摘要：信息安全問題是當(dāng)前會計信息化快速發(fā)展的嚴(yán)峻挑戰(zhàn)。文章分析了網(wǎng)絡(luò)環(huán)境下會計信息安全的現(xiàn)狀，結(jié)合國際信息安全管理標(biāo)準(zhǔn)（ISO/IEC 17799：2005），立足于會計信息管理措施，在人員管理，數(shù)據(jù)及信息管理，計算機(jī)軟、硬件管理方面探討了有效安全管理的方法，闡述了安全管理對于信息安全的重要意義；提出了管理和技術(shù)并重的會計信息安全系統(tǒng)構(gòu)建思路。
關(guān)鍵詞：網(wǎng)絡(luò)；會計；安全；管理
會計信息的安全是指會計信息具有完整性、可用性、保密性和可靠性的狀態(tài)，它來自于會計數(shù)據(jù)的完整和會計數(shù)據(jù)的安全，并保證會計信息的持續(xù)性和有效性。隨著網(wǎng)絡(luò)的發(fā)展，信息技術(shù)越來越多的滲透到會計領(lǐng)域，但傳統(tǒng)會計軟件的設(shè)計多是考慮從業(yè)務(wù)操作功能上滿足會計實務(wù)的要求，對其安全性的考慮較少。會計信息化的輔助軟件雖然具備了強(qiáng)大的信息安全技術(shù)，但是又易使人陷入技術(shù)決定一切的誤區(qū)，迄今為止，網(wǎng)絡(luò)環(huán)境下的多種安全技術(shù)尚未能夠確保信息的安全性。企業(yè)只有從技術(shù)和管理兩方面構(gòu)建會計信息安全系統(tǒng)，充分考慮技術(shù)的持續(xù)有效性，重視對安全工程建成后的管理，才能最大限度地保障網(wǎng)絡(luò)環(huán)境下會計信息的安全性。國際信息安全管理標(biāo)準(zhǔn)（ISO/IEC 17799：2005）對于信息系統(tǒng)安全管理和安全認(rèn)證的分析表明，解決信息系統(tǒng)的安全問題不能只局限于技術(shù)，更重要的還在于管理。因此，要讓安全技術(shù)發(fā)揮應(yīng)有的作用，必然要有適當(dāng)管理措施的支持。按照該標(biāo)準(zhǔn)（ISO/IEC 17799：2005）“制訂自己的準(zhǔn)則”的建議，探討管理對于會計信息安全的重要作用，兼重管理和技術(shù)，對于真正實現(xiàn)會計信息安全目標(biāo)具有重要意義。
一、目前會計信息安全的現(xiàn)狀及研究
目前會計實務(wù)中的信息安全面臨諸多問題。如會計管理越權(quán)、不相容崗位分工不清會導(dǎo)致會計信息的損壞；在網(wǎng)絡(luò)環(huán)境下，伴隨電子商務(wù)的發(fā)展而出現(xiàn)的會計數(shù)據(jù)載體無紙化使會計數(shù)據(jù)被篡改成為可能；網(wǎng)絡(luò)本身的安全性問題，則可能會使會計數(shù)據(jù)在傳輸過程中受病毒、黑客的威脅等。目前國內(nèi)被大量使用的傳統(tǒng)會計軟件主要是代替手工會計核算和減輕會計人員的計賬工作量，本身的安全性設(shè)計相對較差，當(dāng)其在網(wǎng)絡(luò)環(huán)境下使用時，上述的某些問題就更加顯著。據(jù)一份針對英國900家不同類型組織做的問卷調(diào)查，1999-2000年有超過一半的政府機(jī)構(gòu)及2/3的民營組織，正面臨信息科技的不法入侵、濫用甚至破壞。而對大部分組織而言，信息安全的問題尚無一個明確的解決方案。許多文獻(xiàn)針對會計信息安全問題進(jìn)行了研究，但大多集中在技術(shù)方面，如電子數(shù)據(jù)的存儲加密技術(shù)、傳輸加密技術(shù)、密鑰管理加密技術(shù)和確認(rèn)加密技術(shù)、數(shù)字簽名等。也有很多文獻(xiàn)從不同的角度對會計信息安全的管理保障進(jìn)行了有益的探討。本文從內(nèi)部控制，計算機(jī)軟、硬件管理的角度，參考ISO/IEC 17799：2005推薦的部分控制措施，探討了針對會計實務(wù)的信息安全管理控制方法，結(jié)合對信息安全技術(shù)應(yīng)用的分析，闡述了會計信息安全管理系統(tǒng)的構(gòu)建過程中需注意的幾個薄弱環(huán)節(jié)。
