基于区块链技术的审计数据访问控制研究_吴花平.pdf

FRIENDS OF ACCOUNTING区 块 链 系 列 文 章一、引言数字经济时代，电子数据本身所蕴含的巨大价值逐渐被发现和挖掘，数据成为推动经济发展的基本要素之一1。党的二十大报告明确提出“加快发展数字经济，促进数字经济和实体经济深度融合，打造具有国际竞争力的数字产业集群”。数字经济的蓬勃发展，离不开数字技术的广泛应用。借助数字技术的不断进步，储存在本地磁盘或云端上的电子数据不仅降低了如对纸质等实物储存的依赖，而且实现了海量数据的低成本储存和便捷使用。同时，审计数据也由传统的财务账簿、凭证等纸质形式记录转变为电子数据形式的数字化记录，来源单一、数据量小的传统审计数据逐渐呈现多维、多元、异构等新特点，为审计业务的有序开展提供了更为丰富的审计数据基础2。然而，以电子载体为主的储存形式也潜藏着相应的风险。与传统纸质媒介记录的数据相比，电子数据因其特性从而具有更大的复制、丢失、篡改等风险，且电子数据的复制和篡改行为往往难以被察觉，其存储和使用过程中的安全性问题日益凸显，审计数据的访问安全问题便是其中之一。在审计数据访问的过程中，大量电子数据通过网络进行传输，数据的传输环节多、链条长，加之存在一定程度的数据控制不力等情况，从而使得隐私数据具有泄露风险，严重危害数据的安全性，不仅阻碍了审计工作的正常开展，而且会对企业的生存产生威胁3。因此，为在审计工作中保护被审计单位的机密数据，保障企业的稳定发展，审计数据的访问控制亟待重视与加强。现有审计数据访问模式难以满足被审计单位对保障自身数据安全的需求，在科技强审的战略目标下，利用新技术构建可靠、稳定的审计数据访问模式迫在眉睫，而区块链基于其技术特点为解决审计数据访问安全问题提供了切实可行的崭新视角。从本质上看，区块链是一个全网维护和共享的分布式数字账本，具有不可篡改、可追溯、安全可信等特点，为数字记录和信息传输提供了一个安全、稳定的去中心化框架。它集成了分布式储存、共识算法、非对称加密、智能合约等多种技术，可在不依靠任何可信第三方中心机构的情况下，实现多方可信、信息的对等传输4。通过区块链技术，可实现访问权限控制、数据加【基金项目】重庆市教育委员会科学技术研究计划青年项目“成渝数字化转型企业智能内审系统架构与实现路径研究”（KJQN202101113）；重庆市教育委员会人文社会科学研究规划项目“重庆数字化转型企业智能持续审计框架构建与实施路径研究”（22SKGH311）；重庆理工大学研究生教育高质量发展行动计划（gzlcx20233458；gzlcx20233459；gzlcx20223387）【作者简介】吴花平（1982），女，山西吕梁人，博士（博士后），重庆理工大学财会研究与开发中心教授、硕士生导师，研究方向：财会审大数据、区块链审计；吴冰（1999），女，重庆人，重庆理工大学会计学院硕士研究生，研究方向：会计信息化；刘自豪（1998），男，河南商丘人，重庆理工大学会计学院硕士研究生，研究方向：会计信息化吴冰为通讯作者。【摘要】随着数字经济的蓬勃发展，电子审计数据激增，其访问需求不断催生。在传统审计数据访问模式下，审计数据传输的恶意截获、采集的不透明等问题日益尖锐。区块链技术基于其不可篡改、可追溯等技术特征，为解决审计数据访问的安全问题提供了契机。文章结合区块链核心技术特点，提出了基于区块链技术的审计数据访问控制框架。在利用链式结构储存数据保障真实性的基础上，通过智能合约进行用户身份认证，非对称加密技术实现审计数据的加密传输和安全访问，以期借助计算机语言规范审计数据访问者的行为，实现审计数据的安全访问，打破审计双方信任壁垒，拓宽区块链技术在审计中的应用前景，为推动我国审计行业变革提供参考。【关键词】区块链；审计数据；访问控制；审计取证【中图分类号】F239.1；F239.43；TP311【文献标识码】A【文章编号】1004-5937（2023）14-0149-06基于区块链技术的审计数据访问控制研究吴花平1吴冰2刘自豪21.