Geum.ru

Н. И. Лобачевского в. Н. Ясенев автоматизированные информационные системы в экономике учебно-методическое пособие

Вид материалаУчебно-методическое пособие

Содержание


5.4 Защита учетной информации
Искусственные угрозы
Преднамеренные (умышленные)
Внешние угрозы
Таблица 5.2 Места возникновения бухгалтерских ошибок
Подобный материал:
1   ...   20   21   22   23   24   25   26   27   ...   65

5.4 Защита учетной информации


Для усиления эффективности деятельности фирмы и предотвращения хищений бухгалтеры должны создавать систему внутреннего контроля. Несмотря на обилие публикаций в этой области, проблема внутреннего контроля во многих источниках по бухгалтерскому учету и аудиту рассматривается в отрыве от информационной безопасности. Автор и сделал попытку ликвидировать этот пробел.

Для современной системы бухгалтерского учета характерен ряд особенностей, требующих защиты учетной информации:
  • законодательные нововведения влекут за собой большие изменения как в самой бухгалтерской сфере, так и в области ее компьютеризации (перевод учета на новый План счетов, ввод в действие Налогового кодекса и др.). Без современных аппаратно-программных средств бухгалтер вряд ли сможет получить достоверную и своевременную учетную информацию. А компьютерные технологии в бухгалтерском учете порождают и новые информационные угрозы;
  • информационная система бухгалтерского учета относится к классу сложных и динамических образований, построенных в многоуровневой архитектуре "клиент-сервер" с поддержкой связи с удаленными компонентами. Опасности подстерегают как внутри системы, так и приходят извне;
  • в программном обеспечении могут быть умышленные или неумышленные ошибки, создающие проблемы в защите;
  • усложнение автоматизированного учета ставит перед аудитором задачу оценки надежности системы, т.е. свойств ее по выполнению заданных функций при обеспечении сохранности информации и ее достоверности.

Незащищенные учетные данные приводят к серьезным недостаткам в системе управления предприятием:

множеству недокументированных эпизодов управления;

отсутствию у руководства целостной картины происходящего на предприятии в отдельных структурных подразделениях;

задержки в получении актуальной на момент принятия решения информации;

разногласиям между структурными подразделениями и отдельными исполнителями, совместно выполняющими работу, проистекающими из-за плохой взаимной информированности о состоянии деловых процессов;

жалобам сотрудников всех уровней на информационные перегрузки;

неприемлемым срокам разработки и рассылки деловых документов;

длительным срокам получения ретроспективной информации, накопленной на предприятии;

сложностям получения информации о текущем состоянии документа или делового процесса;

нежелательной утечке информации, происходящей вследствие неупорядоченного хранения больших объемов документов.

Новые информационные технологии в бухгалтерском учете на базе современных ПЭВМ, с одной стороны, обеспечивают высокое качество выполняемых работ, а с другой, - создают множество угроз, приводящих к непредсказуемым и даже катастрофическим последствиям. К числу таких угроз относятся следующие: проникновение посторонних лиц в базы учетных данных, повсеместное распространение компьютерных вирусов, ошибочный ввод учетных данных, ошибки в процессе проектирования и внедрения учетных систем и др. Противостоять возможной реализации угроз можно только приняв адекватные меры, которые способствуют обеспечению безопасности учетной информации. В этой связи каждый бухгалтер, использующий в своей работе компьютеры и средства связи, должен знать, от чего защищать информацию и как это делать.

Под защитой учетной информации понимается состояние ее защищенности от случайных или преднамеренных воздействий естественного или искусственного характера, чреватых нанесением ущерба владельцам или пользователям этой информации.2

Понятие информационной безопасности учетных данных в узком смысле этого слова подразумевает:

надежность работы компьютера;

сохранность ценных учетных данных;

защиту учетной информации от внесения в нее изменений неуполномоченными лицами;

сохранение документированных учетных сведений в электронной связи.

На первый взгляд может показаться, что "информационная безопасность" и "защита безопасности информации" это одно и то же. Однако это не так. Безопасность информации означает защиту информации от многочисленных угроз, в том числе от умышленного и неумышленного искажения, уничтожения и др. Информационная безопасность есть защита объекта, включая и его информационные системы, от каких-то враждебных воздействий, в частности, от компьютерных вирусов, от ошибок, несанкционированного доступа к базам данных и т.д.

Прежде чем проектировать какую-либо систему безопасности, определим, что в учете и от кого (чего) нуждается в защите.

