試析企業內部控制管理中信息化安全管理

文/沈沁

?

試析企業內部控制管理中信息化安全管理

文/沈沁

摘要：隨著信息化技術的發展，信息化工具被廣泛應用，信息化安全越來越重要。企業應提升企業信息化安全管理，做好信息化物理安全管理、網絡安全管理、系統安全管理、應用安全管理，通過信息化安全工作檢查，落實信息化內部控制。

關鍵詞：企業內部控制；信息化；安全管理

隨著信息化技術的發展，企業信息化工具擴展度越來越高，擴展面越來越廣，大大提升了企業運營及管理的便捷性，企業依賴系統大數據的信息處理和分析來提升效率，信息化技術應用為企業創造了不可替代的價值。企業財務系統、資源管理系統、辦公系統等形成企業信息化綜合平臺，隨著信息數據的大量輸入、輸出、交換、應用，信息處理的便捷使企業信息化安全工作越來越重要。任何信息安全方面缺失或弱化都可能造成工作的中止、信息的丟失或泄露，使企業產生影響或經濟損失，以信息化平臺為重要工作工具的單位，影響更加重大。4G時代的到來，為企業信息走向移動化鋪好了平臺，也為企業信息安全管理提出了新一步要求。

我國的《企業內部控制基本規范》中提到信息化安全管理問題，該規范第四十一條指出：“企業應當利用信息技術促進信息的集成與共享，充分發揮信息技術在信息溝通中的作用。企業應當加強對信息系統開發與維護、訪問與變更、數據輸入與輸出、文件儲存與保管、網絡安全等方面的控制，保證信息系統安全穩定運行。”所以信息化安全管理應為現代企業內部控制管理重要內容，如何優化信息化管理，提升信息化安全，成為需要思考的問題。

一、信息化安全管理分析

企業信息化安全管理包括物理安全管理、網絡安全管理、系統安全管理、應用安全管理等，內部控制的實施有助于預防信息化管理下企業信息數據尤其是財務數據丟失的風險，降低借助信息系統舞弊的可能性，保證企業各項經營活動有效運行。企業應通過企業信息化安全工作分析，定期進行信息化安全工作檢查，落實信息化安全內部控制管理。

（一）物理安全內部控制管理

1.硬件安全

信息化處理以電腦、服務器、存儲設備、網絡設備、安全設備作為硬件設備，電腦等信息終端設備不完善或故障會影響辦公；服務設備如服務器、存儲設備的損壞，會直接造成數據的丟失和數據處理的中斷；網絡設備如路由器、交換機的損壞，會讓系統停止。沒有安全設備或安全設備不工作會讓系統受外界所攻擊或盜取重要信息。企業信息化安全管理應對硬件安全有應急預案，增加必要的備用設備，如服務器、路由器、交換機等，設備一旦損壞，備用設備馬上進入工作狀態，使業務不中止或恢復時間短。設備應支持雙路電源供電，對于有可能的停電，企業應準備和啟用備用電源。

2.信息設備環境安全

環境安全包含防火、防盜、溫度、濕度、潔凈度等環境安全，只有安全的信息設備環境才能保障信息設備正常、高效工作，防范設備滅失或信息損失。對于一個大型或中型企業應專門建設符合上述環境要素的機房，服務器等設備應放在機房，因機器不間斷運轉造成溫度較高，應配備精密空調等制冷設備，確保溫濕度得到精確控制，服務器的放置空間要合理，保持空氣的流通并符合設備散熱需求。機房配置消防報警裝置、氣體滅火裝置，以應對突發火災事件。機房重地應有門禁管理，確保防盜和人為破壞的發生，信息化管理人員應就機房建設及日常管理進行檢查。

另外移動辦公設備（筆記本電腦、平板電腦、手機）的廣泛使用使設備不安全性增加，云技術、云方案不斷推新應用，使移動辦公增加，企業應對于移動辦公設備丟失制訂預案，對重要移動設備做防盜防丟失部署，以使設備被盜或丟失時由信息管理員實施遠程鎖定，阻止非法入侵或直接銷毀設備中的數據。

