<mark id="oztn4"></mark>
0
新手游下載量破百萬了，身為開發者的小A卻一點興奮不起來......
游戲上線后，小A眼瞅著業務平臺數據一路飆升。如此海量用戶轉化個80%的充值玩家不和玩似得？結果半年過去了，小A不光沒靠著優勢掙到錢，還反虧一大筆。
難道數據有問題？小A資訊了業務平臺客服，結果真是如此，他得知自己使用的業務平臺存在數據篡改的情況，下載量都是刷單平臺堆上去的假數據。
看來，業務平臺不靠譜真是后患無窮。上述僅是本宅YY的故事，但與之類似的事件在其他行業頻發。那么，怎樣才能制止這種坑爹的情況再度發生呢？
在2019年4月26日，以“共享數據價值·共擔安全責任”為主題的第三屆中國數據安全治理高峰論壇在北京落幕。在26日下午的數據安全治理金融分論壇上，大信會計師事務所合伙人郭穎濤就金融業案例向我們分享了IT審計數據安全的重要性及其保障方案。
金融業數據安全問題頻現
IT審計是審計準則里面規定的一個專業術語。信息系統是企業生產活動、經營活動不可或缺的部分。IT審計是作為信息科技風險的第三道防線，是對以計算機為核心的信息系統進行的審計，具體而言就是指IT審計人員從獨立的第三方的角度，對信息系統從規劃、開發、測試、實施到運行維護的過程進行審查與評價的活動。
與上述案例類似，金融行業審計，數據的特點表現為數據量巨大，數據分支之間形成復雜的內部體系。一般情況下，事務所為了確保財務數據的準確性需要通過業務數據系統和財務數據系統進行比對。
該過程中，難免會出現數據安全問題。典型案例整理如下：
“想要審計數據精準無誤，對其過程進行安全把控顯得尤為重要——審計過程中的權限問題、數據篡改問題、限制設置合理性問題等等，均會影響最終財務月報的準確性。”
把關安全：IT審計
要想獲取準確的財務數據，就要檢查整個信息系統是否可靠，就要進行IT審計。 “隨著IT技術的快速發展以及在金融行業的深入運用，越來越多的業務經營和管理經營活動都依賴于信息系統進行高速智能化的處理。為了降低審計風險，我們要越發關注高風險領域，同時也要在審計效果和效率之間找一個平衡，基于金融行業這個特點，我們要對財務報表的數據來源-信息系統進行審計。”
郭穎濤覺得，不光是金融行業，幾乎所有財務核心數據來源于信息系統的行業，審計工作重點都在于確認IT數據的準確性。
從她的角度來看，建立完善、高效、安全的信息系統應取得決策層的支持，制定數據安全管理規范，構建數據保護技術支撐體系，至少應包含建立權限、重要數據備份、指定程序生成文檔、對重要數據進行加密、離線文檔進行管理、外發文檔的管理這六大要素。
針對IT審計，郭穎濤認為主要內容分為ITGC和ITAC兩塊，并逐一進行了介紹。
ITGC
ITGC是指信息系統一般控制審計，一般來說，ITGC又分為IT治理和IT基礎層面的控制。
首先是IT治理：
1、組織架構
公司的組織架構健全，才有利于健全信息系統的順利落地。信息系統管理是公司內部控制的一部分，判斷內部控制制度的有效性通常會從是否具備有效制度、是否有效執行兩方面入手，公司制度若想有效執行，必須具有健全的組織架構。
同理，判斷信息系統是否有效，我們也需要考慮是否有健全的組織架構，沒有健全的組織架構確保系統的有效安全運行，很難有效保障信息系統數據精準性。
2、制度體系—運維制度
在制度體系里，運維制度的完整性也會影響健全信息系統的執行。運維制度中比較關注的包括機房管理、網絡信息系統管理、數據和介質管理、安全管理，這五點綜合起來作為衡量整個運維體系完整性的標尺。公司應根據發展戰略，制定信息化發展規劃，同時滿足業務發展和信息安全的需要。
3、崗位職責
在制度體系完備的情況下，還要制定具體的崗位分工和崗位職責。崗位職責中的關注點在于崗位分離，如果信息系統缺失了分離制度或者相關權限分配，也就失去了制約性。如果參與系統使用的員工可獲取任意的調用權限，也就意味著整個體系面臨著被隨時篡改的可能性。
