。
（一）安全防范意識弱
多數企業安全防范觀念差、安全防范意識弱，對安全防護、檢測缺少全面和辨證的認識。大多數企業僅從防護角度采用保密通信、防火墻、安全路由器和一些低安全級的網管產品，缺乏必要的安全檢測和反應。即使采用安全檢測的也都是“已知漏洞”和“已知攻擊”的檢測，而且在這個基礎上的安全檢測也并未普及。
（二）信息系統的安全建設與管理不系統、不規范
（1）國家標準、法律法規不健全。國家在信息系統建設和安全設計方面無統一的指導性意見，國家標準制定嚴重滯后，存在法律漏洞和非一致性。
（2）企業的安全規劃與建設缺乏策略指導。由于目前多數企業的安全防范意識較弱，企業在進行信息系統的安全建設時缺乏安全思想、安全策略的考慮。
（3）構成信息系統的計算機網絡結構的各個層次都存在嚴重的安全防護漏洞。表現在以下方面:
第一，企業信息系統采取防病毒產品的很少；
第二，電信網絡本身安全級別低，而且電信網絡不負責對企業營運系統提供安全訪問控制；
第三，許多企業信息系統的網絡層缺少必要的安全防護、檢測和反應措施。
（4）應用層安全功能不規范，缺少安全設計。某些企業信息系統在設計之初就缺少相應的安全功能，連基本的訪問控制和加密措施都沒有，數據結構混亂，信息交換困難，程序運行不穩定，容錯能力差，而某些企業的系統則在設計之時由于思路不清、重復開發、模式不統一，不能形成統一的公共安全平臺。
二、網絡會計信息系統存在的安全問題
網絡技術改變了整個社會經濟的生產結構和勞動結構，打破了傳統的企業管理模式和財務管理模式，網絡會計信息系統可以實現遠程財務處理、在線財務管理等功能，最終實現企業物流、資金流、信息流高度一致。網絡環境下的會計信息系統具有全面開放性。它以企業網絡為節點，可以實現與其他企業間、企業集團所屬的分支機構間、管理部門間、社會自然人之間的通信和資源共享，同時在全面開放的網絡環境下隨之而來的是各種安全隱患，其突出表現在以下方面：
（一）財務信息可能被竊取
財務信息是反映企業財務狀況和經營成果的重要依據，特別是涉及企業內部商業機密的財務信息，不得隨意泄漏、破壞和遺失。在網絡環境下，大量的財務信息通過開放的網絡傳遞，置身于開放的網絡中，存在被截取、泄漏等安全隱患。
（二）網絡信息系統可能遭到病毒和黑客攻擊
由于互聯網的開放特征，接入互聯網的計算機系統均可共享信息資源，同時也給一些非善意訪問者以可乘之機。黑客、計算機病毒、網絡軟件自身的不穩定等因素也為網絡系統的安全帶來諸多隱患。
（三）企業內部控制可能失效
傳統會計系統非常強調對業務活動的使用授權批準、職責性、正確性與合法性，但是在網絡財務環境下，財務信息的處理和存儲集中于網絡系統，大量不同的會計業務交叉在一起，加上信息資源的共享，財務信息復雜，交叉速度加快，使傳統會計系統中某些職權分工、相互牽制的控制失效。原來使用的靠賬簿之間互相核對實現的差錯糾正控制已經不復存在，光、電、磁介質也不同于紙張介質，它所載信息能不留痕跡地被修改和刪除。
（四）會計檔案保存可能失效
網絡財務的實施必然依靠相應的財務軟件，這些財務軟件是對現有單機版、局域網絡版財務軟件和硬件系統的全面升級，但這些網絡財務軟件不一定兼容以前版本或其他財務軟件，由于數據格式、數據接口不同和數據庫被加密等原因，以前的財務信息可能不被及時錄入網絡財務系統。對于若干年前保存的會計檔案更不可能兼容，因而原有財務信息在新的網絡財務系統中無法查詢，導致這種會計檔案面臨失效風險。
（五）企業缺乏網絡會計人才
高素質的網絡會計人才缺乏。網絡會計信息系統的實施，要求相關業務操作人員對出現的問題能及時發現，及時反饋，以便技術人員及時處理。但如果操作人員對計算機及網絡知識了解很少、操作程序不規范或操作人員安全防范意識不強，都有可能出大錯。如果企業在沒有找到合適人才的時候盲目實施網絡財務，其安全隱患則變得尤為突出。
三、網絡環境下會計信息系統安全問題防范對策
在互聯網環境下會計信息系統中的安全有多層次的內容，因而在互聯網環境下會計信息系統的安全控制必須分別針對目標維與技術維之間的聯系設立相應的控制制度與措施，將網絡會計信息系統安全劃分為管理層面的安全與技術層面的安全兩個方面，現提出以下對策：
（一）會計數據的安全及防范對策
1．管理層面的安全及防范對策
