ERP系统数据安全面临哪些威胁

cmaedu.com一、来自网络层面的威胁

从网络层面来说，ERP数据安全所遭受到的威胁主要来自于两个方面。一是外部访问授权不够规范；二是在内部网络上可能存在窃听。

cmaedu.com1、外部访问授权不够规范

cmaedu.comERP为了扩大使用领域，满足不断出差员工的需要，逐渐的向B/S模式发展。而这个模式最大的优点，就是可以很方便的提供外部的访问。即员工出差在外，也可以通过浏览器很方便的访问到内部的ERP系统。这虽然给我们的工作带了很大的便利，拓展了ERP系统的使用空间。但是，勿庸质疑，也给我们系统带来了很大的安全威胁。

cmaedu.com一是在企业外部使用系统，受不到有效的管理。如采购员出差在外，若稍有一点私心，就可以跟供应商勾结，把公司近期的采购计划、其他供应商的价格等等，都可以通过外部访问ERP系统的形式，告诉给供应商，使得企业丧失采购的主动权。由于出差在外的员工使用系统受不到有效管理，所以类似的情况时有发生。所以，对于外部访问，我们一方面要严格管理外部访问的人数，哪些人具有外部访问的权限，我们还要有严格的限制；另一方面，远程访问的用户最好能够单独管理，特别是其密码要不断的变更，以防止不小心把用户名与密码泄露给其他公司的人员。也就是说，在员工电脑上，挂着一个密码生成器，这个是与ERP服务器同步的，一般在十分种左右，服务器就会重新生成一个用户名与密码，然后在员工的密码生成器上，也会同时生成用户名与密码。因为两者生成的规则是一样的，所以，员工可以用密码生成器上的用户名与密码登陆ERP系统。这样就可以解决在外面使用ERP系统的密码泄露问题。

二是在特定的情况下，或许会给客户一些远程访问的权限，若这个权限设置不当的话，则很可能把一些客户不能访问的信息也提供给他们/。现在随着信息化管理在企业中的地位不断加强，有些客户会主动要求他们的供应商使用ERP系统，并提供网络访问的接口，让他们可以通过网络实时的了解他们定单的进展。如此企业不得不给他们提供ERP用户，让他们进行远程的访问。但是，这里就存在一个安全的威胁，若我们权限设置不当的话，客户就可以访问到企业一些机密信息，如产品成本等等。所以，如在客户的强烈要求下，要提供他们ERP系统的远程访问权限时，我们一定要注意，权限的设置问题。不能够让他们访问一些不该访问的数据。我的建议是，遇到这种情况时，要对这个用户访问的数据进行监测，看看其访问了哪些数据，有没有存在非法访问的情形。若有的话，要及时进行调整。现在很多ERP系统都已经有了针对用户的访问记录功能。利用这个功能，可以有效的管理用户的访问权限。

cmaedu.com2、内部网络上可能存在窃听

cmaedu.com从网络层面上考虑，除了这个外部访问管理不当存在数据泄露的危险外，还有一个很大的安全漏洞就是网络窃听的问题。现在大部分的ERP系统，其服务器端与客户端数据的传输，都是通过明文传输的。用户只需要在网络上安装一个监听软件，就可以全面的了解用户访问的内容，跳过客户端的权限设置，从而达到网络数据窃听的目的。

cmaedu.com虽然网络窃听可能在技术上要求比较高，但是，现在随着黑客工具在网络上的泛滥，所以，要完成这项窃听的工作，难度也不是很大。我相信，只需要对随便一个员工进行半个小时的培训，其就可以掌握这门手艺，从而完成对ERP数据窃听的工作。

cmaedu.com所以，与其到数据泄露了，再来追查责任，还不如在刚开始的时候，就防范与未然，解决数据泄露的漏洞。

cmaedu.com为了解决数据在网络传输过程中的窃听问题，最好的方法，就是要求在ERP数据在传输过程中，是加密过的，是通过密文传输，而不是明文传输。如此，员工及时窃听到数据，也是乱码，没有多少的实际价值。

cmaedu.com所以，我们若有这方面的担心，则最好在ERP系统选择的时候，就要有这方面的考虑。要求ERP供应商提供的系统，在数据访问的是时候，在网络上传输是加密过的数据，而不是简单的明文传输。这个技术，现在已经比较成熟。只是以前很多ERP供应商没有注意到这个问题，所以，没有把这个技术跟ERP系统结合起来。故，我们若是要选择ERP数据在网络传输过程中，实现加密技术，那我们ERP系统的选择范围余地可能会小许多。

但是，若企业现在已经在使用ERP系统了，而现在用的这套系统，不提供网络数据传输的加密功能。那我们又该如何来保障数据在网络传输过程中的安全问题呢？我们可以利用专门的加密技术，实现在网络传输过程中，数据的加密功能。如微软提供了一种IP安全策略。利用这种技术，可以实现客户端与服务器之间的密文传输。当然除了微软的IP安全策略以外，还有其他的一些网络传输加密方法，用户可以根据自己的需要，进行选择使用。

cmaedu.com二、来自ERP系统的威胁

cmaedu.com如果ERP系统本身管理不当，也会存在数据泄露的危险。从ERP系统的角度出发，主要的安全威胁就是权限配置不当所造成的。

一是价格权限配置不当。我记得我以前使用的神州数码的易飞ERP系统，有专门的价格管理权限。可以在用户或者表的级别上，设置价格是否可以更改及是否可以查询。我们可以把一些不需要访问到价格的用户，在用户级别上设置为价格不可见。就可以一劳永逸的解决问题。但是，有些ERP系统没有提供类似的功能，他们只能够一张张表去设定价格的访问权限。难免会有漏网之鱼，可能只设置了在窗口中不能访问价格，但是，他们在导出报表时，可能就有价格了，等等。而且，价格对于企业来说，基本上都是敏感数据。所以，我们在EPR中设置权限时，要从价格开始。