3.數據安全

數據的安全分為數據保護、數據保密和數據恢復。存儲設備是數據的載體，也是實施信息化企業的生命，數據丟失可以是致命的，一個安全穩定的存儲設備對數據保護至關重要。重要數據應以加密存儲，存儲介質廢棄時的完全抹除是數據保密應注意事項，可使用硬件自加密硬盤簡化數據保密過程。而存儲備份和恢復方案的實施是數據安全的最后一道防線，可以在事件發生后數據得以恢復。企業應及時做好數據備份、異地備份，防范火災、地震等不可預知事項帶來的數據滅失。企業應做出數據恢復預案并進行演習以應對可能的數據安全事故。

（二）網絡安全與信息傳輸安全內部控制管理

網絡提供了便捷的信息傳遞、快速的信息查詢，實現多人多組織的便捷工作，但也帶來網絡風險。企業首先應做好網絡訪問控制，最主要的措施是建立有效的防火墻，應檢查企業網絡設備是否安裝了有效的防火墻，防火墻的版本是否能及時最新，是否安排專門人員定期通過收集分析網絡行為、安全日志等進行入侵檢測，檢查訪問控制權限審批授予是否得當，是否對不適當的人做訪問權限的撤銷管理。

終端用戶操作不當，如違規安裝軟件或互聯網資訊點擊可能使病毒侵入網絡，故企業防止內部局域網風險，需規范終端用戶操作，對網上下載文件有必要要求及管理。針對承載保密信息的電腦，企業應專機專用并禁止與外網進行連接。對于有特殊安全需求的部門可部署桌面云方案，將數據和操作安全策略放置到服務器上統一管理。企業可通過部署網絡防病毒軟件并實時更新保證各終端使用相同的安全策略，避免個體不正確的安全習慣，保證定期進行病毒和惡意軟件的查殺和清除，保障系統不因病毒侵入而崩潰，是信息化安全內控管理的有效手段。

運營商的線路故障，可能造成整個網絡信息溝通中斷，雖然幾率較少，但對于以信息化工具為重要手段的單位影響會很大；為防止外部網絡中斷，檢查評估是否需要選擇兩家運營商，保證信息傳輸的正常。

（三）系統安全內部控制管理

軟件是信息化實現的載體，所有信息都是基于軟件進行輸入、輸出、運算、分析和應用的。

軟件安全成為一個越來越不容忽視的問題，軟件漏洞會造成信息丟失、信息泄露。軟件病毒會造成系統崩潰、信息錯誤。提升軟件安全性，是企業信息化建設的重要環節。

企業的軟件安全管理應檢查是否使用可靠的系統操作平臺軟件，比如：Windows、Linux；是否安裝有效的防病毒軟件并及時更新，比如：卡巴斯基、諾頓等；是否選擇安全保障高的信息化應用系統軟件，比如：SAP、Oracle、金蝶、用友軟件等；信息化軟件是否有穩定后期保障服務。完善的軟件是信息化數據安全和信息化功能應用的保證。

（四）應用安全內部控制管理

1.系統平臺應用內部控制管理

企業信息化最主要應用是使用系統平臺完成會計信息自動化處理與分析、實現業務流程記錄與信息傳遞。企業應做到信息化平臺統籌規劃，使財務信息化和業務流程信息化充分結合，提高信息處理效率及信息管控力度，將企業的管理思想有效置入信息化流程使信息化平臺成為企業內部控制管理的有效工具和手段。

