高校財(cái)務(wù)信息系統(tǒng)安全防護(hù)體系建設(shè)研究

張鵬　陳帆　韓索民

摘 要：隨著高校信息化建設(shè)的推進(jìn)，財(cái)務(wù)信息化已經(jīng)成為高校提高財(cái)務(wù)管理和服務(wù)水平的最重要推手。同時(shí)，由于財(cái)務(wù)信息系統(tǒng)自身的特點(diǎn)和網(wǎng)絡(luò)環(huán)境的復(fù)雜性，財(cái)務(wù)信息系統(tǒng)的安全風(fēng)險(xiǎn)日益凸顯。著重分析財(cái)務(wù)信息系統(tǒng)存在的安全風(fēng)險(xiǎn)，提出一種高校財(cái)務(wù)信息系統(tǒng)安全防護(hù)體系建設(shè)方案。

關(guān)鍵詞：高等學(xué)校；財(cái)務(wù)信息系統(tǒng)；安全防護(hù)

中圖分類(lèi)號(hào)：F232 文獻(xiàn)標(biāo)志碼：A 文章編號(hào)：1673-291X（2015）25-0103-02

近年來(lái)，隨著我國(guó)高等教育事業(yè)的發(fā)展，高校信息化建設(shè)取得了長(zhǎng)足進(jìn)步。高校財(cái)務(wù)信息化為高校的管理和決策提供了有力的支撐，已成為高校提升財(cái)務(wù)工作效率和財(cái)務(wù)服務(wù)水平的重要推手。財(cái)務(wù)信息化建設(shè)的目標(biāo)已由提高財(cái)務(wù)核算工作效率向提升財(cái)務(wù)管理和服務(wù)水平轉(zhuǎn)變，各高校普遍建成了面向全校師生的網(wǎng)上報(bào)賬、信息查詢(xún)、跨部門(mén)業(yè)務(wù)辦理等財(cái)務(wù)綜合服務(wù)體系。然而，隨著財(cái)務(wù)信息化建設(shè)的迅猛發(fā)展和財(cái)務(wù)綜合服務(wù)體系的推廣應(yīng)用，財(cái)務(wù)信息系統(tǒng)存在的安全風(fēng)險(xiǎn)開(kāi)始凸顯。

一、高校財(cái)務(wù)信息系統(tǒng)存在的安全風(fēng)險(xiǎn)

1.硬件設(shè)備的風(fēng)險(xiǎn)。財(cái)務(wù)信息系統(tǒng)的硬件設(shè)備主要指服務(wù)器、網(wǎng)絡(luò)設(shè)備、存儲(chǔ)設(shè)備等。硬件設(shè)備是財(cái)務(wù)信息系統(tǒng)的物理載體，是財(cái)務(wù)信息系統(tǒng)穩(wěn)定運(yùn)行的先決條件，硬件設(shè)備的損壞會(huì)給整個(gè)系統(tǒng)造成嚴(yán)重?fù)p失。但在日常工作中，硬件設(shè)備的配置和運(yùn)行環(huán)境經(jīng)常得不到財(cái)務(wù)部門(mén)的重視。

硬件設(shè)備常見(jiàn)的配置問(wèn)題包括：計(jì)算、內(nèi)存、網(wǎng)絡(luò)設(shè)備帶寬等與業(yè)務(wù)需求不匹配，形成瓶頸導(dǎo)致系統(tǒng)運(yùn)行效率低下。服務(wù)器運(yùn)行環(huán)境無(wú)法滿足要求，如運(yùn)行存放場(chǎng)所的供電、降溫、除塵、防磁等配套設(shè)施不完善，極易引起硬件設(shè)備損壞。