會計數據安全是指所有的會計數據與信息在產生、傳遞、接收、存貯、加工處理的過程中不存在遺漏、變形等。要保證數據的安全，一方面需要借助法律、政策及相關規章制度的約束，另一方面又必須依賴企業管理人員制定有效的管理制度和管理手段。會計數據的安全控制一般分為以下幾個方面：
第一，依據相關的法律規章制度建立嚴格的內部管理制度。
目前，在我國，涉及網絡信息系統安全的法規中嚴格規定，計算機網絡系統信息安全受到法律的保護，任何人、任何單位不得侵犯系統的信息安全。因此，我們在制定企業內部控制制度時可以借鑒上述相關的法律規章制度，從法律、道德、紀律等方面約束企業內部工作人員，以防止企業內部工作人員的舞弊與犯罪行為。
第二，加強監控與審計。
在互聯網環境下會計信息系統是由幾十個、甚至上百個部門或分公司聯網而成的，要使其高效、安全地運行，一方面必須做好嚴格的系統監控工作，要求在系統產生錯誤時，及時地發現問題并解決問題。同時，還要根據各部門或各分公司的用戶操作記錄，結合系統的記錄信息判斷有無非法用戶進入會計信息系統，并隨時采取措施，保證系統的安全。另一方面，又必須加強審計工作，特別是對會計數據操作的審計。這也就是說，要對會計數據的操作情況進行監督，對訪問會計數據進行動態跟蹤，對刪改操作情況進行記錄。
第三，及時進行會計數據的備份。
由于在互聯網環境下會計信息系統存在著大量的網絡子系統，分別存放了大量的會計數據，一旦發生問題，會有大量的會計數據無法挽回。為了防止這種現象的出現，應及時的對會計數據進行多種備份，以便在系統出現問題后能夠迅速地恢復這些會計數據。若數據庫發生問題，則用近期備份的數據結合修改日志文件進行恢復，每月將數據庫備份到磁盤、磁帶等存儲介質上進行保存，以此完成對全系統的數據恢復或是單個用戶的數據恢復。
2．技術層面的安全及防范措施
（1）會計數據保密控制。會計數據保密就是通過對用戶與會計數據的處理，利用一種強有力的算法編碼技術，將數據變換成密碼形式來保護保存在磁盤上的會計數據和傳輸的信息，使那些有意或無意的攻擊者與未經授權的用戶無法訪問這些會計數據，從而保證這些會計數據的安全。通常要完成對會計數據的保密性控制，可以通過以下幾個措施來實現：
第一，對用戶進行分類。在企業內、外部有不同的信息使用者，由于他們的身份不同，他們對獲取的會計信息要求也不同，因而有必要對這些用戶進行分類，以保證不同身份的用戶獲取與他們身份與要求相符的會計信息。通常，對用戶分類是通過對用戶授予不同的數據管理權限來實現的。一般將權限分為三類：數據庫登錄權限、資源管理權限和數據庫管理員權限。只有獲得了數據庫登錄權限的用戶才能進入數據庫管理系統，才可以進行數據的查詢，以獲取自己所需的會計數據或會計信息，但其不能對數據進行修改。而具有資源管理權限的用戶，除了擁有上述數據訪問權限之外，還具有數據庫的創建、索引及職責范圍內的修改權限等。至于具有數據庫管理員權限的用戶，他將具有數據管理的一切權限，包括訪問其他用戶的數據，授予或收回其他用戶的各種權限，完成數據的備份、裝入與重組以及進行系統的審計等工作。但這類用戶一般僅限于極少數的用戶，其工作帶有全局性和謹慎性，對于會計信息系統而言，會計主管就可能是一個數據庫管理員。
第二，對會計數據分類。雖然對用戶進行了分類，但并不等于一定能保證用戶都根據自己的職責范圍訪問相關會計數據。這是因為同一權限內的用戶，對數據的管理和使用的范圍是不同的。如會計工作中的憑證錄入人員與憑證的審核人員，他們的職責范圍就明顯地限定了他們對數據的使用權限。因此，數據庫管理員就必須根據數據庫管理系統所提供的數據分類功能，將各個作為可查詢的會計數據邏輯上歸并起來，建立一個或多個視圖，并賦予相應的名稱，再把該視圖的查詢權限授予相應的用戶，從而保證各個用戶所訪問的是自己職責范圍內的會計數據。
第三，對會計數據進行加密。一般而言，上述的保密技術能夠滿足一般系統的應用要求，但是對會計信息系統來說，僅靠上述的措施仍然難以確保會計數據的安全。為了防止其他用戶對會計數據的非法竊取或篡改，還必須對一些重要的會計數據進行加密處理。由于數據的加密技術完全是一種數據庫的處理技術，在此不作太多的闡述，但要說明的是，在進行會計數據加密時，對有關的關鍵字段不能加密。
（2）會計數據完整性控制。會計數據完整性控制是指通過會計數據與會計數據之間的邏輯關系所施加的約束條件來實現會計數據的正確性和一致性的一種方法。通常對利用會計數據間的關系所建立的約束有：