二、會計信息安全管理
（一）內(nèi)部控制
2002年美國FBI（聯(lián)邦調(diào)查局）和CSI通過對484家公司的調(diào)查，安全威脅和安全事件研究統(tǒng)計表明：超過85％的安全威脅來自企業(yè)內(nèi)部。本文先從企業(yè)內(nèi)部分析網(wǎng)絡(luò)環(huán)境下會計安全問題。
1、確保不相容崗位相分離，防止越權(quán)。管理越權(quán)、分工不清這些問題在傳統(tǒng)會計模式下也會出現(xiàn)，但應(yīng)用信息技術(shù)后，信息載體的無紙化等特點使此類問題更易出現(xiàn)且較隱蔽，多數(shù)文獻(xiàn)指出，實行用戶分級授權(quán)管理，建立崗位責(zé)任制，并賦予不同的操作權(quán)限，拒絕其他非授權(quán)用戶的訪問。對操作密碼要嚴(yán)格管理，指定專人定期更換密碼。在會計實務(wù)中可以推廣應(yīng)用生物識別技術(shù)，其具有更多優(yōu)點，比如會計與出納有不同的權(quán)限，擁有各自的密碼，因為會計與出納工作往來頻繁，密碼被對方獲取的情況時有發(fā)生，影響了會計信息的安全性。而生物識別技術(shù)如指紋只能本人在場的情況下方可操作，并且不存在遺忘或丟失的問題。
2、保障原始數(shù)據(jù)安全性。信息來源復(fù)雜性、接觸信息的部門和人員多樣性，增加內(nèi)部控制難度，使原始數(shù)據(jù)錯誤、信息篡改的風(fēng)險加大。例如，原始憑證是進(jìn)行會計核算的原始資料，是證明經(jīng)濟(jì)業(yè)務(wù)發(fā)生的唯一初始文件，有較強(qiáng)的法律效力，在網(wǎng)絡(luò)環(huán)境下，有些原始憑證是通過網(wǎng)上交易取得，如電子單據(jù)、電子貨幣結(jié)算等網(wǎng)絡(luò)經(jīng)營業(yè)務(wù)。為使其與紙質(zhì)原始憑證在安全性上達(dá)到同樣的功效，多數(shù)文獻(xiàn)提出的建議是利用網(wǎng)上公證技術(shù)及各種加密技術(shù)。但以磁（光）性介質(zhì)為載體的憑證易被篡改或偽造而不留任何痕跡的問題是計算機(jī)及網(wǎng)絡(luò)本身的缺陷，即使是采用了網(wǎng)上公證技術(shù)，其法律效力仍無法與印鑒相比，因此其安全性并不能超過紙質(zhì)原始憑證，作為會計核算唯一憑據(jù)的原始憑證，其地位至關(guān)重要，所以網(wǎng)上交易完成后必須索要紙質(zhì)原始憑證，以備核對、保留，盡可能確保會計信息完整性、可用性。
3、保障會計檔案安全性。會計檔案是唯一保存完整的會計歷史資料，是核實已發(fā)生會計活動最重要的依據(jù)，信息技術(shù)應(yīng)用于會計后，部分會計檔案是以磁性介質(zhì)存儲的。若保管、備份策略和方法不合理，會形成會計安全隱患。例如，電子檔案存儲介質(zhì)體積小、無紙化等特點與傳統(tǒng)檔案相比更易于被竊取或泄漏，所以管理人員必須持有上崗證，并且要經(jīng)常進(jìn)行檔案法、保密法培訓(xùn)。在收集過程中要注意相關(guān)設(shè)備或軟件的收集，使會計電子檔案在將來任何時間都可查閱使用。企業(yè)備份電子檔案的同時，應(yīng)對已存檔的電子檔案定期檢查、復(fù)制。電子檔案的定期復(fù)制的時間應(yīng)根據(jù)存儲介質(zhì)的性質(zhì)而定，在不浪費成本同時保障會計檔案安全。
