會計軟件安全機制解析

邵金鵬

[摘 要] 本文首先界定了會計軟件安全機制的基本含義，然后進一步分析了會計軟件安全機制的構(gòu)成要素以及各個要素之間的關(guān)系，并從硬件、軟件、數(shù)據(jù)庫、網(wǎng)絡(luò)、人員、制度六個方面對會計軟件安全機制進行了深層次的解析。

[關(guān)鍵詞] 會計軟件；安全機制；解析

doi ： 10 . 3969 / j . issn . 1673 - 0194 . 2018. 17. 020

[中圖分類號] F232 [文獻標(biāo)識碼] A [文章編號] 1673 - 0194（2018）17- 0047- 03

0 引 言

隨著計算機、網(wǎng)絡(luò)信息技術(shù)在會計領(lǐng)域的普及與深入應(yīng)用，會計信息化已成為會計理論界與實務(wù)界備受關(guān)注的問題。影響會計信息化實施質(zhì)量的重要因素便是會計軟件，現(xiàn)代系統(tǒng)軟件的開放性與復(fù)雜性使得會計軟件的安全問題格外突出，成為困擾會計理論與實務(wù)研究者的難題。本文將以會計軟件系統(tǒng)為對象分析其安全機制問題。

1 會計軟件安全機制

機制一詞最早起源于希臘文中，用來特指機器的構(gòu)造及其動作原理。后來，理論與實務(wù)界不斷地將機制一詞的本義引申到了其他不同的領(lǐng)域，也就相應(yīng)產(chǎn)生了不同的機制。如“機制”應(yīng)用到生物學(xué)科和醫(yī)學(xué)學(xué)科時被稱之為“生物機制”，此時“機制”是用來表示生物有機體內(nèi)發(fā)生的生理、病理變化時，各個器官之間相互聯(lián)系、相互作用和相互調(diào)節(jié)的方式；“機制”應(yīng)用到經(jīng)濟學(xué)科的研究時被稱之為“經(jīng)濟機制”，用以表示特定的經(jīng)濟體內(nèi)各構(gòu)成要素之間相互聯(lián)系和相互作用的關(guān)系與功能。本文中筆者將嘗試把“機制”一詞引入到會計軟件的安全方面，即“會計軟件安全機制”。在此，“會計軟件安全機制”可以解釋為在會計軟件系統(tǒng)中，影響其安全的各個構(gòu)成要素以及各個構(gòu)成要素之間的關(guān)系及功能。

2 會計軟件安全機制的構(gòu)成要素及其關(guān)系

2.1 會計軟件安全機制的構(gòu)成要素

會計軟件是一個人機結(jié)合的信息系統(tǒng)，因此，會計軟件安全機制除了應(yīng)考慮計算機方面的安全因素外，還應(yīng)同時考慮人員方面的安全因素。筆者認為會計軟件安全機制的構(gòu)成要素應(yīng)包括硬件、軟件、數(shù)據(jù)庫、網(wǎng)絡(luò)、人員、制度六個方面。

（1）計算機硬件。計算機硬件是指會計軟件系統(tǒng)中由電子組件、機械和光電元件等組成的物理裝置的總稱，是會計軟件系統(tǒng)正常運行的物理基礎(chǔ)。

（2）軟件系統(tǒng)。軟件是指會計軟件系統(tǒng)中的程序及相關(guān)文檔。用戶與計算機直接的交流主要是通過軟件作為接口界面。文中會計軟件安全機制中的軟件系統(tǒng)包括系統(tǒng)軟件和應(yīng)用軟件。

（3）數(shù)據(jù)庫系統(tǒng)。數(shù)據(jù)庫系統(tǒng)是按照一定的數(shù)據(jù)結(jié)構(gòu)來采集、加工、存儲和管理數(shù)據(jù)的倉庫。在日常的經(jīng)營管理中，企業(yè)將所有的相關(guān)信息都存儲在數(shù)據(jù)庫中，同時按照需要從數(shù)據(jù)庫中獲取信息、加工信息。

