会计信息系统安全风险及其防范

□文/钟骏华齐雨雯（.东北财经大学；.大连财经学院 辽宁·大连）

会计信息系统安全风险及其防范

□文/钟骏华1齐雨雯2
（1.东北财经大学；2.大连财经学院 辽宁·大连）

本文首先从会计信息失真、企业资产损失、企业重要信息泄露、系统无法正常运行等四个方面，阐述会计信息系统安全风险的形式，然后从硬件系统、软件系统、会计操作员等方面，分析影响会计信息系统安全风险的因素，最后提出会计信息系统安全风险防范措施。

会计信息系统；安全风险；防范措施

原标题：论会计信息系统的安全风险和防范措施

收录日期：2014年10月13日

如何提高会计信息系统的安全程度、降低安全风险，是系统设计者、企业管理者和系统用户都关心和考虑的一个重要问题。所以，针对会计信息系统的安全风险，施加必要的防范措施是每个企业所必须做的事，这样才能使企业利益达到最大化。由此可见，会计信息系统在企业经营实践中的经济作用越来越明显。

一、会计信息系统安全风险的表现形式

会计信息系统的安全是指系统保持正常稳定运行状态的能力。会计信息系统的安全风险是指由于人为的或非人为的因素使得会计信息系统保护安全的能力减弱，从而造成系统的信息失真、失窃，企业资金财产损失，系统硬件、软件无法正常运行等结果发生的可能性。保护系统的安全就是保护系统免遭破坏或遭到损害后系统能够较容易再生，会计信息系统的安全风险主要表现在以下几个方面：

（一）企业资产损失。利用非法手段侵吞企业资财是会计信息系统安全风险的主要形式之一。其手段主要有：未经许可非法侵入他人计算机设施、通过网络散布病毒等有害程序、非法转移电子资金及盗窃银行存款等。随着犯罪技术的日趋多样化、复杂化，信息系统犯罪更加隐蔽，更加难以发现，涉及的金额也从最初的几千元发展到几万元，甚至上亿元，安全风险损失越来越大，后果也随之越来越严重。

（二）企业重要信息泄露。在信息技术高速发展的今天，信息在企业的经营管理中变得越来越重要，成为企业的一项重要资本，甚至决定了企业在激烈的市场竞争中的成败。网络的普及让信息的获取、共享和传播更加方便，同时也增加了重要信息泄密的风险。因此，利用高技术手段窃取企业重要机密成为了当今计算机犯罪的主要目的之一，也是构成系统安全风险的重要形式。比如：窃取企业重要的会计信息并泄露给竞争对手以达到某种非法目的等，常常会对企业造成无法估量的损失。

（三）系统无法正常运行。网络会计主要依靠自动数据处理功能，而这种功能又很集中，自然或人为的微小差错和干扰，都会造成严重后果。无论是无法避免的自然灾害，或者是出于非法目的而输入破坏性程序、操作者有意、无意的操作造成硬件设施的损害、计算机病毒的破坏等都有可能使会计信息系统的软件、硬件无法正常工作，甚至系统瘫痪，造成巨大损失，给企业带来很多不便。

二、影响会计信息系统安全的因素

影响会计信息系统安全风险的因素大致可以分为以下三个方面：硬件系统安全、软件系统安全以及会计操作人员的因素。

（一）硬件系统安全因素

1、不正确操作。计算机系统的操作人员对硬件设备的不正确操作可能会引起系统的损坏，从而进一步危害系统的安全。不正确的操作主要是指操作人员不按规定的程序流程使用硬件设备，例如不按顺序开机、关机，有可能烧毁计算机的硬盘，从而造成数据的泄露甚至导致数据的全部丢失。

2、人为因素。人的因素在保障会计信息安全过程中起着主导作用，会计信息系统操作人员出于主观故意篡改数据或不按操作程序操作，均会直接影响会计信息的真实性和可靠性、可用性；有意破坏系统硬件设备者可能是系统内部操作人员，也可能是系统外部人员。破坏者出于某种目的，例如发泄私愤或谋取不法利益，等等，从而破坏计算机硬件，致使系统运行中断或毁灭。这种破坏行为可能是以暴力的方式破坏计算机设备，也可能通过盗窃等手段破坏计算机系统，例如窃走存有数据的磁带或磁盘，或者利用计算机病毒的发作造成硬件损坏等。

