高校网络财务系统数据安全影响因素及其对策研究

　　 摘 要：随着高校财务信息化的不断发展，高校财务信息系统在创造高收益的同时也不可避免地产生各种数据安全问题。文章深入分析高校财务系统数据安全的概念，进而剖析高校财务数据系统影响数据安全的因素，并提出相应的策略和建议，为高校财务信息系统数据安全运行提供有效支持。
　　 关键词：高校 财务系统 数据安全 对策
　　 中图分类号:G475 文献标识码:A
　　 文章编号:1004-4914（2011）12-107-02
　　
　　 近年来，随着高等学校办学规模的不断扩大，过去以传统的手工方式为主的会计工作模式已经远远不能满足高校财务管理在新形势的需求，因此基于网络技术的高校内部会计控制就成为了高校财务管理的主要形式。而在网络化实施的过程中，如何确保财务数据的安全，财务网络不被侵犯，是高校财务工作人员和管理人员面临的新问题。高校财务数据是体现核心竞争力的重要信息资源，它如果因自然、计算机系统故障或人为的因素而遭受破坏，将给高校带来难以估量的损失，甚至是灭顶之灾。维护系统数据的正确性、防止系统外部对系统数据不合法的访问、保证系统数据在发生意外时能及时恢复，是确保高校财务信息系统安全的一项重要工作。
　　 一、高校财务系统数据安全的概念
　　 高校财务系统数据安全是指保护数据不会被意外地或故意地泄露给未经授权的人员，以及免遭未经授权的修改或破坏。数据安全是一个涉及计算机技术、网络技术、通信技术、加密技术、应用数学、信息论等多项技术的学科。数据安全是重要信息系统安全保障的核心问题之一，数据安全功能通过操作系统、安全访问控制措施、数据库/数据通信产品、备份/恢复程序、应用程序以及外部控制程序来实现。
　　 互联网的出现极大地改变了高校财务系统的运作模式。越来越多的高校按照新体系的要求，把原先分散式的跨校区的财务数据合并收拢，集中起来放在一个巨大无比的财务数据中心里以节省成本。在新体系下，遍布高校各校区的财务人员、合作伙伴及客户只要用简单的Web 方式就可以方便地使用这个数据中心，从而使整个高校财务系统成为一个信息通畅、变化灵活的数字神经网，如高校财务系统上线后，以前按不同业务划分开的信息孤岛也被全面整合在以会计流程为中心的会计信息系统中，从各个环节中不断产生的会计业务数据源源不断地流向高校财务数据中心。在这个更充分和完整的财务数据仓库里，高校相关部门和人员可以进行更多的财务数据挖掘和决策信息的智能分析，从而对高校的资金流变化更敏捷、更有效地作出相应决策。高校财务数据的集中有利于降低成本，但遭遇危险的破坏性也在同步提高。保障财务数据的安全越来越受到各高校财务部门的重视。
　　 二、影响高校财务系统数据安全的因素
　　 目前，随着大中型关系数据库的广泛使用，在高校财务系统中开发模式逐渐以C/S、B/S架构和多层的应用系统为主流。这些财务系统的共同特征是：用户在终端机上直接或通过中间层的应用服务器来访问数据，而数据则集中存放在数据库中。利用这些财务系统固有的弱点和脆弱性，信息系统中的具有重要价值的信息可以被不留痕迹地窃取，非法访问可以造成系统内财务信息受到侵害，存储媒质失控，数据可访问性降低等。保护数据成为了一项复杂且成本高昂的任务。
　　 影响数据安全的因素主要有以下几点：
　　 1.物理和环境的威胁。这主要包括支持财务数据库系统的硬件环境发生故障，从而导致高校财务数据库信息丢失或不可用。自然灾害引起的系统破坏，主要是硬件环境的破坏。
　　 2.网络上的威胁。目前，通过网络对计算机系统进行攻击的方法层出不穷，这使得网络环境下的数据库及其所处的软件环境没有安全保障。同时，网络技术尤其是技术的发展与普及带来了计算机病毒和木马的大发展，从而使得计算机病毒对系统的威胁日益严重。与此同时，一些黑客也会利用财务系统漏洞破坏计算机的稳定性。
　　 3.非法访问的威胁。这包括非法用户通过各种手段获取授权用户的口令等信息，假冒该用户身份获得对数据库的访问许可，从而可以对数据库进行任何该授权用户权限范围内的操作合法用户通过种种手段提升访问财务数据库的权限，从而可以对本来无权访问的数据进行任意的读取、修改甚至删除等操作。
　　 4.对数据库的错误使用。这主要有授权用户的失误，错误地增加、删除或修改财务数据库中的数据，需要保密的敏感数据在输人数据库时已经泄露等等。
　　 5.数据库管理员的责任。管理员由于自身能力或责任心问题不能很好地利用财务数据库的安全保护机制建立合理的安全策略，造成数据库安全管理的混乱，不能按时维护和审核数据库系统，从而不能发现系统受到的危害。
　　 6.数据库系统自身的安全缺陷。目前，我们所使用的数据库绝大部分都是国外研制的。由于外国政府的种种限制，出口的数据库都只是符合可信计算机系统评估准则和可信数据库管理系统解释中的类安全标准，其基本特征就是自主访问控制。自主访问控制允许用户将自己拥有的访问权限自主地转让给本来没有该访问权限的人，而系统无法对此进行控制。另外一般采用简单的基于用户口令的身份认证方式，而且用户信息通常情况下都是以明文形式在网络中传输的，由此可见其安全脆弱性。