К объектам информационной безопасности в учете относятся как информационные ресурсы, содержащие сведения, отнесенные к коммерческой тайне, и конфиденциальную информацию, представленную в виде баз учетных данных3, так и средства и системы информатизации – технические средства, используемые в информационных процессах (средства вычислительной и организационной техники, информативные и физические поля компьютеров, общесистемное и прикладное программное обеспечение, в целом автоматизированные системы учетных данных предприятий).4

Угроза информационной безопасности бухгалтерского учета заключается в потенциально возможном действии, которое посредством воздействия на компоненты учетной системы может привести к нанесению ущерба владельцам информационных ресурсов или пользователям системы.

Правовой режим информационных ресурсов определяется нормами, устанавливающими:

порядок документирования информации;

право собственности на отдельные документы и отдельные массивы документов, документы и массивы документов в информационных системах5;

категорию информации по уровню доступа к ней;

порядок правовой защиты информации.

Основный принцип, нарушаемый при реализации информационной угрозы в бухгалтерском учете, - это принцип документирования информации6. Учетный документ, полученный из автоматизированной информационной системы учета, приобретает юридическую силу после его подписания должностным лицом в порядке, установленном законодательством Российской Федерации.

Все множество потенциальных угроз в учете по природе их возникновения можно разделить на два класса: естественные (объективные) и искусственные.

Естественные угрозы вызываются объективными причинами, как правило, не зависящими от бухгалтера, ведущими к полному или частичному уничтожению бухгалтерии вместе с ее компонентами. К таким стихийным явлениям относятся: землетрясения, удары молнией, пожары и т.п.

Искусственные угрозы связаны с деятельностью людей. Их можно разделить на непреднамеренные (неумышленные), вызванные способностью сотрудников делать какие-либо ошибки в силу невнимательности, либо усталости, болезненного состояния и т.п. Например, бухгалтер при вводе сведений в компьютер может нажать не ту клавишу, сделать неумышленные ошибки в программе, занести вирус, случайно разгласить пароли.

Преднамеренные (умышленные) угрозы связаны с корыстными устремлениями людей – злоумышленников, намеренно создающих недостоверные документы.

Угрозы безопасности с точки зрения их направленности можно подразделить на следующие группы:

угрозы проникновения и считывания данных из баз учетных данных и компьютерных программ их обработки;

угрозы сохранности учетных данных, приводящие либо к их уничтожению, либо к изменению, в том числе фальсификация платежных документов (платежных требований, поручений и т.п.);

угрозы доступности данных, возникающие, когда пользователь не может получить доступа к учетным данным;

угрозы отказа от выполнения операций, когда один пользователь передает сообщение другому, а затем не подтверждает переданные данные.

В зависимости от источника угроз их можно подразделить на внутренние и внешние.

Источником внутренних угроз является деятельность персонала организации. Внешние угрозы приходят извне от сотрудников других организаций, от хакеров и прочих лиц.

Внешние угрозы можно подразделить на:

локальные, которые предполагают проникновение нарушителя на территорию организации и получение им доступа к отдельному компьютеру или локальной сети;

удаленные угрозы характерны для систем, подключенных к глобальным сетям (Internet, система международных банковских расчетов SWIFT и др.).

Такие опасности возникают чаще всего в системе электронных платежей при расчетах поставщиков с покупателями, использовании в расчетах сетей Internet. Источники таких информационных атак могут находиться за тысячи километров. Причем воздействию подвергаются не только ЭВМ, но и бухгалтерская информация.

Умышленными и неумышленными ошибками в учете, приводящими к увеличению учетного риска, являются следующие:

ошибки в записи учетных данных;

неверные коды;

несанкционированные учетные операции;

нарушение контрольных лимитов;

пропущенные учетные записи;

ошибки при обработке или выводе данных;

ошибки при формировании или корректировке справочников;

неполные учетные записи;

неверное отнесение записей по периодам;

фальсификация данных;

нарушение требований нормативных актов;

нарушение принципов учетной политики;

несоответствие качества услуг потребностям пользователей.

В условиях обработки данных на ПЭВМ последствия многократно повторенной ошибки или неправильно примененной методики могут оказаться катастрофическими.

Процедуры, в которых обычно возникают ошибки и их типы, представлены в таблице 5.2.

Таблица 5.2

Места возникновения бухгалтерских ошибок

Виды ошибок
Сферы преобразования учетных данных

Первичный учет (сбор и регистрация)
Систематизация и обобщение
Вывод

Ошибки в записи учетных данных
+
-
-

Неверные коды
+
+
-

Несанкционированные учетные операции
+
+
-

Нарушение контрольных лимитов;
+
+
-

Пропущенные учетные записи;
+
+
+

Ошибки при обработке или выводе данных;
-
+
+

Ошибки при формировании или корректировке справочников;
+
+
-

Неполные учетные записи;
+
+
+

Неверное отнесение записей по периодам;
+
+
+

Фальсификация данных;
+
+
+

Нарушение требований нормативных актов;
+
+
+

Нарушение принципов учетной политики;
+
+
+

Несоответствие качества услуг потребностям пользователей
+
+
+


Распространение вычислительной техники привело к резкому сокращению невольных (арифметических) ошибок, но создало дополнительные условия для возникновения ошибок умышленных, связанных с мошенничеством.

