基于業(yè)務(wù)流程的網(wǎng)絡(luò)會(huì)計(jì)信息系統(tǒng)權(quán)限控制方法

[摘 要] 完善的權(quán)限設(shè)置和控制措施是防止敏感會(huì)計(jì)信息泄露的有效手段。本文基于企業(yè)業(yè)務(wù)流程，按崗位分組進(jìn)行業(yè)務(wù)操作分析，細(xì)化操作的信息需求并將其轉(zhuǎn)化為相匹配的操作權(quán)限，形成崗位的信息操作權(quán)限集合——角色，最后將角色賦予用戶形成用戶的最終權(quán)限。該方法符合權(quán)限管理的最小化原則，簡(jiǎn)化了權(quán)限管理，使角色的權(quán)限設(shè)置保持相對(duì)穩(wěn)定。

[關(guān)鍵詞] 訪問權(quán)限控制;RBAC;網(wǎng)絡(luò)會(huì)計(jì)信息系統(tǒng)

doi : 10 . 3969 / j . issn . 1673 - 0194 . 2010 . 04 . 001

[中圖分類號(hào)]F232 [文獻(xiàn)標(biāo)識(shí)碼]A [文章編號(hào)]1673 - 0194(2010)04 - 0003 - 04

1前言

網(wǎng)絡(luò)會(huì)計(jì)是指互聯(lián)網(wǎng)絡(luò)環(huán)境下對(duì)各種交易和事項(xiàng)進(jìn)行確認(rèn)、計(jì)量和披露的會(huì)計(jì)活動(dòng)，是建立在網(wǎng)絡(luò)一體化基礎(chǔ)上的會(huì)計(jì)信息系統(tǒng)，其具有開放性、及時(shí)性、高效性和系統(tǒng)性的特點(diǎn)。在網(wǎng)絡(luò)環(huán)境下，將會(huì)計(jì)信息處理過程全面融合和集成到業(yè)務(wù)和管理之中，構(gòu)建基于公司語(yǔ)義理論的信息系統(tǒng)是企業(yè)會(huì)計(jì)管理的基本趨勢(shì)[1] 。社會(huì)組織以Internet/Intranet技術(shù)為支持，通過遠(yuǎn)程會(huì)計(jì)數(shù)據(jù)處理和動(dòng)態(tài)會(huì)計(jì)數(shù)據(jù)核算，建立整個(gè)企業(yè)集團(tuán)的網(wǎng)絡(luò)會(huì)計(jì)處理平臺(tái)，實(shí)現(xiàn)并發(fā)的實(shí)時(shí)在線會(huì)計(jì)管理已經(jīng)成為可能，但會(huì)計(jì)信息安全問題隨之而來(lái)。會(huì)計(jì)信息系統(tǒng)是企業(yè)邊界范圍內(nèi)的非獨(dú)立信息系統(tǒng)，信息的集成性使得會(huì)計(jì)信息的安全問題不再局限于會(huì)計(jì)部門，企業(yè)的產(chǎn)成品成本、成品BOM、現(xiàn)金流、客戶訂單等重要信息都將暴露在互聯(lián)網(wǎng)上。會(huì)計(jì)信息安全是整個(gè)企業(yè)信息安全的一個(gè)重要方面。虛擬技術(shù)在加快信息處理速度、促進(jìn)無(wú)紙化辦公、實(shí)現(xiàn)異地通信和實(shí)時(shí)處理方面有著巨大的優(yōu)勢(shì)，但在保證數(shù)據(jù)的隱私和安全方面顯示出脆弱的一面。如何改善網(wǎng)絡(luò)會(huì)計(jì)信息系統(tǒng)的安全，防止信息的有意或者無(wú)意泄露，是會(huì)計(jì)信息系統(tǒng)建設(shè)、運(yùn)行和維護(hù)過程中必須重視的問題。一項(xiàng)調(diào)查表明，會(huì)計(jì)人員的日常行為正不斷地將公司敏感信息推向風(fēng)險(xiǎn)區(qū)，而統(tǒng)計(jì)表明，60%的系統(tǒng)安全問題產(chǎn)生在組織內(nèi)部[2] 。不合理的權(quán)限控制使部分員工具有接觸和傳播公司敏感信息的權(quán)限，其已經(jīng)成為信息泄露的巨大隱患。可以認(rèn)為:不合理的訪問權(quán)限控制是造成數(shù)據(jù)泄露的最為主要的原因之一。

