保障財務數據安全 護航企業數字化轉型

金蝶軟件（中國）有限公司

數字經濟時代，數據已經成為重要生產要素，成為企業重要生產力，對于經濟結構變革具有重大影響。隨著數據重要性與日俱增，數據安全也上升到國家安全戰略高度。

2015年，國家安全法公布施行，數據安全正式被納入國家安全范疇；2016年，網絡安全法同樣引入了網絡數據的概念；2017年，習近平總書記在中共中央政治局就實施國家大數據戰略進行第二次集體學習時強調，要切實保障國家數據安全。要加強關鍵信息基礎設施安全保護，強化國家關鍵數據資源保護能力，增強數據安全預警和溯源能力。

2021年，我國首部關于數據安全的專門法律數據安全法正式施行，確立了數據分類分級管理，建立了數據安全風險評估、監測預警、應急處置和數據安全審查等基本制度。同時，與網絡安全法、個人信息保護法形成“三駕馬車”，為我國數字經濟產業健康發展提供全面的法律支撐。

在政策驅動下，如何確保數據安全，建立運行防火墻，成為每個企業都要探索的問題。而在企業種類繁多的數據之中，財務數據更具敏感性，也更具價值，涉及如財務報表、薪資、納稅等敏感信息，被視為企業的生命線，一旦泄露或遭受黑客攻擊，極有可能導致企業遭受重大經濟損失。因此，進行數據安全治理，保障財務數據安全，是每個企業數字化轉型的重中之重。

傳統ERP數據安全風險猶在

安全是一個永恒的話題，由于財務數據具有高敏感性、高價值性的特點，企業面臨著諸多數據安全風險。困擾企業最典型的數據安全風險包括但不限于數據泄露、數據丟失、數據篡改等。

ERP系統是企業信息化最核心的應用之一，即便在當下，傳統ERP數據安全風險依然存在，其中一些常見問題包括以下幾點：

系統漏洞。財務ERP系統可能存在軟件或硬件漏洞，黑客可以利用這些漏洞進行入侵，獲取敏感信息、篡改財務數據。

身份認證問題。弱密碼、缺乏雙因素認證、共享賬號和密碼等問題可能導致未經授權的人員訪問財務ERP系統，造成數據泄露或濫用。

不當訪問控制。未正確配置訪問權限、缺乏審計機制等問題可能導致未經授權的人員訪問財務系統，從而導致數據泄露或濫用。

內部人員濫用。內部人員可能濫用訪問權限，篡改財務數據、竊取資金或進行其它欺詐行為。

不合規操作。財務信息化系統如果沒有合理的安全控制和操作流程，將容易受到不合規操作的影響，導致數據被篡改或濫用。

數據泄露。硬盤故障、自然災害、人為錯誤等情況可能導致財務數據泄露，給企業帶來嚴重的經濟損失。

社會工程攻擊。黑客可以通過欺騙、偽裝或利用財務人員的粗心大意來獲取財務系統的訪問權限，從而獲取敏感信息。

云服務模式伴生新的數據安全風險

在企業不斷深入的數字化轉型進程中，迫切需要運用新技術來實現業務創新，實現價值創造。在這樣的背景下，云技術應運而生，它提供了一種新路徑能高效地助力企業實現數字化轉型的目標。不過，云服務也為企業帶來了新的數據安全風險。

一是數據存儲風險。在云平臺上，財務數據存儲在云服務提供商的數據中心中，而不是企業自己的服務器上。這意味著企業將依賴云服務提供商來保護其財務數據的安全。因此，企業需要確保云服務提供商具有高度安全的數據中心和存儲設施，并具備強大的數據備份和災難恢復機制。

二是數據傳輸風險。云轉型對財務ERP系統的數據傳輸安全帶來了新的挑戰。在云平臺上，數據需要通過公共網絡進行傳輸，這增加了數據在傳輸過程中被黑客攻擊或竊取的風險。傳統的加密和安全保護措施可能不足以應對云環境下的安全需求。因此，企業需要采取更加強大和高級的加密和安全機制來確保數據在傳輸過程中的保密性和完整性。

三是身份驗證和訪問控制。在云環境下，多個用戶和系統可能需要訪問和共享財務數據，如企業內部員工、合作伙伴和第三方服務提供商等。因此，確保只有授權人員能夠訪問和修改財務數據以及確保數據的訪問權限和使用權限的安全性和可控性，成為云轉型后的重要任務。

四是物理安全和供應商風險。云服務提供商需要采取適當的物理安全措施來保護存儲在其數據中心中的數據。此外，企業還需評估供應商的安全性，確保供應商有足夠的安全措施來保護財務數據。

