企業(yè)網(wǎng)D1Net訊1月3日（上海）

信息安全問題在企業(yè)中變得越來越復雜，網(wǎng)絡攻擊日益商業(yè)化、企業(yè)業(yè)務軟件和移動設備的增多，企業(yè)信息安全對IT部門來說是無休止的挑戰(zhàn)。

隨著企業(yè)競爭的激烈化、資源優(yōu)化利用的需求不斷加大，ERP系統(tǒng)實現(xiàn)了對整個企業(yè)供應鏈的管理、適應了企業(yè)在知識經(jīng)濟時代市場競爭的需要、鑒于ERP系統(tǒng)的巨大優(yōu)勢、目前絕大多數(shù)大型企業(yè)均實現(xiàn)了ERP系統(tǒng)的部署實施。而ERP系統(tǒng)的正常運行依賴于大量的網(wǎng)絡傳輸、數(shù)據(jù)處理和消息交互。因此，研究ERP系統(tǒng)所面對的安全威脅并采取相應措施進行規(guī)避是一項非常重要的課題。

ERP系統(tǒng)信息安全威脅

（一）ERP網(wǎng)絡應用的威脅

來自網(wǎng)絡層面的威脅主要來自遠程訪問企業(yè)內(nèi)部系統(tǒng)所造成的信息泄漏隱患、隨著企業(yè)規(guī)模的不斷擴展，對外的銷售和物流網(wǎng)絡也隨之擴大。出差的業(yè)務員和某些客戶經(jīng)常需要在異地遠程訪問企業(yè)網(wǎng)絡資源、為此，ERP專門提供了a/s的訪問模式，使得異地用戶能夠使用瀏覽器通過虛擬專用網(wǎng)絡VPN訪問公司內(nèi)部資源、由于異地訪問行為不受約束，泄密行為時有發(fā)生，因此價值較高的商業(yè)機密有可能流失，比如企業(yè)產(chǎn)品的底價、設計圖紙等等、此外，內(nèi)部網(wǎng)絡的竊聽行為也給ERP系統(tǒng)的安全使用造成威脅、ERP系統(tǒng)應用時。其服務器端與客戶端數(shù)據(jù)的傳輸、都是通過明文傳輸?shù)?、用戶只需要在網(wǎng)絡上安裝一個監(jiān)聽軟件、就可以全面的了解用戶訪問的內(nèi)容。跳過客戶端的權限設置，從而達到網(wǎng)絡數(shù)據(jù)竊聽的目的。

（二）ERP系統(tǒng)應用的威脅

如果ERP系統(tǒng)本身管理不當，也不會存在數(shù)據(jù)泄露的危險、從ERP系統(tǒng)的角度出發(fā)。主要的安全威脅就是權限配置不當所造成的。這類威脅主要在敏感數(shù)據(jù)缺乏分級管理機制，比如某個報表，只要有查看權限的都能夠看到全部信息，并且能夠導出。這就給敏感數(shù)據(jù)造成了很大的威脅、此外，很多員工的終端系統(tǒng)密碼設置較為簡單，大多使用生日或者電話，有的其至使用“12345"等簡單數(shù)字作為密碼，這類密碼強度不高，容易被破解。

（三）ERP統(tǒng)漏洞的威脅

ERP系統(tǒng)的構建需要大量的軟硬件系統(tǒng)，涉及到網(wǎng)絡傳輸、Web瀏覽以及服務總線等多方面的技術，這些技術的實現(xiàn)需要大量的軟件，軟件不可能避免存在一些已知或者未知的漏洞、黑客能夠利用這些漏洞獲取ERP服務器的權限，從而擾亂系統(tǒng)的正常運行，并竊取重要的商業(yè)機密。

ERP信息安全保障措施

ERP系統(tǒng)的安全最重要，為了保障ERP系統(tǒng)在應用中的信息安全，針對上述三類威脅，具體來說有以下幾種方法進行應對。

（一）網(wǎng)絡傳輸安全保障ERP系統(tǒng)的傳輸安全可以從兩方面進行強化

1、對遠程訪問權限采用指紋、密碼等多種身份識別機制，同時限制遠程訪問行為所能夠接觸到資源的數(shù)量，在保障業(yè)務的同時避免泄密。

2、對數(shù)據(jù)報表采用嵌入水印的方式講行保護，比如一份報表如果事后被發(fā)現(xiàn)竊密了，可以通過水印的方式檢測出其它信息，并結合ERP日志進行輔助案件偵破。

（二）信息應用安全保障

ERP信息應用安全保障主要包括對重要數(shù)據(jù)進行分級管理，同時對所有合法用戶進行分級，確保他們所能訪問的數(shù)據(jù)級別和類型、比如某個員工只具有中級數(shù)據(jù)訪問權限，而某個報表的一些屬性項是高密級，它就無法查看該屬性項，而只能看到其他低密級選項。

（三）系統(tǒng)漏洞安全保障

ERP系統(tǒng)的漏洞修復工作主要依賴專業(yè)測評機構的工作、通過定期安全測評、管理員能夠發(fā)現(xiàn)系統(tǒng)中存在的軟硬件漏洞，并及時采取相應措施進行修補、同時在配置上的問顆也要依賴系統(tǒng)管理員的經(jīng)驗，盡量少開放端口，并目保證一些不安全的服務必須受限、比如一些微軟公告所描述的信息往往包含ERP涉及軟件的漏洞。需要認即進行修補、因此，管理員的安全意識更需要進一步提高。

D1Net評論：

ERP信息安全問題的解決不僅僅需要IT部門的技術處理，企業(yè)也需要完善網(wǎng)絡信息安全保障體系，從法律法規(guī)的角度來加強信息安全。