امنیت نرم افزارهای حسابداری
امنیت نرم‌افزار حسابداری به حفاظت از دسترسی، ثبت‌ها و امکان ادامهٔ کار وابسته است. برای ارزیابی آن، فقط نام نرم‌افزار یا وجود آنتی‌ویروس را ملاک قرار ندهید. حساب‌های کاربران، حدود اختیار، به‌روزرسانی‌ها، نسخه‌های پشتیبان و روش پیگیری تغییرات را نیز بررسی کنید.
چه اطلاعاتی در حسابداری نیاز به حفاظت دارند؟
اطلاعات اشخاص، حقوق کارکنان، ماندهٔ حساب‌ها، اسناد و گزارش‌های مالی را شناسایی کنید و مشخص کنید چه کسی برای کار خود به هر بخش نیاز دارد. علاوه بر محرمانگی، درست‌ماندن ثبت‌ها و دسترسی به اطلاعات هنگام نیاز نیز مهم است. ثبت اشتباه، استفاده از حساب مشترک یا دسترسی نامتناسب را در بررسی خطرها نادیده نگیرید.
حساب‌ها و سطح دسترسی را چگونه کنترل کنیم؟
برای هر نقش، کارهای مجاز را روشن کنید. امکان مشاهدهٔ گزارش، ثبت سند، اصلاح، حذف و تأیید پرداخت را یکسان در نظر نگیرید. قابلیت‌های نسخهٔ نرم‌افزار خود را در محیط آزمایشی بررسی کنید و اختیارهای حساس را طبق رویهٔ مجموعه محدود کنید.
راهنمای مقابله با باج‌افزار CISA بر اصل حداقل دسترسی تأکید دارد. به‌عنوان آزمون عملی، با یک حساب آزمایشیِ محدود بررسی کنید که کاربر بتواند وظیفهٔ مجاز را انجام دهد و به بخش خارج از اختیار دسترسی نداشته باشد. نتیجهٔ این آزمون را ثبت کنید.
برای رمز عبور چه رویکردی مناسب است؟
رمز هر حساب را اختصاصی نگه دارید و آن را در اختیار دیگران نگذارید. در صورت پشتیبانی سامانه، استفاده از احراز هویت چندعاملی را بررسی کنید. برای نگهداری رمزها، مدیر رمز معتبر را با مسئول فناوری ارزیابی کنید.
در راهنمای احراز هویت NIST SP 800-63B، تحمیل تغییر دوره‌ای رمز بدون شواهد افشا توصیه نشده است. در صورت وجود شواهد به‌خطرافتادن رمز، تغییر آن لازم است. تغییر مداوم رمز را راه جلوگیری از ورود ویروس معرفی نکنید؛ حفاظت حساب و مقابله با بدافزار نیازمند کنترل‌های مرتبط با هر خطر هستند.
به‌روزرسانی و فایل‌های دریافتی را جدی بگیریم
برای نصب نسخه‌های پشتیبانی‌شده و اصلاحات امنیتی، برنامه‌ای مشخص با مسئول فناوری داشته باشید. سازگاری نرم‌افزار حسابداری و پیش‌نیازهای آن را پیش از تغییر بررسی کنید. راهنمای CISA به‌روزرسانی سیستم‌عامل و نرم‌افزار و استفادهٔ درست از ابزارهای ضدبدافزار را در مجموعهٔ کنترل‌های پیشگیری مطرح می‌کند.
برای دریافت نصب‌کننده و به‌روزرسانی از مسیر رسمی عرضه‌کننده استفاده کنید. در مواجهه با پیوست یا درخواست غیرمنتظره، هویت فرستنده و ضرورت اقدام را از مسیر مطمئن بررسی کنید. فعال‌کردن ماکرو یا اجرای فایل ناشناس را صرفاً به دلیل ظاهر آشنای پیام انجام ندهید. تنظیمات امنیتی را برای رفع یک خطای نامشخص غیرفعال نکنید و موضوع را با مسئول مربوط پیگیری کنید.
وجود بکاپ کافی است یا باید بازیابی را هم آزمود؟
مشخص کنید نسخهٔ پشتیبان چه داده‌هایی را پوشش می‌دهد، آخرین تهیهٔ موفق چه زمانی بوده و چه کسی می‌تواند به آن دسترسی داشته باشد. نسخهٔ آزمایشی را در محیط جداگانه بازیابی و چند سند و گزارش نمونه را با مبنای همان تاریخ تطبیق دهید.
CISA توصیه می‌کند نسخه‌های پشتیبان رمزگذاری‌شده و آفلاین نگهداری و به‌طور منظم آزموده شوند، زیرا بعضی باج‌افزارها بکاپ‌های در دسترس را نیز هدف می‌گیرند. طراحی روش مناسب را با مسئول فناوری هماهنگ کنید. موفقیت یک آزمون، تضمین بازیابی همهٔ داده‌ها در تمام رخدادهای آینده نیست.
حسابرس چه نقشی در امنیت دارد؟
در ارزیابی نقش حسابرس، دامنهٔ مأموریت و گزارش او را بخوانید. حسابرسی صورت‌های مالی را معادل آزمون نفوذ، ادارهٔ امنیت شبکه یا تضمین جلوگیری از تقلب در نظر نگیرید. مسئولیت‌های تیم مالی، مدیر سیستم و مسئول امنیت را مشخص کنید و یافته‌های مربوط به کنترل‌ها را به فرد مسئول ارجاع دهید.
در صورت مشاهدهٔ رفتار مشکوک چه کنیم؟
نشانه‌هایی مانند تغییر غیرمنتظرهٔ فایل‌ها، دسترسی ناشناس یا پیام باج‌خواهی را به مسئول فناوری یا امنیت اطلاع دهید و طبق برنامهٔ پاسخ به رخداد عمل کنید. راهنمای CISA بر جداسازی سامانه‌های آسیب‌دیده و بازیابی در محیط سالم تأکید دارد. از بازگرداندن عجولانهٔ بکاپ روی محیط بررسی‌نشده بپرهیزید.
برای مرور دوره‌ای، یک فهرست کوتاه داشته باشید: کاربران مجاز، اختیارهای حساس، وضعیت به‌روزرسانی، آخرین بکاپ موفق، نتیجهٔ آزمون بازیابی و مسئول پیگیری هشدارها. امنیت را با نتیجهٔ کنترل‌ها و شواهد قابل پیگیری ارزیابی کنید؛ وعدهٔ مصونیت کامل جای این بررسی‌ها را نمی‌گیرد.