cmaedu.com二是报表方面导出设置不当。报表上面汇集了很多重要的信息，而且，报表可以随便导出来的话，则信息将会无隐私。所以，在报表的导出权限上，我们要进行特殊的限制。不能让每个用户都可以随便的导出报表。一般可以让用户只能够查看报表，而无法导出报表，这是原则。如果用户真的有导出报表的需求，那就要申请。特别是对一些敏感数据的报表，如客户信息、产品价格等等，一般都可以把报表导出功能屏蔽掉。只有当需要的时候，再由管理员导出。

cmaedu.com三是用户名密码设置过于简单。我见过一些用户，他们密码设置太过与简单，这导致其他用户很方便就可以猜到密码。这直接的结果就是，其他用户若自己没有权限，则可以利用有权限的用户进行系统访问。因为由于密码简单，他们知道其他用户的访问密码。如我有一家客户，在设置用户名与密码的时候，用户名就是他们的员工编号，而密码呢，都是统一的，如123456。如此的用户名与密码，即使权限设置的再完美，也是没有用的。用户可以轻而易举的获得别人的用户名与密码，如此，在自己没有权限的情况下，他们有可以利用其他有权限的用户，进行系统登陆与访问。如此的话，权限设置不等于形同虚设吗？所以，在用户名与密码设置的时候，一定要科学。用户名可以根据他们的员工编号编写，但是，密码设置的时候，一定要复杂一点，不能让人猜得透；并且，最好采用密码定期修改策略，让用户定期的修改密码，防止密码泄露。

ERP风险有那些？

摘要：现如今，防范和规避ERP系统风险成为企业关注的焦点。本文通过对ERP 系统的主要风险进行分析研究，提出风险应对策略，为企业有效控制和规避ERP风险提供了参考。

cmaedu.com关键词：ERP系统；风险管理；内部控制

中图分类号：F406 文献标识码：A 文章编号：1001-828X（2014）08-000-01

一、ERP管理信息系统及其技术特点

ERP是企业资源规划的简称，其实质是对企业的资源进行计划、控制和管理的一种手段。ERP系统是指建立在信息技术基础上，以系统化的管理思想为企业决策层及员工提供决策运行手段的管理平台。

cmaedu.comERP系统的技术特点如下：

cmaedu.com⑴支持大中型企业跨地区的体系式管理模式，具有强大的统计分析和辅助决策功能。

⑵借助网络通信、Internet及分布数据库技术，采用集中与分布相结合形式，实现管理经营信息的动态共享。

cmaedu.com⑶应用最新Web 数据库技术，浏览器/服务器技术与客户机/服务器相结合，支持电子商务应用模式，并为用户提供友好的操作界面。

cmaedu.com⑷有严格的用户权限管理，信息的安全性和可靠性高。

cmaedu.com二、ERP系统的风险识别

cmaedu.com结合ERP系统实践开发和应用经验，可将系统风险评估分成四类，即商业风险、控制风险、系统风险和安全风险。     

cmaedu.com

ERP系统会被黑客攻击吗

如果是单机版或者局域网版基本是不可能被黑客攻击的；

cmaedu.com如果是在线版，数据在云端，是有这样的风险的，就是数据库被黑客攻击。

erp会窃取家庭机密吗

cmaedu.com不会，但是会有其他问题

不可抗拒的外力。由于意外事故等不确定客观原因造成如系统硬件的损坏、网络中断及数据丢失等问题。

2企业管理的疏忽。企业管理不规范、不严谨，相关人员监管不力，用户身份认证及权限管理不严，操作人员误操作以及业务不熟练，均会导致安全问题出现。

cmaedu.com3系统自身的缺陷。由于受构建ERP系统平台时的技术条件、网络产品、通信协议等方面限制，存在硬件设备质量不过关、操作系统平台安全漏洞、服务器配置有误、系统设计缺陷、网络协议漏洞、缺乏有效监控手段等各类安全隐患。

4.他人恶意的攻击。企业内部员工或外界黑客和其他入侵者为了获得不当利益、窃取商业秘密、猎奇心理等原因进行各类恶意破坏行为。5.其他因素。如系统故障、病毒和其他恶意软件的传播攻击、缺乏安全备份机制、数据基础资料不准确、系统维护力量投入不足等均会造成安全问题的发生。

cmaedu.com

中小企业内部CRM和ERP软件如何加强安全性的建设？

cmaedu.com中小企业软件安全性问题包括几个方面：

1）数据不丢失，中小企业IT投入少，一旦系统故障，设备损坏可能导致数据丢失，所以要做好数据备份的工作。

2）数据不泄漏，CRM／ERP等软件保存了公司核心的商业数据和运营秘密，一旦泄漏风险很大。通过数据加密或者是数据不落地的方案，以减少数据泄漏的可能。

cmaedu.com3）防攻击，虽然黑客特意攻击的可能性很小，但是由于用户不小心中病毒木马而导致的攻击事件会比较容易发生，因此做好防火墙设置，做好用户终端的防护是很有必要的。可以考虑采用瘦终端等方式来减少终端风险。

cmaedu.com

浪潮erp的惊人漏洞，密码泄露！！！！！！1

cmaedu.com不出奇，ERP用多了就很有可能出现这个问题。所以很多少ERP都是用到一定的周期要么就功能不适用，要么就像这样有错误或者BUG。不过我们公司用了协力W/3的东西到现在还没有出什么大问题！