云會計下會計信息安全問題探析

【摘 要】 云會計為實現(xiàn)企業(yè)會計信息化提供了一種新的途徑，但會計信息是否安全是企業(yè)選擇云會計時最為擔(dān)憂的問題之一。在闡述云會計與會計信息安全關(guān)系的基礎(chǔ)上，深入分析了云會計下會計信息存在的存儲、傳輸和使用等安全問題，從技術(shù)和技術(shù)管理的角度，提出了攻克云會計信息安全關(guān)鍵技術(shù)、研發(fā)高可信的云會計信息系統(tǒng)、建立云會計下會計信息安全風(fēng)險可信評估機制、制定完善的會計信息安全管理措施四個應(yīng)對措施。

【關(guān)鍵詞】 云會計； 會計信息； 會計信息化

一、引言

隨著全球經(jīng)濟一體化和經(jīng)營環(huán)境的變化，激烈的市場競爭使得企業(yè)管理層已經(jīng)不再滿足于會計信息的可靠性，開始越來越關(guān)注有助于提供企業(yè)財務(wù)狀況和經(jīng)營成果分析、預(yù)測和評估的相關(guān)會計信息。近年來，云計算“按需定制、按需付費”的技術(shù)和理念使得廣大中小型企業(yè)可以用較低的成本，方便、快捷地獲得專業(yè)、高效的信息化服務(wù)。

在會計領(lǐng)域，云會計作為一種新型的基于云計算技術(shù)和理念的會計信息化模式，可以幫助中小企業(yè)以較低的成本擁有和大型企業(yè)一樣高端的服務(wù)器、存儲和網(wǎng)絡(luò)基礎(chǔ)設(shè)施，以及功能強大的會計信息系統(tǒng)，并實現(xiàn)企業(yè)與價值鏈上下游企業(yè)之間信息系統(tǒng)的有效集成，從而提高企業(yè)的管理能力和競爭優(yōu)勢，受到廣大中小企業(yè)的普遍關(guān)注。目前，國內(nèi)知名的用友、金蝶、金算盤等財務(wù)軟件廠商均推出了自己的云會計產(chǎn)品，并得到了一定程度的應(yīng)用。但是，云會計應(yīng)用于企業(yè)工作中時，仍然可能面臨各種各樣的問題。例如，目前國內(nèi)云會計廠商提供的云會計服務(wù)產(chǎn)品還不夠多，功能也還不夠完善；缺乏云會計服務(wù)的可信性評價標(biāo)準(zhǔn)與規(guī)范；缺乏云會計服務(wù)的質(zhì)量評價標(biāo)準(zhǔn)與規(guī)范；缺乏用戶隱私保護(hù)以及會計信息的主權(quán)和數(shù)據(jù)傳輸安全、數(shù)據(jù)遷移安全、容災(zāi)與備份等方面的法律法規(guī)，其中，會計信息在與企業(yè)空間分離后的安全問題成為云會計在中小企業(yè)會計信息化推廣應(yīng)用時的“絆腳石”，企業(yè)對云會計的不信任普遍源于對會計信息安全問題的擔(dān)憂，會計信息的安全問題已經(jīng)成為企業(yè)選擇云會計時較為擔(dān)憂的問題之一，越來越多的企業(yè)因為會計信息的安全問題對云會計持觀望態(tài)度。

云會計環(huán)境下的會計信息安全問題也引起了學(xué)術(shù)界的廣泛關(guān)注，國內(nèi)學(xué)者從法律法規(guī)的制定、安全標(biāo)準(zhǔn)體系的建設(shè)、相關(guān)標(biāo)準(zhǔn)的研究和制定、云計算服務(wù)平臺、云會計服務(wù)提供商等角度對會計信息的安全問題進(jìn)行了探討，并宏觀地提出了一些建議和改進(jìn)措施，但是這些研究很少聚焦到會計信息的存儲、傳輸和使用等會計信息微觀層面需要解決的問題。基于此背景，本文將在闡述云會計與會計信息安全關(guān)系的基礎(chǔ)上，深入分析云會計下會計信息存在的安全性問題，并提出相應(yīng)的對策，期望本文的研究能夠為云會計環(huán)境下會計信息安全問題的解決提供參考。

