《3 郭瑞 财务数据风险-0425_20240427173240.pdf》由会员分享，可在线阅读，更多相关《3 郭瑞 财务数据风险-0425_20240427173240.pdf（30页珍藏版）》请在三个皮匠报告上搜索。

1、主讲：郭瑞时间：2024.4目录目录1 1数据安全风险2 2财务数据特点3 3风险防范应对4 4相关背景概述0101相关背景概述Text here信息层面：安全体系存在的风险主要主要“受害受害”行业行业 金融 信息、互联网 制造业 医疗卫生重点重点“关注关注”对象对象 财务信息 个人身份信息 医疗记录 商业机密实际案例：九院信息中心法律文件：构建数据安全保护体系以人民安全为宗旨以经济安全为基础构建国家安全体系2015年7月1日起实施规范数据处理活动促进数据开发利用保障数据使用安全2021年9月1日起实施维护网络空间主权关键信息重点保护重要数据境内储存2017年6月1日起实施维护个人隐私权利促进

2、信息产业建设推动数字化经济发展2021年11月1日起实施Text here体制建设：加强安全体系和能力建设推进数据制度落地提高数据治理水平释放数据要素价值2023年10月25日成立开展网络安全认证协助指导应用推广支撑智慧监管建设2023年12月25日成立推动数据开发开放和流通使用提高网络、数据安全保障能力维护国家安全和社会稳定2024年3月5日召开上海市城市数字化转型工作领导小组办公室内容板块落地方向具体内容构建1+1+N数字城市基本框架科学制定城市数字化转型方案开展好数字化转型调研依靠市场力量参与数字化转型建立健全数字“规则”体系探索“数据”深度开发利用强化工作顶层设计电子信息、汽车高端装备

3、、先进材料生命健康、时尚消费品推动经济数字化转型精准触达“基本民生”创新发展“品质民生”着力跨越“数字鸿沟”深化“便捷就医”示范场景推广线上线下融合教学推动民生保障贴心达推动生活数字化转型全面深化“一网通办”改革强化城市运行“一网统管”应用加快社会治理数字化重塑深化业务流程革命再造全面深化公共数据治理持续完善“一网通办”推动治理数字化转型数字经济支柱功能更加显现-实现数字经济核心产业增加值超5000亿元数字生活更趋优质普惠-打造11个老百姓最关心、最直接、最受用的标杆应用数字治理精细化水平提升-实现“一网通办”网办比例不低于70%数字化基础设施能级不断增强-实现5G全面商用，高端绿色IDC机架

4、梳理超20W工作目标以重点示范区域为标杆建设整体性转型示范以重大示范工程为引领持续推进数字化新基建建设五大新城数字化遵循“一区一特”的工作导向推动：数字长三角“建设不断提升信息基础设施能级着力推进重点示范区域和示范工程建设推动数字产业化推动产业数字化地方部署：上海市城市数字化转型工作安排0202数据安全风险数据安全概述1数据是指以某种形式记录的信息，在计算机科学和技术领域，数据通常指的是存储在计算机系统中的信息。什么是数据数据安全是指保护数字数据免受未经授权的访问、泄露、篡改、破坏或丢失的过程。涉及确保数据的保密性、完整性、可用性、可追溯性和可审计性。什么是数据安全快递物流信息、网购交易信息、

5、网约车行车轨迹、浏览的网页、下载的应用、存储的文件.生活中的数据23数据安全的内涵数据安全的特征保密性保密性确保信息仅对授权个人或确保信息仅对授权个人或系统可用或可见系统可用或可见可用性可用性完整性完整性可追溯性可追溯性确保数据在采集、储存、使确保数据在采集、储存、使用和处理过程中未被未授权用和处理过程中未被未授权篡改篡改确保数据在需要时可被授权确保数据在需要时可被授权用户访问和使用用户访问和使用保证数据可以被检查和审计，保证数据可以被检查和审计，以验证是否遵循相应安全策以验证是否遵循相应安全策略和控制措施略和控制措施可审计性可审计性确保所有对数据的操作可以确保所有对数据的操作可以追溯到特定个

6、体追溯到特定个体数据安全风险防范制度程序技术措施教育培训风险监测制定和执行数据安全制度和程序，确保所有使用者都了解并遵守部署防火墙、入侵检测系统、恶意软件防护等安全防护工具定期对使用者进行数据安全培训，提升安全意识和应急处理能力建立风险监测和响应机制，及时发现异常行为和安全事件，迅速采取措施0303财务角度数据安全财务角度数据安全关键词：“数据安全”关注点：网络安全 数据泄露 网络病毒 防火墙关键词：“财务数据安全”关注点：金融数据 财务信息化 经济损失相关案例（一）1 某公司财务人员黄某报案称，其电脑被他人植入木马，非法控制其微信并指令出纳转账，造成损失298.2万元。经查明，该团伙的主要作

