多校区财务网络安全风险解决方案分析与应用

阳灵芬　熊娜

摘 要：多校区高校由于其地理分布特性，使得财务部门的业务开展更加依赖于网络，文章对具有普适性的高校财务网络安全现状及存在的主要问题进行分析，提出了基于层次划分的多校区高校财务网络安全方案，为高校的信息及网络安全提供保障，同时应对新的安全隐患，提出防范措施及改进建议。

关键词：多校区 高校 财务 网络安全

中图分类号：F230 文献标识码：A

文章编号：1004-4914（2016）06-198-02

随着高校办学规模的不断扩大， 财务部门使用分布式系统进行多校区办公及数据传输成为主流趋势，随着信息与网络技术的发展，财务数据的传输的速度和效率大大提升，但同时财务部门也越来越多地面对管理安全、计算机病毒、非法入侵等问题带来的困扰，如何在利用计算机信息与网络技术带来的便利的同时保证财务数据的安全成为可研究的课题。本文对高校财务网络现状进行分析，形成了基于层次划分的多校区高校网络安全技术方案，目前该方案已投入应用。

一、高校财务网络建设现状

近年随着网络理论的发展和设备工艺的进步，多校区高校财务管理工作的方式、方法也产生了巨大变革。目前，以网络技术为主的各种信息技术在财务上的应用提升到新的高度，改变了传统模式的资金交易记账方式，使网络处理贯穿了高校财政拨款、科研到款、汇划的整个流程。高校财务部门普遍通过信息网络技术在财务管理工作上的应用，提高了财务管理工作的效率和水平，但同时也开始面对很多财务网络安全问题，而多校区的地理分布情况更加加深了该问题的复杂程度。

二、财务网络安全风险

（一）管理安全风险

管理安全风险是指因管理人员网络安全基本知识的缺失、管理制度存在漏洞和缺陷，造成不必要的数据损失的可能性。研究表明，管理安全风险应提升到与技术安全风险同样被重视的地位，财务网络安全管理应坚持“管理先行、技术保障”原则，管理安全风险主要包括两个方面：

1.管理权限风险。高校财务网络化使财务事项的处理和财务管理一体化，财务网络系统的权限划分不当，网络层次没有依据岗位职责进行划分，造成有的工作人员可以访问职责权限之外的系统，交叉操作造成信息被覆盖或遗失。

2.专业技能风险。随着信息技术的发展，财务人员所需掌握的设备范畴已从计算机扩展到各类财务终端，同时财务软件的操作也日益复杂。高校财务网络化需要财务人员不仅要能够进行常规的财务终端操作，而且还需要能够解决或协助解决工作中遇到的各种软件网络问题，但是目前高校的财务人员普遍缺乏较深层次的财务终端操作能力，导致了财务网络管理水平的低下。

（二）信息泄露风险

财务人员终端往往与应用服务器或数据库建立物理连接，形成内部专网，但出于业务需要，财务人员终端常需与其他财务终端进行数据交互，或通过信息系统进行信息上报，增加了信息泄露的风险，近来的一些网络风险分析报告指出，信息泄露对公司的损害在所有的危害事件中已从80%上升为86%，超过50%发生在内部人员终端。其主要为以下两种类型：

1.主动泄露：财务人员通过信息传输手段人为地披露、传播内部财务数据，称为主动泄露。

2.被动泄露：被动泄露是在财务工作过程中，在工作人员未知的情况下，由于文件共享、病毒感染、非法入侵等原因造成的信息的非预期扩散。下面列举了三种泄露途经：（1）文件共享：协同工作过程中，财务终端之间交替使用移动硬盘、优盘等存储设备进行文件共享，造成信息泄露和未监管状态下的传播。（2）病毒感染：病毒感染为网络安全带来非常大的挑战，财务终端或服务器在感染病毒后，往往将敏感数据发送到病毒制作者的邮箱，更有甚者致使文件被损坏，由于病毒经常伪装成系统进程运行在后台，具有隐蔽性强的特点。病毒感染宿主之后会寻找更多的终端进行扩散，因此为整个财务网络带来威胁。（3）非法入侵：攻击者可利用系统漏洞，提升自己权限或获取账号密码，从而非法进入系统查看敏感数据；另外也可通过物理手段，在传输链路上通过网络窃听，截取、复制或伪造攻击者感兴趣的数据。在网络环境中，非法入侵由于技术门槛高，导致被人工发现的可能性较低，易造成长期的信息泄露。