3、不可预测的灾难。不可预测的灾难虽然发生的概率非常小，但不意味这不可能发生，一旦发生对信息系统的破坏性极大，所以必须引起足够的重视，例如火灾或某些元件的损坏，可能造成整个系统的崩溃。

（二）软件系统安全因素

1、计算机病毒。计算机病毒实际上是一段小程序，它具有自我复制功能，常驻留于内存、磁盘的引导扇区或磁盘文件，在计算机系统之间传播，常常在某个特定的时刻破坏计算机内的程序、数据甚至硬件。据统计，全世界发现的各种计算机病毒已经超过了24，000种，并且正以每月300～500种的速度疯狂的增长。由于病毒的隐蔽性强、传播范围广、破坏力大等特点，对远程网络会计信息传输的安全构成了非常大的威胁。查杀病毒已成为系统安全保护的一个重要的也是必不可少的内容。

2、网络黑客，也就是指非授权侵入网络的用户或程序。黑客最常用的诡计有以下几种：（1）捕获，许多程序能够使破坏者捕获到一些个人信息，尤其是口令；（2）查卡，这种程序是“捕获”程序的一部分，它主要捕获信用卡密码；（3）即时消息轰炸，利用即时消息功能，黑客可以采用多种程序，以极快的速度用大量的消息“轰炸”某个特定用户；（4）电子邮件轰炸，用数百条消息、以填塞某人的E-mail信箱，是一种确实可行的在线袭扰的方法；（5）违反业务条款，这种诡计相当于在网上陷害某人，有些程序可使这种欺骗活动看起来就好像是某个用户向黑客发送了一条攻击性的E-mail消息；（6）病毒和“特洛伊木马”，这些程序看起来像一种合法的程序，但是它静静地记录着用户输入的每个口令，然后把它们发送给黑客的网络信箱，从而通过盗窃系统合法用户的口令，然后以此口令合法登录系统以实现非法目的。

（三）会计操作人员的安全因素

1、操作人员篡改程序和数据文件。通过对程序做非法的改动，导致会计数据的不真实、不可靠、不准确或以此达到某种非法目的，例如转移单位资金到指定的个人账户。

2、有权和无权用户的非法操作。主要是操作员或其他人员不按照操作规程或非法操作系统，改变计算机系统的执行路径从而破坏数据的安全。

3、窃取或篡改商业秘密、非法转移电子资金和数据泄密等。对会计数据的泄密主要是针对系统的用户或数据保管人员把本企业会计信息通过磁盘、磁带、光盘或网络等介质透露给竞争对手；窃取或篡改商业秘密是系统非法转移用户利用不正常手段获取企业重要机密的行为。借助高技术设备和系统的通讯设施非法转移资金对会计数据的安全保护构成很大威胁。

除此之外，操作人员通过非法修改、销毁输出信息等损坏计算机系统的方式达到掩盖舞弊行为和获取私人利益的目的，也是构成系统安全风险的一个重要因素。

三、会计信息系统安全风险防范措施

随着会计信息系统在企业经营管理中的广泛应用，一些传统的核对、计算、存储等内部会计控制方式都被会计信息系统逐渐的替代，企业内部会计信息的处理发生了根本的变化，但会计信息系统给企业带来便利的同时也带来了风险，为了保证会计信息系统的正常，有序工作，其安全风险的防范措施显得尤为重要，既然已经对会计信息系统安全风险因素进行了三大方面的分析，那么就分别对每一个方面阐述一下相对应的防范措施。

（一）在硬件功能上施加必要的控制

1、提示功能。增加必要的提示功能如软件执行备份时，存储介质上无存储空间、备份介质未正确插入和安装；执行打印时未连接打印机或未打开打印机电源；用户输入数据时输入了与系统当前数据项不符的数据或未按要求输入等等，此时系统应给予必要的提示，并自动中断程序的执行。

2、保护功能。增加必要的保护功能以防止在突然断电、程序运行中用户的突然干扰等偶发事故造成的系统故障，如软件执行结账时用户干预等发生时，能自动保护好原有的数据文件，防止数据破坏或丢失、同时对重要数据系统可增加退出系统时的强行备份功能，用户再次登录到系统时自动把备份数据与机内数据比较对照，及时发现数据文件的改变。

