CN103984907A - 基于erp的数据安全维护系统 - Google Patents

基于erp的数据安全维护系统 Download PDF

Info

Publication number
CN103984907A
CN103984907A CN201410247135.8A CN201410247135A CN103984907A CN 103984907 A CN103984907 A CN 103984907A CN 201410247135 A CN201410247135 A CN 201410247135A CN 103984907 A CN103984907 A CN 103984907A
Authority
CN
China
Prior art keywords
authority
transaction code
transaction
role
data
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN201410247135.8A
Other languages
English (en)
Other versions
CN103984907B (zh
Inventor
尤钊瑛
侯晓峰
冯秀玲
周庆春
胡文娟
林少鹏
李霄
彭晓风
赵昕
郭彤
贾竣
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
China National Offshore Oil Corp CNOOC
Original Assignee
China National Offshore Oil Corp CNOOC
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by China National Offshore Oil Corp CNOOC filed Critical China National Offshore Oil Corp CNOOC
Priority to CN201410247135.8A priority Critical patent/CN103984907B/zh
Publication of CN103984907A publication Critical patent/CN103984907A/zh
Application granted granted Critical
Publication of CN103984907B publication Critical patent/CN103984907B/zh
Expired - Fee Related legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Bioethics (AREA)
  • General Health & Medical Sciences (AREA)
  • Computer Hardware Design (AREA)
  • Health & Medical Sciences (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Databases & Information Systems (AREA)
  • Storage Device Security (AREA)

Abstract

一种基于ERP的数据安全维护系统，包括权限索引装置、事务代码存储装置、角色任务存储装置和用户分配装置，其中：权限索引装置，用于存储单一事务代码运行时需要获得的权限数据；事务代码存储装置，用于存储形成完整事务处理过程所包括的事务代码；角色任务存储装置，用于存储形成业务处理过程所包括的事务代码实例和相应的权限控制参数；用户分配装置，用于为业务处理过程中的用户分配相应的角色任务。本发明将运行在不同业务处理过程中的事务代码与相应的权限赋予数据有效分离，通过权限赋予数据的有效分组管理。避免了局部的业务过程中事务处理代码运行越界，非法获得对额外资源的访问和操作。

