順景動(dòng)態(tài)
以前瞻視覺 發(fā)現(xiàn)并布局未來(lái)? 隨著ERP系統(tǒng)的普及和涉及的范圍越來(lái)越廣,ERP系統(tǒng)的數(shù)據(jù)安全也越來(lái)越被重視,很多關(guān)系到企業(yè)生命的機(jī)密信息都被存儲(chǔ)在ERP系統(tǒng)中。那要怎么保證ERP系統(tǒng)的數(shù)據(jù)安全呢?下面就跟隨順景軟件小編一起來(lái)看看吧!
怎么保證ERP系統(tǒng)的數(shù)據(jù)安全?
一、來(lái)自網(wǎng)絡(luò)層面的威脅
從網(wǎng)絡(luò)層面來(lái)說,ERP數(shù)據(jù)安全所遭受到的威脅主要來(lái)自于兩個(gè)方面。一是外部訪問授權(quán)不夠規(guī)范,二是在內(nèi)部網(wǎng)絡(luò)上可能存在竊聽。
1、外部訪問授權(quán)不夠規(guī)范
ERP為了擴(kuò)大使用領(lǐng)域,有可能要滿足員工不斷出差的需要,逐漸的向B/S模式發(fā)展。而這個(gè)模式的優(yōu)點(diǎn),就是可以很方便的提供外部的訪問。即員工出差在外,也可以通過瀏覽器很方便的訪問到內(nèi)部的ERP系統(tǒng)。這雖然給我們的工作帶了很大的便利,拓展了ERP系統(tǒng)的使用空間,但是,毋庸置疑,也給我們系統(tǒng)帶來(lái)了很大的安全威脅。
一是在企業(yè)外部使用系統(tǒng),受不到有效的管理。如采購(gòu)員出差在外,若稍有一點(diǎn)私心,就可以跟供應(yīng)商勾結(jié),把公司近期的采購(gòu)計(jì)劃、其他供應(yīng)商的價(jià)格等等,都可以通過外部訪問ERP系統(tǒng)的形式,告訴給供應(yīng)商,使得企業(yè)喪失采購(gòu)的主動(dòng)權(quán),由于出差在外的員工使用系統(tǒng)受不到有效管理,所以類似的情況時(shí)有發(fā)生。
所以,對(duì)于外部訪問,我們一方面要嚴(yán)格管理外部訪問的人數(shù),哪些人具有外部訪問的權(quán)限,我們還要有嚴(yán)格的限制;另一方面,遠(yuǎn)程訪問的用戶最好能夠單獨(dú)管理,特別是其密碼要不斷的變更,以防止不小心把用戶名與密碼泄露給其他公司的人員。也就是說,在員工電腦上,掛著一個(gè)密碼生成器,這個(gè)是與ERP服務(wù)器同步的,一般在十分種左右,服務(wù)器就會(huì)重新生成一個(gè)用戶名與密碼,然后在員工的密碼生成器上,也會(huì)同時(shí)生成用戶名與密碼。因?yàn)閮烧呱傻囊?guī)則是一樣的,所以,員工可以用密碼生成器上的用戶名與密碼登陸ERP系統(tǒng),這樣就可以解決在外面使用ERP系統(tǒng)的密碼泄露問題。
二是在特定的情況下,或許會(huì)給客戶一些遠(yuǎn)程訪問的權(quán)限,若這個(gè)權(quán)限設(shè)置不當(dāng)?shù)脑?,則很可能把一些客戶不能訪問的信息也提供給他們?,F(xiàn)在隨著信息化管理在企業(yè)中的地位不斷加強(qiáng),有些客戶會(huì)主動(dòng)要求他們的供應(yīng)商使用ERP系統(tǒng),并提供網(wǎng)絡(luò)訪問的接口,讓他們可以通過網(wǎng)絡(luò)實(shí)時(shí)的了解他們訂單的進(jìn)展。如此企業(yè)不得不給他們提供ERP用戶,讓他們進(jìn)行遠(yuǎn)程的訪問。
