【摘 要】分析了企業(yè)引入ERP的意義和ERP系統(tǒng)數(shù)據(jù)可能存在的安全漏洞，簡(jiǎn)單介紹了ERP系統(tǒng)對(duì)用戶的管理和介紹數(shù)據(jù)庫(kù)安全保密的重要意義。數(shù)據(jù)庫(kù)系統(tǒng)作為信息系統(tǒng)中的基礎(chǔ)軟件，其安全性問題十分重要。

【關(guān)鍵詞】ERP數(shù)據(jù)庫(kù)；數(shù)據(jù)庫(kù)安全；數(shù)據(jù)加密；SQL加密

0.前言

自從計(jì)算機(jī)進(jìn)入企業(yè)，開始為企業(yè)服務(wù)起，企業(yè)就開始不斷開發(fā)相應(yīng)的計(jì)算機(jī)系統(tǒng)來為企業(yè)服務(wù)。剛開始，一般是開發(fā)各個(gè)部門的應(yīng)用系統(tǒng)，如工資系統(tǒng)、人事系統(tǒng)等。隨著企業(yè)的發(fā)展和信息技術(shù)的進(jìn)步，這些系統(tǒng)也不斷的進(jìn)行著功能上的擴(kuò)充、修改和維護(hù)，以適應(yīng)新形勢(shì)下企業(yè)發(fā)展的需求，這時(shí)也可能引進(jìn)了一些商業(yè)軟件包來完善企業(yè)管理。有需求就會(huì)有發(fā)展，到了20世紀(jì)90年代，信息技術(shù)發(fā)展出現(xiàn)了企業(yè)資源計(jì)劃(ERP)，這種信息技術(shù)應(yīng)用在企業(yè)中就能夠解決上面提到的企業(yè)新遇到的問題。

1.ERP系統(tǒng)的安全性研究背景

如果我們從另外一個(gè)角度來看ERP，其發(fā)展過程也是將企業(yè)各種資源逐步集成到企業(yè)信息系統(tǒng)的發(fā)展過程。剛開始是庫(kù)存系統(tǒng)，然后生產(chǎn)系統(tǒng)，采購(gòu)和銷售系統(tǒng)，財(cái)務(wù)系統(tǒng)和人事系統(tǒng)等都逐步加進(jìn)了企業(yè)的信息系統(tǒng)中，從而形成了企業(yè)完整的事務(wù)運(yùn)作信息系統(tǒng)，使得企業(yè)內(nèi)的應(yīng)用得到統(tǒng)一，從根本上消除了企業(yè)應(yīng)用的蜘蛛網(wǎng)問題。

在國(guó)內(nèi)ERP實(shí)施的圈子里流傳著這樣一句話：“成功實(shí)施ERP的企業(yè)具有相似的基本條件，但實(shí)施ERP失敗的原因卻各有不同?！绷私鈬?guó)內(nèi)實(shí)施ERP系統(tǒng)終告失敗的企業(yè)后，結(jié)合ERP的核心管理思想，可以將國(guó)內(nèi)企業(yè)實(shí)施ERP系統(tǒng)失敗的原因劃分為項(xiàng)目管理的原因和技術(shù)管理的原因。其實(shí)，在企業(yè)實(shí)施ERP系統(tǒng)的過程中，還存在著一個(gè)巨大的技術(shù)管理問題，就是企業(yè)未能有效地進(jìn)行數(shù)據(jù)的管理，這是導(dǎo)致企業(yè)ERP實(shí)施失敗的重要原因。

2.ERP數(shù)據(jù)的重要性分析

很難想象沒有數(shù)據(jù)的ERP是什么樣子的。然而，實(shí)際情況又是如何的呢？根據(jù)AMT(美國(guó)機(jī)械制造技術(shù)協(xié)會(huì))的研究，在那些上線不成功或者上線后掉線的案例中，有高達(dá)70％的項(xiàng)目都有一個(gè)共同的直接原因，那就是在數(shù)據(jù)上出了問題。有的是在數(shù)據(jù)還沒有準(zhǔn)備好，諸多數(shù)據(jù)不準(zhǔn)確、不完整的情況下就倉(cāng)促上線；有的則是業(yè)務(wù)沒有理順，出現(xiàn)一數(shù)多據(jù)的情況，不知道該相信哪個(gè)數(shù)據(jù)；還有的是上線運(yùn)行后操作人員未及時(shí)更新業(yè)務(wù)數(shù)據(jù)導(dǎo)致系統(tǒng)內(nèi)的數(shù)據(jù)失真等等，雖然數(shù)據(jù)問題的表現(xiàn)不盡相同，但最終的結(jié)果都是一樣的，那就是大家忙了數(shù)月得到的是一個(gè)沒有數(shù)據(jù)的ERP系統(tǒng)。