2.網(wǎng)絡(luò)攻擊和感染病毒的風(fēng)險(xiǎn)。隨著財(cái)務(wù)信息化服務(wù)體系的建立，財(cái)務(wù)信息系統(tǒng)需要面向全校師生員工提供各類(lèi)財(cái)務(wù)服務(wù)，隨之而來(lái)的，以非法取得或篡改數(shù)據(jù)為目的的入侵行為難以避免。由于通用操作系統(tǒng)本身存在的漏洞和信息系統(tǒng)管理制度的不完善，財(cái)務(wù)信息系統(tǒng)遭受網(wǎng)絡(luò)攻擊和感染病毒的風(fēng)險(xiǎn)一直存在。

3.數(shù)據(jù)損失風(fēng)險(xiǎn)。在財(cái)務(wù)信息化系統(tǒng)中，數(shù)據(jù)是系統(tǒng)的核心，財(cái)務(wù)管理的過(guò)程就是對(duì)數(shù)據(jù)的生成、分類(lèi)、分析和利用的過(guò)程。各種不可控因素造成的數(shù)據(jù)損失，將會(huì)對(duì)財(cái)務(wù)信息系統(tǒng)造成致命的損失。高校財(cái)務(wù)數(shù)據(jù)存在的問(wèn)題包括：缺乏科學(xué)合理的備份機(jī)制，缺乏財(cái)務(wù)電子數(shù)據(jù)的管理制度，電子數(shù)據(jù)的存儲(chǔ)條件損壞等。

4.財(cái)務(wù)人員錯(cuò)誤操作的風(fēng)險(xiǎn)。高校財(cái)務(wù)人員知識(shí)結(jié)構(gòu)和業(yè)務(wù)能力存在差異，部分財(cái)務(wù)人員對(duì)信息系統(tǒng)的安全風(fēng)險(xiǎn)認(rèn)識(shí)不足。個(gè)別財(cái)務(wù)人員對(duì)財(cái)務(wù)信息系統(tǒng)無(wú)意或有意地錯(cuò)誤操作，將會(huì)引起財(cái)務(wù)信息失真或造成財(cái)務(wù)數(shù)據(jù)的重大損失。

二、財(cái)務(wù)信息系統(tǒng)安全防護(hù)體系建設(shè)

1.加強(qiáng)硬件平臺(tái)運(yùn)行維護(hù)管理。硬件平臺(tái)是財(cái)務(wù)信息系統(tǒng)的基礎(chǔ)，高校應(yīng)對(duì)硬件平臺(tái)的管理給予足夠的重視。在搭建信息系統(tǒng)硬件平臺(tái)之前，應(yīng)根據(jù)預(yù)先規(guī)劃的業(yè)務(wù)種類(lèi)和業(yè)務(wù)規(guī)模對(duì)硬件設(shè)備的架構(gòu)和配置做科學(xué)設(shè)計(jì)，硬件平臺(tái)要充分考慮財(cái)務(wù)信息系統(tǒng)在計(jì)算、運(yùn)行、存儲(chǔ)、網(wǎng)絡(luò)等方面的需求，避免因?yàn)槟骋画h(huán)節(jié)出現(xiàn)瓶頸，降低整個(gè)系統(tǒng)的運(yùn)行效率。硬件平臺(tái)的設(shè)計(jì)方案可由財(cái)務(wù)部門(mén)提出業(yè)務(wù)需求，請(qǐng)信息化領(lǐng)域的專(zhuān)家進(jìn)行充分論證，避免盲目建設(shè)造成損失。硬件平臺(tái)的運(yùn)行環(huán)境應(yīng)滿足持續(xù)供電、恒溫恒濕、防磁微塵等方面的要求，在日常生產(chǎn)中，還應(yīng)實(shí)時(shí)監(jiān)控硬件平臺(tái)的運(yùn)行狀態(tài)，對(duì)運(yùn)維系統(tǒng)給出的提示和報(bào)警信息及時(shí)給予分析解決，規(guī)避可能出現(xiàn)的硬件故障風(fēng)險(xiǎn)。

