王錢靜

[摘 要] 本文以石化企業(yè)為例，從系統(tǒng)安全框架設(shè)計、系統(tǒng)權(quán)限安全設(shè)計、系統(tǒng)數(shù)據(jù)安全設(shè)計等方面探究了企業(yè)現(xiàn)階段ERP系統(tǒng)安全的應(yīng)用現(xiàn)狀。

[關(guān)鍵詞] ERP ；SAP；安全策略；權(quán)限設(shè)計

doi ： 10 . 3969 / j . issn . 1673 - 0194 . 2016. 05. 030

[中圖分類號] F270.7 [文獻標識碼] A [文章編號] 1673 - 0194（2016）05- 0057- 01

為保障ERP系統(tǒng)的穩(wěn)定安全運行，給企業(yè)關(guān)鍵用戶一個安全的數(shù)據(jù)交換平臺，我們必須采取有力的措施來保證安全。

1 ERP的定義和企業(yè)環(huán)境

（1） 什么是ERP？ERP是企業(yè)資源計劃的英文縮寫，系統(tǒng)主要包括：生產(chǎn)計劃、物料需求計劃、能力計劃、采購計劃、銷售執(zhí)行計劃、利潤計劃、財務(wù)預(yù)算和人力資源計劃等，而且這些計劃功能與價值控制功能已完全集成到整個供應(yīng)鏈系統(tǒng)中。

（2）ERP可應(yīng)用的企業(yè)環(huán)境。以中石化為例，作為一個大型國有企業(yè)，擁有眾多分公司，對于集團來說需要及時掌握各個分公司的經(jīng)營情況。如何將分布在各子公司的生產(chǎn)經(jīng)營數(shù)據(jù)有效地采集、過濾、加工、分析，如何在企業(yè)中建立起一個合理高效的信息流，使它們在企業(yè)運營中充分發(fā)揮積極作用，是增強企業(yè)競爭力的關(guān)鍵。

2 ERP的安全框架設(shè)計

2.1 技術(shù)體系之網(wǎng)絡(luò)相關(guān)安全技術(shù)

（1）防病毒技術(shù)。依照總部要求，統(tǒng)一部署防病毒系統(tǒng)管理系統(tǒng)（控制臺），用于內(nèi)部的防病毒軟件的分發(fā)、管理、配置、安裝和升級管理，總部收集企業(yè)內(nèi)的病毒報警事件。

（2）VPN技術(shù)。VPN有很多的加密手段，這都可以根據(jù)企業(yè)需求進行選擇。目前國際上比較流行的VPN加密協(xié)議主要有IPSEC、MPLS、SSL等。①IPSEC協(xié)議：IPSEC是一種由IETF設(shè)計的端到端的確?；贗P通信的數(shù)據(jù)安全性的機制。IPSEC支持對數(shù)據(jù)加密，同時確保數(shù)據(jù)的完整性。它是目前最流行的VPN加密方式。②MPLS協(xié)議：MPLS協(xié)議正如上文所說主要由電信提供，一般企業(yè)自己搭建MPLS協(xié)議開銷比較大，很難承擔(dān)。MPLS VPN的安全性是相當(dāng)高的，而企業(yè)自身的維護難度是非常低的。③SSL協(xié)議：SSL協(xié)議是目前網(wǎng)絡(luò)中常見的一種加密協(xié)議，例如通過SSL連接遠程桌面，通過建立SSL網(wǎng)站提高頁面訪問的安全性等。所以我們也可以把SSL協(xié)議應(yīng)用到VPN上。SSL VPN也是比較新穎的技術(shù)，同樣安全性很高。

（3）ERP服務(wù)器安全防護技術(shù)。實施ERP企業(yè)都有各自獨立的局域網(wǎng)，網(wǎng)絡(luò)中都有自己的核心交換機。多數(shù)企業(yè)配置了獨立的ERP生產(chǎn)服務(wù)器。運行UNIX操作系統(tǒng)、ORACLE數(shù)據(jù)庫和SAP系統(tǒng)。服務(wù)器通常采用千兆連接，連接介質(zhì)為光纖或雙絞線，接入服務(wù)器區(qū)交換機存在二層和三層配置。

