安全erp管理系統(tǒng)

　　Erp安全管理是指導和控制企業(yè)關于erp安全風險的相互協(xié)調(diào)活動，通常包括制定安全方針、風險分析、控制目標與方式選擇、風險控制、安全保證等。Erp安全管理實際上是風險管理的過程.風險管理是指用可接受的費用，識別、控制、降低或消除安全風險的活動，通過風險分析來識別風險大小，通過制定安全方針，采取適當?shù)目刂颇繕伺c控制方式對風險進行控制，使風險被避免、轉移或降低到一個被接受的水平.在風險管理方面應考慮控制費用與控制風險之間的平衡.Erp系統(tǒng)風險分析是指對erp系統(tǒng)的威脅、影響和薄弱點及三者發(fā)生的可能性的分析。威脅是指可能對系統(tǒng)造成損害的事故的潛在原因;影響是指威脅一旦發(fā)生給企業(yè)帶來的直接和間接的損失;薄弱點是指系統(tǒng)中能被威脅利用的弱點;風險是指特定的威脅利用系統(tǒng)的薄弱點，導致企業(yè)損失的潛在可能，即特定威脅事件發(fā)生的可能性與后果的結合.風險分析也就是確認安全風險及其大小的過程.Erp的系統(tǒng)風險分析應考慮系統(tǒng)信息及其價值、對系統(tǒng)的威脅以及它們發(fā)生的可能性、系統(tǒng)的薄弱點、已有的安全控制措施等.Erp系統(tǒng)風險控制是指降低安全風險的慣例、程序或機制.風險控制的選擇應以風險分析的結果作為依據(jù)，判斷與威脅相關聯(lián)的薄弱點，決定什么地方需要保護，以及應該采取何種形式的控制.風險控制選擇的另一個重要方面就是費用因素.如果實施和維持這些控制的費用比系統(tǒng)遭到威脅所造成的損失值還要高，那么所提議的控制就是不合適的.風險控制的內(nèi)容：(1、減輕風險2、預防風險3、轉移風險4、回避風險5、接受風險6、儲備風險)

　　1.安全方針:是指在企業(yè)內(nèi)指導如何對信息進行管理、保護和分配的規(guī)則和指示.

　　2、安全組織:是企業(yè)分管信息安全管理事宜的組織，負責企業(yè)信息安全方針的貫徹與落實，就重大問題及時與企業(yè)最高管理者和國家相關管理機構進行溝通.

　　3、系統(tǒng)資源分類和控制：ERP系統(tǒng)資源一般包括數(shù)據(jù)與文檔、軟件、計算機及網(wǎng)絡硬件、人員和服務;系統(tǒng)資源控制主要指建立資源清單、確定資源價值，對資源進行風險分析、指派專人管理、定期對資源進行清查盤點等。

　　4、人員安全:指為加強企業(yè)內(nèi)部人員的安全管理而采取的有利措施，包括明確安全角色和職責、制定員工考察策略、簽訂保密協(xié)議、加強用戶安全培訓、建立獎懲機制。

　　5、實物和環(huán)境安全:指保護系統(tǒng)中的計算機及外設、網(wǎng)絡通信設備、信息介質(zhì)等硬件設備免受非法的事物訪問、自然災害和環(huán)境危害，主要包括安全區(qū)域(或物理訪問)、設備安全及信息介質(zhì)安全三個方面的安全控制。

　　6、通信和運作:包括erp系統(tǒng)操作程序和職責、系統(tǒng)測試、防范惡意軟件、數(shù)據(jù)備份和系統(tǒng)日志管理、網(wǎng)絡管理、介質(zhì)處理、與外界進行信息交換的安全控制方法。

　　7、訪問控制:指對主體(人或軟件程序)、訪問客體(文件、軟件、信息處理設備等)的權限或能力的限制，以及限制進入物理區(qū)域(出入控制)和限制使用處理和儲存數(shù)據(jù)的過程(存取控制)，可分為物理訪問控制和邏輯訪問控制，包括用戶登記、口令管理、網(wǎng)絡訪問控制、操作系統(tǒng)訪問控制、erp系統(tǒng)訪問控制、遠程工作控制等方面

　　8.系統(tǒng)開發(fā)和維護:指對與erp系統(tǒng)開發(fā)與維護活動有關的安全控制方法，包括系統(tǒng)安全要求、應用系統(tǒng)安全、加密技術控制、系統(tǒng)文件安全、開發(fā)和支持過程安全等方面

　　9、業(yè)務持續(xù)性:通過預防和恢復控制相結合的方式，使由災難和安全故障所引起的破壞降至可接受的水平。

　　10、符合法規(guī)要求:為確保企業(yè)的erp系統(tǒng)安全，不僅要依著從企業(yè)自身的信息安全方針，而且要符合國家法律法規(guī)要求。

　　技術風險在項目中是客觀存在的，不可避免的，所以進行有效的技術風險控制是項目取得成功的基本保障.最佳的風險對策是在至關重要的產(chǎn)品生命周期內(nèi)進行有效的技術風險識別、量化和控制.Erp項目的實施風險是由項目的內(nèi)在性質(zhì)所決定，是客觀存在的.風險只在一定環(huán)境條件下客觀存在的導致?lián)p失或損害產(chǎn)生的可以識別評估和控制的變化.風險特性:客觀性、突發(fā)性、相對性、多變性、無形性