高校财务数据安全威胁及应对措施

吕鸿煊

摘要：随着高校信息化的全面深入发展，高校财务管理信息化因为其专业性、复杂性，以及与每位师生的关联性，成为高校信息化的优先发展方向，得到了快速的发展。与此同时，财务数据的信息安全问题，也越来越受到重视。通过分析信息化后的财务数据所面临的主要安全威胁，并从数据安全的角度提出数据完整性保护;数据保密性保护等应对措施，给出了数据安全防护的主要方向和方法。

关键词：高校;财务数据;信息安全;安全防护

中图分类号：F232    文献标识码：A

文章编号：1005-913X（2019）06-0093-02

一、引言

随着IT技术与传统行业的融合发展，各行业都陆续进入了信息化发展的快车道。与其他行业相比，高校的信息化工作一直走在前列。近几年，高校的信息化工作从最初的教学、科研信息化，全面向财务、管理、后勤等方面推进。财务工作因为其自身的专业性、复杂性，以及与每位师生的关联性，成为目前高校信息化工作的重要方向。在提高财务信息化水平、方便师生的迫切需求下，很多高校都在大力推进财务信息化的相关工作。

在这个过程中，需要特别注意的是，财务数据不同于其他数据，财务数据安全，应是财务信息化过程中重点考虑的对象，必须引起足够重视。采取必要的安全技术和管理措施，以降低安全风险，提高抗攻击能力，保障财务数据的安全性。

二、财务数据安全威胁

对于财务信息系统来说，财务数据的安全威胁主要来自无恶意内部人员、恶意内部人员、黑客方面。在威胁来源中，财务系统的特殊性使其在黑客、服务商和内部人员攻击方面将面临更大的风险。

三、财务数据安全应对措施

保证财务数据安全性，应至少从财务数据的完整性、保密性、真实性、可靠性，以及管理和审计几个方面进行充分考虑和安全设计。

（一）数据完整性保护

数据完整性是指财务数据在传输、存储、使用过程中不被恶意的删除、破坏，从而导致财务数据缺失、损坏等问题。财务数据完整性保护设计可以从以下几个方面考虑。

1.系统级防护

单一环节的安全防护，难以为财务数据的完整性提供保障，必须做到全要素全流程协同，从整个财务系统的角度（网络、操作系统、数据库、财务软件等）共同完成财务数据完整性的防护。只有从整个财务系统层面进行的整体安全防护，才能有效抵御攻击，特别是黑客的攻击行为。

2.密码机制

采用密码机制，例如，数字签名、MAC校验码、HMAC校验码等技术，保障财务数据在传输、存储、使用过程中的完整性。可以根据不同类型财务数据的特点和安全需求，对不同类型的财务数据（包括师生人员信息等）采用不同的安全技术。采用密钥技术保障财务数据的完整性，是最有效、最可靠的技术手段。

3.回退及事务管理

从业务完整性的角度出发，保证财务数据的完整性。利用数据库管理系统提供的回退功能和事务管理功能，对处理过程中的财务数据进行完整性保护。财务软件系统设计应支持回退和事务处理功能，通过业务的完整性控制，防止黑客或恶意的内部人员对财务数据进行攻击。

4.安全通信协议

在财务数据的传输过程中，通过安全通信协议（如：SSL、IPSec），可以有效地避免来自基于通用通信协议的攻击，保护财务数据的完整性。

（二）数据保密性保护

数据保密性是指财务数据在传输、存储、使用过程中不被泄露或恶意窃取。财务数据保密性设计可以从以下几个方面考虑。

1.使用密码加密技术解决财务数据存储和传输安全

采用密码技术，通过数据加密方式，保障财务数据在存储和传输过中的保密性。

存储安全：对于重要的财务数据，无论是以数据库还是本地文件方式进行存储，都应进行加密保护，保障数据即使丢失也不会破坏其保密性。

传输安全：当财务数据通过网络进行传输时（特别是校园网等公开网络），必须进行传输加密。在通信双方建立连接之前，通信双方应基于密钥进行身份认证，对通信过程中的财务数据进行加密传输，对使用过的动态分配资源及时释放。

2.进程空间隔离

依靠操作系统功能，财务系统（包括终端财务软件）采用进程空间隔离和保护机制，对处理过程的财务数据进行保密性保护，防止财务数据泄露或被恶意窃取。

3.数据库管理权限控制

对于存储财务数据的数据库，依靠数据库管理系统功能对所存储财务数据进行访问权限控制。用户权限进行分级管理，加强日志审计。

（三）数据真实性保护

数据的真实性是指财务数据在传输、存储、使用过程中不被惡意篡改、伪造，从而导致虚假数据的产生。

保证数据真实性的常用手段是采用数字签名技术（不考虑抗抵赖的情况下，也可以使用MAC校验码或HMAC校验码技术）。对于重要的财务数据，建议伴随生成该数据的数字签名（或校验码），数字签名跟随该财务数据的全生命周期。

（四）数据可靠性保护

数据可靠性是指财务数据在传输、存储、使用过程中以电子数据（非纸质数据）的形态出现，应该是堪用的、可靠的、可以信赖并放心使用的。可靠性是财务数据的安全性的重要组成部分。保证财务数据的可靠性可以从以下两个方面考虑。

1.加强机房安全建设

因环境因素、意外事故或故障（特别是原于机房的）导致的数据丢失或损坏会给财务工作带来极大的问题甚至是灾难。为确保财务数据的可靠性，必须重视机房安全建设。财务系统的机房安全建设不足是很多高校普遍存在的问题。建议根据等级保护相关标准要求进行机房安全建设。完善的机房安全是财务数据可靠性的基础保障。

2.设计备份与恢复机制

再安全的设计也总有疏漏的可能，所以必须充分考虑财务数据的备份和回复。通过机制合理的、自动化的、可靠的数据备份机制，保障数据的存储可靠性。可靠的数据备份是数据恢复的基础，通过数据恢复技术抵御数据丢失、损坏的安全威胁。同时需要的注意的是，在财务数据的备份方案中，也需要充分考虑财务数据完整性和保密性的问题，防止备份的财务数据被攻击者窃取和篡改。

（五）管理和审计

财务数据安全必然同时依赖于技术和管理。对于来自于内部人员的安全威胁，管理和审计是最为有效的安全手段。

实现管理和审计，要求在财务系统设计阶段就按照等级保护三同步的要求实现管理和审计功能。在财务系统部署和运行阶段，设置专门的管理审计岗位和人员配置，制定有效的安全管理制度，严格按照管理审计要求进行操作。

高校财务系统信息化给师生们带来了极大的便利，同时也不可避免的引入了财务数据信息安全的问题。要解决好这个问题，需要在财务信息化系统在设计、实施、使用、运维过程中，充分考虑可能的安全风险，对财务数据安全采取有效的安全防护措施，从技术和管理两个方面保护财务数据的安全。

参考文献：

[1] 王立春，张国庆，谢 斌.财务公司：信息安全一体化建设成功方案[N].中国会计报，2018-08-（03）.

[2] GB/T 22239-2008.信息安全技术信息系统安全等级保护基本要求[S].中国标准出版社：中华人民共和国国家质量监督检验检疫总局.中国国家标准化管理委员会，2008.

[3] 钟正敏.高校财务信息化管理中信息安全问题分析[J].现代经济信息，2016（12）.

[4] 易志琴.网络环境下电算化会计信息安全保密系统设计[J].计算机与网络，2017（17）.

[5] 张 辉，陈 赞.网络高校财务信息安全风险及对策[J].电脑知识与技术，2015（34）.

[责任编辑：王 旸]