高校財務(wù)數(shù)據(jù)安全威脅及應(yīng)對措施

呂鴻煊

摘要：隨著高校信息化的全面深入發(fā)展，高校財務(wù)管理信息化因?yàn)槠鋵I(yè)性、復(fù)雜性，以及與每位師生的關(guān)聯(lián)性，成為高校信息化的優(yōu)先發(fā)展方向，得到了快速的發(fā)展。與此同時，財務(wù)數(shù)據(jù)的信息安全問題，也越來越受到重視。通過分析信息化后的財務(wù)數(shù)據(jù)所面臨的主要安全威脅，并從數(shù)據(jù)安全的角度提出數(shù)據(jù)完整性保護(hù);數(shù)據(jù)保密性保護(hù)等應(yīng)對措施，給出了數(shù)據(jù)安全防護(hù)的主要方向和方法。

關(guān)鍵詞：高校;財務(wù)數(shù)據(jù);信息安全;安全防護(hù)

中圖分類號：F232? ? 文獻(xiàn)標(biāo)識碼：A

文章編號：1005-913X（2019）06-0093-02

一、引言

隨著IT技術(shù)與傳統(tǒng)行業(yè)的融合發(fā)展，各行業(yè)都陸續(xù)進(jìn)入了信息化發(fā)展的快車道。與其他行業(yè)相比，高校的信息化工作一直走在前列。近幾年，高校的信息化工作從最初的教學(xué)、科研信息化，全面向財務(wù)、管理、后勤等方面推進(jìn)。財務(wù)工作因?yàn)槠渥陨淼膶I(yè)性、復(fù)雜性，以及與每位師生的關(guān)聯(lián)性，成為目前高校信息化工作的重要方向。在提高財務(wù)信息化水平、方便師生的迫切需求下，很多高校都在大力推進(jìn)財務(wù)信息化的相關(guān)工作。

在這個過程中，需要特別注意的是，財務(wù)數(shù)據(jù)不同于其他數(shù)據(jù)，財務(wù)數(shù)據(jù)安全，應(yīng)是財務(wù)信息化過程中重點(diǎn)考慮的對象，必須引起足夠重視。采取必要的安全技術(shù)和管理措施，以降低安全風(fēng)險，提高抗攻擊能力，保障財務(wù)數(shù)據(jù)的安全性。

二、財務(wù)數(shù)據(jù)安全威脅

對于財務(wù)信息系統(tǒng)來說，財務(wù)數(shù)據(jù)的安全威脅主要來自無惡意內(nèi)部人員、惡意內(nèi)部人員、黑客方面。在威脅來源中，財務(wù)系統(tǒng)的特殊性使其在黑客、服務(wù)商和內(nèi)部人員攻擊方面將面臨更大的風(fēng)險。

三、財務(wù)數(shù)據(jù)安全應(yīng)對措施

保證財務(wù)數(shù)據(jù)安全性，應(yīng)至少從財務(wù)數(shù)據(jù)的完整性、保密性、真實(shí)性、可靠性，以及管理和審計幾個方面進(jìn)行充分考慮和安全設(shè)計。

（一）數(shù)據(jù)完整性保護(hù)

數(shù)據(jù)完整性是指財務(wù)數(shù)據(jù)在傳輸、存儲、使用過程中不被惡意的刪除、破壞，從而導(dǎo)致財務(wù)數(shù)據(jù)缺失、損壞等問題。財務(wù)數(shù)據(jù)完整性保護(hù)設(shè)計可以從以下幾個方面考慮。

1.系統(tǒng)級防護(hù)

單一環(huán)節(jié)的安全防護(hù)，難以為財務(wù)數(shù)據(jù)的完整性提供保障，必須做到全要素全流程協(xié)同，從整個財務(wù)系統(tǒng)的角度（網(wǎng)絡(luò)、操作系統(tǒng)、數(shù)據(jù)庫、財務(wù)軟件等）共同完成財務(wù)數(shù)據(jù)完整性的防護(hù)。只有從整個財務(wù)系統(tǒng)層面進(jìn)行的整體安全防護(hù)，才能有效抵御攻擊，特別是黑客的攻擊行為。