二、云會計與會計信息安全

“云會計”這一概念最早是由程平、何雪峰等學(xué)者于2011年1月在《“云會計”在中小企業(yè)會計信息化中的應(yīng)用》一文中正式提出，其定義為“構(gòu)建于互聯(lián)網(wǎng)上，并向企業(yè)提供會計核算、會計管理和會計決策服務(wù)的虛擬會計信息系統(tǒng)，是利用云計算技術(shù)和理念構(gòu)建的會計信息化基礎(chǔ)設(shè)施和服務(wù)”。企業(yè)應(yīng)用云會計后，可以根據(jù)自己的會計信息化需求向云會計服務(wù)提供商定制所需求的會計軟件功能模板，并根據(jù)使用情況支付使用費。云會計提供虛擬化的資源“池”，可以將物理和虛擬存儲資源進(jìn)行動態(tài)分配和管理，滿足企業(yè)對會計信息存儲的個性化需求。

云會計提出后，受到國內(nèi)學(xué)者的普遍關(guān)注，其在企業(yè)的具體應(yīng)用和會計信息安全問題也成為研究的焦點。在云會計的體系架構(gòu)中，與會計信息安全問題緊密相關(guān)的是軟件即服務(wù)（Software as a Service，簡稱SaaS）、數(shù)據(jù)即服務(wù)（Data as a Service，簡稱DaaS）、基礎(chǔ)實施即服務(wù)（Infrastructure as a Service，簡稱 IaaS）三個層次。在這三個層次中，利用云計算技術(shù)和理念的SaaS層來構(gòu)建云會計的會計核算、會計管理、會計決策等會計云服務(wù)，以及其他相關(guān)業(yè)務(wù)信息系統(tǒng)對會計信息的使用安全存在顯著影響；而構(gòu)建和整合企業(yè)以會計信息和經(jīng)濟信息為核心的數(shù)據(jù)資源的DaaS層和構(gòu)建云會計的存儲及數(shù)據(jù)中心和利用硬件即服務(wù)（Hardware as a Service，簡稱HaaS）來構(gòu)建服務(wù)器集群的應(yīng)用環(huán)境的IaaS層，對會計信息的存儲和傳輸安全存在顯著影響。

三、云會計在運用中會計信息的安全問題

云會計能夠加快企業(yè)的會計信息化進(jìn)程，但由于云會計使企業(yè)會計信息的存儲與其所在的物理位置出現(xiàn)空間上的分離，這使得企業(yè)應(yīng)用云會計時往往會涉及大量會計信息的存儲、傳輸和使用，盡管云會計服務(wù)提供商也能夠提供較完備的安全管理機制，但也不能保證會計信息的絕對安全。

（一）會計信息的存儲安全問題

云會計的應(yīng)用使得企業(yè)能夠更加方便地獲取和處理會計信息，有突發(fā)情況時可以隨時調(diào)用云端的存儲資源。但是，由于云計算采用虛擬化和分布式存儲技術(shù)，會計信息到底存儲在哪里用戶是不清楚的，云會計服務(wù)提供商可能擁有某些特殊的權(quán)限，會計信息在云中的存儲管理技術(shù)不完善都會對會計信息的安全造成隱患。

