文章来源：WE－2014年院刊

撰稿：刘 勤

　　“如果将会计信息系统从企业内部网（Intranet）上迁移到公共云上，对企业的会计工作将会产生什么影响？”面对这一问题，大多数会计工作者的第一反应不是操作上是否便捷了，不是费用上是否降低了，也不是系统的扩展性是否加强了，而是我们的商业秘密泄露了怎么办？如果系统发生瘫痪该由谁来承担责任？这是笔者在上海国家会计学院总会计师培训班和地方会计领军人才培训班上随机调查的结果。
    　经过近十年的发展，云计算产业已成为战略性新兴产业的重要组成部分，云计算正在改变着我们的生活方式、生产方式和商业模式。当前，云计算在电信、金融、医疗、教育、制造、电子政务等领域的应用已屡见不鲜，应用范围也覆盖到核心事务处理、供应链管理、客户关系管理、办公自动化等各个管理环节，但云计算在会计领域的应用一直都进展缓慢，普遍认为其最大的阻碍是使用者对云计算安全性的顾虑。
  　  因此，了解云计算的安全风险，研究相应的风险防范机制、考虑新模式下法律及监管问题等是推进云计算在会计领域中应用所必不可少的重要内容。

云计算及会计云
　　云计算是一种IT资源的交付和使用模式，它可通过网络以按需、易扩展的方式获得所需的硬件、平台、软件及服务等资源。目前，有几种云计算的划分方法，如按服务层次（模式）来划分，云计算大致可被分为三种，即基础设施即服务（IaaS），平台即服务（PaaS）和软件即服务（SaaS）；如按部署方式划分，云计算可被分为四种，即私有云、社区云、混合云和公共云。
　　会计云是构建于互联网上，并向企业提供在线会计核算、会计管理和会计决策服务的虚拟会计信息系统。会计云可涉及各类云服务模式、云部署模式以及云计算应用领域。由于会计更多是一种软件服务,所以相对其它服务模式，会计云与SaaS模式关联更为紧密。当前提供会计云SaaS服务的著名代表有友商网、优库网、钱掌柜等。

对会计云的安全顾虑
　　尽管很多云计算的服务商标榜云计算具有资源灵活、安全可控、数据可靠、费用低廉、计算能力利用率高、便于统一管理等优点，但很多用户至今还是不太买账。
　　IT168曾经做过一个调查，云计算的用户基于“缺少成熟云服务商、缺少成功案例、网络带宽与费用限制、缺乏统一标准、虚拟化技术尚未成熟、相关政策法规有待完善”等原因，对云计算的数据安全与隐私、系统可靠性与业务连续性、云计算的服务水平等普遍产生担忧。
　　从信息安全的角度而言，云计算带来了的问题主要体现在两个方面：一是传统信息化应用环境下的安全问题在云计算环境下仍然无法消除，如软件漏洞、病毒、黑客攻击等问题；二是云计算作为一种新型的应用模式给用户又带来了许多新的问题，如数据泄漏风险、多客户端访问下的数据被截获风险、服务委托风险等，而这些问题如无法解决，对会计云而言都是致命的。
　　事实上，公众对云计算的安全顾虑并不是空穴来风，云计算服务的著名提供商都曾发生过多次安全事件，如在2012年2月28日，微软Azure由于“闰年bug”导致在全球范围内大面积服务中断，中断时间超过24小时；2012年6月15日，亚马逊位于北维吉尼亚的数据中心遭遇停电，由此导致亚马逊著名的云计算服务AWS中断约6个小时，影响波及亚马逊弹性计算EC2、亚马逊关系数据库服务以及亚马逊弹性魔豆AWS Elastic Beanstalk等； 2012年10月26日，Google著名的App Engine也发生了服务中断，时间持续4小时，受此影响，50%的GAE请求均失败；此外，出现云计算安全事件的还有著名的在线存储公司Dropbox，2012年10月26日，其服务发生中断，当时网站显示错误信息“抱歉，网站出问题了，不过请勿担心，数据都很安全，我们也在尽快修复，”此后Dropbox并未做出进一步的解释。
　　在传统的IT模式下，会计信息及财务软件构建在企业网（Intranet）中，其风险是基本可控的，而在云计算模式下，会计信息及财务软件被迁移到其它方提供的环境中，这将引起用户（租户）对控制缺失的顾虑，比如网络可用性问题、云提供商的能力和信誉问题、灾难恢复和业务连续性问题、云提供商对安全事件的响应速度问题、云管理的透明度问题以及物理控制缺失（隐私、数据等）、新风险和新漏洞、法律和监管的合规性等。

可供借鉴的分析框架
     　在分析会计云安全时，现存的很多标准、知识框架和模型都可被借鉴，如ISO 27001-27006信息安全国际标准、欧洲网络与信息安全局（ENISA）的云计算信息安全保障框架(2009)和云计算利益、风险和信息安全建议（2009）、ITIL（信息技术基础架构库）、COBIT（信息和相关技术控制目标）和COSO 内部控制模型、CSA（Cloud Security Alliance 云安全联盟）模型等，如用一个公式将最核心的内容关联起来就是：

 
　　在分析会计云的安全威胁时，我们可借鉴CSA（云安全联盟）公布的云计算7个致命安全威胁，即对云的不良使用、不安全的API、恶意的内部人员、共享技术的问题、数据丢失或泄漏、账户和服务劫持和未知的风险。
　　在分析会计云的安全漏洞时，我们可借鉴NIST发布的特定的云计算安全漏洞，即核心技术漏洞（包括虚拟机逃逸、会话控制和劫持、不安全或过时的加密）、关键的云特征漏洞（包括未经授权的管理界面访问、互联网协议漏洞、数据恢复漏洞、逃避计量和计费）、已知安全控制缺陷（包括虚拟网的网络控制不足、屏蔽网络漏洞扫描、网络流量同时在真实和虚拟网络中出现）和云计算常见新漏洞（包括针对注入漏洞的攻击、薄弱的身份认证机制）等。
　　在分析会计云的安全对策时，我们可从CSA发布的云计算安全13个关键域进行一一分析，也可借鉴服务水平协议SLA中有关云计算服务的相关内容以及其它安全管理标准来分析。
　　在分析资产价值时，可供借鉴的工具有数据/应用/功能/过程矩阵等。

会计云的风险分析
  　  除利用上图所示的方法进行会计云的安全分析之外，我们还可以结合会计云的部署模式、服务模式、服务水平、服务范围、对会计云的监管要求等进行深入的分析：即：

 
　　如根据会计云的部署模式不同，我们可以从应用程序、中间件、虚拟机操作系统、管理程序、存储、硬件、网络等几个角度分析供应商和用户的控制能力，并据此研究风险的防范措施；又如，我们可以根据会计云的服务水平研究服务交割范围、性能管理、问题管理、用户的职责、担保和补偿、灾难恢复和业务连续性等问题。
    　 当然，会计云的安全风险不仅与技术因素有关，还与云计算环境下的会计安全标准建设、云计算环境下财务处理的合规性、云会计环境下法律及监管的变化、会计云服务模式及提供商评估、云会计环境下的取证和安全审计方法等因素有关。
　　（本文根据作者在中国第十二届会计信息化年会上的演讲稿改编而成）