[求助]ERP系統安全性的查核

分享至

[求助]ERP系統安全性的查核

榮譽勳章：

山上人

實習生

點數：1430

2009-03-21 15:07:37

請問如果要查核ERP系統的安全性，可以分成哪些部份呢?

回覆會員暱稱：siete
點數：590
等級：初學者

榮譽勳章：初學者
發文篇數：20
回文時間：2009-07-14 23:56:05

有關ERP系統安全性查核的問題可能會遇到下列的問題，根據這些問題來回答。 Q1：資訊系統的採購(如Oracle或SAP這一類系統)，這類資訊系統的採購議價，是應該由資訊人員議價嗎? A1：資訊人員提供專業比較報告，但是議價仍是由採購人員進行。察看比較報告，檢查是否屬實。 Q2：資訊系統的整合性，要怎樣證明?比如說，在Oracle的架構下，加上ERP，再加上BI，又外架MRP，還有PR系統，要怎樣去驗證各模組間的整合性以及資料安全性? A2：資訊安全查核的部分，可以參考檔案庫的相關文件，作為查核的依據。各模組的整合性，可以要求資訊單位提供相關資料佐證或說明狀況，再抽核相關情況以驗證是否屬實。

回覆會員暱稱：咩
點數：2050
等級：專家

榮譽勳章：
發文篇數：99
回文時間：2009-03-21 15:26:19

在＂Security for Enterprise Resource Planning Systems＂中有提到一些關於ERP系統安全性的概念，我想或許可以參考文章的分類，其分類如下：　 l 安全性政策(Security Policy)：ERP系統的專家有提供許多明確且定義清楚的政策使得這些政策容易被維護。這些安全性政策提供包括主體(subject)存取和目標(object)存取的規則，當系統的管理者決定授予或撤除使用者的權限時，他們應該將這些限制考慮進去。 l 使用者的認證(User Authentication)：確認使否使用者就是他宣稱的那個人。 l 職責劃分(Separation of Duty)：應該對工作進行區分，使得某些工作只可以被某些使用者(user)或某些角色(role)執行。 l 授權(Authorization)：確認是否使用者的確能夠存取相關的資源。依照授權規則，來決定使用者被授予哪些存取的能力。 l 時間限制(Time Restriction)：只有在某段時間內才允許存取。 l 軌跡的追尋(Log and Trace) l 資料庫安全(Database Security)

資料來源：

Security for Enterprise Resource Planning Systems

Wei She a; Bhavani Thuraisingham ^a

_aUniversity of Texas at Dallas, Richardson, TX, USA