مقاله · دفاتر حسابداری
امنیت فناوری اطلاعات برای دفاتر حسابداری و دفترداری
دفاتر حسابداری دقیقاً همان چیزی را در اختیار دارند که مجرمان می‌خواهند: شماره بیمه اجتماعی (SIN)، اطلاعات بانکی، صورت‌های مالی و اعتماد مشتریانی که بر اساس ایمیل‌های شما اقدام می‌کنند. این راهنما خطرهای ویژه این حرفه و کنترل‌هایی را که به آن‌ها پاسخ می‌دهند مرور می‌کند.
- تاریخ انتشار
- ۷ دقیقه مطالعه
در این صفحه
نکات کلیدی
- فصل مالیات موج قابل پیش‌بینی‌ای از فیشینگ را با خود می‌آورد که خود را جای مشتریان، نهادهای مالیاتی و فروشندگان نرم‌افزار جا می‌زند؛ کارکنان را پیش از شروع آن آماده کنید.
- تبادل اسناد را از پیوست‌های ایمیل به یک پورتال امن مشتریان یا اشتراک‌گذاری رمزگذاری‌شده با احراز هویت چندعاملی (MFA) منتقل کنید.
- هر تغییر در اطلاعات پرداخت یا حساب بانکی را با تماس تلفنی به شماره‌ای که از قبل در پرونده دارید تأیید کنید.
- از نرم‌افزارهای مالیاتی و مدیریت دفتر با حساب‌های فردی و MFA محافظت کنید و دسترسی کارکنان فصلی را به‌موقع قطع کنید.
- دستگاه‌ها را رمزگذاری و به‌صورت متمرکز مدیریت کنید و از پرونده‌های مشتریان پشتیبانهای محافظت‌شده و آزمایششده نگه دارید.
- تعهدات نگهداری سوابق و حریم خصوصی به نهاد حرفهای، حوزه قضایی و قراردادهای شما بستگی دارد؛ آن‌ها را با مشاوران صلاحیتدار تأیید کنید.
چرا دفاتر حسابداری اهداف جذابی هستند
دفاتر حسابداری و دفترداری اطلاعات شخصی و مالی حساس بسیاری از مشتریان را در یک جا متمرکز می‌کنند. نفوذ به تنها یک صندوق پستی می‌تواند سال‌ها اظهارنامه مالیاتی، سوابق حقوق و دستمزد و مدارک هویتی را افشا کند. این اطلاعات می‌تواند برای سرقت هویت، ثبت اظهارنامه‌های مالیاتی جعلی یا کلاهبرداری هدفمند علیه مشتریان شما به کار رود.
این دفاتر همچنین در میانه جابه‌جایی پول قرار دارند. مشتریان انتظار دارند درباره پرداختها، بازپرداخت‌ها، صورت‌حساب‌ها و اظهارنامه‌ها از شما ایمیل دریافت کنند؛ بنابراین پیامی متقاعدکننده که به نظر می‌رسد از دفتر شما آمده، اعتبار واقعی دارد. مجرمان از طریق نفوذ به ایمیل کاری (BEC) از این اعتماد سوءاستفاده می‌کنند و از یک صندوق پستی ربوده‌شده یا مشابه، دستورالعمل‌های بانکی تغییریافته می‌فرستند. و چون کار فصلی و وابسته به مهلت‌هاست، کارکنان دقیقاً زمانی که حملات افزایش می‌یابد پرمشغله و تحت فشارند.
الگوهای فیشینگ فصل مالیات که باید برایشان آموزش دید
پیش از فصل شلوغ، کارکنان را با نمونه‌های واقع‌نمای این طعمه‌ها آشنا کنید و گزارش ایمیل مشکوک را سریع و بدون سرزنش کنید.
اسناد جعلی مشتریان
ایمیل‌هایی از مشتریان جدید یا فعلی با پیوست یا لینک‌هایی با عنوان فیش T4، رسید یا صورت‌های مالی که به صفحه‌های فیشینگ اعتبارنامه یا بدافزار منتهی می‌شوند.