五是數據完整性和可用性。在云模式下，企業需要確保數據的完整性和可用性。數據傳輸過程中的錯誤或被篡改可能導致數據完整性問題。此外，云服務提供商的系統故障或網絡中斷可能導致數據不可用。

人工智能為財務數據安全帶來新挑戰

人工智能技術正在以令人驚嘆的速度滲透到千行百業，加速企業運營模式和管理模式的創新。大模型的出現，更為企業數字化轉型提供了新思路和新方向，成為企業數字化轉型的重要突破口。對于企業來說，在考慮如何用好新技術賦能數字化轉型的同時，也不能忽視人工智能給財務數據安全帶來的新挑戰。

首先，人工智能技術導致攻擊面大幅增加。人工智能技術依賴于大量的數據和算法，通過學習和模式識別來進行預測和決策。然而，這些數據和算法也可能成為黑客攻擊的目標。黑客可以利用人工智能技術中的脆弱點來入侵財務系統，獲取敏感的財務數據。此外，人工智能技術的應用還可能導致數據被惡意篡改或誤導，從而產生錯誤的財務決策。

其次，人工智能技術加劇數據隱私和合規性問題。財務系統中存儲了大量的財務和個人數據，通過人工智能技術的應用，這些數據可能需要共享和交換，如與供應商、合作伙伴或第三方服務提供商的數據交互。財務數據的共享涉及隱私保護和合規性要求，如數據加密、訪問控制、數據安全性和審計等。如果這些要求得不到滿足，可能導致數據泄露、被違規使用或受到高額罰款。

再次，人工智能技術存在算法偏見和誤判。財務決策依賴于人工智能算法的分析和預測，而算法可能存在偏見或錯誤的判斷。這可能導致財務決策的不準確性和不公平性，進而影響企業的經濟利益和聲譽。

最后，人工智能技術缺乏透明度和解釋能力。許多人工智能算法是黑盒模型，難以解釋其決策原因和運行邏輯。這使得人們難以評估人工智能系統是否做出了正確的財務決策，從而增加了風險。

人工智能技術的應用是一把雙刃劍。一方面，從信息安全的入侵方來看，攻擊者可在人工智能技術的輔助下實現更低門檻地編寫惡意軟件代碼。另一方面，從信息安全的防守方來看，人工智能技術可以為防守方提供安全咨詢，幫助其了解最新的網絡安全威脅和漏洞，并提供針對性的建議；人工智能技術還可以幫助防守方監測其網絡活動，及時發現異常流量和攻擊行為，并幫助其采取相應的防御措施。總之，在使用人工智能技術時，其對財務信息化數據安全帶來的風險不容忽視。

保障企業數據安全刻不容緩

在技術發展帶來的新風險因素與傳統風險相疊加的背景之下，企業數據安全保障面臨著諸多挑戰。數據安全關乎企業數字化發展和未來的商業模式及競爭力，尤其在企業數字化轉型變革中，保障數據安全刻不容緩。若要保護數據安全，樹立數據安全保護意識，構建數據安全體系，加強數據系統維護管理必不可少。

樹立數據安全保護意識。企業在運營過程中，無論是制度制定，還是在計算、存儲、傳輸等關鍵環節，都要鞏固對數據管理、連接、分析等的安全保障，以數據安全為企業發展保駕護航。

構建數據安全體系。在企業內部，應圍繞數據安全制定一套適合自身發展的制度體系，包括但不限于數據分類、數據隔離、運維安全、權限分級、安全刪除等核心內容，以此加強對企業數據安全的保護。

加強數據系統維護管理。保護數據安全最重要的是要從根源上提高系統和數據的安全性，把安全理念融入數字化轉型藍圖設計階段，確保系統全生命周期的安全；完善數據保護機制，注重對敏感數據的訪問權限及加密操作；針對業務系統安全性漏洞，定期進行安全檢測，排查安全隱患。

建立管理體系筑牢安全堤壩

對于企業而言，數據已經成為重要的生產要素，成為徹底改變企業的模式、范式和創造新的業態的新引擎。全面加強數據安全保障體系建設，對激發數據潛在價值，促進企業乃至國民經濟社會高質量發展意義重大。

數據安全已被賦予新的時代意義，發展數據安全產業既是數字經濟社會發展趨勢的必然要求，也是新時代使命的必然要求。盡管如今網絡攻擊越來越復雜，防止數據泄露變得困難重重，但這并非不可能完成的任務。

金蝶作為資深的企業數字化轉型服務商，充分發揮30年服務超過740萬家企業和組織的技術沉淀優勢，打造值得托付的企業服務平臺，助力企業構筑云時代的安全屏障，為企業財務數據安全保駕護航。

