摘 要：隨著高校財務信息化的不斷發(fā)展，高校財務信息系統(tǒng)在創(chuàng)造高收益的同時也不可避免地產(chǎn)生各種數(shù)據(jù)安全問題。文章深入分析高校財務系統(tǒng)數(shù)據(jù)安全的概念，進而剖析高校財務數(shù)據(jù)系統(tǒng)影響數(shù)據(jù)安全的因素，并提出相應的策略和建議，為高校財務信息系統(tǒng)數(shù)據(jù)安全運行提供有效支持。
　　 關(guān)鍵詞：高校 財務系統(tǒng) 數(shù)據(jù)安全 對策
　　 中圖分類號:G475 文獻標識碼:A
　　 文章編號:1004-4914（2011）12-107-02
　　
　　 近年來，隨著高等學校辦學規(guī)模的不斷擴大，過去以傳統(tǒng)的手工方式為主的會計工作模式已經(jīng)遠遠不能滿足高校財務管理在新形勢的需求，因此基于網(wǎng)絡技術(shù)的高校內(nèi)部會計控制就成為了高校財務管理的主要形式。而在網(wǎng)絡化實施的過程中，如何確保財務數(shù)據(jù)的安全，財務網(wǎng)絡不被侵犯，是高校財務工作人員和管理人員面臨的新問題。高校財務數(shù)據(jù)是體現(xiàn)核心競爭力的重要信息資源，它如果因自然、計算機系統(tǒng)故障或人為的因素而遭受破壞，將給高校帶來難以估量的損失，甚至是滅頂之災。維護系統(tǒng)數(shù)據(jù)的正確性、防止系統(tǒng)外部對系統(tǒng)數(shù)據(jù)不合法的訪問、保證系統(tǒng)數(shù)據(jù)在發(fā)生意外時能及時恢復，是確保高校財務信息系統(tǒng)安全的一項重要工作。
　　 一、高校財務系統(tǒng)數(shù)據(jù)安全的概念
　　 高校財務系統(tǒng)數(shù)據(jù)安全是指保護數(shù)據(jù)不會被意外地或故意地泄露給未經(jīng)授權(quán)的人員，以及免遭未經(jīng)授權(quán)的修改或破壞。數(shù)據(jù)安全是一個涉及計算機技術(shù)、網(wǎng)絡技術(shù)、通信技術(shù)、加密技術(shù)、應用數(shù)學、信息論等多項技術(shù)的學科。數(shù)據(jù)安全是重要信息系統(tǒng)安全保障的核心問題之一，數(shù)據(jù)安全功能通過操作系統(tǒng)、安全訪問控制措施、數(shù)據(jù)庫/數(shù)據(jù)通信產(chǎn)品、備份/恢復程序、應用程序以及外部控制程序來實現(xiàn)。
　　 互聯(lián)網(wǎng)的出現(xiàn)極大地改變了高校財務系統(tǒng)的運作模式。越來越多的高校按照新體系的要求，把原先分散式的跨校區(qū)的財務數(shù)據(jù)合并收攏，集中起來放在一個巨大無比的財務數(shù)據(jù)中心里以節(jié)省成本。在新體系下，遍布高校各校區(qū)的財務人員、合作伙伴及客戶只要用簡單的Web 方式就可以方便地使用這個數(shù)據(jù)中心，從而使整個高校財務系統(tǒng)成為一個信息通暢、變化靈活的數(shù)字神經(jīng)網(wǎng)，如高校財務系統(tǒng)上線后，以前按不同業(yè)務劃分開的信息孤島也被全面整合在以會計流程為中心的會計信息系統(tǒng)中，從各個環(huán)節(jié)中不斷產(chǎn)生的會計業(yè)務數(shù)據(jù)源源不斷地流向高校財務數(shù)據(jù)中心。在這個更充分和完整的財務數(shù)據(jù)倉庫里，高校相關(guān)部門和人員可以進行更多的財務數(shù)據(jù)挖掘和決策信息的智能分析，從而對高校的資金流變化更敏捷、更有效地作出相應決策。高校財務數(shù)據(jù)的集中有利于降低成本，但遭遇危險的破壞性也在同步提高。保障財務數(shù)據(jù)的安全越來越受到各高校財務部門的重視。
