財務管理軟件的數據安全性研究

　　 摘要：近年來，財務管理軟件在企業中發揮的作用日益突現，但在財務軟件的數據安全控制上面，還存在著一定的缺陷與不足，容易被企業所忽視。文章分析了企業在傳統的財務工作模式下，完善其財務軟件開發環境與應用環境數據安全性的對策與措施，存在一定的現實意義。
　　 關鍵詞：財務；用友軟件；數據安全
　　 伴隨科學技術的飛速發展，信息保護的方法與財務數據的加密方式日趨多樣化，財務數據安全性方面的論述與研究也在逐漸增多。筆者即從下述幾個方面，探討企業如何提升財務軟件的數據安全性問題。
　　 一、我國財務管理軟件的數據安全現狀
　　 對會計數據產生不安全威脅的操作，主要集中在兩個方面，一方面，刪除會計信息的相關文件；另一方面，對數據庫文件的內容進行修改。凡是實現了電算化的企業與單位，都會配套多種防范措施來保障自身會計信息的安全性，計算機開機都設有口令，未授權人員不得進入機房進行操作。目前我國無論是單用戶或是網絡用戶，其處理賬務的系統一般與外部網絡是沒有聯系的（不包含銀行系統）。因此，外部人員進入計算機系統，修改會計數據的可能性相對較小。企業尤其需要防范的是自身財務軟件的內部操作人員，有可能對會計信息文件進行非法修改。
　　 企業內部會計電算化的工作人員，有可能尋找到各種手段與方法，達到其非法轉移資金、獲取商業機密、掩蓋舞弊行為的目的。伴隨工作人員計算機知識的不斷累積，再參照各類軟件的使用說明，對注冊表進行修改已不是件困難的事，注冊表里的Admin密碼已經不再安全。這樣一來，Admin與操作人員使用的密碼就沒有了作用，會計信息就更沒有安全可言。計算機系統的管理員主要是對系統進行安全與維護工作，其主要內容包含操作人員設置、會計賬套的引入與輸出等。如果得到了Admin密碼，就意味著能夠對整個系統進行控制，可以進行各種操作，后果不堪設想。
　　 用友ERP-U8是我國用戶量最多、應用面最廣、行業實踐經驗最為豐富的ERP，但其數據信息的保密措施也不盡完善：用一個賬套能夠進行多個賬套主管設置的缺陷，新增一個操作人員，設置賬套主管的權限，利用該權限隨時進行非法的操作；直接用原賬套主管密碼，用賬套主管身份非法進行操作；利用某一操作人員密碼，非法進行操作并陷害他人；獲取商業機密、刪除數據、非法篡改等活動。非法操作完成后，再利用Admin身份清除有關的上機日志，就能夠不留下任何痕跡。不難看出，我國企業財務軟件的數據安全性存在著重大隱患。
　　 二、財務軟件在開發環節的防護措施與加密技術
　　 （一）實施數據加密的思路和原則
　　 與普通的數據管理軟件相比較，財務軟件的數據加密功能，還存在著方便使用與規范處理之間的矛盾。一是軟件加密的控制措施不可獨立存在，要與企業財務的內部分工以及崗位牽制相結合，使得掌握部分操作權限的會計電算化人員，既能在順暢的財務軟件環境里開展工作，同時又能保障系統的控制手段滿足會計人員業務處理的習慣；二是考慮到全面審計與責任確認的方便性，應該盡可能讓財務人員在利用軟件操作數據更新、修改、沖銷等過程中，留下能夠判斷其思路與動作的痕跡。由此，在編程的過程中，強化密碼管理，完善分工權限的牽制職能等應遵循下列原則。
　　 1.分級控制法進行操作職能限定
　　 利用程序的基本功能對軟件操作的功能與規范進行限定，以此為一級控制；系統管理員對系統參數以及一般操作員的管理權限進行設置與掌握，這是軟件賦予主管人員特殊權限下的二級控制措施；由各個操作員對自己的操作記錄與操作權力進行加密保護措施，這是個人權責范圍內的三級控制。
　　 2.對可控內容進行編程和操作的雙重控制
　　 在設計程序的過程中建立起規范操作與功能范圍的限定，是全部操作人員無法進行突破的，財務規范所確立的有關基本核算的各項制度，應該在編程的環節進行確認；對于日常管控和個性化操作規程，則應采用設置與配置的方式，在軟件運用的過程中，由系統管理員統一進行監控，從而達到規范操作的目的。
　　 3.崗位權限的分配環境要適宜
　　 操作員進行授權項目劃分，應該與會計的職責分工相互對應，可控項目授權控制要合理，對待權限項目的區分，既不可太粗，也不可過細。
　　 （二）對操作日志及運用規范進行合理定位