Необходимо решить – от кого мы защищаем информацию, кто тот потенциальный злоумышленник (или их несколько), который стремится завладеть информацией и для чего, какие он имеет возможности для этого. Ранее мы уже давали уголовно – правовую характеристику компьютерных преступлений, совершаемых работниками бухгалтерии [175]. Как правило, они совершались путем внесения в бухгалтерские документы на начисление заработной платы подложных данных, начисление денежных средств на счета вымышленных (или отсутствующих) лиц. Итак, опасность исходит часто от сотрудников фирмы, действующих не в одиночку, а в сговоре с другими злоумышленниками.

Мотивы и цели компьютерных преступлений могут быть разными: корысть, желание причинить вред, месть, хулиганство либо желание проверить свои способности и навыки владения компьютером.

Общей причиной существования любой преступности, в том числе и компьютерной, является несовершенство человека, его предрасположенность как к добру, так и злу. К счастью большинство людей не совершают компьютерных преступлений не потому, что это осуждается или наказывается обществом, а потому, что так поступать не принято. К законодательным мерам, направленным на создание и поддержание в обществе негативного отношения к нарушениям и нарушителям безопасности информации относится глава 28 "Преступления в сфере компьютерной информации" раздела IX Уголовного Кодекса (УК). Преступлениями в сфере компьютерной информации являются: неправомерный доступ к компьютерной информации (ст. 272 УК); создание, использование и распространение вредоносных программ для ЭВМ (ст. 273 УК); нарушение правил эксплуатации ЭВМ, системы ЭВМ или их сети (ст. 274 УК).

Защита информации в автоматизированных учетных системах строится исходя из следующих основных принципов:

обеспечение физического разделения областей, предназначенных для обработки секретной и несекретной информации;

обеспечение криптографической защиты информации;

обеспечение аутентификации абонентов и абонентских установок;

обеспечение разграничения доступа субъектов и их процессов к информации;

обеспечение установления подлинности и целостности документальных сообщений при их передаче по каналам связи;

обеспечение защиты от отказов от авторства и содержания электронных документов;

обеспечение защиты оборудования и технических средств системы, помещений, где они размещаются, от утечки конфиденциальной информации по техническим каналам;

обеспечение защиты шифротехники, оборудования, технических и программных средств от утечки информации за счет аппаратных и программных закладок;

обеспечение контроля целостности программной и информационной части автоматизированной системы;

использование в качестве механизмов защиты только отечественных разработок;

обеспечение организационно-режимных мер защиты. Целесообразно использование и дополнительных мер по обеспечению безопасности связи в системе;

организация защиты сведений об интенсивности, продолжительности и трафиках обмена информации;

использование для передачи и обработки информации каналов и способов, затрудняющих перехват.

Защита информации от несанкционированного доступа направлена на формирование у защищаемой информации трех основных свойств:

конфиденциальность (засекреченная информация должна быть доступна только тому, кому она предназначена);

целостность (информация, на основе которой принимаются важные решения, должна быть достоверной, точной и полностью защищенной от возможных непреднамеренных и злоумышленных искажений);

готовность (информация и соответствующие информационные службы должны быть доступны, готовы к обслуживанию заинтересованных лиц всегда, когда в них возникает необходимость).

Методами обеспечения защиты учетной информации являются: препятствия; управление доступом, маскировка, регламентация, принуждение, побуждение.

Препятствием нужно считать метод физического преграждения пути злоумышленника к защищаемой учетной информации. Этот метод реализуется пропускной системой предприятия, включая наличие охраны на входе в него, преграждение пути посторонних лиц в бухгалтерию, кассу и пр.

Управлением доступом является метод защиты учетной и отчетной информации, реализуемой за счет:

идентификации пользователей информационной системы. (Каждый пользователь получает собственный персональный идентификатор);

аутентификации – установления подлинности объекта или субъекта по предъявленному им идентификатору (осуществляется путем сопоставления введенного идентификатора с хранящимся в памяти компьютера);

проверки полномочий – проверки соответствия запрашиваемых ресурсов и выполняемых операций по выделенным ресурсам и разрешенным процедурам;

регистрации обращений к защищаемым ресурсам;

информирования и реагирования при попытках несанкционированных действий. (Криптография – способ защиты с помощью преобразования информации (шифрования)).

Маскировка – метода криптографической защиты информации в автоматизированной информационной системе предприятия;

Принуждение – метод защиты учетной информации ввиду угрозы материальной, административной или уголовной ответственности. Последнее реализуется тремя статьями Уголовного кодекса:

«Неправомерный доступ к компьютерной информации» (ст. 272);

«Создание, использование и распространение вредоносных программ для ЭВМ» (ст. 273);

Нарушение правил эксплуатации ЭВМ, систем ЭВМ или их сетей. (ст. 274).