　　 二、影響高校財務系統(tǒng)數(shù)據(jù)安全的因素
　　 目前，隨著大中型關(guān)系數(shù)據(jù)庫的廣泛使用，在高校財務系統(tǒng)中開發(fā)模式逐漸以C/S、B/S架構(gòu)和多層的應用系統(tǒng)為主流。這些財務系統(tǒng)的共同特征是：用戶在終端機上直接或通過中間層的應用服務器來訪問數(shù)據(jù)，而數(shù)據(jù)則集中存放在數(shù)據(jù)庫中。利用這些財務系統(tǒng)固有的弱點和脆弱性，信息系統(tǒng)中的具有重要價值的信息可以被不留痕跡地竊取，非法訪問可以造成系統(tǒng)內(nèi)財務信息受到侵害，存儲媒質(zhì)失控，數(shù)據(jù)可訪問性降低等。保護數(shù)據(jù)成為了一項復雜且成本高昂的任務。
　　 影響數(shù)據(jù)安全的因素主要有以下幾點：
　　 1.物理和環(huán)境的威脅。這主要包括支持財務數(shù)據(jù)庫系統(tǒng)的硬件環(huán)境發(fā)生故障，從而導致高校財務數(shù)據(jù)庫信息丟失或不可用。自然災害引起的系統(tǒng)破壞，主要是硬件環(huán)境的破壞。
　　 2.網(wǎng)絡上的威脅。目前，通過網(wǎng)絡對計算機系統(tǒng)進行攻擊的方法層出不窮，這使得網(wǎng)絡環(huán)境下的數(shù)據(jù)庫及其所處的軟件環(huán)境沒有安全保障。同時，網(wǎng)絡技術(shù)尤其是技術(shù)的發(fā)展與普及帶來了計算機病毒和木馬的大發(fā)展，從而使得計算機病毒對系統(tǒng)的威脅日益嚴重。與此同時，一些黑客也會利用財務系統(tǒng)漏洞破壞計算機的穩(wěn)定性。
　　 3.非法訪問的威脅。這包括非法用戶通過各種手段獲取授權(quán)用戶的口令等信息，假冒該用戶身份獲得對數(shù)據(jù)庫的訪問許可，從而可以對數(shù)據(jù)庫進行任何該授權(quán)用戶權(quán)限范圍內(nèi)的操作合法用戶通過種種手段提升訪問財務數(shù)據(jù)庫的權(quán)限，從而可以對本來無權(quán)訪問的數(shù)據(jù)進行任意的讀取、修改甚至刪除等操作。
　　 4.對數(shù)據(jù)庫的錯誤使用。這主要有授權(quán)用戶的失誤，錯誤地增加、刪除或修改財務數(shù)據(jù)庫中的數(shù)據(jù)，需要保密的敏感數(shù)據(jù)在輸人數(shù)據(jù)庫時已經(jīng)泄露等等。
　　 5.數(shù)據(jù)庫管理員的責任。管理員由于自身能力或責任心問題不能很好地利用財務數(shù)據(jù)庫的安全保護機制建立合理的安全策略，造成數(shù)據(jù)庫安全管理的混亂，不能按時維護和審核數(shù)據(jù)庫系統(tǒng)，從而不能發(fā)現(xiàn)系統(tǒng)受到的危害。
　　 6.數(shù)據(jù)庫系統(tǒng)自身的安全缺陷。目前，我們所使用的數(shù)據(jù)庫絕大部分都是國外研制的。由于外國政府的種種限制，出口的數(shù)據(jù)庫都只是符合可信計算機系統(tǒng)評估準則和可信數(shù)據(jù)庫管理系統(tǒng)解釋中的類安全標準，其基本特征就是自主訪問控制。自主訪問控制允許用戶將自己擁有的訪問權(quán)限自主地轉(zhuǎn)讓給本來沒有該訪問權(quán)限的人，而系統(tǒng)無法對此進行控制。另外一般采用簡單的基于用戶口令的身份認證方式，而且用戶信息通常情況下都是以明文形式在網(wǎng)絡中傳輸?shù)?，由此可見其安全脆弱性?br/>　　 7.