2008年6月，財政部公布的《企業(yè)內(nèi)部控制基本規(guī)范》第4章明確指出：“內(nèi)部會計控制的方法主要包括：不相容職務(wù)相互分離控制、授權(quán)批準(zhǔn)控制、會計系統(tǒng)控制、預(yù)算控制……”有文獻(xiàn)提出，將這些有效的內(nèi)部控制方法、思想集成在軟件功能中。單純地依靠企業(yè)制定的內(nèi)部控制制度來加以內(nèi)部控制，當(dāng)內(nèi)部人員協(xié)同舞弊時，會導(dǎo)致內(nèi)部控制制度的失效。將內(nèi)部控制集成在會計軟件中可以確保會計信息正確、安全。但將這些有效的內(nèi)部控制方法、思想集成在軟件功能中需要高素質(zhì)會計人員及熟悉信息技術(shù)的人員參與，并且需要投入相當(dāng)數(shù)量的資金，維護(hù)容易跟不上，因此現(xiàn)階段對多數(shù)企業(yè)來說有一定困難，但資金、人員基礎(chǔ)好的企業(yè)可以實施；并且要把基于PDCA（Plan、Do、Check和Act）的持續(xù)改進(jìn)的管理模式應(yīng)用其中。
（二）計算機(jī)硬件管理
PC客戶端，數(shù)據(jù)存儲設(shè)備，網(wǎng)絡(luò)設(shè)備都會影響硬件系統(tǒng)安全。所以應(yīng)制定主控機(jī)房和相應(yīng)網(wǎng)絡(luò)設(shè)備的管理制度，例如專機(jī)專用，計算機(jī)機(jī)房充分滿足防火、防潮、防塵、防磁和防輻射及恒溫等技術(shù)要求，關(guān)鍵性的硬件設(shè)備可采用雙機(jī)備份，硬件系統(tǒng)安全預(yù)警方案。同時采取相應(yīng)的激勵措施，把相應(yīng)人員職責(zé)列入目標(biāo)考核，與獎金相對應(yīng)，提高其履行制度的積極性，確保計算機(jī)硬件安全。
（三）計算機(jī)軟件管理
設(shè)計、開發(fā)的財務(wù)軟件系統(tǒng)功能與用戶實際操作不相適應(yīng)，軟件存在漏洞，軟件售后服務(wù)不及時都會影響網(wǎng)絡(luò)環(huán)境下會計安全。因此，在設(shè)計、開發(fā)和使用財務(wù)軟件時，應(yīng)重點考慮會計數(shù)據(jù)及會計軟件系統(tǒng)自身的安全問題，采取的措施能有效確保系統(tǒng)安全運行。保障會計軟件安全的具體措施有：
1、身份認(rèn)證與權(quán)限控制。堅持多重登錄和多重密碼制，只有被賦予一定權(quán)限的人員、且密碼核對吻合時才能進(jìn)行相關(guān)業(yè)務(wù)操作，最好采用生物技術(shù)。
2、軟件升級必須慎重，與原系統(tǒng)有可兼容性，便于查閱往年會計電子檔案。
3、定期備份計算機(jī)工作日志文件。
4、選擇售后服務(wù)好、財政部推薦的會計軟件企業(yè)的產(chǎn)品。
（四）人為因素的管理
現(xiàn)階段，多數(shù)企業(yè)的會計人員業(yè)務(wù)經(jīng)驗豐富，而計算機(jī)專業(yè)知識和網(wǎng)絡(luò)知識卻知之甚少，不能很好地勝任計算機(jī)和互聯(lián)網(wǎng)相關(guān)會計業(yè)務(wù)處理工作。復(fù)合型高素質(zhì)人才的缺乏制約著信息技術(shù)在會計中的應(yīng)用，部分網(wǎng)絡(luò)會計人員雖然具備較高業(yè)務(wù)水平，但缺乏職業(yè)道德素質(zhì)。他們憑借精通網(wǎng)絡(luò)會計的優(yōu)勢進(jìn)行非法轉(zhuǎn)移電子資金和會計數(shù)據(jù)、泄密等活動。多數(shù)文獻(xiàn)提出要加快調(diào)整現(xiàn)行會計教育體系，加大對現(xiàn)有會計人員關(guān)于網(wǎng)絡(luò)會計知識的后續(xù)教育。同時由于現(xiàn)階段我國會計人員不可能通過短期培訓(xùn)就成為復(fù)合型高素質(zhì)人才，所以還要從實際出發(fā)，使信息技術(shù)逐步應(yīng)用于會計，在現(xiàn)階段輔助以傳統(tǒng)手工會計，確保會計安全，如電子交易中原始憑證的確認(rèn)與保留。
