ERP系统信息安全

　　分析了移动信息安全和移动ERP安全的现状和特点。在此基础上探讨了移动ERP的不安全因素，提出了保护移动ERP系统的安全策略，为移动ERP管理系统的安全解决方案提供参考。

　　1 移动ERP的产生

　　自1990年美国Gartner Group公司提出企业资源计划(ERP)概念以来，ERP也不断升级和演进，应用的内容也越来越广。传统ERP对电脑和网络的依赖决定了其办公时的局限性。由于新一代移动通信技术的发展以及移动终端智能化，移动ERP恰好弥补了传统ERP由于终端设备体积较大，携带不方便等诸多不足，为移动办公增加了更大的动力，有效的提高了企业的工作效率。

　　2 移动ERP的特点

　　移动ERP系统以传统ERP系统为依托，覆盖了财务、生产、销售、物流等多个层面，保存着企业所有的数据信息。任何一个企业员工都能够通过接入网络的移动终端设备实时了解业务状态、及时得到重要预警、随时随地处理重要任务并制定决策。

　　2.1 价格低廉

　　传统ERP需要配备相应的PC终端，资金投入高，尤其是对于中小企业而言，不堪重负。而移动ERP采用手机等通信终端即可，资金投入较少。

　　2.2 即时管理

　　随着经济全球化，企业的生存环境越来越复杂，业务模式随着市场区域变化也在不断改变，而移动ERP为企业即时管理提供了更强的灵活性。

　　2.3 全网互通

　　移动ERP基于对传统ERP的拓展，实现全网互通，从而为中小企业的业务实施提高了更强的实时性。

　　3 移动ERP不安全因素分析

　　美国一份权威报告曾指出，“企业必须考虑其系统安全功能和控制的全面设置，以便交易得以正常安全地进行”。移动ERP系统在与外网进行信息通信的同时，也使得外面的世界能够接触到局域网并对其产生影响，这便对系统本身产生了威胁。虽然对每个工作站和系统本身都配置强大的安全特性是可能的，但这似乎并不能够完全解决系统安全问题。硬件的失效、操作失误、人为破坏等都会影响到移动ERP系统的正常运行，从而导致系统进入危险状态。其次系统软硬件在某种特殊条件下运行时，病毒与恶意攻击对于移动ERP而言或许是最危险的。隐藏的木马不仅会读取短信方式发送的ERP数据，而且还会窃取系统中的数据信息，从而威胁到移动ERP的信息安全。如何安全、有效的利用移动ERP，成为当下最值得思考的问题。分析其安全隐患，主要有如下几个方面：

　　(1)用户身份异常登录;

　　(2)使用未知WIFI造成信息泄露;

　　(3)数据信息的非正常扩散和泄密;

　　(4)入侵者非授权或恶意攻击造成数据的不完整性;

　　(5)系统自身的设计缺陷威胁信息安全。

　　4 移动ERP的安全策略

　　ERP安全重于泰山，根本方法是对可预见的安全隐患通过“控”、“管”、“审”、“防”等四种手段以达到最佳的信息安全管理效果。

　　4.1 移动终端自身的信息安全

　　物理安全通常是安全的第一道防线，未经加密处理或对相关权限未经授权的登录信息都有可能利用移动终端从而造成安全隐患。移动终端的物理安全包含几个层面的安全，首先是移动终端的安全性。为提高安全程度，应提供一定的防范措施。目前，较为常用的方式是使用移动终端绑定。管理员可以设置带唯一编号ID的移动终端请求，该ID为移动客户端自动生成，即使同一客户端换台设备重新安装程序也无法使用。如此，则只需确定终端没有安装木马程序，登录程序并未被第三方程序加载调试即可。

　　4.2 信息传输安全

　　移动ERP系统作为网络系统，其网络级安全主要包括两个方面：信息的存储安全和信息的传输安全。信息的存储安全是指信息在静态存放状态下的安全。信息的传输安全是指信息在动态存放状态下的安全。为确保ERP系统数据传输过程中的信息安全，其核心解决方案有以下几个方面：

　　(1)利用应用级网关，用于对远程接入用户进行高精度的认证和授权。

　　(2)使用VPN技术以保证传输数据安全可靠。所谓的VPN就是终端用户和企业服务器之间通信的安全通道，利用加密技术对传输数据进行加密，以保证数据的私有性和安全性。而且VPN客户端软件还具有连接“超时”功能，即如果连接长时间处于非活动状态时就会被自动中断，这一功能有助于防止黑客利用开放的连接进行攻击。

　　(3)数据通信的安全性。数据传输进行加密接入移动网络时，系统可为用户提供高强度AES数据加密体制。其次，对于网络传输而言，加密有三种方式：①网络通道的加密，如SSL、GRE隧道等方式。②在网络通道不加密的情况下，被传输的数据本身的加密。③加密通道和加密数据的结合，在加密的网络通道中传输加密的数据。

　　4.3 权限控制安全

　　移动ERP系统的权限管理、运维期间的权限变更以及角色互换等，都是移动ERP系统上线后面临的重要的信息安全工作。移动ERP相较于传统ERP能够提供高安全性能的短信智能、终端实体等多重绑定，保证ERP系统的正常运行。

　　4.4 移动设备监控

　　开启移动ERP系统的日志功能，能够满足实时对应用日志、用户访问行为、系统运行状态等各类信息进行集中监控、过滤及分析处理，及时发现各种安全隐患及异常行为事件，以保证安全最优化。

　　综上所述，企业移动ERP系统的安全实施，是硬件、软件和网络的高效结合，缺一不可。企业要充分考虑各种有助于系统安全的措施，提升企业系统的信息安全性，促进企业的信息安全，提高企业的核心竞争力。

　　作者：王璐 王瑞 来源：电子技术与软件工程 2016年3期