但是,這里就存在一個(gè)安全的威脅,若我們權(quán)限設(shè)置不當(dāng) 的話,客戶就可以訪問到企業(yè)一些機(jī)密信息,如產(chǎn)品成本等等。所以,如在客戶的強(qiáng)烈要求下,要提供他們ERP系統(tǒng)的遠(yuǎn)程訪問權(quán)限時(shí),我們一定要注意,權(quán)限的設(shè)置問題,不能夠讓他們?cè)L問一些不該訪問的數(shù)據(jù)。建議遇到這種情況時(shí),要對(duì)這個(gè)用戶訪問的數(shù)據(jù)進(jìn)行監(jiān)測(cè),看看其訪問了哪些數(shù)據(jù),有沒有存在非法訪問的情形,若有的話,要及時(shí)進(jìn)行調(diào)整,現(xiàn)在很多ERP系統(tǒng)都已經(jīng)有了針對(duì)用戶的訪問記錄功能,利用這個(gè)功能,可以有效的管理用戶的訪問權(quán)限。
2、內(nèi)部網(wǎng)絡(luò)上可能存在竊聽
從網(wǎng)絡(luò)層面上考慮,除了這個(gè)外部訪問管理不當(dāng)存在數(shù)據(jù)泄露的危險(xiǎn)外,還有一個(gè)很大的安全漏洞就是網(wǎng)絡(luò)竊聽的問題。現(xiàn)在大部分的ERP系統(tǒng),其服務(wù)器端與客戶端數(shù)據(jù)的傳輸,都是通過明文傳輸?shù)?,用戶只需要在網(wǎng)絡(luò)上安裝一個(gè)監(jiān)聽軟件,就可以全面的了解用戶訪問的內(nèi)容,跳過客戶端的權(quán)限設(shè)置,從而達(dá)到網(wǎng)絡(luò)數(shù)據(jù)竊聽的目的。
雖然網(wǎng)絡(luò)竊聽可能在技術(shù)上要求比較高,但是,現(xiàn)在隨著黑客工具在網(wǎng)絡(luò)上的泛濫,所以,要完成這項(xiàng)竊聽的工作,難度也不是很大。我相信,只需要對(duì)隨便一個(gè)員工進(jìn)行培訓(xùn),其就可以掌握這門手藝,從而完成對(duì)ERP數(shù)據(jù)竊聽的工作。
所以,與其到數(shù)據(jù)泄露了,再來(lái)追查責(zé)任,還不如在剛開始的時(shí)候,就防范與未然,解決數(shù)據(jù)泄露的漏洞。
為了解決數(shù)據(jù)在網(wǎng)絡(luò)傳輸過程中的竊聽問題,好的方法就是要求在ERP數(shù)據(jù)在傳輸過程中,是加密過的,是通過密文傳輸,而不是明文傳輸。如此,員工即使竊聽到數(shù)據(jù),也是亂碼,沒有多少的實(shí)際價(jià)值。
所以,我們?nèi)粲羞@方面的擔(dān)心,則盡量在ERP系統(tǒng)選擇的時(shí)候,就要有這方面的考慮。要求ERP供應(yīng)商提供的系統(tǒng),在數(shù)據(jù)訪問的是時(shí)候,在網(wǎng)絡(luò)上傳輸是加密過的數(shù)據(jù),而不是簡(jiǎn)單的明文傳輸。這個(gè)技術(shù),現(xiàn)在已經(jīng)比較成熟,只是以前很多ERP供應(yīng)商沒有注意到這個(gè)問題,所以,沒有把這個(gè)技術(shù)跟ERP系統(tǒng)結(jié)合起來(lái)。故,我們?nèi)羰且x擇ERP數(shù)據(jù)在網(wǎng)絡(luò)傳輸過程中,實(shí)現(xiàn)加密技術(shù),那我們ERP系統(tǒng)的選擇范圍余地可能會(huì)小許多。
但是,若企業(yè)現(xiàn)在已經(jīng)在使用ERP系統(tǒng)了,而現(xiàn)在用的這套系統(tǒng),不提供網(wǎng)絡(luò)數(shù)據(jù)傳輸?shù)募用芄δ?。那我們又該如何?lái)保障數(shù)據(jù)在網(wǎng)絡(luò)傳輸過程中的安全問題呢?我們可以利用專門的加密技術(shù),實(shí)現(xiàn)在網(wǎng)絡(luò)傳輸過程中,數(shù)據(jù)的加密功能。如微軟提供了一種IP安全策略。利用這種技術(shù),可以實(shí)現(xiàn)客戶端與服務(wù)器之間的密文傳輸。當(dāng)然除了微軟的IP安全策略以外,還有其他的一些網(wǎng)絡(luò)傳輸加密方法,用戶可以根據(jù)自己的需要,進(jìn)行選擇使用。