2.2 管理體系之ERP系統(tǒng)應(yīng)用權(quán)限安全設(shè)計

現(xiàn)在以九江分公司在實施ERP時做的權(quán)限分配為例具體闡述上述機制。建立一個角色到其成為關(guān)鍵用戶分為以下幾步。

（1）根據(jù)客戶需求及其實際工作情況要求，提交事務(wù)代碼。事務(wù)代碼是最終關(guān)鍵用戶操作的最根本元素，從一般意義而言，可以把這些事務(wù)代碼看成是應(yīng)用軟件系統(tǒng)中的菜單欄下的具體工具菜單。而事務(wù)代碼都是根據(jù)具體的流程以及關(guān)鍵用戶操作時工作需求制定的。

（2）事務(wù)代碼提交后，建立通用角色。所謂通用角色即給予某一特定職位的權(quán)限參數(shù)文件的組合。從技術(shù)上講，可以將通用角色看作是多個簡單角色的集合，它包含了某一集團用戶共用的事務(wù)代碼，建立通用角色的目的在于為以后建立本地角色提供事務(wù)代碼的共同載體。

（3）通用角色的測試過程。完成通用角色的設(shè)定后，需要權(quán)限設(shè)置人員對所設(shè)定內(nèi)容進行測試，其中在測試內(nèi)容時將用戶和各個通用角色以一一映射的方式進行操作，進入一個通用角色然后檢查其中的事務(wù)代碼能否在測試環(huán)境中打開。

（4）通用角色測試通過之后，就可以開始建立本地角色。本地角色其實區(qū)分使用同一通用角色下的最終用戶的不同權(quán)限，也就是A和B都具有使用某一訂單的事務(wù)代碼，但工作要求只能由A創(chuàng)建，而B僅能查看而無權(quán)創(chuàng)建，這就需要對該事務(wù)代碼下的某一權(quán)限對象進行不同的賦值來加以區(qū)分。此時，當(dāng)設(shè)定了本地角色時，同時就規(guī)范了使用者的責(zé)任設(shè)計位置。

3 ERP數(shù)據(jù)安全設(shè)計

ERP 系統(tǒng)上線之初即按照數(shù)據(jù)重要程度、數(shù)據(jù)處理方式對不同的備份對象進行分類，對不同類別的備份對象制定了不同的備份策略。

備份策略包括：備份對象、數(shù)據(jù)重要程度、備份要求、備份方法、備份頻率、保存時限等，并根據(jù)備份策略制訂備份與恢復(fù)操作規(guī)程。

（1）備份檢查及問題處理。備份內(nèi)容要包括備份管理軟件的配置、DB和LOG。通過DB13檢查歸檔日志及數(shù)據(jù)庫備份作業(yè)的日志，檢查是否有嚴重警告信息及備份成功與否。至少每周要定義兩次在線數(shù)據(jù)備份，每天定義兩次歸檔日志的備份，確認是否正常執(zhí)行備份、對備份失敗問題應(yīng)及時處理。

（2）系統(tǒng)停機備份及恢復(fù)。登錄數(shù)據(jù)庫服務(wù)器生成控制文件備份，利用命令生成類似檢查文件內(nèi)容：more pxy_ora_1798400.trc文件，并將這個文件拷貝到目錄下備用。利用命名行將數(shù)據(jù)庫數(shù)據(jù)、用戶信息文件利用外接磁帶機備份進入磁帶中，進而對備份介質(zhì)進行異地存儲，以備不時之需。

依照相關(guān)管理制度每年進行一次統(tǒng)一數(shù)據(jù)恢復(fù)工作并做記錄。

（3）數(shù)據(jù)庫監(jiān)控管理。對SAP系統(tǒng)服務(wù)器主要指標、軟件運行（SAP及數(shù)據(jù)庫進程、HA或Cluster運行情況或日志）及系統(tǒng)錯誤日志進行監(jiān)控和分析。對發(fā)現(xiàn)的問題應(yīng)及時處理或上報，做好監(jiān)控、發(fā)現(xiàn)的問題及相應(yīng)處理的記錄。

4 結(jié) 語

ERP系統(tǒng)作為石化企業(yè)以財務(wù)核算為核心的、全鏈條式管理系統(tǒng)，承載的核心數(shù)據(jù)可想而知。因此，在設(shè)計、實施之初ERP已將安全性策略納入檢查和限制范圍中，從網(wǎng)絡(luò)技術(shù)安全部署、服務(wù)器安全部署、應(yīng)用安全設(shè)計等諸多方面進行控制。