關于數據處理安全的審計研究

■王旭英

自黨的第十八屆五中全會上首次提出“國家大數據戰略”這個概念后，我國就在全面實施大數據戰略計劃。根據近期國家互聯網信息辦公室發布的最新《數字中國發展報告（2022年）》顯示，數字經濟成為穩增長促轉型的重要引擎。大數據作為媒介在一定程度上成為繁榮社會發展的新動能，已經逐漸成熟地應用到各行各業，而數據安全也成為近年來風險控制的重點關注領域，那么如何發現數據安全風險也成為審計工作的研究對象。

一、數據處理安全的概念

我國的《數據安全法》明確指出，數據安全是指通過采取必要措施，確保數據處于有效保護和合法利用的狀態，以及具備保障持續安全狀態的能力。通俗來講，就是我們如何有效地防止數據在錄入、處理、統計或打印中由于硬件故障、斷電、死機、人為的誤操作、程序缺陷、病毒或黑客等造成的數據庫損壞或數據丟失的現象，某些敏感或保密數據可能由不具備資格的人員或操作員閱讀、處理，造成數據泄密或者數據被不法分子利用的情況。

鑒于安全風險發生的情況不具有單一性，因此粗略將數據處理安全劃分為兩類：一是系統型數據處理安全；二是人為型數據處理安全。

（一）系統型數據處理安全

現階段，具備一定規模的企業對搭建擁有權限審批、流程合規平臺的重要性已達成共識，因此一般在系統內部設置“管理員”的賬戶角色。不僅是開通權限，更重要是通過算法監控每筆業務流的處理過程，設置必要的風險提示預警，以及可以對全部用戶的操作行為進行查詢，減少人工查證審核時間，提高數據處理安全的質效和效率。

（二）人為型數據處理安全

軟件平臺的構建一定在企業內部是逐步完善起來的，隨著需求功能的增強，必然導致一家企業內部至少擁有財務系統、電子辦公系統（OA）2 個以上的獨立操作系統。那么對數據處理的安全控制也存在于該系統內部，在數據轉移系統交互的過程中，人工操作的行為占據主導，因此很多時候通過雙方簽章確認來證明交互數據的唯一性。這個過程最常應用在企業將數據提交銀行發送付款指令，銀行完成指令后發送需要密碼的簽章版電子回單，通過簽章保障數據處理的結果。但相較于系統型數據處理，人為型數據處理的安全防控更隱蔽、更不可控，依靠軟件程序來防控不能實現風險控制。

二、數據處理安全審計

由于審計線索不足而導致的數據泄露和數據變更，導致事后無法追溯，是危害數據處理安全的重要因素之一。監控整個數據處理操作，分析操作記錄及處理過程是日常監督查證的重要手段。一旦無法檢視數據處理合規性是否有異常，無法收集數據處理過程的詳細信息，數據處理安全就會產生嚴重的不可控風險，對事后追蹤溯源查證也會造成困難，甚至會再次造成風險。因此，數據處理安全審計，在整體大數據審計中對查證舞弊、權責劃分、風險控制等方面有著很重要的作用。

（一）系統型數據處理安全審計

一般常見的數據安全審計，尤其是在保險領域中應用更為顯著，更多是審查數據庫建立、存儲、傳輸是否安全，系統權限是否分工明確、是否設置應急預案，網絡防火墻是否安全可靠、是否建立必要的操作處理流程及制度等，這些基本都是通過完善軟件程序來實現風險控制，可以歸納為系統型數據處理審計。

在審計中，通過逐項審核軟件安全、備份安全、訪問安全、應急措施、運維安全等風險控制要點，基本能達到對單個系統數據處理的安全控制，此處我們更多依賴于操作邏輯縝密的程序優化，以及及時響應處理故障的技術人員。

（二）人為型數據處理安全審計

當把技術層面問題解決后，人為因素便成為不可控的主要情況。通過學習和總結以前年度審計方式方法，發現多數時候把數據處理中的程序和人工環節分劈成兩個審計方向，成因源于審計發現問題方式和專業存在一定跨度。數據型數據處理審計基本需要信息工程、計算機領域方面的審計專家，他們更關注系統本身對數據的處理過程，是否按照人的意愿多線程高效處理數據的同時維護安全穩定；而人為型數據處理審計更多與內部控制審計相關聯，涉及舞弊信息和虛假信息，但從事此方面的審計人員多數不會涉獵對數據處理的全方位分析，因為內控審計本身涵蓋范圍也很大。所以雙方容易忽視這個重要環節，即人機交互處理數據過程的審計。