جعل هویت نهاد مالیاتی
پیام‌هایی که به نظر می‌رسد از سازمان درآمد کانادا (CRA) یا نهاد دیگری آمده‌اند و برای اقدام درباره حساب، بازپرداخت یا بررسی فوریت ایجاد می‌کنند. از مجاری رسمی راستیآزمایی کنید، هرگز از طریق لینک‌های داخل پیام.
هشدارهای نرم‌افزار و پورتال
اعلان‌های جعلی از نرم‌افزار مالیاتی، پورتال اسناد یا Microsoft 365 که از کارکنان می‌خواهند برای حفظ دسترسی وارد شوند و برای به دست آوردن گذرواژه و کدهای MFA طراحی شده‌اند.
تماس مشتریان احتمالی
مخاطب جدیدی که درخواست کمک می‌کند و سپس لینکی به اسنادش می‌فرستد که معلوم می‌شود صفحه فیشینگ یا فایل مخرب است.
پورتال مشتریان و تبادل امن اسناد
پیوست ایمیل راه ضعیفی برای جابه‌جایی اسناد حساس است. پیام‌ها ممکن است به نشانی اشتباه ارسال، شنود یا بازارسال شوند یا سال‌ها در صندوق‌های پستی بمانند. همچنین مشتریان را عادت می‌دهند پیوست‌هایی را که به نظر می‌رسد از شما آمده باز کنند؛ چیزی که به مهاجمانی که هویت دفتر را جعل می‌کنند کمک می‌کند.
یک پورتال امن مشتریان، چه بخشی از نرم‌افزار مدیریت دفتر باشد و چه یک سرویس اختصاصی تبادل فایل، به مشتریان امکان می‌دهد اسناد را از طریق اتصالی احرازشده بارگذاری و دریافت کنند، همراه با ثبت دسترسی‌ها و امکان لغو دسترسی. در صورتی که پورتال پشتیبانی می‌کند، استفاده از MFA را برای مشتریان الزامی کنید. اگر از Microsoft 365 استفاده می‌کنید، اشتراک‌گذاری SharePoint یا OneDrive با لینک‌های «افراد مشخص» و تاریخ انقضا، یا رمزگذاری پیام Microsoft Purview، می‌تواند جایگزین مناسبی برای تبادل‌های گاه‌به‌گاه باشد.
به‌روشنی به مشتریان بگویید چگونه با آن‌ها ارتباط برقرار می‌کنید و چگونه نمی‌کنید؛ مثلاً اینکه هرگز تغییرات بانکی را با ایمیل نمی‌فرستید و اسناد همیشه از طریق پورتال می‌رسند. همین پیام، جعل هویت را دشوارتر می‌کند.
جلوگیری از کلاهبرداری در پرداخت و حساب بانکی
نفوذ به ایمیل کاری عمدتاً با فرایند شکست می‌خورد، نه با فناوری. فرایند را مکتوب کنید و هر بار اجرایش کنید.
راستیآزمایی از مسیر مستقل
هر درخواست برای تغییر اطلاعات بانکی، تغییر مقصد بازپرداخت یا پرداخت به ذی‌نفع جدید، با تماس تلفنی به شماره‌ای که از قبل در پرونده است تأیید می‌شود، نه شماره‌ای که در خود درخواست آمده.
تأیید دونفره
پرداخت‌های بالاتر از سقف توافق‌شده و همه تغییرات ذی‌نفع، به تأیید نفر دوم نیاز دارند.
علامت‌گذاری ایمیل‌های بیرونی
از برچسب‌گذاری فرستنده بیرونی و محافظت در برابر جعل هویت در Microsoft 365 استفاده کنید تا کارکنان ببینند پیامی که داخلی به نظر می‌رسد در واقع از بیرون آمده است.