國(guó)內(nèi)不少學(xué)者對(duì)網(wǎng)絡(luò)會(huì)計(jì)信息系統(tǒng)的安全做了相關(guān)研究。文獻(xiàn)[3]提出了網(wǎng)絡(luò)會(huì)計(jì)的內(nèi)部安全控制機(jī)制，其介紹的相關(guān)安全技術(shù)值得參考，只是并未給出具體的實(shí)現(xiàn)方法。文獻(xiàn)[4]對(duì)用友會(huì)計(jì)系統(tǒng)的權(quán)限設(shè)置做出了詳細(xì)的描述和概括，以實(shí)例的形式描述了在會(huì)計(jì)信息系統(tǒng)中設(shè)置權(quán)限的步驟和過程，但缺乏方法論支持，也無(wú)法驗(yàn)證其合理性和高效性。文獻(xiàn)[5]提出了基于抉擇矩陣的權(quán)限分析方法，該方法應(yīng)用業(yè)務(wù)流程作為權(quán)限設(shè)置的依據(jù)，闡明了基于業(yè)務(wù)流程的權(quán)限分析方法和步驟，但其使用的模型簡(jiǎn)單，對(duì)于權(quán)限設(shè)置中普遍存在的約束條件等并未涉及，而且針對(duì)的是一般ERP系統(tǒng)，并不能很好地與網(wǎng)絡(luò)會(huì)計(jì)信息系統(tǒng)的安全特點(diǎn)相吻合。國(guó)外學(xué)者對(duì)網(wǎng)絡(luò)會(huì)計(jì)信息安全的闡述較少，F(xiàn)rederick Gallegos認(rèn)為現(xiàn)代信息系統(tǒng)必須要在信息技術(shù)的控制和審計(jì)之下，不能游離于控制和審計(jì)之外[6]。但是，以上研究都是論證信息安全在網(wǎng)絡(luò)會(huì)計(jì)中的重要性以及可能采取的技術(shù)，均未涉及權(quán)限設(shè)置的具體實(shí)現(xiàn)及其實(shí)現(xiàn)方法。

2 網(wǎng)絡(luò)會(huì)計(jì)信息系統(tǒng)權(quán)限設(shè)置的特點(diǎn)

與其他職能管理信息系統(tǒng)相比，網(wǎng)絡(luò)會(huì)計(jì)信息系統(tǒng)具有以下特點(diǎn):

(1) 開放程度高。網(wǎng)絡(luò)會(huì)計(jì)系統(tǒng)一般采用基于Internet的B/S結(jié)構(gòu)的信息架構(gòu)，以保證異地、實(shí)時(shí)的會(huì)計(jì)信息處理和訪問。相對(duì)于采用基于Intranet的C/S結(jié)構(gòu)的其他信息系統(tǒng)，其更容易受到網(wǎng)絡(luò)攻擊。

(2) 信息的敏感度高。在網(wǎng)絡(luò)會(huì)計(jì)信息系統(tǒng)中，存在著大量的、敏感度高的數(shù)據(jù)，如企業(yè)的產(chǎn)品成本和庫(kù)存、原材料的采購(gòu)價(jià)格和供應(yīng)商信息等。這些企業(yè)的私有信息一旦泄露，將使企業(yè)處于不利的競(jìng)爭(zhēng)地位。

(3) 在權(quán)限設(shè)置中存在復(fù)雜的約束條件。對(duì)于會(huì)計(jì)數(shù)據(jù)的訪問權(quán)限，不但因?yàn)橛脩舻募?jí)別不同而不同，而且對(duì)數(shù)據(jù)的訪問可能存在時(shí)間、空間、互斥等權(quán)限限制條件，如會(huì)計(jì)憑證的制單員不能同時(shí)具有憑證審核的權(quán)限，另外還存在大量的臨時(shí)權(quán)限。