4、資源
公司要有足夠的資源，保證信息系統有效運行。前期主要是指一般性的資源整理，而在一個健全的責任分工下，公司資源要足夠該制度正常運轉，這是任何健全信息系統要滿足的前提條件。
其次是IT基礎控制：
1、操作系統安全管理：口令定期更新、訪問控制、安全策略、默認用戶、默認口令、冗余賬戶、共享賬戶等；
2、數據庫系統安全管理：口令定期更新、訪問控制、安全策略、默認用戶、默認口令、冗余賬戶、共享賬戶等；
3、應用系統安全管理：登錄控制、身份識別；
4、安全管理制度：安全管理制度、執行、評估報告等；
5、還包括網絡安全管理、機房管理、數據備份管理、數據恢復管理等。
ITAC
ITAC（應用層面控制審計），屬于具體業務流程測試，需根據客戶業務特點制定具體的IT審計策略，針對性較強。
一般的測試內容為財務系統本身的授權、控制（崗位分離）、備份等是否得到有效把控；業務系統至財務系統的數據在傳輸過程中是否存在遺漏或被篡改的情況；自動化記賬過程是否被人為干預。
值得一提的是，并非所有的公司審計都需要對其信息系統進行審計，對于一般的公司(Statutory Audit) 而言，是否對其信息系統進行審計，這取決于信息系統對該公司年度財務報表的影響程度，審計師會根據影響程度，制定相應的審計策略 (Audit Strategy) 。
審計困境：數據安全強隨機性
郭穎濤稱，在查詢2018年銀監會對相關銀行處罰的記錄后，我發現，2018年尚有部分金融機構因客戶信息安全管理不到位，部分重要信息系統災難恢復等級未達到第5級（含）以上等數據安全問題被處罰；我覺得目前部分金融機構的數據安全監管機構體系級別還不夠，其對于信息系統數據安全把控尚未滿足監管要求。
原來，對于外部審計機構來說，業務流程最終反映到財務報表中需要一個有效結合過程。為了將業務流程和財務數據進行相關結合，通常對業務系統和財務系統形成相互比對，進而達成數據之間的互通互聯。
總結一句話，就是通過業務數據的可靠性來支持財務數據準確無誤。
“將業務數據與財務數據相結合，就意味著以上幾點必須有明確的分工。為了在審計過程中讓相關人員有據可循，IT審計系統需要建立相互查詢控制的機制。如果在這個過程中我們人員角色或者其他定位沒有定義好，就有可能造成財務數據被篡改，最終影響審計結果。”
實際上，這種被篡改數據的情況總會出現。郭穎濤坦白道，每年做IT審計，由于人員分配問題，或者其他的特殊情況導致的一些公司業務數據與財務數據對不上的事情時常發生。起因大都因為一些公司對于上述的幾點信息系統安全保障做的不夠好，這有可能造成財務系統和業務系統在對接過程中是存在漏洞的。
另外一點，即便是小型銀行也會使用自動化記賬本，記賬過程無需人為干預。雖然自動化記賬本要求業務數據和財務數據實現完全的自動生成，但實際上執行過程中業務數據和財務數據總會出現匹配度不一樣的情況。
當然，也有可能有些數據原本就是人工參與生成的，其匹配難度也就更大，這會影響對IT信息系統的判斷。
那么，怎么驗證財務數據準確性呢？
郭穎濤稱，對于財務系統本身來講，業務數據保障是整個IT審計業務模塊里面的一部分。在整個財務系統中，我們也必須建立有效的控制機制，其中包括本身授權、崗位職責分離、財務備份等較為健全的制度。與此同時，數據真實性欠缺的情況應該引發IT審計從業者對整個財務報表數據的公允性考慮。
此外，會上安華金和CEO劉曉韜也分享到，數據安全治理不僅僅是一套用工具組合的產品級解決方案，而是從決策層到技術層，從管理制度到工具支撐，自上而下貫穿整個組織架構的完整鏈條。
組織內的各個層級之間需要相互協作，對數據安全治理的目標和宗旨達成共識，并從能力、執行、場景三個維度建設數據安全治理體系，以最有效的方式保護信息資源。
