关于数据处理安全的审计研究

■王旭英

自党的第十八届五中全会上首次提出“国家大数据战略”这个概念后，我国就在全面实施大数据战略计划。根据近期国家互联网信息办公室发布的最新《数字中国发展报告（2022年）》显示，数字经济成为稳增长促转型的重要引擎。大数据作为媒介在一定程度上成为繁荣社会发展的新动能，已经逐渐成熟地应用到各行各业，而数据安全也成为近年来风险控制的重点关注领域，那么如何发现数据安全风险也成为审计工作的研究对象。

一、数据处理安全的概念

我国的《数据安全法》明确指出，数据安全是指通过采取必要措施，确保数据处于有效保护和合法利用的状态，以及具备保障持续安全状态的能力。通俗来讲，就是我们如何有效地防止数据在录入、处理、统计或打印中由于硬件故障、断电、死机、人为的误操作、程序缺陷、病毒或黑客等造成的数据库损坏或数据丢失的现象，某些敏感或保密数据可能由不具备资格的人员或操作员阅读、处理，造成数据泄密或者数据被不法分子利用的情况。

鉴于安全风险发生的情况不具有单一性，因此粗略将数据处理安全划分为两类：一是系统型数据处理安全；二是人为型数据处理安全。

（一）系统型数据处理安全

现阶段，具备一定规模的企业对搭建拥有权限审批、流程合规平台的重要性已达成共识，因此一般在系统内部设置“管理员”的账户角色。不仅是开通权限，更重要是通过算法监控每笔业务流的处理过程，设置必要的风险提示预警，以及可以对全部用户的操作行为进行查询，减少人工查证审核时间，提高数据处理安全的质效和效率。

（二）人为型数据处理安全

软件平台的构建一定在企业内部是逐步完善起来的，随着需求功能的增强，必然导致一家企业内部至少拥有财务系统、电子办公系统（OA）2 个以上的独立操作系统。那么对数据处理的安全控制也存在于该系统内部，在数据转移系统交互的过程中，人工操作的行为占据主导，因此很多时候通过双方签章确认来证明交互数据的唯一性。这个过程最常应用在企业将数据提交银行发送付款指令，银行完成指令后发送需要密码的签章版电子回单，通过签章保障数据处理的结果。但相较于系统型数据处理，人为型数据处理的安全防控更隐蔽、更不可控，依靠软件程序来防控不能实现风险控制。

二、数据处理安全审计

由于审计线索不足而导致的数据泄露和数据变更，导致事后无法追溯，是危害数据处理安全的重要因素之一。监控整个数据处理操作，分析操作记录及处理过程是日常监督查证的重要手段。一旦无法检视数据处理合规性是否有异常，无法收集数据处理过程的详细信息，数据处理安全就会产生严重的不可控风险，对事后追踪溯源查证也会造成困难，甚至会再次造成风险。因此，数据处理安全审计，在整体大数据审计中对查证舞弊、权责划分、风险控制等方面有着很重要的作用。

（一）系统型数据处理安全审计

一般常见的数据安全审计，尤其是在保险领域中应用更为显著，更多是审查数据库建立、存储、传输是否安全，系统权限是否分工明确、是否设置应急预案，网络防火墙是否安全可靠、是否建立必要的操作处理流程及制度等，这些基本都是通过完善软件程序来实现风险控制，可以归纳为系统型数据处理审计。

在审计中，通过逐项审核软件安全、备份安全、访问安全、应急措施、运维安全等风险控制要点，基本能达到对单个系统数据处理的安全控制，此处我们更多依赖于操作逻辑缜密的程序优化，以及及时响应处理故障的技术人员。

（二）人为型数据处理安全审计

当把技术层面问题解决后，人为因素便成为不可控的主要情况。通过学习和总结以前年度审计方式方法，发现多数时候把数据处理中的程序和人工环节分劈成两个审计方向，成因源于审计发现问题方式和专业存在一定跨度。数据型数据处理审计基本需要信息工程、计算机领域方面的审计专家，他们更关注系统本身对数据的处理过程，是否按照人的意愿多线程高效处理数据的同时维护安全稳定；而人为型数据处理审计更多与内部控制审计相关联，涉及舞弊信息和虚假信息，但从事此方面的审计人员多数不会涉猎对数据处理的全方位分析，因为内控审计本身涵盖范围也很大。所以双方容易忽视这个重要环节，即人机交互处理数据过程的审计。