很多時候我們認為在審查程序權限合規性的過程中，在對照人員分工查驗賬戶信息的時候已對人機交互做出審計，但實際是并不能保證數據在推送到下一個環節后，數據的內容是否發生過變化。即便在數據高度電子智能化的現在，數據依舊需要經過人的操作才能實現流轉，數據本身并不能確定自己的應用范疇，因此操作行為風險可以歸納為人為型數據處理審計。

三、構建案例模型分析

以成立線上打車平臺公司為例，假設公司初創時期僅存在3 款操作系統，分別為：對外交互的打車應用程序、財務處理程序、企業內部電子化辦公程序，以處理日常產生的基本數據維持公司運轉。那么對數據處理安全審計來講，主要圍繞上述兩個分類來開展現場審計工作：

（一）系統型數據處理安全的審計開展

在了解公司運營模式及操作分工后，重點應對自建系統進行審查。對軟件安全、備份安全、訪問安全、應急措施、運維安全等方面需要實現的技術手段及算法邏輯進行查證，審核數據處理在系統內部的安全可靠性。

例如：系統對用戶信息的抓取是否都能有效進入數據庫中，這其中對數據處理的算法是否存在邏輯錯誤；數據庫的建立、存儲、傳輸安全是否得到必要保障，對構建網絡防護采用的措施是否通過了測試和演習，對選用第三方作為服務機構的安全性是否得到有效評估；系統權限是否分工明確，系統后臺對前端操作記錄是否設置查詢和監測；是否設置應急預案，對數據的備份處理以及突發斷電等突發事件能應對有效；是否存在隱藏接口造成數據誤刪或泄露等，通過在程序中反復測試數據處理過程以及推敲流程的合理性和必要性，發表系統中數據處理安全相關的審計意見和建議。

（二）人為型數據處理安全的審計開展

由于人工操作的不可控，在審計過程中就需要獲取更為全面的審計資料。

首先，通過3 個系統管理員權限獲取后臺操作記錄表單。對獲取的操作數據進行排序，篩選出：刪除、覆蓋記錄；間隔過短的登錄信息中存在業務提交與審核獲批記錄；非常規工作時間登錄以及節假日登錄的記錄。通過系統IP 作為標識進行審核，由此推斷相關情況及證據。

其次，根據上述記錄查證結果推導下一步查證要點。（1）權限審批類。查證是否存在未經領導同意私用賬號過審的情況；查證是否存在審核通過后對發送的信息進行修改刪除的情況，上述均存在數據處理安全的泄露和舞弊風險。（2）跨系統報出類。通過其他系統對現有報出數據的勾稽關系進行核實，篩選查證是否存在總數不變但數據包中內容有增減變動的情況，常見于工資薪酬及報銷款項分發至個人后與應發數據不符，通過金額小，批量抽逃資金，獲取不法收入，這里存在數據處理安全的舞弊風險；查證是否存在同一數據向多口徑報出的情況，這里存在數據處理安全的泄露風險。

最后，依據數據推導結果，查閱相關往來憑證及回單材料，落實證據材料的可靠性和真實性，防范人為操作將數據在不同系統間交互過程中變動，有效解決不可控的安全風險。

（三）案例分析

由上述對數據處理的安全審計過程可以得出，系統型數據處理的安全審計旨在搭建可控風險的效益最大化，甚至不能涵蓋人工操作的全過程；而人為型數據處理的安全審計，也只能將系統數據轉化為分析工具來判斷不可控風險，某種程度上對企業的價值并不大，企業內部控制不只體現在數據當中。因此，將二者關聯審計對數據處理來講是最有效的數據處理審計手段。

系統型數據處理安全與人為型數據處理安全其實本就為一體，依托于共享型網絡操作系統，我們無法拋開系統型技術談操作，也不能單一的專注于系統自身風險把控。如何有效地規范數據處理活動，保障數據安全，促進數據開發利用，保護個人、組織的合法權益，本就是需要系統行為和人工行為共同構建完成的安全話題。所以在日常中將二者關聯結合進行審計，不僅節約專項審計時效，而且對于審計行業的專業拓展和思維開拓也有一定作用。