關(guān)于數(shù)據(jù)處理安全的審計研究

■王旭英

自黨的第十八屆五中全會上首次提出“國家大數(shù)據(jù)戰(zhàn)略”這個概念后，我國就在全面實施大數(shù)據(jù)戰(zhàn)略計劃。根據(jù)近期國家互聯(lián)網(wǎng)信息辦公室發(fā)布的最新《數(shù)字中國發(fā)展報告（2022年）》顯示，數(shù)字經(jīng)濟成為穩(wěn)增長促轉(zhuǎn)型的重要引擎。大數(shù)據(jù)作為媒介在一定程度上成為繁榮社會發(fā)展的新動能，已經(jīng)逐漸成熟地應(yīng)用到各行各業(yè)，而數(shù)據(jù)安全也成為近年來風(fēng)險控制的重點關(guān)注領(lǐng)域，那么如何發(fā)現(xiàn)數(shù)據(jù)安全風(fēng)險也成為審計工作的研究對象。

一、數(shù)據(jù)處理安全的概念

我國的《數(shù)據(jù)安全法》明確指出，數(shù)據(jù)安全是指通過采取必要措施，確保數(shù)據(jù)處于有效保護和合法利用的狀態(tài)，以及具備保障持續(xù)安全狀態(tài)的能力。通俗來講，就是我們?nèi)绾斡行У胤乐箶?shù)據(jù)在錄入、處理、統(tǒng)計或打印中由于硬件故障、斷電、死機、人為的誤操作、程序缺陷、病毒或黑客等造成的數(shù)據(jù)庫損壞或數(shù)據(jù)丟失的現(xiàn)象，某些敏感或保密數(shù)據(jù)可能由不具備資格的人員或操作員閱讀、處理，造成數(shù)據(jù)泄密或者數(shù)據(jù)被不法分子利用的情況。

鑒于安全風(fēng)險發(fā)生的情況不具有單一性，因此粗略將數(shù)據(jù)處理安全劃分為兩類：一是系統(tǒng)型數(shù)據(jù)處理安全；二是人為型數(shù)據(jù)處理安全。

（一）系統(tǒng)型數(shù)據(jù)處理安全

現(xiàn)階段，具備一定規(guī)模的企業(yè)對搭建擁有權(quán)限審批、流程合規(guī)平臺的重要性已達(dá)成共識，因此一般在系統(tǒng)內(nèi)部設(shè)置“管理員”的賬戶角色。不僅是開通權(quán)限，更重要是通過算法監(jiān)控每筆業(yè)務(wù)流的處理過程，設(shè)置必要的風(fēng)險提示預(yù)警，以及可以對全部用戶的操作行為進(jìn)行查詢，減少人工查證審核時間，提高數(shù)據(jù)處理安全的質(zhì)效和效率。

（二）人為型數(shù)據(jù)處理安全

軟件平臺的構(gòu)建一定在企業(yè)內(nèi)部是逐步完善起來的，隨著需求功能的增強，必然導(dǎo)致一家企業(yè)內(nèi)部至少擁有財務(wù)系統(tǒng)、電子辦公系統(tǒng)（OA）2 個以上的獨立操作系統(tǒng)。那么對數(shù)據(jù)處理的安全控制也存在于該系統(tǒng)內(nèi)部，在數(shù)據(jù)轉(zhuǎn)移系統(tǒng)交互的過程中，人工操作的行為占據(jù)主導(dǎo)，因此很多時候通過雙方簽章確認(rèn)來證明交互數(shù)據(jù)的唯一性。這個過程最常應(yīng)用在企業(yè)將數(shù)據(jù)提交銀行發(fā)送付款指令，銀行完成指令后發(fā)送需要密碼的簽章版電子回單，通過簽章保障數(shù)據(jù)處理的結(jié)果。但相較于系統(tǒng)型數(shù)據(jù)處理，人為型數(shù)據(jù)處理的安全防控更隱蔽、更不可控，依靠軟件程序來防控不能實現(xiàn)風(fēng)險控制。

二、數(shù)據(jù)處理安全審計

由于審計線索不足而導(dǎo)致的數(shù)據(jù)泄露和數(shù)據(jù)變更，導(dǎo)致事后無法追溯，是危害數(shù)據(jù)處理安全的重要因素之一。監(jiān)控整個數(shù)據(jù)處理操作，分析操作記錄及處理過程是日常監(jiān)督查證的重要手段。一旦無法檢視數(shù)據(jù)處理合規(guī)性是否有異常，無法收集數(shù)據(jù)處理過程的詳細(xì)信息，數(shù)據(jù)處理安全就會產(chǎn)生嚴(yán)重的不可控風(fēng)險，對事后追蹤溯源查證也會造成困難，甚至?xí)俅卧斐娠L(fēng)險。因此，數(shù)據(jù)處理安全審計，在整體大數(shù)據(jù)審計中對查證舞弊、權(quán)責(zé)劃分、風(fēng)險控制等方面有著很重要的作用。