Побуждение – метод защиты информации путем соблюдения пользователями сложившихся морально-этических норм в коллективе предприятия. К морально-этическим средствам относятся, в частности, Кодекс профессионального поведения членов ассоциации пользователей ЭВМ в США.

Юридическая сила документа, хранимого, обрабатываемого и передаваемого с помощью автоматизированных и телекоммуникационных систем, может подтверждаться электронной цифровой подписью.

При передаче документов (платежных поручений, контрактов, распоряжений) по компьютерным сетям необходимо доказательство истинности того, что документ был действительно создан и отправлен автором, а не фальсифицирован или модифицирован получателем или каким-либо третьим лицом. Кроме того, существует угроза отрицания авторства отправителем с целью снятия с себя ответственности за передачу документа. Для защиты от таких угроз в практике обмена финансовыми документами используются методы аутентификации сообщений при отсутствии у сторон доверия друг к другу. Документ (сообщение) дополняется цифровой подписью и секретным криптографическим ключом. Подделка подписей без знания ключа посторонними лицами исключается и неопровержимо свидетельствует об авторстве.

Юридическая сила электронной цифровой подписи признается при наличии в автоматизированной информационной системе программно-технических средств, обеспечивающих идентификацию подписи, и соблюдении установленного режима их использования. Бухгалтер (пользователь) подписывает электронной цифровой подписью с использованием личного ключа, известного только ему, документы, передает их в соответствии со схемой документооборота, а аппаратно-программная система производит проверку подписи. Конфиденциальные документы могут шифроваться на индивидуальных ключах и недоступны для злоумышленников. Система основывается на отечественных стандартах и нормах делопроизводства, практике организации учета документов и контроля действий исполнителей в структурах любой формы собственности (государственной и негосударственной).

Защищенность учетных данных дает возможность:

обеспечить идентификацию/аутентификацию пользователя;

определить для каждого пользователя функциональные права – права на выполнение тех или иных функций системы (в частности, на доступ к тем или иным журналам регистрации документов);

определить для каждого документа уровень конфиденциальности, а для каждого пользователя – права доступа к документам различного уровня конфиденциальности;

подтвердить авторство пользователя с помощью механизма электронной подписи;

обеспечить конфиденциальность документов путем их шифрования, а также шифрования всей информации, передающейся по открытым каналам связи (например, по электронной почте); шифрование производится с использованием сертифицированных криптографических средств;

протоколировать все действия пользователей в журналах аудита (в журнале аудита входа и выхода из системы, журнале совершенных операций).

Подделка подписи без знания ключа злоумышленниками исключается. При защите учетной информации нужно соблюдать следующий принцип: если вы оцениваете информацию в 100000 рублей, то тратить 150000 рублей на ее защиту не стоит. Риск, который может возникнуть на предприятии в результате ошибок, сбоев и подлогов при обработке бухгалтерских данных на ПЭВМ, необходимо сопоставить с затратами на проведение контрольных операций. Нами разработана программа "Риск", которая позволяет оценить информационную систему бухгалтерского учета с позиций возможного учетного риска. Бухгалтеры должны иметь детальные знания о взаимосвязи источников данных, местах их обработки и использования; исключить факты отсутствия ввода документов, доступа к данным и компьютерным программам посторонних лиц как внутри, так и за пределами предприятия (путем использования компьютерного оборудования, расположенного на значительном расстоянии).

Специфический аудит достоверности информации системы бухгалтерского учета должен включать:
  1. контроль за вводом (все ли операции отражены в компьютерных файлах данных, нет ли добавлений или недокументированных изменений в операциях и пр.);
  2. контроль за обработкой данных (операции выполняются правильно, нет их потерь, добавлений и изменений, ошибки исправлены вовремя и устранены);
  3. контроль за выводом информации (получены достоверные результаты, ограничен доступ посторонних лиц к выходной информации).
  4. Используются и другие меры безопасности информационной системы, которые способствуют непрерывному ее функционированию (дублирование данных и программ, а также хранение их на значительном расстоянии от центров обработки; выявление неадекватных операций, записей и пр.).

Средства контроля в автоматизированных учетных системах размещаются в тех точках, где возможный риск способен обернуться убытками.

Такие точки называются «точками риска», или «контрольными точками». Это те точки, где контроль будет наиболее эффективным и вместе с тем наиболее экономичным. Но как бы ни были эффективны средства контроля, они не могут обеспечить стопроцентную гарантию, в частности, в силу неумышленных ошибок, когда человек вместо цифры 3 набирает цифру 9 или наоборот.