Description

基于ERP的数据安全维护系统
技术领域
本发明涉及一种数据访问控制装置，特别是涉及事务处理中数据访问权限的控制装置。
背景技术
ERP系统中事务处理(Transaction processing)往往需要跨越多个业务应用模块，整个事务处理过程需要由不同的事务代码组成以完成相应的功能，对于涉及异构系统的离散的业务应用，ERP系统通用的事务处理模型基本可以满足需求。但是对于大规模的集中式事务处理系统，ERP系统通用的事务处理模型存在数据访问的安全隐患。
大集中模式下业务应用涉及的众多事务处理过程中，组成业务的事务代码通常要以实例(Instance)的形式分配给事务处理过程中的众多角色，同一角色内的事务代码实例形成具体的业务过程，根据业务需要分配给相应的用户。在这个过程中没有针对各个事务代码实例的有效权限控制。这就造成用户在利用业务完成相应流程时，有可能接触到超越业务范围的数据，甚至有可能对业务范围外的数据进行修改。
以中海油ERP系统为例，集团公司ERP系统采用集中式架构，有利于实现最大程度的业务集成和共享，但是复杂的业务环境下并存大量的用户，业务集中在一个环境中处理，管理上稍有不慎就会发生越权修改、越权访问等问题，需要按照业务需求严格控制用户权限。并且，随着现代企业制度的逐步建立和完善，所属单位(尤其是上市公司)的运营独立性要求更加严格。如何在实现集团化管理的同时，保证所属单位之间的数据安全，规避过度授权的问题，是集中模式ERP系统权限管理面临的严峻挑战。
事务代码是启动ERP系统功能操作的基本单位，每个事务代码对应某一项功能操作。由于ERP系统常规的授权过程中，用户权限设计和配置主要依靠顾问的个人经验，控制效果难以保证。在这种情况下，过度授权问题只能通过权限反向测试才会被发现，但是受到项目实施进度、工作量以及人员重视程度等因素的影响，权限反向测试往往存在测试不充分甚至忽略的情况，最终难以发现过度授权问题。
随着ERP实施和应用的不断深入，由于“大集中的特殊性”所引发的权限问题逐渐暴露出来。过度授权问题包括集团管控数据被非法修改和跨单位越权访问两个方面，在复杂的业务环境下用户权限管理面临巨大挑战。典型的过度授权现象从以下业务流程中有所表现：
MM(物料管理)模块的物料主数据逻辑区分为一般视图和其他视图，其中一般视图应该由集团统一维护。如果下属单位用户拥有物料主数据一般视图的维护权限，这些主数据的集团管控将难以保证，对系统应用有严重影响。
FICO(财务会计和管理会计)模块(内部订单的实际结算)，用于将订单成本结转到多个成本对象(包括其他业务模块)，操作复杂且涉及范围广。如果缺乏有效的权限控制，用户有意无意的误操作将导致FICO敏感数据的泄露和错误。
MM(物料管理)模块用于批量更改数据的事务代码，在读取数据时由于缺少权限检查，用户可以查看系统中任何分支公司的采购订单、采购申请等数据，存在泄密隐患。
PM(工厂维护)模块，用于查看维修成本。如果没有权限控制点，用户可以查看任何公司任何设备的维修金额等敏感信息。
发明内容
本发明的目的是提供一种基于ERP的数据安全维护系统，解决各事务代码实例化形成业务过程中，无法有效控制分配给用户的业务处理各阶段数据访问权限的技术问题。
本发明的另一个目的是提供一种控制方法，利用基于ERP的数据安全维护系统，控制业务处理过程中用户进行数据访问时越权访问的技术问题。
本发明的基于ERP的数据安全维护系统，包括权限索引装置、事务代码存储装置、角色任务存储装置和用户分配装置，其中：
权限索引装置，用于存储单一事务代码运行时需要获得的权限数据；
事务代码存储装置，用于存储形成完整事务处理过程所包括的事务代码；
角色任务存储装置，用于存储形成业务处理过程所包括的事务代码实例和相应的权限控制参数；
用户分配装置，用于为业务处理过程中的用户分配相应的角色任务。
所述权限索引装置中包括事务代码索引装置和权限存储器，其中：
事务代码索引装置，用于为组成业务处理过程的事务代码建立唯一的索引值并存储；
权限存储器，用于将采集的一个事务代码的部分权限数据分组并存储；
一个事务代码索引装置对应若干个权限存储器，权限存储器存储的部分权限数据的合集为该事务代码在业务处理过程中确定的全部权限控制参数。
所述角色任务存储装置中包括若干个角色任务对象，每一个角色任务对象由组成业务处理过程的事务代码实例和相应的权限控制参数组成。
还包括权限校验装置，用于接收向用户分配的角色任务对象，过滤其中与权限索引装置中相应事务代码冲突的权限数据，并反馈到权限索引装置或ERP系统。
根据所述的基于ERP的数据安全维护系统进行业务处理的方法，主要包括以下步骤：
通过ERP系统建立事务处理过程的业务逻辑拓扑结构；通过ERP系统确定完成业务逻辑必须的构成角色对象需要的事务代码；
从事务代码存储装置中提取相应的事务代码；
根据事务代码所处的业务逻辑在事务处理中的拓扑结构的位置，从权限索引装置中提取相应的一组权限数据；在角色任务存储装置中各事务代码及相应的权限数据形成角色任务对象；
用户分配装置根据ERP系统业务需求，向用户分配角色任务，使用户在在业务处理过程中，按规定的权限运行相应的事务代码。
还包括以下步骤：
通过权限校验装置检查权限索引装置和角色任务对象中相应事务代码的权限数据的一致性，获取用户越权操作和访问的准确数据，同时获得对事务代码权限控制的分析数据。
本发明的基于ERP的数据安全维护系统，将运行在不同业务处理过程中的事务代码与相应的权限赋予数据有效分离，通过权限赋予数据的有效分组管理，使得权限数据可以根据事务代码所处业务处理过程中的逻辑位置进行准确的权限赋予。避免了局部的业务过程中事务处理代码运行越界，非法获得对额外资源的访问和操作。进而实现了大集中模式下集团管控与分层支持相结合的ERP权限管理体系。在大集中环境下不仅实现了集团化管理需求，所属单位的运营独立性也得到有效保证。具体效果说明如下：
