如何应对针对erp系统的五项主要威胁

如何应对针对ERP系统的五项主要威胁确保ERP系统在普通故障方面的安全性是一件复杂的工作，这些故障有贫乏的接入控制、欺诈性交易以及意外停机时间等，要从组建一支具有适当技能的团队开始着手进行这项工作。核心主题安全与保密：安全管理，战略与流程关键问题企业将如何管理电子商务配置工作中的风险？关键事实ERP安全性对于企业而言必不可少，原因如下：ERP系统比大多数其它产品涵盖了更多的业务功能，后者使相关的安全性及控制问题变得更加复杂。ERP处理事务很复杂、并且使用了带有成千上万可配置的表格与大量替选品方面的信息。ERP的集成式特性增加了一些问题，即针对一种ERP模块做出的设计决定可能会导致在其它地方出现没有预计到的问题。许多IT部门职能(包括安全性)都是在应用内部执行的，这就使职责分离出现了困难。ERP(企业资源规划)系统影响着许多流程、人员与技术，最初它们是增强型会计分类帐，而现在那些用来处理购买、库存、销售、分销、生产制造及人力资源等方面的模块都能与核心财务系统集成在一起。一项ERP系统带给了一家机构一个全新的环境，它影响到了它所接触到的每个业务流程的安全性与数据完整性。各公司在继续扩展其规划系统，以便纳入CM(供应链管理)、CRM(客户关系管理)与实时企业(RTE)概念等，随着它们的这些动作的进行，针对ERP的安全性方面的担心与不确定性以及潜在的ERP安全风险等问题都在增加。要解决这些ERP安全方面的担心可能会证明是一场斗争，这些系统是被快速配置的、拥有复杂的安全性要求、遭受着资源方面的限制、并需要手工密集型管理等。各公司经常无法确定如何对安全性进行监控，这就给类似生产制造这样的行业提供了一个推迟对IT安全进行投资的借口。在这些部门当中ERP安全可能在于它们首先想解决IT系统安全问题，那些在安全性问题方面还属新手的机构将面临极大的困难，因为它们缺乏用来支持IT安全的资源与文化。Gartner确定了五种主要的ERP安全担心：1.在接入控制、用户简况及用户规定方面疲弱的管理。ERP系统内部出现了问题，这既涉及到来自于多家厂商那里的ERP系统也有非ERP系统，安全授权与用户问题在ERP系统内部变得复杂起来。例如，一项包含了ERP系统中的用户接入这方面的政策可能也包含了一些具有潜在冲突的政策、程序与条件，而后者要应对各种不同的角色、系统与事务处理等。各公司必须面临两项挑战：创建一个流程用来在需要之时建立、复审并改变用户权限简况，并确保这些变化得到了正确的授权决定应如何管理用户帐户、设置密码控制、并设计好如何针对“超级用户”帐户行动项目：配置一项用户规定流程，这种流程把用户管理工作流特性与其它业务流程(如雇佣自动化获得与电子邮件核准等)以及基于任务的与基于政策的接入管理等联系了起来。可能还包括密码管理与同步服务等内容。2.未能检测到反常的事务处理执行。许多欺诈性行为一开始都是由内部人员发起的，它们利用了该系统内对用户的接入许可这方面管理上的疲弱、并利用了在跟踪违规事务处理接入方面审计与控制力度的不足这种弱点。需要实时监控与授权来发现普通ERP系统中每天处理的10000宗交易中的欺诈行为，控制每项关键性交易这一点极为重要，授权核查这一点对于确定是否对这些职责进行了适当的分离十分关键。各公司必须配置授权引擎与封锁系统，一旦超出了允许的误差范围时封锁系统就需要锁闭交易执行，例如在发票确认期间就是如此，应在抽查方面封锁随机发票。需要事务处理授权引擎，以便跟踪、核查及评审用户的行为并把其与用户被许可执行的行为进行对比。行动项目：配置一项事务处理事件管理流程，以便建立起针对欺诈与误用方面的实时监控要求(见《事务处理事件管理：无处不在的安全性》一文)。3.破坏掉存储在ERP系统中数据的机密性与完整性这种风险。ERP系统面临着传统的数据安全与人力安全等方面的问题，社会设计活动可能会哄骗一名责任人批准对关键信息的接入。