（一）系統(tǒng)型數(shù)據(jù)處理安全審計

一般常見的數(shù)據(jù)安全審計，尤其是在保險領(lǐng)域中應(yīng)用更為顯著，更多是審查數(shù)據(jù)庫建立、存儲、傳輸是否安全，系統(tǒng)權(quán)限是否分工明確、是否設(shè)置應(yīng)急預(yù)案，網(wǎng)絡(luò)防火墻是否安全可靠、是否建立必要的操作處理流程及制度等，這些基本都是通過完善軟件程序來實現(xiàn)風(fēng)險控制，可以歸納為系統(tǒng)型數(shù)據(jù)處理審計。

在審計中，通過逐項審核軟件安全、備份安全、訪問安全、應(yīng)急措施、運維安全等風(fēng)險控制要點，基本能達(dá)到對單個系統(tǒng)數(shù)據(jù)處理的安全控制，此處我們更多依賴于操作邏輯縝密的程序優(yōu)化，以及及時響應(yīng)處理故障的技術(shù)人員。

（二）人為型數(shù)據(jù)處理安全審計

當(dāng)把技術(shù)層面問題解決后，人為因素便成為不可控的主要情況。通過學(xué)習(xí)和總結(jié)以前年度審計方式方法，發(fā)現(xiàn)多數(shù)時候把數(shù)據(jù)處理中的程序和人工環(huán)節(jié)分劈成兩個審計方向，成因源于審計發(fā)現(xiàn)問題方式和專業(yè)存在一定跨度。數(shù)據(jù)型數(shù)據(jù)處理審計基本需要信息工程、計算機領(lǐng)域方面的審計專家，他們更關(guān)注系統(tǒng)本身對數(shù)據(jù)的處理過程，是否按照人的意愿多線程高效處理數(shù)據(jù)的同時維護安全穩(wěn)定；而人為型數(shù)據(jù)處理審計更多與內(nèi)部控制審計相關(guān)聯(lián)，涉及舞弊信息和虛假信息，但從事此方面的審計人員多數(shù)不會涉獵對數(shù)據(jù)處理的全方位分析，因為內(nèi)控審計本身涵蓋范圍也很大。所以雙方容易忽視這個重要環(huán)節(jié)，即人機交互處理數(shù)據(jù)過程的審計。

很多時候我們認(rèn)為在審查程序權(quán)限合規(guī)性的過程中，在對照人員分工查驗賬戶信息的時候已對人機交互做出審計，但實際是并不能保證數(shù)據(jù)在推送到下一個環(huán)節(jié)后，數(shù)據(jù)的內(nèi)容是否發(fā)生過變化。即便在數(shù)據(jù)高度電子智能化的現(xiàn)在，數(shù)據(jù)依舊需要經(jīng)過人的操作才能實現(xiàn)流轉(zhuǎn)，數(shù)據(jù)本身并不能確定自己的應(yīng)用范疇，因此操作行為風(fēng)險可以歸納為人為型數(shù)據(jù)處理審計。

三、構(gòu)建案例模型分析

以成立線上打車平臺公司為例，假設(shè)公司初創(chuàng)時期僅存在3 款操作系統(tǒng)，分別為：對外交互的打車應(yīng)用程序、財務(wù)處理程序、企業(yè)內(nèi)部電子化辦公程序，以處理日常產(chǎn)生的基本數(shù)據(jù)維持公司運轉(zhuǎn)。那么對數(shù)據(jù)處理安全審計來講，主要圍繞上述兩個分類來開展現(xiàn)場審計工作：

（一）系統(tǒng)型數(shù)據(jù)處理安全的審計開展

在了解公司運營模式及操作分工后，重點應(yīng)對自建系統(tǒng)進(jìn)行審查。對軟件安全、備份安全、訪問安全、應(yīng)急措施、運維安全等方面需要實現(xiàn)的技術(shù)手段及算法邏輯進(jìn)行查證，審核數(shù)據(jù)處理在系統(tǒng)內(nèi)部的安全可靠性。