3、上机操作控制和系统运行记录控制。（1）建立严格的硬件操作规程。安装计算机硬件系统时，必须按照一定的顺序进行；启动计算机时，要按照先开外设再开主机、关机时先关主机再关外设；计算机处于工作（加电）状态时、不得拔插各种外部设备；计算机进行软盘读写操作时，不得强行将软盘取出；网络的布线要避免电磁干扰或人为的损坏，不要随意插拔网络缆线的接头，也不要经常移动计算机等；（2）制定操作员访问系统的标准操作规程、明确规定各个操作员进人系统后执行程序的顺序、各硬件设备的使用要求、数据文件和程序文件的使用要求以及处理系统偶发事故的操作要求，如设备突然断电的处理、设备的重新启动要求等，同时也要制定数据文件的处置标准，对数据文件的名称、保留时间、存放地点、文件重建等事项做出规定，以便统一管理；（3）通过设置软件功能、利用系统提供的功能或人工控制记录等措施对各用户操作系统的所有活动予以相应的记录，并定期由系统主管进行监察和检验以便及时了解非法用户和有权用户越权使用系统的情况。

4、建立健全硬件管理制度和损害补救措施。建立健全设备管理制度，确保硬件设备的运行环境、电源、温度、湿度、静电、尘土、电磁干

扰、辐射等，例如计算机系统要求配置稳压电源，不间断电源（UPS），有时还需要配置备份电源，以便在长时间断电的情况下启用备份电源来保证设备的正常运行；另一方面，各系统操作人员应分清责任，各自管理和使用自己职责范围内的硬件设备，不得越权使用，禁止非计算机操作人员擅自的使用计算机系统进行操作，以免不当的操作损坏硬件设备。如果有多个用户使用同一台设备的情况，要进行严格的登记，并记录运行的情况。

（二）在软件功能上施加必要的控制措施

1、必要的检验功能。设计适应电算化账务处理的核算组织程序。任何由原始凭证人工编制的记账凭证都应进行严格的审核以及复核。在网络环境系统中，输入的工作量由多人共同来分担，凭证数据的输入可以采用一组人员输入，换人复核；或者采用两组人员分别进行两次的输入，输入的数据分别存放在两个暂存文件中，然后由计算机对两个数据文件中的记录来逐条进行比较。对于存在差异的记录进行对照显示或打印，以便于找出错误，进行修改。只有完全相同的情况下，系统才把录入的数据作为正式的凭证数据存储。未经校验的数据系统应作上标记，不允许进入记账凭证文件。

2、加强输入数据检验。对输入系统的数据、代码等都要进行检验。如：输入记账凭证时、每张凭证都要经过日期合法性、会计科目合法性、凭证类合法性、对应科目的合法性、金额借、贷平等校验。对于那些不符合要求的数据系统不予通过。根据会计核算的要求和网络系统的特点、系统对输入的同类记账凭证、原始凭证自动按日或月分类顺序编号，并且对多个用户同时访问同一个数据文件时各用户操作的记录进行锁定，拒绝其他用户的访问。这样可以尽量避免多个用户同时操作易引起的凭证断号、重号和串号，而且使于分清责任，达到会计控制的目的。

3、建立严格的档案管理制度。（1）系统投入使用之后，原系统的所有程序文件、软、硬件技术资料应作为档案进行妥善的保管，并应由专人负责，同时严格限制无权用户、有权用户在非正常时间等对程序的不正常接触；在档案调用时也必须经系统主管和程序保管共同的批准，并对使用人、程序名称、调出时间、使用原因和目的以及归还时间等进行详细的登记和记录，以便日后核查。（2）所有会计数据文件应做档案保管并严格限制无权用户、有权用户非正常时间等的不正常接触；建立必要的应急措施，如数据文件的定期备份、备份数据的存放地点、存放条件要求、系统数据文件损坏后的再生规则等，从管理上严格把关，以降低软件系统因素的风险。