重庆理工大学财会研究与开发中心2.重庆理工大学会计学院149会 计 之 友 2023 年 第 14 期FRIENDS OF ACCOUNTING区 块 链 系 列 文 章密传输，进而有效保障数据安全，契合了当前审计工作对加强审计数据访问控制的需求。本文基于现阶段审计数据采集现状，对传统审计数据访问控制局限性进行分析，发现区块链技术在加强审计数据访问控制方面具有高度的技术契合性和可行性。在此基础上，构建了基于区块链技术的审计数据访问控制框架，并对该框架下的审计数据访问流程做出说明，详细分析了该框架的优势和局限，以期通过区块链技术推动审计数据安全访问的同时，为新时代下“区块链+审计”路径的探索提供有益参考和借鉴。二、文献综述（一）传统审计数据访问控制研究由于本文的审计数据专指以电子形式存在的审计证据，因此对审计数据访问的探讨也是基于电子审计数据展开的。现有审计数据储存方式主要有以下两种，分别是本地计算机储存和云端线上储存。本地计算机储存是指将数据储存在被审计单位内部的硬盘或磁盘上，储存在本地计算机的审计数据，具有完全受被审计单位控制的突出特点，因此为审计数据的非法修饰或篡改提供了巨大空间。此外，数据篡改的成本和难度极低，并且篡改痕迹往往难以被发掘，使得审计工作的难度被进一步加大。在实施审计的过程中，审计数据的访问并未得到高度重视和严格控制。在传统的现场审计模式中，审计人员采集审计数据主要通过硬盘拷贝的方式，既容易丢失，又容易感染病毒，审计数据的安全性难以得到保障，数据的共享性也受到极大限制，不利于审计工作的高效开展5。而由被审计单位线上发送审计数据的方式，可能存在被恶意拦截和攻击的风险，这无疑加大了审计数据丢失、泄露的可能，此时审计单位接收到的审计数据的真实性、完整性和准确性也有待商榷。云储存是基于云计算的发展而衍生出的一种在线储存方式。与本地数据储存方式相比，云存储具有大幅减少本地存储、维护和管理成本，打破地理位置对数据访问的限制等优势6。然而，被审计单位在享受云储存带来的便捷存储和管理服务的同时，实质上已经丧失了对数据的直接控制权，使得数据的安全性和完整性面临一定风险7-9。由于数据不受其所有者的控制，就难以避免云服务提供商（cloud service provider，CSP）的一些不当行为。CSP可能出于好奇访问用户储存在云端上的敏感数据8，还可能为了节省储存空间在未经授权的情况下删除不经常访问的数据，或者在储存的数据损坏时不采取任何弥补措施 9。即使企业可凭借密码验证等方式随时查询线上相关数据，但仍无法直接确认数据是否发生损坏和修改等情况，更无法检查数据是否被云服务提供商（CSP）非法迁移至其他服务器 10。即便可通过第三方审计者（third party auditor，TAP）对数据的完整性进行审计，但仍然存在 CSP 与 TAP 为了经济利益而合谋欺骗被审计单位的可能性。此外，审计单位对于云端数据的访问均是以互联网为通道和基础，复杂的网络环境使审计数据在传输过程中面临病毒攻击和黑客截取的风险，不但使审计数据采集的数量和质量难以得到有效保证，阻碍审计工作的正常开展，而且容易导致被审计单位核心数据的泄漏和丢失，给被审计单位带来不可估量的损失。（二）区块链访问控制研究区块链中储存了包括交易、用户信息、智能合约代码等在内的海量数据。因此数据安全是区块链的首要安全目标，区块链基于其基础技术在数据安全方面的表现尤为突出。近年来，有学者研究利用区块链技术与云储存结合加强数据储存安全，以弥补云储存在数据完整性和安全性上的不足11-12。由于区块链具有不可篡改和可追溯等特点，相较于使用云储存和区块链结合检验数据完整性，将数据直接存储于区块链的方式更有助于保障数据的完整性，简化数据真实性的验证过程，因此，部分学者基于区块链的技术特性开展了数据访问相关研究，并取得了一定的研究成果。Azaria 等13将区块链技术应用于医疗记录，用以解决医疗数据访问碎片化、速度慢，系统互操作性，病人代理等问题以及提高医学研究数据的质量和数量。