مراقب قوانین صندوق پستی باشید
برای قوانین جدید صندوق ورودی که پیام‌ها را بازارسال یا پنهان می‌کنند هشدار تنظیم کنید؛ این نشانه رایجی از نفوذ به صندوق پستی است.
سریع اقدام کنید
اگر به پرداخت متقلبانه مشکوک شدید، بی‌درنگ با بانک تماس بگیرید و سپس با ارائهدهنده فناوری اطلاعات و بیمه‌گرتان. سرعت، احتمال بازگرداندن وجوه را افزایش می‌دهد.
کنترلهای فنی برای یک دفتر حسابداری
- احراز هویت چندعاملی برای Microsoft 365، نرم‌افزار تهیه اظهارنامه، مدیریت دفتر، سکوهای حسابداری ابری، بانکداری و هرگونه دسترسی از راه دور، با روش‌های مقاوم در برابر فیشینگ برای شرکا و مدیران.
- حساب فردی برای هر کارمند در هر سامانه؛ از ورود مشترک برای نرم‌افزار مالیاتی یا خدمات آنلاین دولتی پرهیز کنید تا فعالیت‌ها قابل انتساب باشد و دسترسی به‌طور تمیز قابل حذف باشد.
- لپ‌تاپ‌ها و رایانه‌های رومیزی مدیریتشده و رمزگذاری‌شده با محافظت نقاط پایانی، وصله‌گذاری خودکار و بدون دسترسی مدیر محلی روزمره.
- احراز هویت ایمیل (SPF، DKIM و DMARC) روی دامنه شما تا ارسال ایمیلی که به نظر برسد از دفتر شما آمده برای مجرمان دشوارتر شود.
- دسترسی به پوشه‌های مشتریان بر پایه اصل حداقل دسترسی لازم، به‌گونه‌ای سازمان‌دهی‌شده که کارکنان فقط مشتریان و سال‌های مرتبط با کارشان را ببینند.
- پشتیبانهای محافظت‌شده از پرونده‌های مشتریان و داده‌های دفتر، شامل دست‌کم یک نسخه تغییرناپذیر یا آفلاین، همراه با آزمایش منظم بازیابی.
- چاپ و اسکن امن، از جمله پیکربندی اسکن به ایمیل یا اسکن به پوشه بدون احراز هویت قدیمی.
کارکنان فصلی و دورکاری
بسیاری از دفاتر برای فصل شلوغ کارکنان موقت و پیمانکار اضافه می‌کنند. هر فرد جدید هویت تازه‌ای است که باید ایمن شود و بعدتر حذف شود. از یک چک‌لیست استاندارد ورود استفاده کنید که یک دستگاه مدیریتشده تحویل دهد یا دسترسی از دستگاههای شخصی را با سیاست‌های محافظت از برنامه محدود کند، دسترسی را بر اساس نقش اختصاص دهد و تاریخ پایان همکاری را ثبت کند.
قطع به‌موقع دسترسی کارکنان فصلی به همان اندازه مهم است. حساب‌ها را در آخرین روز کاری غیرفعال کنید، نشستها را باطل کنید، دستگاه‌ها را تحویل بگیرید و دسترسی به سامانه‌های شخص ثالث مانند نرم‌افزار مالیاتی و پورتال‌ها را حذف کنید. حساب‌هایی که پس از پایان فصل فعال می‌مانند، نقطه ضعفی رایج و قابل اجتناب‌اند.
برای دورکاری، دستگاههای مدیریتشده یا دسترسی از طریق برنامه‌های تأییدشده را الزامی کنید، از نگهداری نسخه‌های محلی پرونده‌های مشتریان روی رایانه‌های شخصی پرهیز کنید و مطمئن شوید چاپ اسناد مشتریان در منزل تحت پوشش سیاست‌های محرمانگی شماست.
نگهداری سوابق و تعهدات حریم خصوصی
دفاتر حسابداری با انتظارات همپوشانی روبه‌رو هستند: قوانین حریم خصوصی، استانداردهای حرفهای نهادهای حسابداری استانی، قواعد نگهداری سوابق مالیاتی که بر مشتریان اعمال می‌شود و شرایط هر قرارداد همکاری. دوره‌های نگهداری و الزامات امحای امن ممکن است بسته به نوع سند و مشتری متفاوت باشد.
