淺析ERP系統(tǒng)環(huán)境下的企業(yè)信息安全管理

　　一、引言

　　當(dāng)今我國(guó)市場(chǎng)規(guī)模的不斷發(fā)展，企業(yè)競(jìng)爭(zhēng)已經(jīng)從單一企業(yè)間的競(jìng)爭(zhēng)朝著企業(yè)供應(yīng)鏈之間的競(jìng)爭(zhēng)發(fā)展、企業(yè)僅靠自身資源已經(jīng)無法有效地參與市場(chǎng)競(jìng)爭(zhēng)，還必須把經(jīng)營(yíng)過程中的有關(guān)各方納入一個(gè)緊密的供應(yīng)鏈中，才能有效地安排企業(yè)的產(chǎn)、供、銷活動(dòng)，滿足企業(yè)利用全社會(huì)一切市場(chǎng)資源快速高效地進(jìn)行生產(chǎn)經(jīng)營(yíng)的需求，以進(jìn)一步提高效率和在市場(chǎng)上獲得競(jìng)爭(zhēng)優(yōu)勢(shì)、針對(duì)這一需求，企業(yè)紛紛引進(jìn)ERP系統(tǒng)，構(gòu)建企業(yè)信息化平臺(tái)、當(dāng)前ERP系統(tǒng)是指針對(duì)物資資源管理、人力資源管理、財(cái)務(wù)資源管理、資源管理集成一體化的企業(yè)管理軟件、ERP系統(tǒng)實(shí)現(xiàn)了對(duì)整個(gè)企業(yè)供應(yīng)鏈的管理、適應(yīng)了企業(yè)在知識(shí)經(jīng)濟(jì)時(shí)代市場(chǎng)競(jìng)爭(zhēng)的需要、鑒于ERP系統(tǒng)的巨大優(yōu)勢(shì)、目前絕大多數(shù)大型企業(yè)均實(shí)現(xiàn)了ERP系統(tǒng)的部署實(shí)施、然而，由于上存在大量的攻擊、木馬、蠕蟲等網(wǎng)絡(luò)威脅。而ERP系統(tǒng)的正常運(yùn)行依賴于大量的網(wǎng)絡(luò)傳輸、處理和消息交互這就阻礙了ERP系統(tǒng)的應(yīng)用與實(shí)施、因此，研究ERP系統(tǒng)所面對(duì)的安全威脅并采取相應(yīng)措施進(jìn)行規(guī)避是一項(xiàng)非常重要的課題。

　　二、ERP系統(tǒng)信息安全威脅

　　安全問題的產(chǎn)生是一個(gè)非常復(fù)雜的問題，包含了多種因素的相互作用、總結(jié)起來，企業(yè)ERP系統(tǒng)所面臨的信息安全威脅主要包括來自以下幾個(gè)方面的內(nèi)容。

　　(一)ERP網(wǎng)絡(luò)應(yīng)用的威脅

　　來自網(wǎng)絡(luò)層面的威脅主要來自遠(yuǎn)程訪問企業(yè)內(nèi)部系統(tǒng)所造成的信息泄漏隱患、隨著企業(yè)規(guī)模的不斷擴(kuò)展，對(duì)外的銷售和物流網(wǎng)絡(luò)也隨之?dāng)U大。出差的業(yè)務(wù)員和某些客戶經(jīng)常需要在異地遠(yuǎn)程訪問企業(yè)網(wǎng)絡(luò)資源、為此，ERP專門提供了a/s的訪問模式，使得異地用戶能夠使用瀏覽器通過虛擬專用網(wǎng)絡(luò)VPN訪問公司內(nèi)部資源、由于異地訪問行為不受約束，泄密行為時(shí)有發(fā)生，因此價(jià)值較高的商業(yè)機(jī)密有可能流失，比如企業(yè)產(chǎn)品的底價(jià)、設(shè)計(jì)圖紙等等、此外，內(nèi)部網(wǎng)絡(luò)的竊聽行為也給ERP系統(tǒng)的安全使用造成威脅、ERP系統(tǒng)應(yīng)用時(shí)。其服務(wù)器端與客戶端數(shù)據(jù)的傳輸、都是通過明文傳輸?shù)摹⒂脩糁恍枰诰W(wǎng)絡(luò)上安裝一個(gè)監(jiān)聽軟件、就可以全面的了解用戶訪問的內(nèi)容。跳過客戶端的權(quán)限設(shè)置，從而達(dá)到網(wǎng)絡(luò)數(shù)據(jù)竊聽的目的。