會計信息存儲在云環(huán)境中，其數(shù)據(jù)的完整性、機密性和安全性最引人擔(dān)憂。通常的解決方案是采用數(shù)據(jù)加密的方法，為了確保有效的數(shù)據(jù)加密，需要考慮所使用的加密算法的可靠性，也需要考慮所做的加密是否能夠確保會計信息的安全。由于用戶通常沒有足夠的專業(yè)知識，他們通常委托云會計服務(wù)提供商管理密鑰。云會計服務(wù)提供商需要為大量用戶提供加密保證，管理也將變得更加復(fù)雜和困難。管理難度的加大，人員配置的增多以及互聯(lián)網(wǎng)的開放性將不可避免地出現(xiàn)一些問題，云會計服務(wù)提供商相關(guān)人員泄露重要的會計信息，網(wǎng)絡(luò)黑客或競爭對手利用專業(yè)病毒和間諜軟件，繞過財務(wù)軟件關(guān)卡進(jìn)入會計信息庫，對存儲在云端的會計信息進(jìn)行非法截獲并惡意篡改。這些問題的出現(xiàn)都將成為企業(yè)應(yīng)用云會計時的擔(dān)憂。

（二）會計信息的傳輸

在企業(yè)內(nèi)部傳輸會計信息時，傳輸通常并不需要加密或者只是內(nèi)部約定一個簡單的加密算法進(jìn)行加密。然而當(dāng)會計信息通過云會計服務(wù)提供商傳輸?shù)皆贫藭r，會計信息的安全性和完整性都應(yīng)該得到保證。會計信息傳輸至云中時，企業(yè)用戶在會計信息安全性和完整性方面高度受制于其云服務(wù)器供應(yīng)商。因此，一方面云服務(wù)供應(yīng)商應(yīng)當(dāng)采用更加復(fù)雜的加密算法，以防止數(shù)據(jù)泄露給未經(jīng)授權(quán)的用戶，另一方面企業(yè)還得根據(jù)需要在傳輸協(xié)議中增加會計信息的完整性校驗，同時，由于各種會計信息的傳輸一般都需要通過互聯(lián)網(wǎng)，信息傳輸?shù)妮d體發(fā)生了改變，使得信息流動的確認(rèn)手段出現(xiàn)了多種方式。企業(yè)的會計信息在與云會計服務(wù)提供商之間的傳輸過程中可能被競爭對手非法截取、修改和刪除；會計信息在通過互聯(lián)網(wǎng)進(jìn)行傳輸?shù)倪^程中可能留下一些痕跡，競爭對手可以通過痕跡追查、獲取到對他有價值的會計信息。這些情況都時刻威脅著會計信息的傳輸安全，然而對于會計信息的安全性保證，不僅在信息傳輸?shù)倪^程中存在問題，而且在會計信息的使用中也同樣存在問題。

（三）會計信息的使用

會計信息作為企業(yè)的核心商業(yè)機密，其使用對象一般是財務(wù)以及與財務(wù)密切相關(guān)的管理者，如果使用環(huán)節(jié)會計信息出現(xiàn)重大問題，往往對企業(yè)的影響是致命的。因此，如何進(jìn)一步加強云會計的安全性和消除企業(yè)對云會計的質(zhì)疑，如何保證企業(yè)存放在云端的會計信息不被非授權(quán)人員使用，如何確保會計信息在使用的過程中不外泄，是當(dāng)前云會計服務(wù)提供商和企業(yè)共同面臨的問題。企業(yè)在應(yīng)用云會計進(jìn)行財務(wù)處理的日常工作中，財務(wù)人員的保密意識差，財務(wù)人員在工作中的人機分離，用戶密碼過于簡單，用戶的角色分配和操作權(quán)限設(shè)置不當(dāng)，軟件功能缺陷使關(guān)鍵會計信息的訪問留下不應(yīng)該有的痕跡，未經(jīng)授權(quán)隨意使用優(yōu)盤等，這些情況都將使會計信息在使用過程中存在安全隱患。會計信息意外泄露給非相關(guān)人員或者被人有意盜取，對任何企業(yè)無疑都是致命的。面對當(dāng)前會計信息安全問題的日益嚴(yán)峻，當(dāng)務(wù)之急是解決在云會計中出現(xiàn)的會計信息安全問題。