三、信息安全技術(shù)的應(yīng)用
網(wǎng)絡(luò)的開放性使網(wǎng)絡(luò)易受攻擊，網(wǎng)絡(luò)的龐大性使病毒易滋生、傳播，會計更易面臨諸如泄密、黑客的侵襲而導(dǎo)致企業(yè)跨區(qū)域協(xié)同工作或與企業(yè)合作方網(wǎng)上交易時會計信息被盜或丟失等風(fēng)險。計算機(jī)網(wǎng)絡(luò)病毒的存在直接破壞系統(tǒng)內(nèi)重要會計數(shù)據(jù)，使系統(tǒng)不能正常運行，影響會計數(shù)據(jù)和信息的安全性和真實性，給網(wǎng)絡(luò)系統(tǒng)安全帶來了極大危害。多數(shù)文獻(xiàn)指出電子商務(wù)的信息安全在很大程度上依賴于技術(shù)的完善，這些技術(shù)包括加密技術(shù)、認(rèn)證技術(shù)、訪問控制技術(shù)、信息流控制技術(shù)、數(shù)據(jù)保護(hù)技術(shù)、軟件保護(hù)技術(shù)、病毒檢測及清除技術(shù)等。但還應(yīng)該注意以下方面。第一，采用以上技術(shù)的過程中需要花費一定的成本，一般情況下，費用是隨著安全性的提高而增加的，所以在采用安全技術(shù)的同時要考慮成本收益因素。第二，破解安全技術(shù)的成本不需大于所保護(hù)會計信息的價值。如果盜取信息的人破解密碼所花費的費用大于獲得信息而得到的收益，將不會去截取信息。第三，好的系統(tǒng)和好的協(xié)議必須根據(jù)人的觀念來進(jìn)行設(shè)計。忽略易用性問題導(dǎo)致系統(tǒng)無法達(dá)到預(yù)期目標(biāo)，安全功能非常難以理解，以至于用戶無法正確使用，從而避開這些安全功能，或者完全不在使用該系統(tǒng)。第四，在網(wǎng)絡(luò)本身存在種種安全性問題的情況下，要想保證會計的安全，在利用信息技術(shù)快捷的同時，在相當(dāng)長的一段時間內(nèi)仍要依靠印鑒來確保憑證、合同的有效性以明確經(jīng)濟(jì)責(zé)任。
四、結(jié)論
會計信息安全不僅依賴于會計信息技術(shù)的合理可靠應(yīng)用，還依賴于一個完善的會計安全管理制度。既有的很多會計信息安全管理制度尚存一些薄弱環(huán)節(jié)，其完善是一個從實際出發(fā)的漸進(jìn)過程。同時，會計信息技術(shù)在我國的應(yīng)用也將是一個長期的過程，依賴于高素質(zhì)技術(shù)人員的培訓(xùn)及各類相應(yīng)配套設(shè)施的投資和建立。
參考文獻(xiàn)：
1、潘婧.網(wǎng)絡(luò)會計信息系統(tǒng)的安全風(fēng)險及防范措施[J].財會研究,2008(2).
2、谷增軍.基于數(shù)據(jù)加密技術(shù)的會計電子數(shù)據(jù)安全對策[J].財會通訊,2008(2).
3、吳亞飛,李新友等.信息安全風(fēng)險評估[M].清華大學(xué)出版社,2007.
4、李筱佳.會計信息化對會計實務(wù)的影響及對策[J].財會研究,2009(6).
5、金麗榮.會計信息系統(tǒng)的安全控制措施[J].科技資訊,2008(1).
6、尹曉偉.IT環(huán)境下會計電算化內(nèi)部控制研究[J].會計之友,2008(11).
7、田志剛,劉秋生.現(xiàn)代管理型會計信息系統(tǒng)的內(nèi)部控制研究[J].會計研究,2008(10).
8、郝玉清.網(wǎng)絡(luò)會計的信息安全問題及其防范策略[J].北方經(jīng)貿(mào),2007(11).
9、丁學(xué)君.電子商務(wù)中的安全問題研究[J].網(wǎng)絡(luò)安全技術(shù)與應(yīng)用,2008(10).
10、Sean Smith,John Marchesini;黃清元等譯.系統(tǒng)安全工藝[M].清華大學(xué)出版社,2009.