2.科學(xué)規(guī)劃財(cái)務(wù)信息系統(tǒng)網(wǎng)絡(luò)架構(gòu)。建立科學(xué)合理的網(wǎng)絡(luò)架構(gòu)對(duì)財(cái)務(wù)信息系統(tǒng)安全防護(hù)具有重要意義，往往可以起到事半功倍的效果。規(guī)劃財(cái)務(wù)信息系統(tǒng)應(yīng)考慮的問(wèn)題包括：（1）確保財(cái)務(wù)核心數(shù)據(jù)的安全，最好做到專(zhuān)網(wǎng)運(yùn)行，與因特網(wǎng)物理隔離；（2）財(cái)務(wù)核心數(shù)據(jù)應(yīng)與財(cái)務(wù)網(wǎng)上服務(wù)數(shù)據(jù)實(shí)現(xiàn)互通，保障財(cái)務(wù)查詢(xún)、網(wǎng)上報(bào)賬等業(yè)務(wù)數(shù)據(jù)的雙向傳輸；（3）對(duì)校園網(wǎng)訪問(wèn)財(cái)務(wù)網(wǎng)上服務(wù)應(yīng)用進(jìn)行必要的監(jiān)控。

下面提出一種財(cái)務(wù)信息系統(tǒng)網(wǎng)絡(luò)架構(gòu)設(shè)計(jì)方案（見(jiàn)下圖）。

3.完善財(cái)務(wù)數(shù)據(jù)保護(hù)策略。制定財(cái)務(wù)數(shù)據(jù)保護(hù)策略，建立財(cái)務(wù)信息系統(tǒng)災(zāi)后快速恢復(fù)能力。應(yīng)包括：（1）應(yīng)用虛擬機(jī)高可用（HA）解決方案。建立虛擬服務(wù)器快速恢復(fù)能力，當(dāng)一個(gè)集群中的某一臺(tái)物理主機(jī)出現(xiàn)故障，虛擬機(jī)可以自主偵測(cè)并遷移到另外的物理主機(jī)上，實(shí)現(xiàn)業(yè)務(wù)不中斷。（2）完善數(shù)據(jù)備份策略。備份范圍應(yīng)包括：文件系統(tǒng)備份，數(shù)據(jù)備份，日志備份。備份方式應(yīng)包含：在線備份、離線備份、完全備份、增量備份等。同時(shí)根據(jù)各應(yīng)用系統(tǒng)的工作特點(diǎn)和安全防護(hù)級(jí)別合理選擇備份方式和操作頻率。（3）建立熱備與容災(zāi)系統(tǒng)。隨著高校財(cái)務(wù)管理和服務(wù)水平的提高，高校財(cái)務(wù)部門(mén)希望具備在遭受突發(fā)災(zāi)難后財(cái)務(wù)應(yīng)用不間斷服務(wù)的能力，可建立財(cái)務(wù)數(shù)據(jù)熱備與容災(zāi)系統(tǒng)。建立一個(gè)異地的數(shù)據(jù)系統(tǒng)，該系統(tǒng)是本地主系統(tǒng)關(guān)鍵數(shù)據(jù)的一個(gè)可用鏡像，異地?cái)?shù)據(jù)系統(tǒng)通過(guò)同步或準(zhǔn)同步的方式與本地主數(shù)據(jù)系統(tǒng)保持一致，當(dāng)主系統(tǒng)遭遇意外損失，應(yīng)用系統(tǒng)可以迅速切換到異地?zé)醾淙轂?zāi)服務(wù)器，保證財(cái)務(wù)應(yīng)用不間斷。

4.建立健全財(cái)務(wù)信息系統(tǒng)內(nèi)部控制制度。建立健全財(cái)務(wù)信息系統(tǒng)內(nèi)部控制制度可以有效規(guī)避系統(tǒng)安全風(fēng)險(xiǎn)，提高財(cái)務(wù)信息系統(tǒng)的可靠性。