財務系統(tǒng)自身的缺陷。由于高校財務系統(tǒng)設計和開發(fā)的缺陷，系統(tǒng)中往往還存在一些問題。用戶權(quán)限界面劃分不清，財務用戶的口令設置簡單，保密性差，密碼大都明文存儲在數(shù)據(jù)庫中，容易給網(wǎng)外用戶入侵；軟件的安全性和保密性差；軟件中各核算模塊鏈接，模塊間的數(shù)據(jù)無法傳遞。問題的原因除了技術(shù)支持風險外，更大的原因是財務系統(tǒng)軟件過分重視報賬功能，而忽略了系統(tǒng)的日常維護與完善，并且在系統(tǒng)運行中缺乏有效的系統(tǒng)管理功能。
　　 三、確保高校財務系統(tǒng)數(shù)據(jù)安全的對策
　　 為保證高校財務系統(tǒng)中數(shù)據(jù)的安全，需要通過插入控制系統(tǒng)運行機制來預防事故性災害、遏制故意的破壞行為、盡快檢測到發(fā)生的數(shù)據(jù)安全問題、加強財務系統(tǒng)數(shù)據(jù)災難恢復能力。
　　 1.完善財務網(wǎng)絡的內(nèi)部控制制度。為了更加有效地減少或避免由于高校財務部門內(nèi)部人員道德風險、系統(tǒng)資源風險、計算機病毒等所造成的財務數(shù)據(jù)安全危害，除了要在財務系統(tǒng)設計等技術(shù)方面考慮數(shù)據(jù)安全外，還需要高校財務部門制訂完善的財務系統(tǒng)管理規(guī)章制度和嚴格、科學的財務系統(tǒng)軟件操作規(guī)程，只有這樣才能夠在多個層面上保證高校財務數(shù)據(jù)信息的真實性、準確性和可靠性。
　　 2.容災與數(shù)據(jù)備份技術(shù)。
　　 （1）容災系統(tǒng)。業(yè)務處理連續(xù)能力最高的是容災系統(tǒng)。網(wǎng)絡連接保證了兩個物理地點的網(wǎng)絡通訊完全冗余，并且一般在容災系統(tǒng)中處于激活狀態(tài)的系統(tǒng)通常由一個雙機熱備份系統(tǒng)構(gòu)成。由于財務數(shù)據(jù)同時保存在兩個物理距離相對較遠的系統(tǒng)中，因此一個系統(tǒng)由于意外災難而停止工作，另外一個系統(tǒng)會將工作接管過來。實現(xiàn)財務數(shù)據(jù)的遠程復制主要有兩種方式：基于主機和基于存儲系統(tǒng)。目前使用最廣泛的是基于存儲系統(tǒng)的數(shù)據(jù)遠程復制方式。
　　 （2）備份系統(tǒng)。無論高校財務數(shù)據(jù)破壞出于何種原因、達到了何種嚴重程度，只要掌握著災難發(fā)生前的數(shù)據(jù)備份，就可以保證高校財務數(shù)據(jù)的安全。這就意味著當高校進行財務管理網(wǎng)絡建設的同時，數(shù)據(jù)安全問題就應該提到議事日程中來，特別是作為數(shù)據(jù)安全基礎的數(shù)據(jù)備份及災難恢復方案應與網(wǎng)絡建設同期實施。實施數(shù)據(jù)備份應做到以下三點：高校財務系統(tǒng)管理人員要制定針對財務數(shù)據(jù)庫、前置機服務平臺、應用服務平臺的詳盡的數(shù)據(jù)備份策略。備份策略中應包含文件系統(tǒng)備份，數(shù)據(jù)庫系統(tǒng)在線和離線數(shù)據(jù)備份、日志備份。應根據(jù)財務系統(tǒng)數(shù)據(jù)的重要程度和應用系統(tǒng)的工作負荷靈活制定數(shù)據(jù)備份的方式和執(zhí)行頻率。高校財務系統(tǒng)管理員應定期檢查數(shù)據(jù)備份策略執(zhí)行日志，檢查備份執(zhí)行情況。所有備份的財務數(shù)據(jù)的介質(zhì)集中保存在異地由專人保管。每次備份介質(zhì)的交接要填寫交接記錄表。
　　