　　(二)ERP統(tǒng)應(yīng)用的威脅

　　如果ERP系統(tǒng)本身管理不當(dāng)，也不會(huì)存在數(shù)據(jù)泄露的危險(xiǎn)、從ERP系統(tǒng)的角度出發(fā)。主要的安全威脅就是權(quán)限配置不當(dāng)所造成的。這類威脅主要在敏感數(shù)據(jù)缺乏分級(jí)管理機(jī)制，比如某個(gè)報(bào)表，只要有查看權(quán)限的都能夠看到全部信息，并且能夠?qū)С?。這就給敏感數(shù)據(jù)造成了很大的威脅、此外，很多員工的終端系統(tǒng)密碼設(shè)置較為簡(jiǎn)單，大多使用生日或者電話，有的其至使用“12345″等簡(jiǎn)單數(shù)字作為密碼，這類密碼強(qiáng)度不高，容易被破解。

　　(三)ERP統(tǒng)漏洞的威脅

　　ERP系統(tǒng)的構(gòu)建需要大量的軟硬件系統(tǒng)，涉及到網(wǎng)絡(luò)傳輸、Web瀏覽以及服務(wù)總線等多方面的技術(shù)，這些技術(shù)的實(shí)現(xiàn)需要大量的軟件，軟件不可能避免存在一些已知或者未知的漏洞、黑客能夠利用這些漏洞獲取ERP服務(wù)器的權(quán)限，從而擾亂系統(tǒng)的正常運(yùn)行，并竊取重要的商業(yè)機(jī)密。

　　三、ERP信息安全保障措施

　　ERP系統(tǒng)的安全最重要，為了保障ERP系統(tǒng)在應(yīng)用中的信息安全，針對(duì)上述三類威脅，具體來說有以下幾種方法進(jìn)行應(yīng)對(duì)。

　　(一)網(wǎng)絡(luò)傳輸安全保障ERP系統(tǒng)的傳輸安全可以從兩方面進(jìn)行強(qiáng)化

　　1、對(duì)遠(yuǎn)程訪問權(quán)限采用指紋、密碼等多種身份識(shí)別機(jī)制，同時(shí)限制遠(yuǎn)程訪問行為所能夠接觸到資源的數(shù)量，在保障業(yè)務(wù)的同時(shí)避免泄密。

　　2、對(duì)數(shù)據(jù)報(bào)表采用嵌入水印的方式講行保護(hù)，比如一份報(bào)表如果事后被發(fā)現(xiàn)竊密了，可以通過水印的方式檢測(cè)出其它信息，并結(jié)合ERP日志進(jìn)行輔助案件偵破。

　　(二)信息應(yīng)用安全保障

　　ERP信息應(yīng)用安全保障主要包括對(duì)重要數(shù)據(jù)進(jìn)行分級(jí)管理，同時(shí)對(duì)所有合法用戶進(jìn)行分級(jí)，確保他們所能訪問的數(shù)據(jù)級(jí)別和類型、比如某個(gè)員工只具有中級(jí)數(shù)據(jù)訪問權(quán)限，而某個(gè)報(bào)表的一些屬性項(xiàng)是高密級(jí)，它就無法查看該屬性項(xiàng)，而只能看到其他低密級(jí)選項(xiàng)。