二、來(lái)自ERP系統(tǒng)的威脅
如果ERP系統(tǒng)本身管理不當(dāng),也會(huì)存在數(shù)據(jù)泄露的危險(xiǎn)。從ERP系統(tǒng)的角度出發(fā),主要的安全威脅就是權(quán)限配置不當(dāng)所造成的。
價(jià)格權(quán)限配置不當(dāng)
我們可以把一些不需要訪問到價(jià)格的用戶,在用戶級(jí)別上設(shè)置為價(jià)格不可見,就可以解決問題。但是,有些ERP系統(tǒng)沒有提供類似的功能,他們只能夠一張張表去設(shè)定價(jià)格的訪問權(quán)限,這難免會(huì)有漏網(wǎng)之魚,可能只設(shè)置了在窗口中不能訪問價(jià)格,但是,他們?cè)趯?dǎo)出報(bào)表時(shí),可能就有價(jià)格了,等等。而且,價(jià)格對(duì)于企業(yè)來(lái)說,基本上都是敏感數(shù)據(jù),所以,我們?cè)贓PR中設(shè)置權(quán)限時(shí),要從價(jià)格開始。
報(bào)表方面導(dǎo)出設(shè)置不當(dāng)
報(bào)表上面匯集了很多重要的信息,如果報(bào)表可以隨便導(dǎo)出來(lái)的話,則信息將會(huì)毫無(wú)隱私,所以,在報(bào)表的導(dǎo)出權(quán)限上,我們要進(jìn)行特殊的限制,不能讓每個(gè)用戶都可以隨便的導(dǎo)出報(bào)表,一般可以讓用戶只能夠查看報(bào)表,而無(wú)法導(dǎo)出報(bào)表,這是原則。如果用戶真的有導(dǎo)出報(bào)表的需求,那就要申請(qǐng),特別是對(duì)一些敏感數(shù)據(jù)的報(bào)表,涉及到如客戶信息、產(chǎn)品價(jià)格等等,一般都應(yīng)把報(bào)表導(dǎo)出功能屏蔽掉,只有當(dāng)需要的時(shí)候,再由管理員導(dǎo)出。
用戶名密碼設(shè)置過于簡(jiǎn)單
我見過一些用戶,他們密碼設(shè)置太過與簡(jiǎn)單,這導(dǎo)致其他用戶很方便就可以猜到密碼,這直接的結(jié)果就是,其他用戶若自己沒有權(quán)限,則可以利用有權(quán)限的用戶進(jìn)行系統(tǒng)訪問。因?yàn)橛捎诿艽a簡(jiǎn)單,他們知道或猜到其他用戶的訪問密碼。
如有一些客戶,在設(shè)置用戶名與密碼的時(shí)候,用戶名就是他們的員工編號(hào),而密碼呢,都是統(tǒng)一的,如123456,如此的用戶名與密碼,即使權(quán)限設(shè)置的再完美,也是沒有用的。用戶可以輕而易舉的獲得別人的用戶名與密碼,這樣一來(lái),在自己沒有權(quán)限的情況下,他們有可以利用其他有權(quán)限的用戶,進(jìn)行系統(tǒng)登陸與訪問。
如此的話,權(quán)限設(shè)置不等于形同虛設(shè)嗎?所以,在用戶名與密碼設(shè)置的時(shí)候,一定要科學(xué)。用戶名可以根據(jù)他們的員工編號(hào)編寫,但是,密碼設(shè)置的時(shí)候,一定要復(fù)雜一點(diǎn),不能讓人猜得透,并且,盡量采用密碼定期修改策略,讓用戶定期的修改密碼,防止密碼泄露。
以上關(guān)于怎么保證ERP系統(tǒng)的數(shù)據(jù)安全就為大家分享到這里,從企業(yè)發(fā)展的長(zhǎng)遠(yuǎn)角度來(lái)看,要想持續(xù)健康運(yùn)營(yíng),為未來(lái)企業(yè)更好的發(fā)展甚至為上市做準(zhǔn)備,就必須有安全的ERP數(shù)據(jù)。