四、對加強云會計下會計信息安全的建議

針對當(dāng)前云會計下會計信息存在的安全性問題，從技術(shù)及技術(shù)管理的角度，可以通過攻克云會計信息安全關(guān)鍵技術(shù)、研發(fā)高可信的云會計信息系統(tǒng)、建立云會計下會計信息安全風(fēng)險可信評估機制、制定完善的會計信息安全管理措施四個途徑進(jìn)行改進(jìn)和完善。

（一）攻克云會計信息安全關(guān)鍵技術(shù)

云會計作為一種基于云計算的會計信息化應(yīng)用，會計信息訪問的用戶身份管理和訪問控制、會計信息的安全審計、數(shù)據(jù)保護(hù)、虛擬化安全、集中訪問的負(fù)載均衡等會計信息安全關(guān)鍵技術(shù)是云會計得以應(yīng)用的前提條件。

建立用戶身份安全認(rèn)證和訪問控制機制，保證各個不同企業(yè)之間會計信息的有效隔離及其合法訪問是云會計環(huán)境下會計信息安全需要解決的關(guān)鍵技術(shù)之一。在云會計環(huán)境下，由于會計數(shù)據(jù)不再存儲到企業(yè)內(nèi)部的服務(wù)器，這使得企業(yè)對自己的會計數(shù)據(jù)失去了物理上的控制，因此在對會計信息進(jìn)行訪問時需要首先進(jìn)行安全審計。云會計利用虛擬化技術(shù)實現(xiàn)了物理資源的動態(tài)管理與部署，為企業(yè)提供了隔離的會計信息化應(yīng)用環(huán)境，這時虛擬機、虛擬網(wǎng)絡(luò)以及超級用戶的安全問題都會直接影響到云會計平臺的安全性。從數(shù)據(jù)本身安全屬性的角度，如何保證存儲會計數(shù)據(jù)的機密性、完整性或可用性是云會計應(yīng)用時會計信息安全重點需要解決的問題。此外，由于國內(nèi)各企業(yè)的會計業(yè)務(wù)處理過程一般都是統(tǒng)一的，企業(yè)的會計期間也完全可能相同，如每年年末的年報時間等。這樣就會造成同一個云會計服務(wù)提供商在一個時間段集中處理業(yè)務(wù)，造成會計信息傳輸量劇增，引起硬件設(shè)施負(fù)荷較大、網(wǎng)絡(luò)擁塞。如何實現(xiàn)資源合理、高效的配置和負(fù)載均衡也是云會計信息安全需要解決的關(guān)鍵問題之一。

（二）研發(fā)高可信的云會計信息系統(tǒng)

會計信息的安全很大程度上依賴于會計信息系統(tǒng)的安全，其安全性與會計信息系統(tǒng)的功能和可信性密切相關(guān)。目前，國內(nèi)云會計服務(wù)提供商提供的信息安全技術(shù)和軟件功能基本都無法完全滿足用戶的需求，可以考慮通過由政府牽頭，集各云會計服務(wù)提供商之所長形成優(yōu)勢互補，聯(lián)合開發(fā)云會計下的相關(guān)信息系統(tǒng)，以降低各提供商單獨開發(fā)的難度和 風(fēng)險。

會計信息是會計信息系統(tǒng)的輸出，如果企業(yè)對云會計服務(wù)提供商提供的會計信息系統(tǒng)都不“信任”，那么就更談不上會計信息的安全了。會計信息系統(tǒng)的可信性對會計信息的安全性有顯著影響。會計信息系統(tǒng)的可信性是企業(yè)選擇云會計時對系統(tǒng)“信任”的一種主觀心理感受，但產(chǎn)生對系統(tǒng)“信任”的心理感受取決于軟件行為的可預(yù)測性、目標(biāo)符合性和可靠性、安全性、可用性等客觀關(guān)鍵特性。可信性是由一組相互關(guān)聯(lián)和相互影響的可信屬性構(gòu)成，通常包括可用性、可靠性、安全性、實時性、可維護(hù)性和可生存性，以及這些屬性的子屬性。企業(yè)從云會計供應(yīng)商選擇會計信息系統(tǒng)時，往往通過其系統(tǒng)所具有的一組表達(dá)其可信屬性的事實，信任會計信息的行為能夠?qū)崿F(xiàn)其設(shè)定的目標(biāo)。為了給用戶提供一個可信賴的會計信息系統(tǒng)，需要在用戶定制功能模塊完成之后對其可信性進(jìn)行 評估。