7、案对象为企业财务人员，其制作木马程序并伪装成国家相关政策文件，通过企业邮箱群发传播，待企业人员打开程序致使电脑中毒后，再控制企业工作电脑并登录聊天工具，伪装身份伺机实施诈骗行为以及二次传播木马程序。相关案例（二）2 某公司人员徐某因对公司不满而提出辞职。离职时，他将部分文件拷贝至个人U盘、删除办公电脑内包括会计账簿、财务会计报告等文件，未与公司进行工作交接即离开，导致公司财务系统无法工作，造成该公司直接损失人民币2万余元。法院审理认为，徐某出于泄愤等个人目的，以其他方法破坏生产经营，其行为已构成破坏生产经营罪。遂以破坏生产经营罪判处徐某有期徒刑一年。2相关案例（三）3 某医院召开医疗领域学术会

8、议期间，工作人员因缺乏必要的安全意识及专业知识，造成电子邮件账户遭到钓鱼攻击，导致学术会议议程、相关科研成果、参会专家个人资料，包括姓名、职务、单位、酬金等敏感信息遭泄露。事后，部分科研成果被公布于网络，并被大量引用；同时专家个人信息及酬金等敏感信息在网络上被大肆评论，引发网络舆情，对参会专家造成了极大困扰。2相关案例（四）4 某科技有限公司负责人称，公司发现国外网店的收款账户、店铺密码等信息均被更改，损失预计超200万元。经查，系该公司离职人员谭某偶然发现其公司内部邮箱账号及密码均未被修改，并发现了公司国外网店的IP地址。遂进入网店篡改了商品价格，删除部分商品，还修改了后台登录密码，将公司收

9、款账户更改为另一账户。目前，谭某因涉嫌非法控制计算机信息系统罪被警方依法刑事拘留。2财务数据特征企业可以通过多种途径收集和整理财务数据，内部：总账，应收账款，应付账款，预算，采购等；外部：银行对账单、电子支付记录、人力资源系统、税务、审计报告等；其他：互联网、数据库来源广泛财务数据收集和管理集中在少数几个核心系统，如大部分单位实行集中资金管理、统一采购平台集中度高日常运营中产生大量财务信息（如医院：治疗费用、手术费用、设备耗材采购、患者信息等）产出量大财务数据可能来自不同部门、不同系统（如人事、采购、银行、税务），口径格式不一致、需要经过转换折算、合并分析等环节编制再加工环节复杂0102030

10、4财务数据特征财务数据中包含大量敏感信息，需要得到妥善保护（个人身份信息、交易信息、客户数据、个人账户信息、供应商报价、薪资信息、财务预算等）保密性强财务数据按照一定规则和标准进行分类、汇总、编制和报告，具有统一的会计科目体系和计算方法（如财务报表、总帐表、预算、成本核算系统等）结构性强财务数据遵循一定的模式、趋势或周期性变化，具有较强的规律（如年报、季报、月报等）规律性强财务信息化系统、电子支付和结算、数字化票据和报销系统信息化程度高05060708财务数据管理不善或安全漏洞可能导致严重的直接经济损失（如会计舞弊、不当税务申报、资产管理错误等）泄露易导致严重的经济损失090404风险防范应对

11、财务数据风险防范财务数据生成财务数据使用财务数据传送财务数据储存01040302财务数据风险防范环节风险序号风险点风险描述等级评估防范举措财务数据生成cwsjsc-01缺乏真实性财务数据被虚报或刻意隐瞒重要信息重大1.校验核对：实施双重核对制度，进行交叉验证和使用校验工具，确保财务数据的完整性、准确性。2.统一规则：统一生成财务数据各系统的兼容性、数据接口和交换方式。构建多维财务模型，形成统一的智能规则引擎库。3.建立标准：建立财务数据规范化标准。保证财务数据的可靠性和精度；各部门统一财务数据标准和差异，减少数据整合过程中产生歧义和不一致。4.内控审计：建立健全内部控制机制，包括审计和监控机制

12、，确保财务数据的真实性。cwsjsc-02缺乏完整性数据依赖单一来源或来自多个部门，可能会导致信息采集不全面或不完整重要cwsjsc-03准确性不足手工录入财务数据或从其他系统导入时，可能由于操作失误、对数据理解有误或系统问题导致输入数据不准确重要风险点缺乏真实性缺乏完整性准确性不足财务数据风险防范环节风险序号风险点风险描述等级评估防范举措财务数据使用cwsjsy-01未授权访问财务数据被未授权访问，导致财务数据安全性受损重大1.数据分级：财务数据根据其价值、内容敏感等级进行划分。2.访问控制：实施严格的访问控制策略，仅允许授权人员访问敏感财务数据。3.权限管理：使用身份验证和授权机制来限制使

13、用者权限。根据最小权限原则，结合会计人员其职级职务为其分配具体操作权限，确保会计人员只能在自身权限内查阅相关财务数据，且没有单一人员能够完全控制财务数据。cwsjsy-02数据损坏由于硬件故障或系统问题，导致财务数据不可用或损坏重要数据备份：定期备份数据并储存在安全位置，确保数据丢失时能迅速恢复。cwsjsy-03密码泄露财务系统未设置密码、设置过于简单或将密码写于明显位置重要制定规则：设定复杂的密码规则并定期更换密码。风险点未经授权访问财务数据损坏密码泄露财务数据风险防范环节风险序号风险点风险描述等级评估防范举措财务数据使用cwsjsy-04网络攻击财务数据受到黑客攻击、病毒木马等网络安全危