實踐上，金蝶通過制定安全方針，規范安全策略，用以全面指導安全保障工作。具體規范員工行為，明確任務和責任，包括組織信息安全、信息資產管理、人員安全、物理和環境安全、IT 運維安全、邏輯及網絡訪問控制、信息系統開發與維護、變更管理、信息安全事件管理、業務連續性管理、法律法規符合性等。同時幫助記錄并明確實施步驟、內容、結果，并通過規范和指南定義具體操作內容和步驟，引導正確執行工作，包括人員安全規范、基礎設施管理指南、安全開發規范、安全運維規范、安全加固指南、運行維護指南等。此外，金蝶定期進行內部安全審計，提交審計報告，并且也會聘請第三方安全服務機構進行外部安全審計，對其發現并暴露的安全問題進行及時、有效的改進。

打造韌性底座護航云轉型數據安全

近年來，隨著國家密集出臺政策加快數字化產業發展和產業數字化步伐，在萬物上云的時代，云成為網絡攻防的主戰場，如何解決云上的數據安全問題成為備受矚目的命題。

金蝶云財務ERP基于云原生應用構建了安全的運行環境，具備面向微服務、容器化封裝、動態管理的三大特征。通過WAF、防火墻、HIDS等安全設備以及VPC、ACL、安全組等策略，構筑完善的云數據安全防護體系，有效抵抗SQL注入、XSS跨站腳本等多種攻擊；定期對云數據庫進行安全基線檢查，并對發現的安全漏洞進行及時修復；實時監控云數據庫及應用安全狀態，避免被勒索病毒感染、數據丟失等安全事件的發生。

圍繞企業上云的多種場景需求，金蝶基于PIA構建了多租戶隔離，數據安全標簽，數據加密存儲、傳輸，數據脫敏多重能力，全方位保護云租戶數據的安全。

在多租戶隔離方面，金蝶可對每個租戶配置單獨的數據中心，各數據中心之間相互隔離，采用數據庫級別的數據隔離和業務附件信息的隔離，租戶僅能訪問自己名下的數據而無法訪問其它租戶的數據，切實保障客戶數據及信息的獨立性和安全性。

在數據安全標簽設置方面，金蝶提供數據安全標簽功能，可選擇對個人信息、敏感個人信息、企業敏感數據等需要特殊保護的字段進行安全標記，并依次針對性進行加密保存、脫敏展示等進一步安全保護。

在數據加密存儲、傳輸方面，金蝶支持對個人信息、敏感個人信息、企業敏感數據等敏感字段使用國密算法進行加密存儲，支持自定義敏感字段的加密策略。在數據加密傳輸過程中，金蝶云服務采用主流權威的商業數字證書和完善的證書管理系統，使用安全的 SSL/TLS 加密傳輸方式，有效防止信息被非法竊聽和使用。

在數據脫敏方面，金蝶提供標準預置隱私模板脫敏方案，支持對敏感字段進行脫敏處理。根據不同的業務數據類型可以設置不同的脫敏方案，或者根據不同用戶可以設置不同的隱藏顯示權限，有效防止敏感數據被惡意竊取和利用。

以開放之姿守護財務數據安全

眼下，以云計算、大數據、人工智能、物聯網等新技術為代表的數字化時代已經來臨，這些新技術未來幾年也將持續影響全球經濟社會發展。新技術的到來，對財務數字化轉型具有積極意義，與此同時也為守護財務數據安全帶來潛在挑戰。新技術提供了更強大的數據分析和洞察能力、加強了身份驗證和訪問控制、提高了欺詐檢測和預防能力、加強了數據監控和實時響應能力。然而，需要注意的是，企業在應用這些新技術的過程中要重視數據隱私和安全的保護，應采取相應的措施加強財務數據的安全性。

在經濟全球化的今天，任何一個組織都無法獨立解決如此復雜的問題，公開、透明、互信的溝通與合作是應對新時代數據安全問題和挑戰的基礎。金蝶將繼續秉承開放、透明的方式，與監管機構、客戶和其他利益相關方開展溝通和合作，推動持續改進端到端的產品安全保障體系的完備性，確保產品和技術符合相關法律法規和標準的要求。金蝶也將會繼續堅持技術創新，投入更多資源進行安全技術和方法的研究，增強產品應對安全威脅的能力和韌性，減少安全風險帶來的不利影響，以便能為客戶持續提供安全可信賴的產品和服務。

數字化浪潮之下，守護財務數據安全，就是守護企業的生產要素，保衛數字經濟發展的成果。未來，金蝶仍將不斷整合自身的能力和實踐經驗，以開放的姿態與合作伙伴攜手，助力企業構筑強大的數據安全防線，助力企業數字化轉型創新，實現安全可控的高質量發展。

責任編輯：狐若辰