一、ERP系統(tǒng)中的安全風(fēng)險
由于ERP系統(tǒng)的復(fù)雜性,以及企業(yè)在建設(shè)維護ERP系統(tǒng)時受到的技術(shù)條件、人員素質(zhì)等各種條件的限制,導(dǎo)致ERP系統(tǒng)存在多種安全風(fēng)險。要加強ERP系統(tǒng)的安全風(fēng)險防范工作,就需要正確識別ERP系統(tǒng)運行管理中存在的安全風(fēng)險和成因。一般來說,ERP系統(tǒng)的安全風(fēng)險主要有以下幾個方面:
1.不可抗外力災(zāi)害的安全威脅。由于自然災(zāi)害、意外事故等不確定的客觀原因造成如系統(tǒng)硬件的損壞、網(wǎng)絡(luò)中斷及數(shù)據(jù)丟失等的威脅。
2.管理疏忽導(dǎo)致的事故的安全威脅。由于企業(yè)管理不規(guī)范、不嚴(yán)謹(jǐn),相關(guān)人員監(jiān)管不力,用戶身份認(rèn)證及權(quán)限管理不嚴(yán),操作人員誤操作以及業(yè)務(wù)不熟練等主觀原因造成的事故威脅。
3.系統(tǒng)缺陷導(dǎo)致事故的安全威脅。由于受構(gòu)建企業(yè)ERP系統(tǒng)平臺時的技術(shù)條件、網(wǎng)絡(luò)產(chǎn)品、通信協(xié)議等方面限制,在硬件設(shè)備質(zhì)量不過關(guān)、操作系統(tǒng)平臺安全漏洞、服務(wù)器配置有誤、系統(tǒng)設(shè)計缺陷、網(wǎng)絡(luò)協(xié)議漏洞、缺乏有效監(jiān)控手段等方面的安全隱患造成的事故威脅;
4.惡意攻擊的安全威脅。企業(yè)內(nèi)部員工或外界黑客和其他入侵者為了獲得不當(dāng)利益、竊取商業(yè)秘密、獵奇心理等惡意破壞行為造成的事故威脅。
5.其他因素造成的安全威脅。如系統(tǒng)故障、病毒和其他惡意軟件的傳播攻擊、缺乏安全備份機制、數(shù)據(jù)基礎(chǔ)資料不準(zhǔn)確、系統(tǒng)維護力量投入不足等造成事故的威脅。其中,管理與技術(shù)方面的缺陷和黑客病毒的攻擊是威脅ERP系統(tǒng)安全的的主要風(fēng)險。
二、安全防護體系建設(shè)的安全策略
1.安全防護體系建設(shè)的設(shè)計目標(biāo)。
由于目前信息技術(shù)發(fā)展的局限性,絕對安全是不存在的,最多只能通過實施一定預(yù)防措施,把風(fēng)險威脅降低到一定程度,實現(xiàn)風(fēng)險威脅可控、可以挽回?fù)p失。
因此,ERP系統(tǒng)規(guī)劃和實施的首要目標(biāo)是建立ERP系統(tǒng)的安全保障體系,以保護企業(yè)的信息資產(chǎn)的安全,建設(shè)技術(shù)和管理上的安全防護措施,提供用戶身份認(rèn)證、操作授權(quán)、網(wǎng)絡(luò)安全檢測和病毒攻擊的防范等安全功能,以保護ERP系統(tǒng)中的硬件、軟件及數(shù)據(jù)的安全穩(wěn)定、完整有效和機密性,預(yù)防因惡意或偶然的原因使系統(tǒng)或數(shù)據(jù)信息遭到破壞、篡改和泄漏從而最終造成企業(yè)的嚴(yán)重經(jīng)濟損失。
“ERP系統(tǒng)安全項目要保護的資源包括ERP系統(tǒng)的軟硬件資源和數(shù)據(jù)資源。硬件資源主要包括數(shù)據(jù)庫服務(wù)器、應(yīng)用服務(wù)器和客戶端計算機,以及傳輸網(wǎng)絡(luò);軟件資源包括服務(wù)器上的操作系統(tǒng)、數(shù)據(jù)庫管理系統(tǒng)DBMs、應(yīng)用服務(wù)器軟件以及客戶端計算機上的應(yīng)用瀏覽器等。數(shù)據(jù)信息資源是ERP系統(tǒng)的最寶貴財富。”
2.安全防護體系建設(shè)的設(shè)計思路。
要構(gòu)建一個完善的、高效的企業(yè)ERP系統(tǒng)安全體系結(jié)構(gòu),必須先制定一整套安全策略規(guī)劃。安全策略是實施企業(yè)信息與網(wǎng)絡(luò)安全體系的基礎(chǔ)。
企業(yè)ERP系統(tǒng)要建設(shè)一個安全高效的安全防護體系,必須先制定有針對性的安全策略。ERP系統(tǒng)的“安全策略,是指在一個特定的環(huán)境里(安全區(qū)域),為保證提供一定級別的安全保護所必須遵守的一系列條例、規(guī)則。”
安全策略詳細(xì)規(guī)定了ERP系統(tǒng)允許的各種安全活動和違規(guī)行為的懲罰措施,穩(wěn)妥可行、細(xì)致周密的安全策略規(guī)劃是成功建設(shè)安全防護設(shè)施的前提和基礎(chǔ)。