例如：系統(tǒng)對用戶信息的抓取是否都能有效進(jìn)入數(shù)據(jù)庫中，這其中對數(shù)據(jù)處理的算法是否存在邏輯錯誤；數(shù)據(jù)庫的建立、存儲、傳輸安全是否得到必要保障，對構(gòu)建網(wǎng)絡(luò)防護采用的措施是否通過了測試和演習(xí)，對選用第三方作為服務(wù)機構(gòu)的安全性是否得到有效評估；系統(tǒng)權(quán)限是否分工明確，系統(tǒng)后臺對前端操作記錄是否設(shè)置查詢和監(jiān)測；是否設(shè)置應(yīng)急預(yù)案，對數(shù)據(jù)的備份處理以及突發(fā)斷電等突發(fā)事件能應(yīng)對有效；是否存在隱藏接口造成數(shù)據(jù)誤刪或泄露等，通過在程序中反復(fù)測試數(shù)據(jù)處理過程以及推敲流程的合理性和必要性，發(fā)表系統(tǒng)中數(shù)據(jù)處理安全相關(guān)的審計意見和建議。

（二）人為型數(shù)據(jù)處理安全的審計開展

由于人工操作的不可控，在審計過程中就需要獲取更為全面的審計資料。

首先，通過3 個系統(tǒng)管理員權(quán)限獲取后臺操作記錄表單。對獲取的操作數(shù)據(jù)進(jìn)行排序，篩選出：刪除、覆蓋記錄；間隔過短的登錄信息中存在業(yè)務(wù)提交與審核獲批記錄；非常規(guī)工作時間登錄以及節(jié)假日登錄的記錄。通過系統(tǒng)IP 作為標(biāo)識進(jìn)行審核，由此推斷相關(guān)情況及證據(jù)。

其次，根據(jù)上述記錄查證結(jié)果推導(dǎo)下一步查證要點。（1）權(quán)限審批類。查證是否存在未經(jīng)領(lǐng)導(dǎo)同意私用賬號過審的情況；查證是否存在審核通過后對發(fā)送的信息進(jìn)行修改刪除的情況，上述均存在數(shù)據(jù)處理安全的泄露和舞弊風(fēng)險。（2）跨系統(tǒng)報出類。通過其他系統(tǒng)對現(xiàn)有報出數(shù)據(jù)的勾稽關(guān)系進(jìn)行核實，篩選查證是否存在總數(shù)不變但數(shù)據(jù)包中內(nèi)容有增減變動的情況，常見于工資薪酬及報銷款項分發(fā)至個人后與應(yīng)發(fā)數(shù)據(jù)不符，通過金額小，批量抽逃資金，獲取不法收入，這里存在數(shù)據(jù)處理安全的舞弊風(fēng)險；查證是否存在同一數(shù)據(jù)向多口徑報出的情況，這里存在數(shù)據(jù)處理安全的泄露風(fēng)險。

最后，依據(jù)數(shù)據(jù)推導(dǎo)結(jié)果，查閱相關(guān)往來憑證及回單材料，落實證據(jù)材料的可靠性和真實性，防范人為操作將數(shù)據(jù)在不同系統(tǒng)間交互過程中變動，有效解決不可控的安全風(fēng)險。

（三）案例分析

由上述對數(shù)據(jù)處理的安全審計過程可以得出，系統(tǒng)型數(shù)據(jù)處理的安全審計旨在搭建可控風(fēng)險的效益最大化，甚至不能涵蓋人工操作的全過程；而人為型數(shù)據(jù)處理的安全審計，也只能將系統(tǒng)數(shù)據(jù)轉(zhuǎn)化為分析工具來判斷不可控風(fēng)險，某種程度上對企業(yè)的價值并不大，企業(yè)內(nèi)部控制不只體現(xiàn)在數(shù)據(jù)當(dāng)中。因此，將二者關(guān)聯(lián)審計對數(shù)據(jù)處理來講是最有效的數(shù)據(jù)處理審計手段。

系統(tǒng)型數(shù)據(jù)處理安全與人為型數(shù)據(jù)處理安全其實本就為一體，依托于共享型網(wǎng)絡(luò)操作系統(tǒng)，我們無法拋開系統(tǒng)型技術(shù)談操作，也不能單一的專注于系統(tǒng)自身風(fēng)險把控。如何有效地規(guī)范數(shù)據(jù)處理活動，保障數(shù)據(jù)安全，促進(jìn)數(shù)據(jù)開發(fā)利用，保護個人、組織的合法權(quán)益，本就是需要系統(tǒng)行為和人工行為共同構(gòu)建完成的安全話題。所以在日常中將二者關(guān)聯(lián)結(jié)合進(jìn)行審計，不僅節(jié)約專項審計時效，而且對于審計行業(yè)的專業(yè)拓展和思維開拓也有一定作用。