通常，ERP的數(shù)據(jù)方面的失敗存在以下三方面的前臺(tái)數(shù)據(jù)操作問題：

（1）數(shù)據(jù)輸入不規(guī)范，同一部門不同的成員有不同的數(shù)據(jù)輸入格式，造成數(shù)據(jù)不統(tǒng)一。

（2）數(shù)據(jù)操作權(quán)限混亂，從而存在數(shù)據(jù)來源多，同一業(yè)務(wù)在不同部門的賦值不同。

（3）企業(yè)本身一些業(yè)務(wù)不規(guī)范，沒有及時(shí)形成業(yè)務(wù)數(shù)據(jù)，導(dǎo)致在系統(tǒng)中的數(shù)據(jù)不完整。

而以上三方面的原因可以歸結(jié)為企業(yè)沒有對(duì)數(shù)據(jù)的安全性做好足夠的保證。為了保證ERP能夠成功的實(shí)施，我們必須保證ERP數(shù)據(jù)的安全性。

3.ERP數(shù)據(jù)的安全性研究

目前，數(shù)據(jù)庫(kù)的安全性還沒有被人們與系統(tǒng)的安全性等同起來，多數(shù)管理員錯(cuò)誤地認(rèn)為只要把網(wǎng)絡(luò)和操作系統(tǒng)的安全搞好了，那么所有的應(yīng)用程序也就安全了。其實(shí)，數(shù)據(jù)庫(kù)系統(tǒng)中存在的安全問題通常也會(huì)造成嚴(yán)重的后果，因此研究數(shù)據(jù)庫(kù)的安全就具有非常重要的價(jià)值了。

3.1影響數(shù)據(jù)庫(kù)安全的主要因素

數(shù)據(jù)庫(kù)系統(tǒng)的安全性要求與其他計(jì)算機(jī)系統(tǒng)的安全性要求有很大的相似性。原則上，凡是造成對(duì)數(shù)據(jù)庫(kù)內(nèi)存儲(chǔ)數(shù)據(jù)的非授權(quán)訪問、讀取，或非授權(quán)的寫入、增加、刪除、修改等，都屬于對(duì)數(shù)據(jù)庫(kù)安全造成了威脅和破壞。另一方面，凡是正常業(yè)務(wù)需要訪問數(shù)據(jù)庫(kù)時(shí)，授權(quán)用戶不能正常得到數(shù)據(jù)庫(kù)中的數(shù)據(jù)，或者非授權(quán)用戶的越權(quán)訪問也稱之為對(duì)數(shù)據(jù)庫(kù)的安全形成了威脅或破壞。影響數(shù)據(jù)庫(kù)安全的主要因素大致可以分為以下幾類：

（1）系統(tǒng)故障，包括硬件或軟件的故障/錯(cuò)誤導(dǎo)致的數(shù)據(jù)丟失等。

（2）信息的非正常擴(kuò)散和泄密。

（3）由授權(quán)讀取的數(shù)據(jù)，通過推論得到不應(yīng)訪問的數(shù)據(jù)。

（4）對(duì)信息的非正常修改，包括破壞數(shù)據(jù)一致性的非法修改以及刪除。

（5）并發(fā)操作引起的數(shù)據(jù)不一致。

（6）敵對(duì)方的攻擊，內(nèi)部或外部的非授權(quán)用戶從不同渠道進(jìn)行攻擊。

（7）病毒，特洛伊木馬。

（8）人為的失誤等。

3.2 ERP數(shù)據(jù)庫(kù)的安全策略

面對(duì)諸多的危險(xiǎn)，加上數(shù)據(jù)庫(kù)系統(tǒng)自身的安全特點(diǎn)，對(duì)數(shù)據(jù)庫(kù)的安全性就提出了諸多要求。計(jì)算機(jī)安全性的三個(gè)方面：完整性、保密性和可用性，與數(shù)據(jù)庫(kù)管理系統(tǒng)都有關(guān)系。完整性既適用于數(shù)據(jù)庫(kù)的個(gè)別元素也適用于整個(gè)數(shù)據(jù)庫(kù)，所以在數(shù)據(jù)庫(kù)管理系統(tǒng)的設(shè)計(jì)中完整性是主要的關(guān)心對(duì)象。保密性由于推理攻擊而變成數(shù)據(jù)庫(kù)的一大問題。最后，因?yàn)楣蚕碓L問的需要是開發(fā)數(shù)據(jù)庫(kù)的基礎(chǔ)，所以可用性是重要的。