“安全策略體系是指安全策略的建立、執(zhí)行、審核、修訂等;安全技術(shù)體系包括身份認(rèn)證和授權(quán)、訪問控制、數(shù)據(jù)的冗余備份、系統(tǒng)的監(jiān)控、審計等;安全運作體系包括人員的組織建設(shè)、技術(shù)人員的工作內(nèi)容和工作考核等。”
企業(yè)建設(shè)保障ERP系統(tǒng)安全的技術(shù)體系、運作體系應(yīng)當(dāng)與企業(yè)的安全目標(biāo)和安全策略相一致。
企業(yè)ERP系統(tǒng)的安全體系建設(shè),包括企業(yè)內(nèi)部局域網(wǎng)的安全建設(shè),與合作企業(yè)、分支機構(gòu)聯(lián)網(wǎng)的安全建設(shè)等。企業(yè)既要加強ERP系統(tǒng)的安全性,又不能以降低系統(tǒng)性能為代價。
3.安全防護體系的設(shè)計原則。
在工作流程上,“事前”,建立高安全的ERP系統(tǒng),選擇高安全應(yīng)用服務(wù)協(xié)議,及時了解信息技術(shù)上、人員管理上的動態(tài)變化,修補系統(tǒng)漏洞,避免被惡意利用;。“事中”,針對各種不同的安全威脅,綜合安全防火墻、入侵防護系統(tǒng)、系統(tǒng)自身的網(wǎng)絡(luò)安全設(shè)置、數(shù)據(jù)庫權(quán)限、操作規(guī)范、操作人員管理等多種手段進行防護;“事后”,實現(xiàn)保存系統(tǒng)工作日志,科學(xué)的備份策略,和事故應(yīng)急預(yù)案等多策并舉。具體設(shè)計原則主要有:
(1)在設(shè)計和規(guī)劃ERP系統(tǒng)的安全防護設(shè)施之前,應(yīng)當(dāng)對信息安全技術(shù)的發(fā)展趨勢和黑客攻擊技術(shù)的最新變化,以及ERP技術(shù)的進展和可能面臨的風(fēng)險隱患有充分的了解,并提高相關(guān)的安全意識。
(2)企業(yè)應(yīng)當(dāng)了解所要實施的ERP系統(tǒng)的技術(shù)特點和實施的實際情況(包括系統(tǒng)構(gòu)架、業(yè)務(wù)流程、功能環(huán)節(jié)及運行狀況等),了解相關(guān)安全需求,基于系統(tǒng)工程理論對ERP系統(tǒng)的具體操作人員、硬件設(shè)備、軟件平臺、數(shù)據(jù)傳輸及存儲、網(wǎng)絡(luò)環(huán)境以及運行流程等環(huán)節(jié)進行定性和定量的綜合分析,確認(rèn)要重點防護的環(huán)節(jié)、面臨的安全風(fēng)險威脅,找出薄弱環(huán)節(jié)、縮小漏洞范圍,由此制定安全目標(biāo)和安全策略,做好事故應(yīng)急預(yù)案和代價限度。
(3)ERP系統(tǒng)的安全防護設(shè)施是一個整體性、綜合性的系統(tǒng)工程,不是某個安全技術(shù)措施單獨能夠防護的,任何一個微小的漏洞都會導(dǎo)致系統(tǒng)整體崩潰。在建設(shè)安全防護設(shè)施時應(yīng)該將現(xiàn)有各種安全組件、管控措施有機地組合起來,優(yōu)化配置,部署于ERP系統(tǒng)的正確的位置,協(xié)同配合,共同防護,由此全面、全方位地提高安全防護水準(zhǔn),提高了防護效率、效果,超越任何單一安全組件單打獨斗式極低的防護效果。
(4)在設(shè)計規(guī)劃安全防護設(shè)施時,應(yīng)當(dāng)使其適應(yīng)企業(yè)目前業(yè)務(wù)活動特點、業(yè)務(wù)人員水平和滿足ERP系統(tǒng)正常運行的要求,而且由于信息技術(shù)的發(fā)展,安全防護設(shè)施的建設(shè)也是一個循序漸進、不斷完善的過程,因此,安全防護設(shè)施的建設(shè)要實現(xiàn)可用性、可靠性、可擴充性、完整性、機密性和可伸縮性間的全面結(jié)合。
(5)由于ERP系統(tǒng)面臨的安全威脅是不斷變化的,因此安全設(shè)施的建設(shè)應(yīng)當(dāng)根據(jù)安全目標(biāo)、安全策略有序地組織起來,構(gòu)建立體布局、流程化、動態(tài)化的安全防護體系。建設(shè)技術(shù)手段與管理體系的并重、進行流程控制的安全防護體系。
從技術(shù)層面上提高物理層、鏈路層、網(wǎng)絡(luò)層、應(yīng)用層等方面的安全防護技術(shù)手段,在管理體系上,制定嚴(yán)格的管理制度,建立科學(xué)的、嚴(yán)密的崗位分工與組織,并進行經(jīng)常性的維護、檢查。
(6)企業(yè)建設(shè)的安全防護體系應(yīng)當(dāng)有相應(yīng)的、健全的評價規(guī)范和準(zhǔn)則,可以進行定性定量的風(fēng)險評估,可以匯總出整個ERP系統(tǒng)安全防護體系的整體結(jié)構(gòu)和所采用的安全工具與措施,確定安全防護體系的建設(shè)是否實現(xiàn)了安全目標(biāo)與安全策略。