數據安全治理體系框架
能力維度：完善的組織機構、有針對性和可行的管理制度和規范、全面和先進的數據安全技術，是構建數據安全治理體系的基礎。
執行維度：針對數據使用的各個場景，需要通過梳理來了解數據資產狀況和風險；配合制度規范要求，采用不同的安全技術手段進行數據使用過程中的管控，同時要監控使用過程，對訪問行為進行稽核，并不斷完善。
場景維度：數據安全治理涵蓋數據在日常使用過程中面臨的各種場景，具體包含開發測試、運維、共享、分析、應用訪問、內部特權訪問等場景。
基于以上觀點，郭穎濤認為盡可能打造互聯、互通的業務與財務數據通道將成為解決IT審計安全問題的根本性解決方案。“IT審計跨行業、跨部門的性質較強，其在發展安全保障體系的同時，合規性應該首先考慮將業務和財務數據整體關聯，以此換取財務數據的相對公允。”
金融行業數據安全相關法規
隨著數據被金融行業高度采用，數據安全問題亦頻繁出現，引發的信息科技乃至業務風險逐年增高。而為了杜絕“數據安全強隨機性”的出現，國家相關規定陸續出臺。
2015年8月29日人大獲通過的《刑法修正案（九）》明確了導致個人隱私泄漏的情形、責任、及導致泄漏的責任主體及法律責任：
第二百八十六條：網絡服務提供者不履行法律、行政法規規定的信息網絡安全管理義務，經監管部門責令采取改正措施而拒不改正，有下列情形之一的，處三年以下有期徒刑、拘役或者管制，并處或者單處罰金：
（一）致使違法信息大量傳播的；
（二）致使用戶信息泄露，造成嚴重后果的；
（三）致使刑事案件證據滅失，情節嚴重的；
（四）有其他嚴重情節的。
單位犯前款罪的，對單位判處罰金，并對其直接負責的主管人員和其他直接責任人員，依照前款的規定處罰。有前兩款行為，同時構成其他犯罪的，依照處罰較重的規定定罪處罰。
2017年6月1日，《中華人民共和國網絡安全法》正式實施，根據規定金融行業重要的信息系統是國家信息安全重點保護對象，因此金融行業是落實和實施信息安全等級保護的重點行業之一。
第二十一條：國家實行網絡安全等級保護制度。網絡運營者應當按照網絡安全等級保護制度的要求，履行下列安全保護義務，保障網絡免受干擾、破壞或者未經授權的訪問，防止網絡數據泄露或者被竊取、篡改：
（一）制定內部安全管理制度和操作規程，確定網絡安全負責人，落實網絡安全保護責任；
（二）采取防范計算機病毒和網絡攻擊、網絡侵入等危害網絡安全行為的技術措施；
（三）采取監測、記錄網絡運行狀態、網絡安全事件的技術措施，并按照規定留存相關的網絡日志不少于六個月；
（四）采取數據分類、重要數據備份和加密等措施；
（五）法律、行政法規規定的其他義務。
第三十一條：國家對公共通信和信息服務、能源、交通、水利、金融、公共服務、電子政務等重要行業和領域，以及其他一旦遭到破壞、喪失功能或者數據泄露，可能嚴重危害國家安全、國計民生、公共利益的關鍵信息基礎設施，在網絡安全等級保護制度的基礎上，實行重點保護。關鍵信息基礎設施的具體范圍和安全保護辦法由國務院制定。
第三十四條 除本法第二十一條的規定外，關鍵信息基礎設施的運營者還應當履行下列安全保護義務：
（一）設置專門安全管理機構和安全管理負責人，并對該負責人和關鍵崗位的人員進行安全背景審查；
（二）定期對從業人員進行網絡安全教育、技術培訓和技能考核；
（三）對重要系統和數據庫進行容災備份；
（四）制定網絡安全事件應急預案，并定期進行演練；
（五）法律、行政法規規定的其他義務。
演講的最后，郭穎濤總結道，通過對IT審計安全保障體系的回顧，我們發現，隨著社會信息系統安全意識的不斷加強，信息系統數據安全建設投入不斷增加，社會越來越需要對信息安全保障系統提供強有力支持的公司。雷鋒網雷鋒網雷鋒網
雷峰網原創文章，未經授權禁止轉載。詳情見轉載須知。