（三）信息追溯风险

财务事务处理中，权限的错误使用和误操作会造成数据被覆盖或遗失，此时首要任务为数据的版本比较和正确版本的恢复，其次要定位事故责任人，避免错误的再次发生。而日志追溯的欠缺则会对事故责任人的追溯和数据的恢复产生相当大的难度。同时良好的追溯手段也可以为对信息主动泄露者、非法入侵攻击者的定位产生帮助。

三、财务网络安全防范对策

（一）加强管理制度的建设与执行

科学严格的管理体制是保障财务网络安全的必要手段，必须坚持财务系统建设安全审查制度，在需求分析和逻辑设计阶段就将安全管理作为系统的重要组成部分，系统建设完毕后应邀请技术专家对系统进行评估，通过安全审查后方可上线。加强财务网络安全管理，除了系统建设期的安全审查，还必须实行科学的权限管理：设立安全管理员，其在业务主管的指导下分配、细化系统管理权限，使系统操作人员无法越权操作或跨范围操作与自身岗位无关的业务。同时要注意配套建立安全管理员岗位职责，将网络管理员也置于业务主管的监督之中，避免技术集中带来的不良后果。针对专业技能风险，可通过积极开展岗前培训来进行规避，操作人员在培训考核合格后方可上岗，上岗后必须严格遵守操作规程。上述规章制度和管理规定建立后，只有有效的执行才能带来实际效果，因此需要部门负责人高度重视并落实，避免流于形式。

（二）实施严格技术控制

如图1（见下页），本文以多校区高校为例，设计了基于层次划分的网络安全技术方案，实际建设中，高校可能会使用多条运营商链路，未形成主校区统一出口，因此对分校区1的网络设计也考虑了外接链路存在的情况，整体网络层次具体划分如下：

1.访问控制层：该层主要由网络交换设备组成，通过在路由器上建立访问控制列表（ACL），能有效地控制内部终端对外部IP地址的访问，限制外部IP对校内网络，尤其是财务内网和DMZ区服务器网络的访问，财务人员确因业务需要，需在外网对财务内网进行访问的，通过SSL VPN接入，通过账号密码和手机验证码登陆。在校园内部交换机启用访问控制列表，配置校内不同区域对财务内网的访问权限。同时为防止常用网络端口的暴力破解登陆，使用IPSEC SVN对服务器进行端口映射和地址转换。

2.信息追溯层：利用安全审计系统和服务器日志软件的功能实现信息追溯功能，一旦发生数据覆盖、丢失、损坏，可通过上述系统或软件的日志功能查阅到数据的历史版本，完成数据恢复。如需要还可以根据网络登录信息定位到事故责任人。因财务的数据量较大，在数据恢复时，该层可配合存储设备的备份功能，利用存储设备中的数据备份进行数据恢复。

3.入侵检测层：主要由带入侵检测功能的防火墙组成，精心配制的防火墙策略可以阻挡大部分常用攻击软件发起的攻击，对于系统漏洞的利用和水平较高的黑客，通过入侵检测功能进行阻挡。开启报警提示，当系统发现攻击发生时，提示安全管理员，使其能及时采取措施阻止攻击。网络攻击技术发展迅速，安全管理员应加强培训学习，掌握最新的攻击技术动态保障网络安全。

4.终端安全层：文件共享、病毒感染造成的信息泄露主要发生在终端设备，因此在此层上部署企业版杀毒服务器，定时强制更新终端上的杀毒软件。架设SVN服务器，用于终端之间的数据共享，最大程度地避免使用移动硬盘、U盘与终端进行数据拷贝。为防止网络窃听，在登陆内网时，使用UKEY进行使用者身份验证和数据加密。

四、结语

本文对多校区财务网络安全风险进行了分析，针对风险提出了防范对策并形成了基于层次划分的网络安全技术方案。目前该方案已在昆明医科大学及云南民族大学得以应用，得到了财务工作人员的正面评价，使财务工作的安全性得到提升。但是由于网络安全是一个系统性、长期性的过程，安全体系如何在最少的人工干预下进行完善，本文未做分析，值得进一步探讨。

参考文献：

[1] 周建.网络环境下高校会计信息化分析[J].信息化研究，2010（8）

[2] 高鹤，佟怡伶，刁春荣.浅谈高校财务网络安全及防范对策[J].沈阳建筑大学学报（社会科学版），2011（4）

[3] 朱海英.网络环境下会计信息系统的风险及对策[J].现代经济信息，2010（14）

[4] 郑春芳.网络财务的安全问题与对策[J].金融经济，2009（6）

（作者单位：昆明医科大学 云南昆明 050600）（责编：贾伟）