(4) 業(yè)務(wù)綜合性。網(wǎng)絡(luò)環(huán)境下的會(huì)計(jì)信息已經(jīng)完全和企業(yè)的其他業(yè)務(wù)相融合，會(huì)計(jì)信息的獨(dú)立性在下降。會(huì)計(jì)信息往往和其他的業(yè)務(wù)信息交織在一起。但是，這些信息的密級(jí)度是不同的，會(huì)計(jì)信息往往具有較高的密級(jí)，在大多數(shù)情況下，需要進(jìn)行額外的權(quán)限設(shè)置，以防止低密級(jí)度的用戶訪問高密級(jí)度的數(shù)據(jù)。

綜上所述，在網(wǎng)絡(luò)會(huì)計(jì)信息系統(tǒng)中，應(yīng)該對(duì)相關(guān)信息進(jìn)行權(quán)限訪問控制以保證數(shù)據(jù)安全，而且，權(quán)限的設(shè)置方法應(yīng)該具有針對(duì)性，滿足網(wǎng)絡(luò)環(huán)境下的會(huì)計(jì)信息系統(tǒng)用戶需要。

3 現(xiàn)有的權(quán)限控制模型及其在授權(quán)過程中存在的問題

會(huì)計(jì)信息系統(tǒng)中的權(quán)限控制一般遵循基于角色的存取控制(RBAC)模型[7]，即:將一組會(huì)計(jì)數(shù)據(jù)的訪問權(quán)限賦予某一個(gè)角色(Role，對(duì)應(yīng)于組織中的職位)，再將這一角色賦予某一個(gè)或者多個(gè)用戶，從而使得用戶具有該角色所擁有的權(quán)限。RBAC的基本思想見圖1。

大部分企業(yè)對(duì)于會(huì)計(jì)數(shù)據(jù)訪問權(quán)限都有相關(guān)的管理制度，包括權(quán)限申請(qǐng)制度、多級(jí)審批制度、定時(shí)審計(jì)制度等。不少企業(yè)還在組織結(jié)構(gòu)方面進(jìn)行調(diào)整，以進(jìn)一步控制會(huì)計(jì)數(shù)據(jù)的安全，例如:建立專門的職能辦公室以審核權(quán)限的授予。但是，在現(xiàn)有的會(huì)計(jì)信息系統(tǒng)建設(shè)過程中，缺乏系統(tǒng)的方法論指導(dǎo)。不少企業(yè)權(quán)限設(shè)置工作呈現(xiàn)出這樣一種局面:系統(tǒng)管理員像消防隊(duì)員一樣整天到處應(yīng)急處理權(quán)限設(shè)置問題，但即使這樣仍然不能滿足權(quán)限設(shè)置需求。系統(tǒng)的權(quán)限設(shè)置是否存在內(nèi)在規(guī)律或者方法用于指導(dǎo)權(quán)限設(shè)置的整個(gè)過程?如何為崗位建立角色，以滿足權(quán)限最小化原則?已經(jīng)建立的角色是否過于集中抑或過于分散?權(quán)限的分配是否合理?

當(dāng)前，大部分企業(yè)的權(quán)限設(shè)置和權(quán)限授予是憑會(huì)計(jì)信息系統(tǒng)實(shí)施人員的經(jīng)驗(yàn)確定的[5]，或者結(jié)合了一部分業(yè)務(wù)運(yùn)作實(shí)際需要進(jìn)行部分的調(diào)整，這是上述問題存在的關(guān)鍵。分析以經(jīng)驗(yàn)為基礎(chǔ)的權(quán)限設(shè)置方法，可以歸納其存在的主要問題是:①角色設(shè)置沒有明確的規(guī)劃，權(quán)限控制混亂;②雖然具有足夠的靈活性，各個(gè)角色的權(quán)限可以很方便地增加或者修改，但是這種靈活性同樣導(dǎo)致了事務(wù)的反面——各個(gè)角色的最終擁有權(quán)限隨時(shí)間而變化，這與對(duì)權(quán)限的嚴(yán)格控制要求相矛盾;③權(quán)限設(shè)置完成后，對(duì)于某一用戶具有哪些權(quán)限、所具有的權(quán)限是否超出業(yè)務(wù)要求無(wú)法迅速給出答案。