14、险一般1.定期更新：及时更新操作系统、数据库和财务软件，以修复已知的安全漏洞，并确保系统安全性。2.数据保护：采取适当的物理和网络安全措施，如设置访问收口、数据不落地、在线闭环等措施，确保财务数据安全3.安全培训：提供信息安全培训，强调数据安全意识，提高使用人员对网络威胁的认知和防范能力。cwsjsy-05合规风险财务数据的使用不符合相关法律法规和标准一般1.签订协议：签订相关协议，明确对财务数据的保密义务，并依照相关法律法规使用财务数据，不私自拷贝、使用、传播财务数据。2.内控审计：建立相关内控和审计制度，定期检测潜在风险，确保财务数据使用合法合规。风险点网络攻击合规风险财务数据风险防范环节

15、风险序号风险点风险描述等级评估防范举措财务数据储存cwsjcc-01数据窃取储存的财务数据可能被泄露或篡改重大1.数据加密：对存储在数据库中的财务敏感数据进行加密，确保数据在存储过程中都得到保护，防止窃取。2.全面留痕：设置网页水印，发生风险时可及时查看后台，追踪操作记录和操作日志，实施追责。cwsjcc-02数据丢失硬件设备发生故障，导致系统暂时或永久性不可用；软件设备存在编程错误、不兼容或其他问题，导致系统运行不稳定、系统崩溃，以致数据丢失重要1.自动备份：定期自动备份财务数据。制定并测试恢复计划，以应对数据丢失的情况；对财务数据实现分级管理，针对具有较高敏感度的关键财务数据，会计人员要及

16、时上传备份。2.维护优化：对财务系统及相关系统进行定期的维护和升级，确保长期稳定运行。cwsjcc-03档案保管在记录、归档、转换或管理过程中，因人为或技术因素导致电子凭证与纸质凭证不一致一般加强管理，定期核对：确保档案管理模式兼容纸质档案与数据化档案，定期核对凭证一致性。风险点财务数据窃取财务数据丢失档案保管财务数据风险防范环节风险序号风险点风险描述等级评估防范举措财务数据传输cwsjcs-01数据拦截财务数据传输过程中可能被拦截，导致数据被窃取或隐私信息泄露重大1.数据匿名化：对敏感数据进行匿名化和脱敏处理，以减少数据泄露的风险。2.建立安全监测系统，及时发现异常访问行为，追踪数据流向。c

17、wsjcs-02数据篡改财务数据在传输过程中可能被篡改内容，导致数据泄露或损坏重要1.数字签名：使用数字签名技术，防止财务数据在传输过程中被篡改。2.审计跟踪：实施审计跟踪机制，记录财务数据的传输和修改历史，及时追踪溯源。cwsjcs-03移动设备恶意软件可能感染usb等传输设备，在接入日常办公电脑时，造成信息泄露或受损一般加强防护：采用安装终端安全管理系统，通过禁用所有外设接口，或设置只写、只读功能等，降低病毒入侵可能性。风险点数据拦截数据篡改移动设备A-人机共智T-精益信任R-统筹风险O-持续运营网络流量分析监测安全管理制度安全域划分网络入侵检测网络恶意代码防范主机恶意代码防范主机入侵检测

18、和响应Web应用防护终端恶意代码防范结构化安全自适应安全智慧化安全物理隔离网闸介质安全生物特征上网行为管理传输加密和完整性保护网络访问控制物理访问控制应用身份认证终端身份认证系统身份认证数字证书系统安全加固运维审计设备/链路备份流量审计安全管理机构安全管理人员应用访问行为分析流量日志关联分析数据访问行为分析外部威胁情报数据脱敏虚拟化软件安全终端防泄密终端行为管控应用统一认证和管控文件和数据加密数据访问控制灾备中心统一脆弱性管理终端监控审计终端数据/系统备份应用日志备份网络空间测绘安全建设管理本地化算法训练和建模策略流程优化机器流程自动化现代化身份访问管理访问流转溯源统一身份认证管理全局零信任访问控制统一事件管理安全开发运营攻防对抗演练威胁诱捕威胁狩猎攻击反制文件分析检测云工作负载统一保护安全编排自动化与响应辅助决策合规监测与自动化调优统一风险管理统一威胁建模可信计算全局知识管理运营灰度访问控制策略数据库审计统一审计管理安全访问服务边缘统一配置管理恶意邮件防范失陷事件关联局部联动处置容器安全代码安全敏感数据定位培训和人员能力管理3 个阶段4 个能力域79 个能力项当前安全能力安全建设目标运行状态监测根据目标及现状，明确差距逐步建设智慧化安全管理展望谢 谢