（4）網(wǎng)絡(luò)。隨著網(wǎng)絡(luò)技術(shù)、通信技術(shù)在會計領(lǐng)域應(yīng)用的深入，網(wǎng)絡(luò)已成為會計軟件傳輸、接收、共享信息的虛擬平臺，通過將各個點上的信息鏈接在一起實現(xiàn)會計及相關(guān)信息的共享。

（5）人員。人員是會計軟件安全機制中的主導(dǎo)因素，是構(gòu)建、實施會計軟件安全機制的主體。人員的素質(zhì)、操作技能等各個方面都會對會計軟件安全機制產(chǎn)生主觀方面的安全問題。

（6）制度。制度是要求系統(tǒng)、相關(guān)人員共同遵循的辦事程序或行動的規(guī)則，是會計軟件安全機制有效實施的保障。古語云“沒有規(guī)矩不成方圓”，任何主體行為的實施都必須要有相應(yīng)的制度作為行動指導(dǎo)與約束，會計軟件安全機制的實施也不例外。

2.2 會計軟件安全機制構(gòu)成要素的關(guān)系

會計軟件安全機制的六個構(gòu)成要素相輔相成，缺一不可。計算機硬件是會計軟件安全機制實施的前提，沒有計算機硬件的支持，會計軟件根本無從運行。計算機軟件是有效連接會計軟件使用者與計算機硬件的橋梁，沒有軟件的計算機硬件是無法發(fā)揮其作用的。數(shù)據(jù)庫是會計軟件信息的保管員，沒有數(shù)據(jù)庫對信息的加工、存儲與輸出，會計軟件無法獲取信息、加工信息、輸出信息。網(wǎng)絡(luò)是有效連接不同地域乃至全球會計主體信息的媒介，是信息共享的重要保障，同時網(wǎng)絡(luò)的正常實施也離不開硬件、軟件、數(shù)據(jù)庫、人員、制度方面的支持。人員是會計軟件安全機制中的執(zhí)行者，其他任何一個因素沒有了人員的參與都形同虛設(shè)。制度是規(guī)范會計軟件安全機制運行的行動指南，更是會計軟件安全機制有效實施的有力保證?？傊?，會計軟件安全機制是一項復(fù)雜的系統(tǒng)，各個構(gòu)成要素之間不是孤立的，不同要素之間必須互相呼應(yīng)、相互補充、相輔相成，這樣整合起來才能發(fā)揮作用。值得注意的是，要特別重視人員要素，計算機硬件性能再好，軟件設(shè)計再合理，數(shù)據(jù)庫系統(tǒng)再穩(wěn)定，執(zhí)行的人員不行，會計軟件安全機制還是到不了位。

3 會計軟件安全機制解析

3.1 硬件解析

在會計軟件安全機制的六個構(gòu)成要素中，計算機硬件影響會計軟件安全的主要原因是計算機硬件使用環(huán)境與硬件性能方面，而硬件性能等硬件問題與當(dāng)前計算機技術(shù)的先進水平有關(guān)，因此，對于硬件構(gòu)成要素來講，在特定的計算機硬件技術(shù)條件下主要是保證會計軟件所依托的計算機硬件的正常使用、日常維護。

3.2 軟件解析

從軟件的視角審視會計軟件的安全問題，關(guān)鍵是會計軟件功能設(shè)計導(dǎo)致的不安全，即會計軟件中的反向操作功能。眾所周知，目前企業(yè)使用的會計軟件都設(shè)置有反向操作功能，包括反結(jié)賬、反記賬和反審核等。反結(jié)賬指的是在已經(jīng)結(jié)賬的期間，通過取消結(jié)賬的操作解除結(jié)賬狀態(tài)，恢復(fù)到結(jié)賬前的狀態(tài)；反記賬指的是將已記賬狀態(tài)的憑證通過反記賬的反向操作恢復(fù)到未記賬的狀態(tài)；反審核指的是將已經(jīng)審核完的記賬憑證進行取消審計的操作，恢復(fù)到未審核的狀態(tài)。在不存在主觀故意舞弊的情況下，反向操作在一定程度上方便了會計軟件用戶的操作。但同時也給會計軟件帶來了安全問題，一是通過反向操作修改信息可以不保留任何痕跡，對會計軟件使用單位內(nèi)部的監(jiān)督以及外部審計在查找審計線索、收集審計證據(jù)等方面都提出了極大的挑戰(zhàn)。二是反向操作本身會由于數(shù)據(jù)的多次正向操作、反向操作而產(chǎn)生單一數(shù)據(jù)錯誤甚至是數(shù)據(jù)連鎖反應(yīng)導(dǎo)致的數(shù)據(jù)混亂。此外，即使沒有反向操作功能，會計軟件用戶也可以通過使用“數(shù)據(jù)備份”“數(shù)據(jù)恢復(fù)”功能，或是直接復(fù)制、粘貼賬套的數(shù)據(jù)庫文件來實現(xiàn)記賬前數(shù)據(jù)庫的恢復(fù)，從而實現(xiàn)無痕跡的修改操作。

