會計信息系統安全研究

［摘 要］ 會計信息系統對于企業有重要的意義，大多數企業都應用了會計信息系統。本文針對會計信息系統可能遇到的安全問題進行闡述，同時給出保證會計信息系統安全的策略，指出了運用系統安全風險評估的方法來幫助企業了解信息系統的風險，達到維護系統安全的目的。

［關鍵詞］ 會計信息系統；信息系統安全；風險評估

［中圖分類號］F232［文獻標識碼］A［文章編號］1673-0194（2007）07-0013-02

一、引 言

會計信息系統使原有的會計操作流程得以在計算機上實現，在給人們帶來了便利的同時，一個不容忽視的問題——會計信息系統安全問題隨之出現，人們在享受會計信息系統帶來的方便的同時也同樣承擔著安全風險。隨著社會信息化程度的不斷提高， 會計信息系統的安全問題日益突出。如何認識會計信息系統安全問題， 并找到有效的解決問題的途徑， 無論是對社會還是對企業來說， 都具有重要的意義。

二、安全問題

會計信息系統的安全性是系統用戶最為擔心的問題，會計信息系統的安全風險主要表現在以下幾個方面：

１． 計算機系統故障。所有的計算機系統都存在可能由于軟件、硬件、網絡本身出現故障而導致系統數據丟失甚至癱瘓的風險。

２． 會計信息數據失真。會計信息的質量直接影響到企業的經營管理決策。會計信息的真實、完整和準確是對會計信息的基本要求，一旦會計信息系統的安全受到損害，將引發會計數據的丟失或被篡改，致使信息失真。

３． 網絡資金結算的安全問題。電子商務的開展使得企業在網上的財務活動日益增多，如網上銷售、網上結算、網上訂購等，買賣雙方僅僅憑借雙方的信譽進行交易活動，這樣企業就存在財務結算的安全問題。

４． 道德因素帶來的安全問題。首先，企業內部人員的道德因素。企業內部人員的舞弊行為或無意行為形成的對會計數據的非法使用可能造成企業重要信息的泄露。其次，計算機病毒或者網絡惡性攻擊造成系統無法正常運行。

以上4點都是構成企業會計系統安全風險的重要形式。為了保證會計信息系統安全穩定地運行，我們應當制定必要的安全防范策略， 以便讓會計信息系統更好地發揮作用，為經濟建設服務。

三、保證會計信息系統安全的策略

１． 建立健全會計信息系統管理制度。建立健全會計信息系統管理制度是確保會計核算操作安全，及時、準確提供會計信息的根本保證，是實現企業會計電算化的前提。

（１）建立輸入控制制度， 為會計信息系統的安全提供基礎保證。首先建立會計確認安全控制，通過第三方機構對原始憑證加以認可， 并通過動態數字簽字對輸入信息的可靠性加以確認， 保證數據的準確性；其次建立記賬憑證的輸入安全控制。從原始憑證電子化到記賬憑證電子化要最大限度地減少人為的干預，確保電子記賬憑證的準確性和可靠性。

（２）建立操作控制制度， 為會計信息系統的安全提供操作層面保證。建立操作權限安全控制，防止越權使用操作對系統帶來的影響；建立嚴格的操作控制規范對會計信息系統的操作，保證即使系統本身由于開發存在的不足引發的系統異常的情況下仍然能保證系統繼續運行。

（３）建立內部監督管理機制， 為會計信息系統的安全提供內部保障。建立相應的監督機制，監督相關使用人員行為，保證內部不出現危害會計信息系統的行為，從而確保系統的正常運行；建立相應的懲罰機制，對于出現問題的相關人員要嚴格按照懲罰條款進行處理，最大限度地確保內部不出現問題。這對于保證會計信息的真實可靠能起到一定的保障作用。

２． 建立必要的安全防護措施。為了保證會計信息的真實可靠，除了建立健全管理制度以外，還要建立必要的防護措施。一般來說， 保護措施可分為以下幾個方面：

（１）指定有專業素質的數據管理人員進行數據庫的維護，確保會計信息系統所依存的數據的安全完整，對會計數據進行保密，對使用信息系統的人員的權限合理控制，保證數據庫管理系統的安全。