ERP集成建立在只能一次捕获数据这种原则的基础之上，例如一笔购买订单捕获了货物供应方面所有必需的信息，它允许货物接收、发票接收与支付等都建立在这种最初的数据捕获基础之上。在人力资源当中，审计员必须评估这些针对敏感数据的安全接入限制是否足够，这些系统必须与那些管理着个人数据的存储与传输方面的法律法规相一致，各公司必须确保所有源数据都由被授权人进行了准备，这些被授权人在其权限与被分离的职责-发起与批准互不重叠-内发挥作用。行动项目：配置一项数据管理流程，以便按照业务关键程度对数据进行分类、并对那些被存储在数据库中数据的映射与工作流进行控制，这就需要对事务处理与数据制图学进行开发与维护。4.停机时间问题。ERP系统需要在业务连贯性方面维持可用性，各公司必须准备存储该系统与数据、并减少对系统停机时间、维护及管理等方面的需要，这些特殊问题包括为幕后工作安排时间；分配工作量并对其保持平衡；监控ERP应用、数据库、操作系统与网络的性能；生成告警与适合于客户的性能极限；以及分析例外情况等。必须对服务级-即响应时间与系统停机时间-进行管理，多年以来ERP系统在处理响应时间与停机时间方面只有一些很弱的工具，已经出现了第三方软件工具市场，这将帮助各机构扩展ERP系统的基本性能管理功能。行动项目：配置自动化ERP性能与可用性管理，从而提高服务级并在出现故障的时候加快响应速度。5.检查在分离职责及审计ERP系统这方面的要求。职责的分离对于个人来说要在一个机构里充当好几种角色这一点是很不寻常的，但这可能会导致违背规章制度，大多数内部控制的系统都依赖于在针对这些资产的职责维护方面把对这些资产的使用与责任分开处理，一个人不应该同时承担这两项工作，那些应被分离的职责包括：事务处理启动(购买或布置)事务处理授权事务处理记录资产保管物理固定资产及债务与记录相吻合例如，授权一名人员提出一家新厂商并输入发票这种行为就违背了职责分离原则，美国的Sarbanes-OxleyAct是用来防止公司欺诈行为而制定的，根据这项法律的规定这种类型的违规就是一项欺诈并且必须得到严密监控与控制。那些负责采购、布置、记录及维护固定资产的人员只应对这些职能中的某一种负责，它们对其指定任务以外的职能没有系统使用权。那些对处理与固定资产有关事项负责的人员不应维护固定资产的主文件或者甚至都不能对这种文件进行更新。在一个手工系统当中，职责分离可能是按行政方式予以强制执行的，这是建立在对工作职责进行分配的基础上的。在一个自动化系统当中，职责分离通常是通过使用自动化接入限制来执行的，这种限制比如有授权引擎与审计系统等。审计ERP系统设计应尽可能早地在ERP配置当中执行系统设计审计，但当资源被延伸以及最后期限缩短之时，审计问题可能就被忽略了，不幸的是这可能会导致出现一个不太安全的系统，这种系统的控制设计得很弱。一旦配置了这种系统的话，审计就需要一项基于风险的系统复审，这种复审受到设计控制中的详细核查表与实践经验的支持，这类复审不仅会揭开弱点所在、并且还会支持进行重新设计以便提高安全级别。ERP安全机构必须确保ERP配置中所涉及到的每名人员都在安全性中有一个角色：审计员、风险管理员、设计者、开发者、模块所有者、IT运营以及IT安全等。行动项目：集中化政策设计与分布式配置，应该有一个专门的机构部门或人员来负责开发并管理ERP风险管理程序，以便界定企业经营风险与IT运营风险。通常情况下这种职责是指派给首席信息安全官(CISO)负责的，他(她)负责弥合业务流程、ERP策略指示以及技术安全措施等之间的差距与缺陷(见《首席信息安全官的作用》一文)。总结：针对ERP系统方面的安全性无法通过简单的购买一款产品就能实现，它需要在内部进行建立。Gartner建议，那些把应对ERP安全性问题作为业务应用安全中的一部分的机构应把其精力重点集中到创建一个安全团体上来，它们应招募人员来通过其ERP系统配置用户规定、数据管理及事务处理事件管理等。一旦组建起一群具有熟练技能的人员的话，就可以选择工具来支持其ERP安全工作。