（三）建立云會計下會計信息安全風(fēng)險可信評估機制

企業(yè)是否愿意使用云會計，往往取決于對云會計上會計信息安全的可信，而不同企業(yè)對可信要求的程度是不一樣的，因此，建立云會計下會計信息安全風(fēng)險可信評估機制，透明化地向企業(yè)呈現(xiàn)應(yīng)用云會計之后會計信息的安全是可信的，以消除企業(yè)對會計信息安全性的擔(dān)憂。云會計服務(wù)提供商一般會提供身份認(rèn)證、信息加密、安全檢測、安全預(yù)警、安全評估等信息安全技術(shù)或系統(tǒng)，但是，面對云會計下用戶復(fù)雜、多變的信息安全性需求往往還是不夠的。不同企業(yè)的管控模式、經(jīng)營業(yè)務(wù)往往具有差異性，且因為市場競爭而不斷發(fā)生變化，這使得云會計服務(wù)提供商根據(jù)其業(yè)務(wù)需求、安全需求定制而成的各種會計云服務(wù)組合其安全性往往也會發(fā)生變化，很難讓用戶對其安全性一直“信任”，因此，必須建立云會計下面向用戶的會計信息安全評估機制，向用戶動態(tài)呈現(xiàn)會計信息的安全性。在這過程中，明確企業(yè)的會計信息安全需求對云會計服務(wù)提供商來說是非常重要的，也是前提條件。

企業(yè)對會計信息的安全需求是通過對用戶定制的云會計信息系統(tǒng)的安全風(fēng)險評估來確定的。通過風(fēng)險評估，找出影響會計信息安全風(fēng)險的各種威脅，評價可能出現(xiàn)的缺陷，預(yù)測可能存在的潛在威脅，然后根據(jù)評估結(jié)果采取應(yīng)對措施并確定處理的優(yōu)先級。需要說明的是，當(dāng)用戶對云會計的業(yè)務(wù)需求發(fā)生變化時，云會計服務(wù)提供商將重構(gòu)會計信息系統(tǒng)，這時候必須重新對系統(tǒng)進(jìn)行安全性評估，重新確定這些安全風(fēng)險應(yīng)對措施能否適應(yīng)企業(yè)對會計信息的安全性需求。一般來說，用戶對會計信息的安全性要求越高，會計云服務(wù)提供商為之付出的投資就越多，其向企業(yè)收取的費用也會越高。因此，企業(yè)在選擇會計信息的安全等級時，必須根據(jù)自己的實際需求進(jìn)行權(quán)衡。

（四）制定完善的會計信息安全管理措施

會計信息的安全涉及服務(wù)器、存儲設(shè)備、網(wǎng)絡(luò)設(shè)備和用戶等方面的安全。根據(jù)企業(yè)實際的會計信息安全管理需求，建立一個切合實際的會計信息安全管理體系是非常必要的。企業(yè)選擇云會計之后，云會計服務(wù)提供商關(guān)注硬件與網(wǎng)絡(luò)基礎(chǔ)設(shè)施的安全，而企業(yè)將會計信息安全工作的重心放在用戶的安全管理上。

