ERP | 软件资讯

ERP数据安全所遭受到的威胁原因分析（一）：来自网络层面的威胁，外部访问授权不够标准化，内部网络可能有窃听

SEP技术支持 | 2020/4/20 11:09:13

推荐使用：免费企业ERP管理软件(免费下载，像Excel一样极速上手，可灵活自定义的企业管理软件)

一、来自网络层面的威胁
从网络层面来看，对ERP数据安全的威胁主要来自两个方面。首先，外部访问授权不够标准化；第二，内部网络可能存在窃听。

1.外部访问授权不够标准化
为了扩大应用领域，满足经常出差的员工的需求，企业资源计划(ERP)正逐步向B/S模式发展。这种模式的最大优点是它可以非常方便地提供外部访问。也就是说，员工在旅行时可以通过浏览器轻松访问内部企业资源规划系统。虽然这给我们的工作带来了很大的方便，但也拓展了ERP系统的使用空间。然而，毫无疑问，它也对我们的系统构成了巨大的安全威胁。
首先，企业外部使用的系统无法得到有效管理。如果买方出差，有点私心，他可以通过外部接入企业资源规划系统，与供应商串通，将公司最近的采购计划和其他供应商的价格告知供应商，从而使企业失去采购的主动权。类似的情况时有发生，因为员工出差时使用的系统无法得到有效管理。因此，对于外部访问，一方面，我们应该严格控制外部访问的次数，以及谁有外部访问权限，我们也应该有严格的限制。另一方面，远程访问的用户应该能够单独管理，尤其是他们的密码应该不断更改，以防止用户名和密码意外泄露给其他公司的人员。换句话说，密码生成器挂在员工的计算机上，与企业资源规划服务器同步。通常，服务器会重新生成大约10种用户名和密码，然后用户名和密码会同时在员工的密码生成器上生成。因为两者生成的规则是相同的，所以员工可以使用密码生成器上的用户名和密码登录到企业资源规划系统。这可以解决外部使用ERP系统时的密码泄露问题。
其次，在某些情况下，客户可能会获得一些远程访问权限权限。如果这个权限设置不正确，很可能会向他们提供客户无法访问的信息。目前，随着企业信息化管理水平的提高，一些客户会主动要求供应商使用ERP系统，并提供网络接入接口，以便通过网络实时了解订单的进展情况。因此，企业必须为企业资源规划用户提供远程访问。然而，这里有一个安全威胁。如果我们权限没有正确设置，客户可以访问一些企业的机密信息，如产品成本等。因此，在应客户的强烈要求提供远程访问他们的企业资源规划系统时，我们必须注意设置权限的问题。不能允许他们访问他们不应该访问的数据。我的建议是，在这种情况下，应该监视该用户访问的数据，看看它访问了哪些数据，是否有任何非法访问。如果有的话，应该及时调整。目前，许多企业资源规划系统已经为用户提供了访问记录功能。使用此功能，可以有效地管理用户的访问权限。

2.内部网络可能有窃听
从网络层面考虑，除了由于外部访问管理不当而导致数据泄露的风险外，还有一个很大的安全漏洞，即网络窃听问题。目前，大多数企业资源规划系统都是通过明文用户在服务器和客户端之间传输数据，用户只需要在网络上安装一个监控软件，就可以充分了解用户访问的内容，跳过客户端的权限设置，从而达到网络数据窃听的目的。
尽管网络窃听在技术上要求很高，但是随着网络上黑客工具的激增，完成窃听工作并不是很困难。我相信任何员工只需要半个小时的培训就能掌握这一技能，从而完成对企业资源规划数据的截取。
因此，最好从一开始就防止和解决数据泄漏，而不是在数据泄漏时追查责任。
为了解决数据在网络传输过程中的窃听问题，最好的方法是要求在传输过程中对企业资源规划数据进行加密，并通过密文传输，而不是明文。这样，员工就可以及时窃听数据，这也是随机编码，没有什么实用价值。
因此，如果我们在这方面有任何顾虑，在选择企业资源规划系统时，最好有这样的考虑。企业资源规划供应商提供的系统要求在访问数据时通过网络传输加密数据，而不是简单的明文传输。这项技术现在相对成熟了。然而，许多企业资源规划供应商以前没有注意到这个问题，所以他们没有将这一技术与企业资源规划系统集成。因此，如果我们要在网络传输过程中选择ERP数据加密技术，那么我们ERP系统的选择范围可能会小得多。
但是，如果企业现在已经在使用ERP系统，而目前的系统不提供网络数据传输的加密功能。那么在网络传输过程中如何保证数据的安全呢？在网络传输过程中，我们可以使用特殊的加密技术来实现数据的加密功能。例如，微软提供了一个IP安全策略。利用该技术，可以实现客户端和服务器端之间的密文传输。当然，除了微软IP安全策略之外，用户还可以根据自己的需要选择使用其他网络传输加密方法。

417

上一篇：企业的项目团队在选购接单型的ERP选型需要注意的关键点（二）：如何管理供应商设备库存？如何控制和管理客供品？下一篇：企业为什么需要erp系统？