　　 7.财务系统自身的缺陷。由于高校财务系统设计和开发的缺陷，系统中往往还存在一些问题。用户权限界面划分不清，财务用户的口令设置简单，保密性差，密码大都明文存储在数据库中，容易给网外用户入侵；软件的安全性和保密性差；软件中各核算模块链接，模块间的数据无法传递。问题的原因除了技术支持风险外，更大的原因是财务系统软件过分重视报账功能，而忽略了系统的日常维护与完善，并且在系统运行中缺乏有效的系统管理功能。
　　 三、确保高校财务系统数据安全的对策
　　 为保证高校财务系统中数据的安全，需要通过插入控制系统运行机制来预防事故性灾害、遏制故意的破坏行为、尽快检测到发生的数据安全问题、加强财务系统数据灾难恢复能力。
　　 1.完善财务网络的内部控制制度。为了更加有效地减少或避免由于高校财务部门内部人员道德风险、系统资源风险、计算机病毒等所造成的财务数据安全危害，除了要在财务系统设计等技术方面考虑数据安全外，还需要高校财务部门制订完善的财务系统管理规章制度和严格、科学的财务系统软件操作规程，只有这样才能够在多个层面上保证高校财务数据信息的真实性、准确性和可靠性。
　　 2.容灾与数据备份技术。
　　 （1）容灾系统。业务处理连续能力最高的是容灾系统。网络连接保证了两个物理地点的网络通讯完全冗余，并且一般在容灾系统中处于激活状态的系统通常由一个双机热备份系统构成。由于财务数据同时保存在两个物理距离相对较远的系统中，因此一个系统由于意外灾难而停止工作，另外一个系统会将工作接管过来。实现财务数据的远程复制主要有两种方式：基于主机和基于存储系统。目前使用最广泛的是基于存储系统的数据远程复制方式。
　　 （2）备份系统。无论高校财务数据破坏出于何种原因、达到了何种严重程度，只要掌握着灾难发生前的数据备份，就可以保证高校财务数据的安全。这就意味着当高校进行财务管理网络建设的同时，数据安全问题就应该提到议事日程中来，特别是作为数据安全基础的数据备份及灾难恢复方案应与网络建设同期实施。实施数据备份应做到以下三点：高校财务系统管理人员要制定针对财务数据库、前置机服务平台、应用服务平台的详尽的数据备份策略。备份策略中应包含文件系统备份，数据库系统在线和离线数据备份、日志备份。应根据财务系统数据的重要程度和应用系统的工作负荷灵活制定数据备份的方式和执行频率。高校财务系统管理员应定期检查数据备份策略执行日志，检查备份执行情况。所有备份的财务数据的介质集中保存在异地由专人保管。每次备份介质的交接要填写交接记录表。
　　
　　 3.权限控制。财务系统的权限控制是针对财务网络非法操作所提出的一种安全保护措施。用户和用户组被赋予一定的权限。网络控制用户和用户组可以访问哪些目录、子目录、文件和其他资源。可以指定用户对这些文件、目录、设备能够执行哪些操作。可以根据访问权限将用户分为特殊用户（即系统管理员）和一般用户，财务系统管理员根据他们的实际需要为他们分配操作权限。网络应允许控制用户对目录、文件、设备的访问。用户在目录一级指定的权限对所有文件和子目录有效，用户还可进一步指定对目录下的子目录和文件的权限。对目录和文件的访问权限一般有八种：系统管理员权限、读权限、写权限、创建权限、删除权限、修改权限、文件查找权限、存取控制权限。
　　 4.数据加密技术。加密是实现高校财务数据存储和传输保密性的一种重要手段，而数据加密标准则是一种被广泛接受的加密算法，其目的是使入侵者无法找到真正的数据。加密能够实现三个目的：验证身份（确定合法发送方和接收方的身份）；控制（防止更该交易或信息）；保护隐私（防止监听）。
　　 数字签名技术就是一种常见的数据加密。数字签名技术是解决网络通信中发生否认、伪造、冒充、篡改等问题的安全技术。该技术在具体工作时，首先发送方对信息施以数学变换，所得的信息与原信息唯一对应；在接收方进行逆变换，得到原始信息。只要数学变换方法优良，变换后的信息在传输中就具有很强的安全性，很难被破译、篡改。这一个过程称为加密，对应的反变换过程称为解密。
　　 数据加密的方法有对称密钥加密和非对称密钥加密。对称加密：对称加密指双方具有共享的密钥，只有在双方都知道密钥的情况下才能使用，通常应用于孤立的环境之中，比如在使用自动取款机（ATM）时，用户需要输入用户识别号码（PIN），银行确认这个号码后，双方在获得密码的基础上进行交易，对称密钥加密，加密解密速度快、算法易实现、安全性好，缺点是密钥长度短、密码空间小，但如果用户数目过多，超过了可以管理的范围时，这种机制并不可靠。非对称加密：非对称加密也称为公开密钥加密，密钥是由公开密钥和私有密钥组成的密钥对，用私有密钥进行加密，利用公开密钥可以进行解密，但是由于公开密钥无法推算出私有密钥，所以公开的密钥并不会损害私有密钥的安全，公开密钥无须保密，可以公开传播，而私有密钥必须保密，丢失时需要报告鉴定中心及数据库。
　　 [基金项目：江苏省教育厅高校哲学社会科学基金资助项目（09SJD630027）。]
　　
　　 参考文献：
　　 1.谢宝森，刘玉峰.企业信息系统数据安全方案分析[J].当代化工，2005（2）
　　 2.聂元铭，吴晓明，贾磊雷.重要信息系统数据销毁-恢复技术及其安全措施研究[J].信息网络安全，2011（1）
　　 3.邵波.企业信息网络安全管理系统建设与安全策略[J].经济研究导刊，2010（30）
　　 4.辛后居，肖开郝，柏林，李泽.信息系统数据安全研究[J].教育信息化，2004（9）
　　 5.