　　 操作日志即是對軟件的操作事項、使用時間、使用人所做的記載，是對操作記錄與運行任務進行查詢與驗證的有效手段。在使用操作日志的過程當中，應該重點注意以下三個問題：日志管理者的確定；日志所包含的內容；操作記錄保留限期。就筆者看來，如果系統資源較充裕，操作日志可交由系統進行管理，這樣使得軟件的使用人對其中內容只能進行有限閱讀，無法干涉其自動生成和刪除，提升操作日志的客觀性。鑒于在特殊情況下，有可能對歷史記錄進行追溯，日志的保留限期可對照企業主要會議的檔案保管限期來設定。
　　 （三）運用好程序加密技術
　　 想要提升數據的安全性，可以采用程序代碼的方式，在編程的環節對關鍵數據實施加密處理。加密后的數據不可直接讀取，不具有被視為另類數據產生的欺騙性，有效避免只了解基本操作的財務人員在常規操作中或不經意間查看到某些關鍵數據。需要進行頻繁讀取的權限開關、系統環境參數、操作員密碼、操作日志、備份信息、刪除記錄等重要數據，都可以采用這一方式進行保護。
　　 （四）開發出可靠、獨立的歷史軌跡功能
　　 會計電算化的發展，使企業財務數據的修改與刪除可以不留下任何痕跡，給審計工作的發展帶來了很大的困難?，F如今，財務軟件內在的制約功能還沒有得到有效的開發，無縫嫁接就成為保障會計數據真實性的一大障礙。伴隨數據技術的逐步發展與儲存技術的日漸成熟，發展獨立控制區，進行輔助數據的后臺打包管理工作逐步得以實現。會計電算化在核算中進行的數據恢復、憑證刪除、反過賬等操作都可以在后臺界面中留下完整資料，這是與財務軟件自身升級更新或運行故障不相關的。必要時，某些操作員（由權威部門或軟件廠商授權）憑借自身權力，能夠迅速查看或提取出軟件運行產生的歷史軌跡，能夠有效防止違規核算現象的發生。
　　 三、財務軟件在應用環節的安全防范與數據保護工作
　　 第一，強化對操作員的操作權限管理。很多財務軟件都是利用超級用戶，即系統管理員，實現對操作員的設置以及授權工作。通常來講，超級用戶與企業傳統的財務主管或者會計電算化的系統管理員相對應。系統賦予超級用戶眾多操作權力，不但可以對操作員進行增刪、更改其權限、啟用或者注銷操作員的個人密碼，還擁有數據恢復權、賬套設置權、結賬權等權力。這就對操作員的管理權進行了集中掌握，促使會計人員只能在允許權限范圍內來使用數據與處理事務。這不但是眾多崗位協作分工的要求，也是避免會計人員越權、保護信息數據安全的需要。
　　 第二，充分發揮操作密碼在企業內控制度中的作用。操作密碼的設置是財務人員維護自身責任與利益的基本手段。從會計信息安全性與財務人員職責牽制相關要求來看，操作員應該利用好軟件提供的加密功能，同時還要對登錄密碼進行經常性地修改，避免他人有意或無意進入系統，越權進行非法操作。財務系統管理員可以利用軟件的強制加密與密碼限期修改的功能，對每個操作員應履行的義務進行明確，不斷完善口令加密功能，保證財務軟件使用的規范性。
　　 第三，做好軟件操作員的權力限制措施。為了讓財會人員按照崗位職責來分享核算的權力，財務軟件在很多環節給系統管理員設置了針對功能范圍與操作權限的控制權。上述控制措施體現在操作員的權力限制與權力有限運用兩方面。操作員只可在被授權的功能范圍與操作權限以內履行自身職責。在此種管理模式下，操作員被分為若干組，不同組被賦予的權力不同，同一組操作員的權力可以共享。通過對某操作員進行權力屏蔽，系統管理員可以對每一個操作員的權限進行確定。
　　 第四，掌握系統參數對操作權限與核算程序的影響。系統參數的設置是財務軟件個性化過程的體現，很多系統參數是要由管理員進行判斷與定位的，在這些參數當中，一部分是指向數據安全維護與軟件規范運用的。對系統參數進行適當設定，可以限制操作員的部分權力，從而能夠對會計核算的資料實現主動保護；通過規范數據傳遞與維護賬務的處理程序間接實現對數據正確性與安全性的維護。
　　 總之，財務軟件的數據安全性問題逐漸被企業所重視，相關部門與人員應該針對企業現有財務管理軟件的缺陷與漏洞，制定出一系列的應對方法，從而不斷提升會計電算化的安全性，維護企業商業機密，避免給企業帶來不必要的損失。
　　 參考文獻：
　　 1.肖福英.淺談用友財務軟件的功能缺陷及其完善[J].中國商界(上