針對(duì)上述問題，本文提出了基于業(yè)務(wù)流程的權(quán)限設(shè)置策略，并擬通過建立權(quán)限查詢系統(tǒng)，滿足對(duì)角色和用戶的權(quán)限進(jìn)行監(jiān)控的實(shí)際需求。

4 基于業(yè)務(wù)流程的權(quán)限設(shè)置策略

信息系統(tǒng)的建設(shè)并不是業(yè)務(wù)流程的自動(dòng)化，而應(yīng)該是基于信息技術(shù)的業(yè)務(wù)流程優(yōu)化和再造。企業(yè)在進(jìn)行信息系統(tǒng)(包括會(huì)計(jì)信息系統(tǒng))建設(shè)時(shí)，會(huì)重新確認(rèn)企業(yè)的業(yè)務(wù)流程，繪制業(yè)務(wù)流程圖。業(yè)務(wù)流程圖詳細(xì)描述了業(yè)務(wù)的執(zhí)行過程，明確定義了業(yè)務(wù)的執(zhí)行部門和順序。企業(yè)業(yè)務(wù)流程具有相對(duì)穩(wěn)定性，其修改有嚴(yán)格的審批制度和程序，與權(quán)限的嚴(yán)格審批制度要求相吻合。因此，依據(jù)業(yè)務(wù)流程圖，歸納和整理每一個(gè)崗位的業(yè)務(wù)范圍和業(yè)務(wù)職責(zé)，進(jìn)而確定該崗位在信息系統(tǒng)中的操作權(quán)限是符合邏輯的。基于業(yè)務(wù)流程的權(quán)限設(shè)置大致可以分為以下幾個(gè)步驟:

(1) 按照會(huì)計(jì)業(yè)務(wù)流程圖，依崗位分析和歸納業(yè)務(wù)流程要素，建立崗位操作一覽表。企業(yè)實(shí)際會(huì)計(jì)業(yè)務(wù)的處理，往往涉及多個(gè)部門的多個(gè)崗位。依據(jù)業(yè)務(wù)流程圖，歸納和分析每一個(gè)崗位的業(yè)務(wù)操作是整個(gè)權(quán)限設(shè)置的基礎(chǔ)。只有了解了崗位的所有操作，才能夠了解權(quán)限需求，進(jìn)而完成權(quán)限設(shè)置。對(duì)業(yè)務(wù)操作的歸納往往不能一步到位，因?yàn)榱鞒讨锌赡馨恿鞒蹋裕枰粩嗟剡M(jìn)行細(xì)分，直至找出該崗位的所有操作，并且建立描述所有崗位的操作一覽表。

(2) 對(duì)業(yè)務(wù)流程要素進(jìn)行分解，找出操作的所有信息需求。在步驟(1)中得到的崗位操作描述往往是單一的、局限的，操作的完成過程中往往需要大量的相關(guān)信息輔助。例如，某會(huì)計(jì)崗位需要完成憑證錄入工作，但是，在完成此操作的過程中，可能還需要一些相關(guān)的信息查詢工作，如原材料價(jià)格查詢、采購(gòu)訂單的查詢等。因此，需要對(duì)業(yè)務(wù)操作進(jìn)行分解，找出完成操作需要的相關(guān)信息，為角色的權(quán)限設(shè)置奠定基礎(chǔ)。

(3) 確認(rèn)業(yè)務(wù)操作的約束限制。權(quán)限設(shè)置存在時(shí)間約束、范圍約束、排斥約束等。某些信息系統(tǒng)的操作，僅允許在某一時(shí)間段內(nèi)完成，例如只有月末6點(diǎn)后才能夠關(guān)賬;另外一些約束，可能涉及操作的范圍，例如集團(tuán)下設(shè)若干工廠，而會(huì)計(jì)人員只對(duì)其中一個(gè)或者幾個(gè)有賬務(wù)操作權(quán)限;最后，某些操作的權(quán)限不能同時(shí)授予一個(gè)人，系統(tǒng)中的這些操作需要相互排斥，不要賦予同一個(gè)角色或者用戶，例如，出納和會(huì)計(jì)。