第一，會計數據值的約束和結構的約束。會計數據值的約束是指對會計數據項的數據類型、精度等方面的限制。如在會計信息系統中會計期間必須事先設定、會計憑證所出現的日期必須符合實際的日期和工資一般準確到小數點后兩位等，否則會計信息系統就拒絕接受。而會計數據結構的約束則是指對會計數據之間聯系方面的限制。因而，科目代碼的取值就不能為空或0值，并且它在數據庫中是唯一的，從而保證在引用會計科目數據時能通過會計代碼這個唯一的條件找到會計科目的其它相關數據。如果違反了這種限制，就破壞了會計數據結構的規定。
第二，會計數據的動態約束。會計數據的動態約束是指當會計數據從一種狀態轉變為另一種狀態時，對新舊值間規定一定的限制條件，以保證會計數據的正確性。
（二）會計軟件安全及防范措施
1．管理層面的安全及防范措施
（1）會計軟件內部管理控制是指企業為加強和完善對網絡會計系統涉及的各個部門和人員的管理和控制所建立的內部控制制度。由于網絡會計系統是一種分布式處理結構，計算機網絡分布于企業各業務部門，實現財務與業務協同處理，因此原來集中處理模式下的行政控制轉變為間接業務控制。主要應采取如下幾方面的措施：
第一，設置適應于網絡下作業的組織機構并設置相應的工作站點；
第二，合理建立上機管理制度；
第三，建立完備的設備管理制度。
（2）會計軟件系統開發管理是一種預防性控制，目的是確保網絡會計系統開發過程及內容符合內部控制的要求。財務軟件的開發必須遵循國家有關部門制訂的標準和規范。首先，在網絡會計系統開發之初，要進行詳細的可行性研究；其次，在系統開發過程中，內審和風險管理人員要參與系統控制功能的研究與設計，制定有效的內部控制方案，并將定制的控制方案在系統中實現；第三，在系統測試運行階段，要加強管理與監督，嚴格按照《商品化會計核算軟件評審規則》等各種標準進行。
2．技術層面的安全及防范措施
（1）會計軟件應用管理是指具體的應用系統中用來預防、檢測和更正錯誤，以及防止不法行為的內部控制措施。包括：
第一，在輸入管理中，要求輸入的數據應經過必要的授權，并經有關內部控制部門檢查，還要采用各種技術手段對輸入數據的準確性進行校驗；
第二，在處理管理中，對數據進行有效性控制和文件控制；
第三，在輸出管理中，一要驗證輸出結果是否正確和是否處于最新狀態，以便用戶隨時得到最新準確的會計信息；二要確保輸出結果能夠送發到合法的輸出對象，文件傳輸安全正確。
（2）會計軟件技術維護包括軟件修改等，涉及到系統功能的調整、擴充和完善。對網絡會計系統進行維護必須經過周密計劃和嚴格記錄，維護過程的每一環節都必須設置必要的控制，維護的原因和性質要有書面形式的報告，經批準后才能實施修改。軟件修改尤為重要，網絡會計系統操作員不能參與軟件的修改，所有與系統維護有關的記錄都應該打印后存檔。
（三）硬件系統安全及防范措施
1．管理層面安全及防范措施
首先，建立健全設備管理制度，確保硬件設備的運行環境。
其次，各系統操作人員應分清責任，各自管理和使用自己職責范圍內的硬件設備，不得越權使用，禁止非計算機操作人員使用計算機系統，以免不當的操作損壞硬件設備。多個用戶使用同一臺設備的，要進行嚴格的登記，并記錄運行情況。
再次，建立必要的上機操作控制和系統運行記錄控制。建立嚴格的硬件操作規程。
2．技術層面安全及防范措施
高效的計算機網絡系統應具有容災、容錯技術。容災系統的關鍵在于數據同步復制技術。當網絡系統在遭遇自然災害、戰爭、設備故障等不可抗拒的災難和意外時，一方面能夠實施充分的數據備份方案來保證系統數據的完整性和可用性，使系統能迅速恢復正常運行；另外，可以采用額外的硬件、電源部件或錯誤處理模塊作為系統的后援，在系統硬件發生故障時，自動切換至備份硬件。常用的技術手段有磁盤鏡像、雙機熱備份等。采用磁盤雙工和磁盤鏡像技術可以在一塊硬盤失效時，由另一塊硬盤替換工作；雙機熱備份可以在一臺計算機(服務器)失效時，由備用的計算機接替繼續工作。
四、結束語
會計信息系統是適應社會經濟發展需要的，基于網絡環境的網絡會計信息系統為企業提供了更多的機遇和挑戰。實施網絡會計信息系統，對提高企業的管理水平和綜合競爭力有著重要的意義。網絡會計信息系統在產生、發展過程中雖然存在著各種各樣的問題，其安全問題將成為會計工作的重要內容。
筆者結合網絡安全技術以及網絡環境會計信息系統的內部控制制度，對網絡環境下會計信息系統的安全問題及防范對策做了初步的分析研究，但不夠深入、透徹，有待進一步的努力。