　　(三)系統(tǒng)漏洞安全保障

　　ERP系統(tǒng)的漏洞修復(fù)工作主要依賴專業(yè)測(cè)評(píng)機(jī)構(gòu)的工作、通過定期安全測(cè)評(píng)、管理員能夠發(fā)現(xiàn)系統(tǒng)中存在的軟硬件漏洞，并及時(shí)采取相應(yīng)措施進(jìn)行修補(bǔ)、同時(shí)在配置上的問顆也要依賴系統(tǒng)管理員的經(jīng)驗(yàn)，盡量少開放端口，并目保證一些不安全的服務(wù)必須受限、比如一些微軟公告所描述的信息往往包含ERP涉及軟件的漏洞。需要認(rèn)即進(jìn)行修補(bǔ)、因此，管理員的安全意識(shí)更需要進(jìn)一步提高。

　　四、完善網(wǎng)絡(luò)信息安全保障體系

　　首先，需要制定完善的法律政策，以法制手段來強(qiáng)化網(wǎng)絡(luò)安全;其次，從管理上維護(hù)系統(tǒng)的安全，確定信息安全管理機(jī)構(gòu)和切實(shí)可行的網(wǎng)絡(luò)管理規(guī)章制度，加強(qiáng)信息安全教育、提高高層管理者的安全意識(shí)，以保證網(wǎng)絡(luò)信息安全;最后，從技術(shù)上采取措施，在企業(yè)內(nèi)部和互聯(lián)網(wǎng)之間要加一道防火墻，防止黑客或計(jì)算機(jī)病毒的襲擊，保護(hù)企業(yè)內(nèi)部的敏感數(shù)據(jù)。

　　五、加強(qiáng)對(duì)操作人品的培訓(xùn)

　　企業(yè)信息化管理涉及整個(gè)企業(yè)經(jīng)營(yíng)管理模式的變革，它把信息技術(shù)與管理相結(jié)合，利用先進(jìn)技術(shù)不斷提高管理水平、加強(qiáng)財(cái)務(wù)管理信息化建設(shè)，必須從公司主要領(lǐng)導(dǎo)開始到所有工作人員進(jìn)行動(dòng)員，充分認(rèn)識(shí)到信息化對(duì)提高管理水平的重要性、工作人員要在思想觀念上更新和轉(zhuǎn)變對(duì)管理的理解和認(rèn)識(shí)，必須在系統(tǒng)上建立健全工作人員培訓(xùn)制度，并在系統(tǒng)建設(shè)的全過程中貫徹落實(shí)，以提高員工的業(yè)務(wù)素質(zhì)以及熟練使用軟件的能力、具有創(chuàng)新能力的人員是企業(yè)順利而有效地開展管理創(chuàng)新的基礎(chǔ)，有針對(duì)性地對(duì)人員進(jìn)行網(wǎng)絡(luò)技術(shù)培訓(xùn)，可以提高人員的適應(yīng)能力和創(chuàng)新能力、同時(shí)企業(yè)要樹立與網(wǎng)絡(luò)環(huán)境，適應(yīng)的信息觀念、協(xié)作競(jìng)爭(zhēng)觀念、以人為本觀念和開放型管理模式。

　　ERP系統(tǒng)的廣泛使用是信息化推進(jìn)和企業(yè)市場(chǎng)規(guī)模發(fā)展到一定階段的產(chǎn)物、如何在利用ERP帶來的企業(yè)運(yùn)營(yíng)和管理便利的同時(shí)、盡可能避免安全威脅、是在ERP系統(tǒng)應(yīng)用過程中需要詳細(xì)考慮的問題、隨著信息安全技術(shù)的不斷發(fā)展，不斷有新的威脅會(huì)出現(xiàn)，也需要ERP系統(tǒng)進(jìn)一步提高安全意識(shí)，防范可能的網(wǎng)絡(luò)攻擊行為。

相關(guān)文章：

ISO27001信息安全管理體系與等級(jí)保護(hù)管理要求 從信息安全管理角度探討網(wǎng)絡(luò)隔離技術(shù) 實(shí)施信息安全管理轉(zhuǎn)型刻不容緩 等保制度與ISO27001的區(qū)別