用戶是會計信息系統(tǒng)的行為主體，會計信息的安全風(fēng)險絕大多數(shù)都是由人為引起的，因此，加強對用戶的安全管理對于會計信息的安全具有重要意義。用戶的安全管理包括用戶權(quán)限管理、用戶授權(quán)審批控制流程，通常這兩方面的管理和企業(yè)的內(nèi)部控制措施緊密聯(lián)系在一起。用戶的操作權(quán)限要根據(jù)該崗位的職責(zé)來確定，當(dāng)該用戶的崗位發(fā)生變化時，要及時調(diào)整操作權(quán)限。同時，各個用戶的密碼不能設(shè)置得過于簡單，同時加強員工的保密意識培訓(xùn)，相互之間不能泄露密碼。對用戶操作行為進(jìn)行審計是用戶安全管理的重要組成部分。根據(jù)企業(yè)對會計信息的安全性需求，結(jié)合企業(yè)的內(nèi)部控制措施，建立對每個用戶授權(quán)操作會計信息系統(tǒng)及會計信息的訪問規(guī)則和流程，以保證用戶操作的合規(guī)性。同時，要建立各用戶對會計信息系統(tǒng)和會計信息的操作行為的操作日志，詳細(xì)記錄操作時間、操作人、功能模塊、涉及的會計信息、具體操作等信息。為阻止用戶的錯誤操作或防止用戶錯誤操作的發(fā)生，系統(tǒng)要對用戶的操作行為進(jìn)行必要的審計監(jiān)控，作為在會計信息出現(xiàn)安全事故時追究責(zé)任人的 證據(jù)。

五、結(jié)束語

云會計作為一種新型的企業(yè)會計信息化模式，為企業(yè)實施會計信息化提供了一種低成本、高收益的完整解決方案。但是，云會計下的會計信息是否安全卻成為了企業(yè)選擇云會計時最擔(dān)憂的問題，成為限制云會計發(fā)展的主要因素之一。本文分析了企業(yè)使用云會計時最為擔(dān)心的會計信息存儲、傳輸和使用等問題，從技術(shù)和技術(shù)管理的角度，提出了攻克云會計信息安全關(guān)鍵技術(shù)、研發(fā)高可信的云會計信息系統(tǒng)、建立云會計下會計信息安全風(fēng)險可信評估機制、制定完善的會計信息安全管理措施四個應(yīng)對措施。相信隨著信息安全技術(shù)的不斷發(fā)展與進(jìn)步，全球經(jīng)濟一體化的加劇，將會有更多的廠商涌進(jìn)云會計市場，會計信息安全問題將會逐步得到解決。本文首次針對會計信息安全問題，提出了會計信息系統(tǒng)可信性的概念，后面將深化這方面的研究。

【參考文獻(xiàn)】

[1] 程平，何雪峰.“云會計”在中小企業(yè)會計信息化中的應(yīng)用[J].重慶理工大學(xué)學(xué)報，2011（1）：55-60.

[2] 程平. 不要讓數(shù)據(jù)安全成為云會計的“絆腳石”[N].中國會計報，2011-06-17.

[3] 汪慧甜，胡仁昱.淺議云會計下中小企業(yè)會計信息安全[J].新會計，2012（3）：6-8.

[4] 丁璐.推進(jìn)云計算在中小企業(yè)財務(wù)會計中應(yīng)用的若干思路[J].中國管理信息化，2010，13（18）：3-4.

[5] 吳奇峰.企業(yè)會計電算化中“云會計”的應(yīng)用要點探討[J].財務(wù)會計，2012（9）：42.

[6] 曹立明.論基于云計算的會計信息化[J].信息技術(shù)，2011（9）：113-119.

[7] 朗波，劉旭東，王懷民，等.一種軟件可信分級模型[J].計算機科學(xué)與探索，2010，4（3）：231-239.

[8] 《中國總會計師》編輯部.云會計：會計信息化的新變革[J].中國總會計師，2012（7）：26-28.

[9] 劉爽.云會計在企業(yè)會計信息化中的應(yīng)用研究[J].會計信息化，2012（5）：62-64.

[10] 孟燕，郭冬梅.云計算及其數(shù)據(jù)存儲與管理技術(shù)研究[J]. 信息技術(shù)與信息化，2012（5）：73-76.

[11] 胡艷.云計算數(shù)據(jù)安全與隱私保護(hù)[J].科技通報，2012（6）：212-214.