因此，應(yīng)該從兩個方面對會計軟件安全方面進行完善。首先，應(yīng)從會計軟件的設(shè)計方面進行控制。會計軟件應(yīng)當(dāng)提供對已經(jīng)輸入但未登賬記賬憑證的審核功能以及對已經(jīng)審核但未記賬憑證的記賬功能，但是對已審核、已記賬憑證不能再提供對機內(nèi)憑證的無痕跡修改。確實需要對已審核、已記賬憑證進行修改的，應(yīng)采用紅字憑證沖銷法或者補充憑證法進行更正。其次，應(yīng)積極利用過程挖掘技術(shù)對會計軟件系統(tǒng)進行過程審計。過程挖掘技術(shù)可以從信息系統(tǒng)的事務(wù)日志中抽取業(yè)務(wù)過程的各方面信息。因此，利用過程挖掘技術(shù)獲取的日志信息可以有效地得到哪些用戶進行過什么操作以及該操作的前導(dǎo)活動與后續(xù)活動，從而有效地控制操作人員利用反向操作、“數(shù)據(jù)備份”、“數(shù)據(jù)恢復(fù)”等功能達到無痕跡修改會計軟件數(shù)據(jù)信息的安全隱患。

3.3 數(shù)據(jù)庫解析

數(shù)據(jù)庫存在的安全問題包括兩個方面，一是系統(tǒng)運行安全，即數(shù)據(jù)庫系統(tǒng)的本身的安全問題；二是系統(tǒng)信息安全，即數(shù)據(jù)庫系統(tǒng)存儲的信息的安全問題。因此，對于數(shù)據(jù)庫方面的安全策略也應(yīng)從兩個方面進行。首先，應(yīng)該對計算機的操作系統(tǒng)以及數(shù)據(jù)庫系統(tǒng)進行安全配置，包括密碼設(shè)置、協(xié)議加密、TCP/IP端口設(shè)置等，以保證數(shù)據(jù)庫系統(tǒng)本身的運行安全。其次，要從數(shù)據(jù)庫信息安全方面進行安全設(shè)置。一是要保證會計軟件數(shù)據(jù)的獨立性、安全性與完整性；二是要針對并發(fā)事件①進行有效的并發(fā)控制，避免當(dāng)一個會計軟件用戶取出數(shù)據(jù)進行修改，在修改存入數(shù)據(jù)庫之前其他用戶提取正在修改未保存的數(shù)據(jù)導(dǎo)致的數(shù)據(jù)錯誤；三是要建立會計軟件數(shù)據(jù)庫系統(tǒng)的故障修復(fù)系統(tǒng)，以保證及時發(fā)現(xiàn)、修復(fù)數(shù)據(jù)庫系統(tǒng)中物理方面或邏輯方面的數(shù)據(jù)故障。