另外，在實(shí)際處理中，可能還需要設(shè)立敏感信息的屏蔽，如員工的工資信息。雖然成本會(huì)計(jì)需要完成統(tǒng)計(jì)工資成本的相關(guān)操作，但不允許其具有瀏覽單個(gè)員工工資的權(quán)限。

(4) 建立業(yè)務(wù)流程操作與會(huì)計(jì)信息系統(tǒng)操作權(quán)限的映射關(guān)系，完成崗位→角色的對(duì)應(yīng)。在確立了崗位的具體操作以及操作的相關(guān)信息需求后，將相關(guān)操作映射到信息系統(tǒng)中，形成對(duì)應(yīng)的執(zhí)行代碼。同時(shí)，對(duì)每一個(gè)崗位進(jìn)行相應(yīng)的約束設(shè)置，從而為每一個(gè)崗位完成角色的設(shè)置。

(5) 將角色權(quán)限賦予用戶。依據(jù)用戶所處的崗位，將角色的權(quán)限賦予該用戶，完成用戶的權(quán)限設(shè)置。一個(gè)用戶可以被賦予多個(gè)角色，一個(gè)角色也可以賦給多個(gè)用戶。當(dāng)多個(gè)角色被賦予同一個(gè)用戶時(shí)，用戶的權(quán)限是這些角色的權(quán)限集合的并集。

基于業(yè)務(wù)流程的權(quán)限設(shè)置使得角色相對(duì)于組織成員具有了相對(duì)獨(dú)立性。這樣，即使組織成員發(fā)生變動(dòng)，角色和相應(yīng)的權(quán)限設(shè)置也可以保持不變，因此具有了相對(duì)獨(dú)立性。

5 基于業(yè)務(wù)流程的權(quán)限設(shè)置實(shí)例

某企業(yè)集團(tuán)會(huì)計(jì)管理部門設(shè)有應(yīng)付會(huì)計(jì)、應(yīng)收會(huì)計(jì)、總賬會(huì)計(jì)等職能科室，應(yīng)付會(huì)計(jì)科室內(nèi)設(shè)有會(huì)計(jì)1、會(huì)計(jì)2等崗位，其中會(huì)計(jì)1崗位主要完成生產(chǎn)性物料采購(gòu)、工程物料采購(gòu)、外協(xié)加工相關(guān)的會(huì)計(jì)業(yè)務(wù)。依照基于流程的權(quán)限設(shè)置方法，針對(duì)會(huì)計(jì)1崗位完成權(quán)限設(shè)置的過程和步驟如下:

(1) 歸納和分析會(huì)計(jì)1崗位的操作。分析和匯總整個(gè)企業(yè)的業(yè)務(wù)流程圖，可以知道會(huì)計(jì)1崗位的操作主要與生產(chǎn)性物料采購(gòu)、工程物料采購(gòu)等業(yè)務(wù)流程有關(guān)，查詢這些流程，匯總與會(huì)計(jì)1崗位相關(guān)的操作可以得到以下關(guān)系矩陣(見表1)。

其中，SCNMM02:生產(chǎn)性物流采購(gòu)流程;SCNMM04:工程性物料采購(gòu);SCNMM06:外協(xié)加工;SCNMM14:原材料退貨;SCNMM16:工程物料退貨。

由于預(yù)付款處理、發(fā)票處理、采購(gòu)付款等本身就是流程，因此，還需要對(duì)這些流程進(jìn)一步進(jìn)行分解。考察預(yù)付款處理、發(fā)票處理等流程后，歸納會(huì)計(jì)1崗位的操作如下(見表2):