2.密碼機(jī)制

采用密碼機(jī)制，例如，數(shù)字簽名、MAC校驗(yàn)碼、HMAC校驗(yàn)碼等技術(shù)，保障財務(wù)數(shù)據(jù)在傳輸、存儲、使用過程中的完整性?？梢愿鶕?jù)不同類型財務(wù)數(shù)據(jù)的特點(diǎn)和安全需求，對不同類型的財務(wù)數(shù)據(jù)（包括師生人員信息等）采用不同的安全技術(shù)。采用密鑰技術(shù)保障財務(wù)數(shù)據(jù)的完整性，是最有效、最可靠的技術(shù)手段。

3.回退及事務(wù)管理

從業(yè)務(wù)完整性的角度出發(fā)，保證財務(wù)數(shù)據(jù)的完整性。利用數(shù)據(jù)庫管理系統(tǒng)提供的回退功能和事務(wù)管理功能，對處理過程中的財務(wù)數(shù)據(jù)進(jìn)行完整性保護(hù)。財務(wù)軟件系統(tǒng)設(shè)計應(yīng)支持回退和事務(wù)處理功能，通過業(yè)務(wù)的完整性控制，防止黑客或惡意的內(nèi)部人員對財務(wù)數(shù)據(jù)進(jìn)行攻擊。

4.安全通信協(xié)議

在財務(wù)數(shù)據(jù)的傳輸過程中，通過安全通信協(xié)議（如：SSL、IPSec），可以有效地避免來自基于通用通信協(xié)議的攻擊，保護(hù)財務(wù)數(shù)據(jù)的完整性。

（二）數(shù)據(jù)保密性保護(hù)

數(shù)據(jù)保密性是指財務(wù)數(shù)據(jù)在傳輸、存儲、使用過程中不被泄露或惡意竊取。財務(wù)數(shù)據(jù)保密性設(shè)計可以從以下幾個方面考慮。

1.使用密碼加密技術(shù)解決財務(wù)數(shù)據(jù)存儲和傳輸安全

采用密碼技術(shù)，通過數(shù)據(jù)加密方式，保障財務(wù)數(shù)據(jù)在存儲和傳輸過中的保密性。

存儲安全：對于重要的財務(wù)數(shù)據(jù)，無論是以數(shù)據(jù)庫還是本地文件方式進(jìn)行存儲，都應(yīng)進(jìn)行加密保護(hù)，保障數(shù)據(jù)即使丟失也不會破壞其保密性。

傳輸安全：當(dāng)財務(wù)數(shù)據(jù)通過網(wǎng)絡(luò)進(jìn)行傳輸時（特別是校園網(wǎng)等公開網(wǎng)絡(luò)），必須進(jìn)行傳輸加密。在通信雙方建立連接之前，通信雙方應(yīng)基于密鑰進(jìn)行身份認(rèn)證，對通信過程中的財務(wù)數(shù)據(jù)進(jìn)行加密傳輸，對使用過的動態(tài)分配資源及時釋放。

2.進(jìn)程空間隔離

依靠操作系統(tǒng)功能，財務(wù)系統(tǒng)（包括終端財務(wù)軟件）采用進(jìn)程空間隔離和保護(hù)機(jī)制，對處理過程的財務(wù)數(shù)據(jù)進(jìn)行保密性保護(hù)，防止財務(wù)數(shù)據(jù)泄露或被惡意竊取。

3.數(shù)據(jù)庫管理權(quán)限控制

對于存儲財務(wù)數(shù)據(jù)的數(shù)據(jù)庫，依靠數(shù)據(jù)庫管理系統(tǒng)功能對所存儲財務(wù)數(shù)據(jù)進(jìn)行訪問權(quán)限控制。用戶權(quán)限進(jìn)行分級管理，加強(qiáng)日志審計。

（三）數(shù)據(jù)真實(shí)性保護(hù)

數(shù)據(jù)的真實(shí)性是指財務(wù)數(shù)據(jù)在傳輸、存儲、使用過程中不被惡意篡改、偽造，從而導(dǎo)致虛假數(shù)據(jù)的產(chǎn)生。

保證數(shù)據(jù)真實(shí)性的常用手段是采用數(shù)字簽名技術(shù)（不考慮抗抵賴的情況下，也可以使用MAC校驗(yàn)碼或HMAC校驗(yàn)碼技術(shù)）。對于重要的財務(wù)數(shù)據(jù)，建議伴隨生成該數(shù)據(jù)的數(shù)字簽名（或校驗(yàn)碼），數(shù)字簽名跟隨該財務(wù)數(shù)據(jù)的全生命周期。

（四）數(shù)據(jù)可靠性保護(hù)