吴振铨等14将联盟区块链与智能电网相结合，以实现电网数据的安全存储与共享。在系统节点间数据共享方面，吴振铨等14提出数据拥有者验证申请节点身份，智能合约执行设定的数据共享范围、时间限制等约束条件的方式，以此实现数据安全访问。Zhang 等15以以太坊智能合约平台为基础，提出由多个访问控制契约、一个判断契约和一个注册契约组成的物联网访问控制框架，实现物联网系统的分布式可信访问控制。Ezhil 等8将云储存与区块链相结合，提出一种可审计的基于属性的加密方案，主要通过将文件与访问策略相关联对文件进行加密、支持对数据进行公开审计的方式实现数据的安全共享和完整性验证。在区块链审计方面，房巧玲等16分析了区块链技术150FRIENDS OF ACCOUNTING区 块 链 系 列 文 章与审计工作的契合性，提出双链架构的审计模式，其中在审计主体链中加入审计服务监管方节点，用于确保审计流程规范性。王琳和张尤凤17认为审计访问层可以采用非对称加密技术，以此保障数据传输的安全高效，审计单位人员使用设备接入被审计单位区块链应用平台，不同的登录角色因其属性不同分配对应的密钥，获取不同的访问权限和内容。总体来看，存储在本地计算机或云端的审计数据，在其储存和审计访问的过程中均存在较大的数据安全风险，审计数据在传输过程中缺乏有效的安全保障机制。现有文献论证了区块链技术能够有效保障数据储存安全，并且已有学者对基于区块链技术的数据访问进行了一定的研究，主要集中于物联网设备访问、医疗数据访问和电网数据访问等方面。此外，现有关于区块链和审计的研究主要集中于整体的构建上，对审计数据的访问控制具体设计研究并不多见。因此，构建审计数据访问安全控制框架，规范审计人员数据采集流程，不仅有利于完善区块链审计内容，而且对区块链与审计结合进程的推进意义重大。本文在已有文献研究的基础上，结合区块链技术特点，重塑现有的审计数据访问流程，构建基于区块链技术的审计数据访问控制框架，为提升审计数据安全访问、加强被审计单位数据安全性提供参考。三、区块链技术的审计数据访问控制框架（一）框架构建基于区块链技术的审计数据安全访问框架中主要包括被审计单位、审计单位以及区块链三个实体（如图 1 所示）。1.被审计单位节点被审计单位节点负责将审计数据传输到区块链上加密储存，包括本单位的业务数据、财务数据等，除此之外，本单位的各种历史资料也需要整理汇总后存储在区块链上，以便后续查验。被审计单位节点还需搭建与审计单位相连接的数据传输通道，对节点的注册进行控制，维护区块链安全运行。对部分非机密数据，被审计单位节点可以选择性地公开，精简数据访问流程，提高系统运行效率。2.区块链审计数据经过节点共识后被打包整理成数据区块，在每个新生数据区块的区块头中，均含有上一个数据区块的加密哈希值以及记录数据区块生成时间信息的时间戳，该哈希值和时间戳能够实现数据区块的追踪和查验，保证审计数据的完整性。在审计过程中，区块链作为连接被审计单位和审计单位的通道，为审计工作的顺利开展提供技术保障。3.审计单位节点审计单位节点利用授权完成的个人电脑、智能手机等设备，根据对应权限访问被审计单位中所运行的区块链并采集链内数据作为审计数据，对其进行计算分析以发现疑点，还可在区块链中对所发现的疑点数据进行持续跟踪以获取审计证据。（二）框架流程数据分为公开数据与非公开数据两种类型，审计数据安全访问对不同的数据类型采用不同的访问方式，但均需预先进行身份认证和登录认证。基于此，定义一组审计人员节点与一组审计数据访问权限 P。身份认证：审计人员节点加入到被审计单位的区块链后，事先编写并部署在区块链上的智慧合约会将现实世界中已经存在的有助于确定具体审计人员的 ID 信息（例如姓名、工号、职位等）及对应数据访问权限 P映射到该审计人员节点的区块链地址，每个审计人员i都有与之相对应的审计数据访问权限 Pi。身份登记操作仅作用于经过认证的审计单位，并且将 ID 信息编码