（２）安裝有效的防火墻和病毒查殺軟件，通過設置防火墻、采用身份識別系統等技術防護措施， 將非法用戶拒之于網絡之外，確保網絡系統安全，防止重要信息在傳輸過程中被泄露，殺毒軟件定期更新病毒庫，對網絡中的各計算機系統進行病毒掃描和查殺，防止病毒發作對會計信息系統及數據庫系統造成破壞。

（３）會計信息系統本身應增加安全功能，確保系統不受外界侵犯或在遭受侵犯的同時具有一定的抵御能力。

（４）加強對會計信息系統使用人員的安全教育。系統使用人員特別是系統操作人員要樹立安全意識，加強計算機、通訊和網絡理論知識的學習，提高業務素質， 還要樹立良好的職業道德，自覺遵守各種操作規章制度和操作規程，防止工作中出現不必要的失誤。

（５）建立專門的信息管理部門，用于對企業的信息化建設進行指導、執行，同時對網絡設施進行維護，保證網絡暢通，為會計信息系統正常運行提供良好的網絡環境，對會計信息系統所運行的計算機系統進行必要的維護，保證會計信息系統運行所依托的載體的正常運轉。

３． 對會計信息系統安全風險進行評估。信息系統安全風險評估就是對信息安全風險進行識別、分析和評價，是信息系統安全防范體系的建設依據，風險評估的目的在于指出信息系統的風險所在、防范風險的代價、風險可能造成的損失，并最終依據后兩者的比較制定信息安全保障體系，所以對會計信息系統進行安全風險評估尤為急迫。安全風險評估分如下幾個過程：

（１）評估階段。信息系統將接受評估工具的檢測和調查，評估工具的好壞直接影響到評估的效果，要選擇比較好的評估工具，如著名的 ＣＲＡＭＭ 風險評估工具。被評估的對象包括網絡架構、應用系統、運行與安全管理、人員、安全策略等，評估的結果將反映信息系統在各個方面的威脅和脆弱性。

（２）評估信息智能化處理階段。需要對評估工具所得出的原始評估數據進行深入挖掘，一方面，這些數據復雜、多樣，而且會不斷增加，因此需要按照統一的標準進行管理；另一方面，這些數據內在的聯系需要通過數據挖掘進行歸納分析和綜合分析。

（３）解決方案與后續建設目標階段。根據評估信息分析的結果，制訂相應的建設目標與方案，其核心是把風險的價值與保護風險的價值進行比較。

風險評估可以采用傳統的風險評估方法，如ＨＡＺＯＰ方法，也可以采用基于神經網絡和專家系統的評估方法或者運用層次分析方法進行風險評估。通過這些方法可以獲得影響會計信息系統安全的各種攻擊方式的權重，了解到影響系統安全的各個因素，針對各種攻擊方式的權重有針對性地擬定相應的防護措施，從而達到有效的維護系統安全的目的，為今后會計信息系統的安全運行提供保證。

四、結束語

在復雜多變的會計信息系統中，只有充分了解其安全需求并配合有效的安全控制，才有可能構造出安全的系統。在安全系統的基礎上， 我國的會計電算化事業才能得到蓬勃發展。

主要參考文獻

[1] Redmill F，Chudleigh M，Catmur J.System Safety:HAZOP and Software HAZOP[J]. Computing Control Engineering Journal，1999，10(4).

[2] 韓利，梅強，陸玉梅等. AHP—模糊綜合評價方法的分析與研究[J]. 中國安全科學學報，2004，14(7):86-89.

[3] 鞏家民. 淺議會計電算化信息系統的安全問題[J]. 集團經濟研究，2005，10(14):146.

[4] 陳煉，文巨峰，韓冰青. 信息系統安全風險評估[J]. 計算機工程與應用，2006，42(4):145-148.