（三）在会计操作人员上施加必要的控制措施

1、增加必要的限制功能。修改限制，修改功能可以方便用户，提高系统的实用性，但同时也增加了系统的不安全因素。因此，在账务处理中有必要对修改功能加以限制：（1）对未记账的凭证，一经修改，必须进行复核，只有正确之后系统才对修改结果予以确认；（2）对已经记账的凭证系统不提供直接修改账目的功能，只能通过编制记账凭证，对错误的凭证进行冲正或补充登记；（3）对修改过的凭证，系统予以标识，保留更改痕迹，并可以打印输出以作核查依据；（4）输出的财务报表，其数据由系统自动按照用户定义的格式和数据来源的公式生成、不提供对数据的修改功能；（5）基础数据，如：科目库、代码库等的修改权限只授予系统维护员。

2、处理数据的一次性限制。在账务处理中、期末结账，一旦执行，系统应予以标识，如果系统的某些设置（比如会计期间）未改变，则不能再执行第二次。

3、实行用户权限分级授权管理。实行用户权限分级授权管理，建立起网络化环境下会计信息系统的岗位责任制。按照网络化会计系统业务的需求设定各会计上机操作岗位，明确岗位职责和权限，并通过为每个用户进行系统功能的授权落实其责任和权限。结合密码管理措施，使各个用户进入系统时必须输入自己的用户号和口令，进入系统之后也只能执行自己权限范围内的功能，防止非法操作。

4、建立预防病毒的安全措施。坚持使用正版的软件，不要使用盗版或者来历不明的软件；经常性的备份磁盘的数据和软件；在不能确定计算机是否带有病毒的情况下，要读取软盘的数据必须使软盘处于写保护状态；不要打开和阅读来历不明的电子邮件；经常对计算机硬盘和软盘进行病毒检测。

5、建立对黑客的防护措施。（1）设置防火墙，使用入侵检测软件。入侵检测软件可以检测出非法入侵的黑客，并将它拒之内部网络之外；（2）抓好网内主机的管理。用户名和密码管理永远是系统安全管理中最重要的环节之一，对网络的任何攻击，都不可能没有合法的用户名和密码组合（后台网络应用程序开后门例外）。但目前绝大部分系统管理员只注重对特权用户的管理，而往往忽视了对普通用户的管理。主要表现在设置用户时图省事方便，胡乱设置用户的权限、组别和文件权限，为非法用户窃取信息和破坏系统留下了空隙；（3）设置好的网络环境。网上访问的常用工具有网络操作命令，对它们的使用必须加以限制。但这样做会使网外的一切访问都被拒绝，即使是合法访问也不例外。这种闭关自守的做法不太值得提倡，因为这样会使本网和网外完全的隔绝开，也会给自己带来诸多的不便与麻烦。应该尽量做到有条件的限制，允许有效的、必要的网上访问；（4）加强对重要资料的保密。重要资料主要包括路由器、连接调制解调器的电脑号码以及所用的通信软件的种类、网内的用户名等，这些资料都应采取一些必要的保密措施，防止资料随意的扩散。比如，向电信部门申请通信专用的电话号码不刊登、不供查询等。由于公共的或普通邮电交换设备的介入，信息通过它们后可能被篡改或泄露；（5）加强对重要网络设备的管理。路由器在网络安全计划中是很重要的一环、现在大多数路由器已具备防火墙的一些功能，如禁止Internet的访问、禁止非法的网段访问等。通过网络路由器进行正确的存取过滤是限制外部访问简单而有效的手段。有条件的地方还可以设置网关机，将本网和其他网隔离，网关机上不存放任何业务数据，删除除系统正常运行所必需的用户外所有的无关用户，也能起到增强网络的安全性的作用。

四、结论

总之，会计信息系统的安全风险一直以来都是企业管理者、系统设计者以及系统用户所必须面临的问题。无论防范措施做得多么完善，也不可能做到没有漏洞，更何况随着信息技术的飞速发展，还会应运而生更多的安全问题，想做到万无一失是不可能的，总会有百密一疏的时候。但是，企业相关人员能做到的是要将会计信息系统的安全风险降到最低，尽量使可能出现的损失最小化，使企业的利益最大化。这样，只有科学、合理的运用会计信息系统，才能使企业取得长远的发展。

主要参考文献：

［1］赵静.电算化会计信息系统的风险防范问题.财经界（学术版），2013.6.

［2］董滢.网络环境下中小企业会计信息系统存在的安全问题及防范对策.甘肃联合大学学报（社会科学版），2013.1.

［3］赵丽艳.浅谈会计信息系统的风险及防范措施.中国电子商务，2014.11.

F23

A