　　 3.權(quán)限控制。財務系統(tǒng)的權(quán)限控制是針對財務網(wǎng)絡非法操作所提出的一種安全保護措施。用戶和用戶組被賦予一定的權(quán)限。網(wǎng)絡控制用戶和用戶組可以訪問哪些目錄、子目錄、文件和其他資源?？梢灾付ㄓ脩魧@些文件、目錄、設備能夠執(zhí)行哪些操作?？梢愿鶕?jù)訪問權(quán)限將用戶分為特殊用戶（即系統(tǒng)管理員）和一般用戶，財務系統(tǒng)管理員根據(jù)他們的實際需要為他們分配操作權(quán)限。網(wǎng)絡應允許控制用戶對目錄、文件、設備的訪問。用戶在目錄一級指定的權(quán)限對所有文件和子目錄有效，用戶還可進一步指定對目錄下的子目錄和文件的權(quán)限。對目錄和文件的訪問權(quán)限一般有八種：系統(tǒng)管理員權(quán)限、讀權(quán)限、寫權(quán)限、創(chuàng)建權(quán)限、刪除權(quán)限、修改權(quán)限、文件查找權(quán)限、存取控制權(quán)限。
　　 4.數(shù)據(jù)加密技術(shù)。加密是實現(xiàn)高校財務數(shù)據(jù)存儲和傳輸保密性的一種重要手段，而數(shù)據(jù)加密標準則是一種被廣泛接受的加密算法，其目的是使入侵者無法找到真正的數(shù)據(jù)。加密能夠?qū)崿F(xiàn)三個目的：驗證身份（確定合法發(fā)送方和接收方的身份）；控制（防止更該交易或信息）；保護隱私（防止監(jiān)聽）。
　　 數(shù)字簽名技術(shù)就是一種常見的數(shù)據(jù)加密。數(shù)字簽名技術(shù)是解決網(wǎng)絡通信中發(fā)生否認、偽造、冒充、篡改等問題的安全技術(shù)。該技術(shù)在具體工作時，首先發(fā)送方對信息施以數(shù)學變換，所得的信息與原信息唯一對應；在接收方進行逆變換，得到原始信息。只要數(shù)學變換方法優(yōu)良，變換后的信息在傳輸中就具有很強的安全性，很難被破譯、篡改。這一個過程稱為加密，對應的反變換過程稱為解密。
　　 數(shù)據(jù)加密的方法有對稱密鑰加密和非對稱密鑰加密。對稱加密：對稱加密指雙方具有共享的密鑰，只有在雙方都知道密鑰的情況下才能使用，通常應用于孤立的環(huán)境之中，比如在使用自動取款機（ATM）時，用戶需要輸入用戶識別號碼（PIN），銀行確認這個號碼后，雙方在獲得密碼的基礎上進行交易，對稱密鑰加密，加密解密速度快、算法易實現(xiàn)、安全性好，缺點是密鑰長度短、密碼空間小，但如果用戶數(shù)目過多，超過了可以管理的范圍時，這種機制并不可靠。非對稱加密：非對稱加密也稱為公開密鑰加密，密鑰是由公開密鑰和私有密鑰組成的密鑰對，用私有密鑰進行加密，利用公開密鑰可以進行解密，但是由于公開密鑰無法推算出私有密鑰，所以公開的密鑰并不會損害私有密鑰的安全，公開密鑰無須保密，可以公開傳播，而私有密鑰必須保密，丟失時需要報告鑒定中心及數(shù)據(jù)庫。
　　 [基金項目：江蘇省教育廳高校哲學社會科學基金資助項目（09SJD630027）。]
　　
　　 參考文獻：
　　 1.謝寶森，劉玉峰.企業(yè)信息系統(tǒng)數(shù)據(jù)安全方案分析[J].當代化工，2005（2）
　　 2.聶元銘，吳曉明，賈磊雷.重要信息系統(tǒng)數(shù)據(jù)銷毀-恢復技術(shù)及其安全措施研究[J].信息網(wǎng)絡安全，2011（1）
　　 3.邵波.企業(yè)信息網(wǎng)絡安全管理系統(tǒng)建設與安全策略[J].經(jīng)濟研究導刊，2010（30）
　　 4.辛后居，肖開郝，柏林，李澤.信息系統(tǒng)數(shù)據(jù)安全研究[J].教育信息化，2004（9）
　　 5.