數(shù)據(jù)可靠性是指財務(wù)數(shù)據(jù)在傳輸、存儲、使用過程中以電子數(shù)據(jù)（非紙質(zhì)數(shù)據(jù)）的形態(tài)出現(xiàn)，應(yīng)該是堪用的、可靠的、可以信賴并放心使用的?？煽啃允秦攧?wù)數(shù)據(jù)的安全性的重要組成部分。保證財務(wù)數(shù)據(jù)的可靠性可以從以下兩個方面考慮。

1.加強(qiáng)機(jī)房安全建設(shè)

因環(huán)境因素、意外事故或故障（特別是原于機(jī)房的）導(dǎo)致的數(shù)據(jù)丟失或損壞會給財務(wù)工作帶來極大的問題甚至是災(zāi)難。為確保財務(wù)數(shù)據(jù)的可靠性，必須重視機(jī)房安全建設(shè)。財務(wù)系統(tǒng)的機(jī)房安全建設(shè)不足是很多高校普遍存在的問題。建議根據(jù)等級保護(hù)相關(guān)標(biāo)準(zhǔn)要求進(jìn)行機(jī)房安全建設(shè)。完善的機(jī)房安全是財務(wù)數(shù)據(jù)可靠性的基礎(chǔ)保障。

2.設(shè)計備份與恢復(fù)機(jī)制

再安全的設(shè)計也總有疏漏的可能，所以必須充分考慮財務(wù)數(shù)據(jù)的備份和回復(fù)。通過機(jī)制合理的、自動化的、可靠的數(shù)據(jù)備份機(jī)制，保障數(shù)據(jù)的存儲可靠性?？煽康臄?shù)據(jù)備份是數(shù)據(jù)恢復(fù)的基礎(chǔ)，通過數(shù)據(jù)恢復(fù)技術(shù)抵御數(shù)據(jù)丟失、損壞的安全威脅。同時需要的注意的是，在財務(wù)數(shù)據(jù)的備份方案中，也需要充分考慮財務(wù)數(shù)據(jù)完整性和保密性的問題，防止備份的財務(wù)數(shù)據(jù)被攻擊者竊取和篡改。

（五）管理和審計

財務(wù)數(shù)據(jù)安全必然同時依賴于技術(shù)和管理。對于來自于內(nèi)部人員的安全威脅，管理和審計是最為有效的安全手段。

實(shí)現(xiàn)管理和審計，要求在財務(wù)系統(tǒng)設(shè)計階段就按照等級保護(hù)三同步的要求實(shí)現(xiàn)管理和審計功能。在財務(wù)系統(tǒng)部署和運(yùn)行階段，設(shè)置專門的管理審計崗位和人員配置，制定有效的安全管理制度，嚴(yán)格按照管理審計要求進(jìn)行操作。

高校財務(wù)系統(tǒng)信息化給師生們帶來了極大的便利，同時也不可避免的引入了財務(wù)數(shù)據(jù)信息安全的問題。要解決好這個問題，需要在財務(wù)信息化系統(tǒng)在設(shè)計、實(shí)施、使用、運(yùn)維過程中，充分考慮可能的安全風(fēng)險，對財務(wù)數(shù)據(jù)安全采取有效的安全防護(hù)措施，從技術(shù)和管理兩個方面保護(hù)財務(wù)數(shù)據(jù)的安全。

參考文獻(xiàn)：

[1] 王立春，張國慶，謝 斌.財務(wù)公司：信息安全一體化建設(shè)成功方案[N].中國會計報，2018-08-（03）.

[2] GB/T 22239-2008.信息安全技術(shù)信息系統(tǒng)安全等級保護(hù)基本要求[S].中國標(biāo)準(zhǔn)出版社：中華人民共和國國家質(zhì)量監(jiān)督檢驗(yàn)檢疫總局.中國國家標(biāo)準(zhǔn)化管理委員會，2008.

[3] 鐘正敏.高校財務(wù)信息化管理中信息安全問題分析[J].現(xiàn)代經(jīng)濟(jì)信息，2016（12）.

[4] 易志琴.網(wǎng)絡(luò)環(huán)境下電算化會計信息安全保密系統(tǒng)設(shè)計[J].計算機(jī)與網(wǎng)絡(luò)，2017（17）.

[5] 張 輝，陳 贊.網(wǎng)絡(luò)高校財務(wù)信息安全風(fēng)險及對策[J].電腦知識與技術(shù)，2015（34）.

[責(zé)任編輯：王 旸]