فناوری می‌تواند از هر سیاستی که تعیین کنید پشتیبانی کند: برچسب‌ها و سیاست‌های نگهداری در Microsoft 365، بایگانی‌های ساختاریافته پوشه‌ها، امحای امن و مستند دستگاه‌ها و رسانه‌های ذخیره‌سازی قدیمی و گزارشهای ممیزی که نشان می‌دهند چه کسی به چه چیزی دسترسی داشته است. اما تعیین خود سیاست، و اینکه در صورت نقض حریم خصوصی چه باید کرد، به راهنمایی نهاد حرفهای شما و مشاوران حقوقی و حریم خصوصی صلاحیتدار مربوط است. فقط آنچه را لازم دارید و فقط تا زمانی که لازم دارید نگه دارید؛ داده‌ای که دیگر در اختیار ندارید قابل سرقت نیست.
چک‌لیست پیش از فصل مالیات
پیش از فصل شلوغ: MFA را در همه سامانه‌ها تأیید کنید، یک دوره یادآوری آگاهی از فیشینگ برگزار کنید، بازیابی پرونده‌های مشتریان را آزمایش کنید، از وصله‌شدن و رمزگذاری دستگاه‌ها مطمئن شوید، شیوه ارتباطتان را به مشتریان یادآوری کنید و چک‌لیست‌های ورود و خروج کارکنان فصلی را آماده کنید.
پرسش‌های متداول
آیا ارسال اسناد مالیاتی برای مشتریان با ایمیل امن است؟
ایمیل معمولی کانال مناسبی برای اسناد حساس نیست. یک پورتال امن مشتریان یا اشتراک‌گذاری رمزگذاری‌شده با کنترل دسترسی، خطر ارسال اشتباه، شنود و جعل هویت را کاهش می‌دهد.
دفتر ما سوابق مشتریان را تا چه مدت باید نگه دارد؟
به الزامات نهاد حرفهای شما، قواعد نگهداری سوابق مالیاتی، شرایط قرارداد و قوانین حریم خصوصی بستگی دارد. سیاست نگهداری خود را با مشاوران صلاحیتدار تأیید کنید و سپس سامانههایتان را برای پشتیبانی از آن پیکربندی کنید.
اگر مشتری بگوید ایمیل مشکوکی از طرف ما دریافت کرده، چه کنیم؟
آن را نفوذ احتمالی به صندوق پستی در نظر بگیرید. با ارائهدهنده فناوری اطلاعات خود تماس بگیرید تا گزارشهای ورود و قوانین صندوق ورودی را بررسی کند، در صورت نیاز اعتبارنامهها را بازنشانی و نشستها را باطل کنید، از طریق کانالی مطمئن به مشتریان آسیبدیده هشدار دهید و درباره هرگونه تعهد اطلاعرسانی با مشاوران مشورت کنید.
آیا دفاتر کوچک دفترداری به همان کنترلهای دفاتر بزرگتر نیاز دارند؟
کنترلهای اصلی یکساناند، چون دادهها و تهدیدها یکساناند. MFA، دستگاههای مدیریتشده، تبادل امن اسناد، راستیآزمایی پرداختها و پشتیبانهای آزمایششده بهخوبی برای دفتری با چند نفر هم قابل اجرا هستند.
خدمات مرتبط
محصولات و بسته‌ها
دفترتان را پیش از فصل مالیات بعدی آماده کنید
ما به دفاتر حسابداری و دفترداری کمک می‌کنیم امنیت Microsoft 365 را محکم‌تر کنند، دستگاه‌ها را ایمن کنند، پشتیبان‌گیری محافظت‌شده راه‌اندازی کنند و کارکنان را آموزش دهند؛ همه بر پایه محدوده کتبی خدمات.