一般來說，在ERP系統(tǒng)中都有用戶登陸模塊，其作用是提供用戶登陸界面，驗(yàn)證用戶身份和密碼，防止非法用戶進(jìn)入。確保只有經(jīng)過授權(quán)的合法用戶才能訪問數(shù)據(jù)庫(kù)，并且只能在系統(tǒng)授予的權(quán)限范圍內(nèi)對(duì)數(shù)據(jù)庫(kù)進(jìn)行操作。這種機(jī)制包括兩部分：一是定義用戶的權(quán)限，并將用戶的權(quán)限登記到數(shù)據(jù)字典中；二是對(duì)用戶的合法權(quán)限校驗(yàn)，當(dāng)用戶發(fā)出訪問或者操作數(shù)據(jù)庫(kù)的請(qǐng)求時(shí)候，數(shù)據(jù)庫(kù)管理系統(tǒng)通過查找數(shù)據(jù)字典，根據(jù)安全規(guī)則進(jìn)行合法權(quán)限檢查，確保用戶的操作都在其被授予的權(quán)限范圍內(nèi)。

3.3保護(hù)ERP數(shù)據(jù)庫(kù)的安全方法

在以上說的策略之外，數(shù)據(jù)庫(kù)加密也是一個(gè)非常重要的保護(hù)手段。數(shù)據(jù)加密就是將明文數(shù)據(jù)經(jīng)過交換，一般通過變序或替換變成密文數(shù)據(jù)，數(shù)據(jù)解密則是將密文數(shù)據(jù)轉(zhuǎn)換成明文數(shù)據(jù)輸出。一個(gè)加密系統(tǒng)包含明文集合、密文集合、密鑰集合和算法，其中密鑰和算法構(gòu)成了加密系統(tǒng)的基本單元，算法是一些公式、法則或程序，規(guī)定了明文與密文之間的變換方法，密鑰則可以看作算法中的參數(shù)。

數(shù)據(jù)加密是防止數(shù)據(jù)庫(kù)中數(shù)據(jù)泄露的有效手段，與傳統(tǒng)的通信或網(wǎng)絡(luò)加密技術(shù)相比，由于數(shù)據(jù)保存的時(shí)間要長(zhǎng)得多，對(duì)加密強(qiáng)度的要求也更高。而且，由于數(shù)據(jù)庫(kù)中數(shù)據(jù)是多用戶共享，對(duì)加密和解密的時(shí)間要求也更高，以不會(huì)明顯降低系統(tǒng)性能為要求。

3.4系統(tǒng)數(shù)據(jù)庫(kù)的備份恢復(fù)

由于企業(yè)數(shù)據(jù)庫(kù)中的數(shù)據(jù)存儲(chǔ)量在成比例地增長(zhǎng)，為了適應(yīng)不斷增長(zhǎng)的數(shù)據(jù)，防止數(shù)據(jù)丟失，數(shù)據(jù)庫(kù)備份技術(shù)受到了越來越高的重視。數(shù)據(jù)庫(kù)備份是把硬盤上的數(shù)據(jù)庫(kù)數(shù)據(jù)備份到媒體上。根據(jù)備份時(shí)間、備份內(nèi)容及備份方式的不同目前采用最多的備份策略有：完全備份、增量備份、差分備份三種，每個(gè)企業(yè)要根據(jù)自己的實(shí)際情況來制訂不同的備份策略。

4.結(jié)束語

本文就基于ERP數(shù)據(jù)庫(kù)的發(fā)展及安全性的有關(guān)技術(shù)進(jìn)行了討論，隨著數(shù)據(jù)庫(kù)應(yīng)用范圍的擴(kuò)大和計(jì)算機(jī)技術(shù)的發(fā)展，數(shù)據(jù)庫(kù)系統(tǒng)安全問題不僅僅是孤立的數(shù)據(jù)庫(kù)問題，其他應(yīng)用系統(tǒng)通過接口也可以存取數(shù)據(jù)庫(kù)，因此對(duì)應(yīng)用系統(tǒng)和數(shù)據(jù)庫(kù)連接部分程序本身的安全研究也是廣義數(shù)據(jù)庫(kù)系統(tǒng)安全研究的范圍。

【參考文獻(xiàn)】

［１］周姍姍，程良倫.網(wǎng)絡(luò)數(shù)據(jù)庫(kù)的安全及性能優(yōu)化[J].計(jì)算機(jī)與現(xiàn)代化，2006(1).

［２］江南，常春.SQL Server2000安全驗(yàn)證的故障診斷與分析[J].計(jì)算機(jī)與數(shù)字工程，2006.

［３］谷震離，杜根遠(yuǎn) SQL Server數(shù)據(jù)庫(kù)應(yīng)用程序中數(shù)據(jù)庫(kù)安全性研究.計(jì)算機(jī)工程與設(shè)計(jì)，2007（8）.