（1）財(cái)務(wù)信息系統(tǒng)權(quán)限管理制度。為規(guī)避財(cái)務(wù)人員操作失誤引入的風(fēng)險(xiǎn)，防范內(nèi)部人員舞弊行為，應(yīng)建立和完善財(cái)務(wù)信息系統(tǒng)權(quán)限管理制度。根據(jù)各崗位的職責(zé)，設(shè)置相應(yīng)的系統(tǒng)使用權(quán)限，從系統(tǒng)上做到不相容崗位隔離，建立關(guān)鍵業(yè)務(wù)環(huán)節(jié)多級(jí)審核機(jī)制，保障會(huì)計(jì)信息真實(shí)、可靠。（2）財(cái)務(wù)信息系統(tǒng)運(yùn)行維護(hù)制度。建立財(cái)務(wù)信息系統(tǒng)硬件和軟件的運(yùn)行維護(hù)制度，規(guī)范系統(tǒng)操作和管理，及時(shí)發(fā)現(xiàn)和規(guī)避硬件故障和非法訪問(wèn)引入的風(fēng)險(xiǎn)。定期檢查并記錄服務(wù)器、存儲(chǔ)、交換機(jī)、防火墻以及隔離網(wǎng)閘等硬件設(shè)備的運(yùn)行狀態(tài)；定期檢查硬件設(shè)備、數(shù)據(jù)庫(kù)的日志，排查系統(tǒng)隱患；梳理財(cái)務(wù)應(yīng)用系統(tǒng)操作流程，編制應(yīng)用系統(tǒng)使用指南和注意事項(xiàng)。（3）財(cái)務(wù)電子檔案管理制度。建立與財(cái)務(wù)信息化發(fā)展水平相適應(yīng)的財(cái)務(wù)電子檔案管理機(jī)制，規(guī)范財(cái)務(wù)電子檔案的采集、歸檔、存儲(chǔ)等流程。根據(jù)電子檔案的特殊性質(zhì)，還應(yīng)定期對(duì)財(cái)務(wù)電子檔案做完整性和一致性驗(yàn)證。

5.加強(qiáng)財(cái)務(wù)人員綜合能力培養(yǎng)。財(cái)務(wù)人員的職業(yè)操守和業(yè)務(wù)能力對(duì)財(cái)務(wù)信息系統(tǒng)安全防護(hù)水平的提升至關(guān)重要，高校應(yīng)注重對(duì)財(cái)務(wù)人員道德素質(zhì)和信息化工作能力的培養(yǎng)。加強(qiáng)財(cái)務(wù)人員對(duì)財(cái)務(wù)信息化相關(guān)知識(shí)的學(xué)習(xí)，了解財(cái)務(wù)信息系統(tǒng)的基本架構(gòu)和工作原理，具備財(cái)務(wù)信息系統(tǒng)安全防護(hù)的意識(shí)，掌握財(cái)務(wù)信息系統(tǒng)安全防護(hù)的基本技術(shù)，有效地提升財(cái)務(wù)信息系統(tǒng)的安全防護(hù)水平。

參考文獻(xiàn)：

[1] 王婷婷.我國(guó)高校信息化機(jī)制建設(shè)研究[D].長(zhǎng)沙：湖南大學(xué)碩士學(xué)位論文，2006.

[2] 李波.基于VPN的天翼財(cái)務(wù)信息安全平臺(tái)的設(shè)計(jì)與實(shí)現(xiàn)[D].上海：復(fù)旦大學(xué)碩士學(xué)位論文，2012.

[3] 劉中杰.基于WPDRRC模型構(gòu)建基層農(nóng)信社信息安全管理系統(tǒng)[D].長(zhǎng)沙：湖南大學(xué)碩士學(xué)位論文，2012.

[4] 叢磊.高校財(cái)務(wù)信息化面臨的信息安全問(wèn)題研究[J].會(huì)計(jì)之友，2014，（11）：116-118.

[責(zé)任編輯 吳明宇]endprint