很多时候我们认为在审查程序权限合规性的过程中，在对照人员分工查验账户信息的时候已对人机交互做出审计，但实际是并不能保证数据在推送到下一个环节后，数据的内容是否发生过变化。即便在数据高度电子智能化的现在，数据依旧需要经过人的操作才能实现流转，数据本身并不能确定自己的应用范畴，因此操作行为风险可以归纳为人为型数据处理审计。

三、构建案例模型分析

以成立线上打车平台公司为例，假设公司初创时期仅存在3 款操作系统，分别为：对外交互的打车应用程序、财务处理程序、企业内部电子化办公程序，以处理日常产生的基本数据维持公司运转。那么对数据处理安全审计来讲，主要围绕上述两个分类来开展现场审计工作：

（一）系统型数据处理安全的审计开展

在了解公司运营模式及操作分工后，重点应对自建系统进行审查。对软件安全、备份安全、访问安全、应急措施、运维安全等方面需要实现的技术手段及算法逻辑进行查证，审核数据处理在系统内部的安全可靠性。

例如：系统对用户信息的抓取是否都能有效进入数据库中，这其中对数据处理的算法是否存在逻辑错误；数据库的建立、存储、传输安全是否得到必要保障，对构建网络防护采用的措施是否通过了测试和演习，对选用第三方作为服务机构的安全性是否得到有效评估；系统权限是否分工明确，系统后台对前端操作记录是否设置查询和监测；是否设置应急预案，对数据的备份处理以及突发断电等突发事件能应对有效；是否存在隐藏接口造成数据误删或泄露等，通过在程序中反复测试数据处理过程以及推敲流程的合理性和必要性，发表系统中数据处理安全相关的审计意见和建议。

（二）人为型数据处理安全的审计开展

由于人工操作的不可控，在审计过程中就需要获取更为全面的审计资料。

首先，通过3 个系统管理员权限获取后台操作记录表单。对获取的操作数据进行排序，筛选出：删除、覆盖记录；间隔过短的登录信息中存在业务提交与审核获批记录；非常规工作时间登录以及节假日登录的记录。通过系统IP 作为标识进行审核，由此推断相关情况及证据。

其次，根据上述记录查证结果推导下一步查证要点。（1）权限审批类。查证是否存在未经领导同意私用账号过审的情况；查证是否存在审核通过后对发送的信息进行修改删除的情况，上述均存在数据处理安全的泄露和舞弊风险。（2）跨系统报出类。通过其他系统对现有报出数据的勾稽关系进行核实，筛选查证是否存在总数不变但数据包中内容有增减变动的情况，常见于工资薪酬及报销款项分发至个人后与应发数据不符，通过金额小，批量抽逃资金，获取不法收入，这里存在数据处理安全的舞弊风险；查证是否存在同一数据向多口径报出的情况，这里存在数据处理安全的泄露风险。

最后，依据数据推导结果，查阅相关往来凭证及回单材料，落实证据材料的可靠性和真实性，防范人为操作将数据在不同系统间交互过程中变动，有效解决不可控的安全风险。

（三）案例分析

由上述对数据处理的安全审计过程可以得出，系统型数据处理的安全审计旨在搭建可控风险的效益最大化，甚至不能涵盖人工操作的全过程；而人为型数据处理的安全审计，也只能将系统数据转化为分析工具来判断不可控风险，某种程度上对企业的价值并不大，企业内部控制不只体现在数据当中。因此，将二者关联审计对数据处理来讲是最有效的数据处理审计手段。

系统型数据处理安全与人为型数据处理安全其实本就为一体，依托于共享型网络操作系统，我们无法抛开系统型技术谈操作，也不能单一的专注于系统自身风险把控。如何有效地规范数据处理活动，保障数据安全，促进数据开发利用，保护个人、组织的合法权益，本就是需要系统行为和人工行为共同构建完成的安全话题。所以在日常中将二者关联结合进行审计，不仅节约专项审计时效，而且对于审计行业的专业拓展和思维开拓也有一定作用。