企業信息化系統平臺應用工作包括系統上線實施建設和系統日常運維管理，都有內部控制風險點管理。系統上線實施建設為系統平臺應用的基礎，對企業信息化應用起到關鍵作用。對于信息化應用程度深的企業，若實施不成功會給企業帶來經濟損失乃至巨大風險，為內部控制管理重大風險點，應予以高度重視。企業應制定詳細的工作計劃及實施方案，優化系統流程，制定編碼規則，項目經理應實施有效的進度管理以保證系統上線成功，系統上線后應對項目進行驗收，對應用中發現問題予以改善。系統日常運維管理（包括變更管理）是信息化有效穩定運行的保證，企業應制定管理制度進行規范化管理，信息化管理人員做好工作表單記錄，通過檢查表單記錄評估信息化工作開展是否得當。

系統平臺應用離不開系統流程與系統授權管理，只有信息化系統操作流程及權限設置合適，內部控制管理工作才能有效開展，風險得到即時控制。系統流程管理要求系統流程與企業管理流程文件相符；系統流程設置應合理有效，以企業增值及反應速度為原則，在實現內部控制基礎上盡量做到流程簡化，體現內部控制管理的全面性、重要性、制衡性、適應性和成本效益性。授權管理為企業內部控制管理關鍵點，如何做好系統授權？首先，授權人適崗，要求系統授權人或批準人對公司流程掌握，對內部控制管理有清醒的認識，對不相容崗位分離有清楚的把握，保證授權批準人與執行人分離，業務執行人與審核人分離，執行人和記錄人分離，物資保管人與記錄人分離，執行業務人與物資保管人分離；其次，配備必要的授權審核人員，授權審核人員可以是企業內控管理人員也可以是企業制度制訂及管理人員，在系統流程制訂時對授權設置進行審核，定期開展授權審計，以發現授權中問題，及時更正；再次，授權管理包括授權工作也包括撤銷授權工作，需及時做好離職離崗人員系統權限調整，以保證系統操作人權限適合。

鑒于系統平臺將企業信息做了大規模的集中，信息泄露的風險加大，所以對于系統數據、信息引出（下載）的權限管理應高度重視，尤其是關鍵數據及信息引出，避免信息批量式流出或關鍵信息被不適合人使用，給企業帶來災難性損失或技術成果和管理成果被他人竊取。

2.密碼內部控制管理

服務器、電腦、平臺系統進入都需要密碼管理，企業應要求操作人員有效設置密碼，不得將密碼告知他人，定期更換密碼，企業應檢查企業員工外出離崗時有無告知他人密碼協助處理流程的行為。隨著技術進步，企業可通過技術手段實施密碼管理。

3.電子郵件和即時交流工具安全管理

信息傳輸的便捷性使信息化風險加大，信息傳輸風險包括重要信息流出后不受控制及內部數據信息通過電子郵件、QQ等即時通訊工具方式泄露，企業應評估重要崗位、重要文檔信息流出的風險度，必要時使用信息安全軟件管理，進行重要文檔加密或對特定區域信息加密管理；通過網絡行為管理軟件跟蹤敏感文件和信息的泄露，使企業信息安全得到控制。對于即時通訊系統如QQ等可能帶來的病毒和入侵風險，企業可根據信息化管理的重要程度確定是否部署內部專用即時通訊系統予以防范。

（五）隨著信息技術的不斷發展與進步，各種云平臺服務推出，服務提供商可以提供專業的機房、服務器、存儲、網絡、信息化平臺等供企業租用，企業只需付一定的服務費，為企業解決大部分信息化安全問題。使用云平臺服務要做好服務商的選擇，對于關鍵信息和數據采用做好方案選擇。

二、結語

信息化工具提升了企業經營效率和內部控制管理，對企業提出新的挑戰，信息化安全管理作為企業內部控制管理工作重要部分應予以落實。企業根據自身情況做好信息化安全部署與管理，在享受技術進步帶來工作便捷及管理高效的同時做好信息化安全風險防范，同時運用信息化工具實現企業內部控制管理，為企業的高效運行保駕護航。

（作者單位：深圳市泛海三江電子有限公司）