3.4 網(wǎng)絡(luò)解析

網(wǎng)絡(luò)安全是指在特定的運行環(huán)境下會計軟件系統(tǒng)中的網(wǎng)絡(luò)系統(tǒng)可以連續(xù)、可靠、正常地運行，網(wǎng)絡(luò)的服務(wù)功能不中斷。從本質(zhì)上講，網(wǎng)絡(luò)安全就是網(wǎng)絡(luò)系統(tǒng)中的信息安全。網(wǎng)絡(luò)安全方面的問題主要集中在網(wǎng)絡(luò)物理安全、網(wǎng)絡(luò)結(jié)構(gòu)安全、網(wǎng)絡(luò)系統(tǒng)安全、網(wǎng)絡(luò)管理安全四個方面。因此，筆者認為在網(wǎng)絡(luò)方面應(yīng)該從以下幾個方面著手實施會計軟件的安全控制：第一，盡量保證網(wǎng)絡(luò)的物理安全，這是整個網(wǎng)絡(luò)系統(tǒng)安全的前提，也是四個方面中相對容易控制的；第二，進行網(wǎng)絡(luò)結(jié)構(gòu)設(shè)計時必須將會計軟件系統(tǒng)的服務(wù)器（WEB、DNS、EMAIL等）與外網(wǎng)以及會計軟件系統(tǒng)內(nèi)部其他業(yè)務(wù)系統(tǒng)的網(wǎng)絡(luò)進行必要的隔離，盡量避免網(wǎng)絡(luò)結(jié)構(gòu)方面的信息外泄或被篡改；第三，網(wǎng)絡(luò)系統(tǒng)安全要求會計軟件用戶盡量保證整個網(wǎng)絡(luò)的操作系統(tǒng)和網(wǎng)絡(luò)硬件平臺可靠并且值得信任，但每個軟件開發(fā)商都有其Backdoor②，沒有完全安全的操作系統(tǒng)。因此，基于網(wǎng)絡(luò)安全的考慮應(yīng)從多個角度，采用多種評價指標(biāo)綜合評價會計軟件的網(wǎng)絡(luò)系統(tǒng)以選用盡可能可靠的硬件平臺和操作系統(tǒng)，同時必須對操作系統(tǒng)進行安全配置，包括用戶登錄的安全設(shè)置、用戶登錄后操作權(quán)限的設(shè)置等；第四，網(wǎng)絡(luò)管理是網(wǎng)絡(luò)安全中最重要的部分，必須設(shè)計責(zé)權(quán)明晰、獎懲結(jié)合、具有可操作性的網(wǎng)絡(luò)管理制度。

3.5 人員解析

在整個會計軟件安全機制中，人員是唯一的主觀個體。由于人員的主觀能動性，其存在客觀無意行為和主觀故意行為，客觀無意行為通過制度的約束等可以避免或消除，而主觀故意行為卻難以完全避免。在會計軟件的安全問題中，最難以控制的便是人員利用軟件、網(wǎng)絡(luò)等技術(shù)進行主觀故意的不安全行為。因此，必須加強對人員主觀故意行為的監(jiān)督控制。首先，從會計軟件的使用主體角度，應(yīng)設(shè)計合理的會計軟件系統(tǒng)監(jiān)督控制制度，從內(nèi)部控制個別人員的不安全行為；其次，從會計軟件的外部主體角度，審計應(yīng)結(jié)合會計軟件系統(tǒng)的新特性從多個方面運用新的審計技術(shù)對會計軟件使用主體的集體不安全行為進行監(jiān)督控制。

3.6 制度解析

由于個體自利的本性、個體與個體之間的溝通協(xié)調(diào)等多方面的原因，會計軟件安全機制的運行離不開制度的規(guī)范。會計軟件安全機制中的制度設(shè)計必須立足于會計軟件設(shè)計與實施過程中涉及的計算機信息技術(shù)。第一，綜合考慮軟件、數(shù)據(jù)庫、網(wǎng)絡(luò)安全方面的安全設(shè)置會計軟件操作人員的登錄與權(quán)限；第二，基于會計軟件系統(tǒng)運行的新特點重新進行業(yè)務(wù)部門的劃分及業(yè)務(wù)流程的設(shè)計；第三，針對會計軟件安全方面的問題設(shè)計合理的獎懲制度；第四，由專人負責(zé)會計軟件安全機制的構(gòu)建、維護與實施，并定期或不定期地對會計軟件操作人員進行會計軟件相關(guān)知識的培訓(xùn)，提高人員的信息化素養(yǎng)。

主要參考文獻

[1]孟娟.企業(yè)會計軟件及其應(yīng)用中存在的問題與對策[J].財會學(xué)習(xí)，2017（23）：94-95.

[2]孟祥東，劉清慈.財務(wù)會計軟件現(xiàn)狀及發(fā)展趨勢研究[J].商業(yè)經(jīng)濟，2016（1）107-108.