(2) 對(duì)每一業(yè)務(wù)操作進(jìn)行分解，確定完成操作所需要的相關(guān)信息(見表3)。

(3) 約束條件的設(shè)置。根據(jù)業(yè)務(wù)的實(shí)際需要，會(huì)計(jì)1崗位員工只能對(duì)某一工廠具有上述權(quán)限。以此為基礎(chǔ)，在步驟(4)的權(quán)限設(shè)置中，完成相關(guān)權(quán)限執(zhí)行范圍的設(shè)置。

(4) 建立與會(huì)計(jì)信息系統(tǒng)操作的映射關(guān)系，形成權(quán)限的集合——角色。以SAP的會(huì)計(jì)管理為例，依據(jù)步驟(2)和步驟(3)確定的權(quán)限操作，其對(duì)應(yīng)的操作代碼見表4。

建立一個(gè)角色ACC1，將表4中的權(quán)限代碼賦予該角色即可完成角色的設(shè)置。

(5) 為會(huì)計(jì)1崗位的所有員工建立用戶名，并且設(shè)置密碼。將ACC1角色付給崗位1的所有用戶，完成權(quán)限的設(shè)置過程。

從權(quán)限設(shè)置的實(shí)例可以看出，雖然上述權(quán)限設(shè)置過程較以經(jīng)驗(yàn)為基礎(chǔ)的權(quán)限設(shè)置復(fù)雜，但基于流程的權(quán)限設(shè)置方法邏輯清晰，使得整個(gè)企業(yè)的權(quán)限設(shè)置有章可循，權(quán)限設(shè)置也有了整體的、企業(yè)級(jí)的規(guī)劃，而不是雜亂無(wú)章的。

6 結(jié)束語(yǔ)

本文以業(yè)務(wù)流程為依據(jù)，通過對(duì)每一個(gè)會(huì)計(jì)職能崗位工作的歸納和分析，建立角色進(jìn)而完成用戶權(quán)限設(shè)置，使得整個(gè)會(huì)計(jì)系統(tǒng)的權(quán)限設(shè)置工作有了行為的準(zhǔn)則。基于業(yè)務(wù)流程的權(quán)限設(shè)置符合權(quán)限設(shè)置的最小化要求，能夠?yàn)榫W(wǎng)絡(luò)會(huì)計(jì)信息系統(tǒng)的權(quán)限控制提供保障，最大限度地防止敏感會(huì)計(jì)信息泄露。但是，基于流程的權(quán)限設(shè)置將單一用戶的權(quán)限分散在若干個(gè)角色中，每一個(gè)角色又存在若干權(quán)限，因此，當(dāng)需要審計(jì)某一用戶的權(quán)限是否合法時(shí)，將不得不求取這些角色的權(quán)限集合的并集，對(duì)于大型企業(yè)集團(tuán)，這將是一件復(fù)雜的工作。通過建立一個(gè)權(quán)限查詢系統(tǒng)，實(shí)現(xiàn)快速的權(quán)限查詢是本課題的下一個(gè)研究重點(diǎn)。

主要參考文獻(xiàn)

[1] 蔡立新， 崔也光. 挑戰(zhàn)與變革:基于信息社會(huì)環(huán)境的會(huì)計(jì)理性思考[J]. 會(huì)計(jì)研究， 2007(2).

[2] The Secturity of EMC(RSA). The Insider Security Threat in IT and Financial Services[EB/OL]. http://china.rsa.com/press_release.aspx?id=9703， 2008-10-13.

[3]姜靈敏. 網(wǎng)絡(luò)會(huì)計(jì)安全問題研究[M]. 成都: 西南財(cái)經(jīng)大學(xué)出版社， 2002.

[4]馬繼偉. 用友ERP-U8操作員權(quán)限設(shè)置探悉[J]. 中國(guó)管理信息化， 2006(6):28-29.

[5] 翟小兵. 基于抉擇矩陣的ERP流程中崗位權(quán)限分析方法的研究[J]. 機(jī)械工業(yè)信息與網(wǎng)絡(luò)， 2006(3):33-35.

[6] Frederick Gallegos， Daniel Manson， Sandra Allen Senft. Information Technology Control and Audit[M] . CRS Press， 1999.

[7] R Sandhu，E J Conyne， et al. Role-Based Access Control Models[J]. IEEE Computer， 1996，29(2):38-47.