-主数据管理安全、规范
ERP业务主数据包括多个视图，按照集团管控需求，主数据的一般视图由集团统一维护。在权限梳理前，有些所属单位用户拥有主数据一般视图的维护权限，由于误操作或个别业务需要，这些管控数据经常被修改，对系统应用的影响很大。经过全面梳理，集团和各所属单位之间权限界面清晰，集团化管理得以真正落实，从纸面文档转变为实际控制，实现了最大程度的集成和共享，间接经济效益难以估量。
-跨单位越权访问得到有效控制
由于缺乏全面有效的控制，用户容易误操作而导致数据混乱，或者可以查看其他公司的业务数据。通过全面梳理，实现了公司代码层级的权限控制，越权读取数据得到了有效控制，解决了各单位(尤其是上市公司)的合规性难题。
-通过本系统的累积进而形成标准化的ERP系统权限字典
实现有效的权限控制，需要统一规范的管理标准，尤其对于集中模式的ERP系统，则显得更为重要。关于这些标准，在厂商的标准培训和咨询公司的实施文档里，都没有现成的说明。如果没有ERP系统权限字典，用户权限的设计、配置主要依靠顾问或支持人员的经验，受个人能力影响大，控制效果难以保证。ERP系统权限字典是以规范权限设计方案和变更需求为目标，明确定义了事务代码使用范围和基本权限控制点的ERP系统在用权限的集合，是一套符合集团化管理需要和所属单位运营独立性要求的可量化、全面的权限管理标准。权限字典一旦建立，将填补产品应用的空白，形成具有海油特色的ERP系统授权管理标准。在确保ERP系统数据安全方面，权限字典可以发挥更重要作用。
-完成业内首例集中模式ERP系统的权限梳理
中海油ERP系统采用大集中模式，能够实现最大程度的业务集成和共享，是集团化管理的重要保障；伴随着现代企业制度的逐步建立和完善，各所属单位(尤其是上市公司)对运营独立性的要求也更加严格。如何同时满足统一性和独立性需求，ERP系统权限管理面临巨大众多挑战。本系统的实施应用，属于业内首例集中模式ERP系统的权限梳理，在用户权限规模庞大(据统计，当时用户账号有三千余个、本地角色有近两万个，共涉及FI、CO、MM等9个业务模块)、实施工作没有可参考案例的情况下，它推动完成了中海油ERP权限管理的大跨越，解决了上市公司的合规性难题，在实现集团化管理的同时，所属公司的运营独立性得到有效保证。
下面结合附图对本发明的实施例作进一步说明。
附图说明
图1为本发明基于ERP的数据安全维护系统的结构示意图；
图2为本发明基于ERP的数据安全维护系统的一种具体应用的结构示意图。
具体实施方式
如图1所示，本实施例的基于ERP的数据安全维护系统包括权限索引装置01、事务代码存储装置02、角色任务存储装置03和用户分配装置04，其中：
权限索引装置01，用于存储单一事务代码运行时需要获得的权限数据；
事务代码存储装置02，用于存储形成完整事务处理过程所包括的事务代码；
角色任务存储装置03，用于存储形成业务处理过程所包括的事务代码实例和相应的权限控制参数；
用户分配装置04，用于为业务处理过程中的用户分配相应的角色任务。
本实施例将每个事务代码的权限数据实现完整采集，确定了每个事务代码的权限控制节点，使得事务代码的权限分析不再受制于顾问的经验局限，使得权限数据可以根据事务代码所处业务处理过程中的逻辑位置进行准确的权限赋予。本实施例将事务代码的权限数据与事务代码本身有效分割，通过对权限数据的逻辑划分可以形成同一事务代码的不同运行权限，进而使得同一事务代码在不同业务处理过程中，只能获得相应的局部或全局的资源访问权限。避免了在低级或局部业务处理过程中，由于经验局限造成事务代码越界访问或篡改数据。实现了集中式的多地域、多系统、多拓扑结构的业务处理过程管理。
权限索引装置01中包括事务代码索引装置11和权限存储器12，其中：
事务代码索引装置11，用于为组成业务处理过程的事务代码建立唯一的索引值并存储；
权限存储器12，用于将采集的一个事务代码的部分权限数据分组并存储；
一个事务代码索引装置11对应若干个权限存储器12，权限存储器12存储的部分权限数据的合集为该事务代码在业务处理过程中确定的全部权限控制参数。
一个事务代码的部分权限数据分组受限于业务处理过程中事务代码所处业务逻辑拓扑结构的位置。
本装置将业务处理过程映射为不同事务代码在执行过程中完成相应业务逻辑所需要的权利赋予类型，该对象类型至少包括权限对象(Authorization Object)、权限字段(AuthorizationField)、允许的操作(Activity)、允许的值(Field Value)。通过将一个权限存储器12与相应的事务代码关联，就可以可靠控制事务代码完成必要的业务逻辑，杜绝越界操作。
事务代码存储装置02中的每一个事务代码21都对应唯一的索引值。
角色任务存储装置03中包括若干个角色任务对象31，每一个角色任务对象31由组成业务处理过程的相应事务代码21实例和与事务代码21实例相应的权限控制参数组成。这包括权限存储器12内的分组权限数据，还包括事务处理过程中的临时权限、状态参数等。
用户分配装置04根据ERP系统业务请求，向用户分配角色任务，使用户在在业务处理过程中，按规定的权限运行相应的事务代码。
进一步地，本实施例应用在中海油ERP系统中，如图2所示，“T-code”列为事务代码存储装置02，“授权对象”列为用户分配装置04，“基本权限控制点”列为权限索引装置01中的特定权限存储器12，各列的含义和描述，体现了在事务代码所处业务逻辑拓扑结构的位置。
利用本发明的基于ERP的数据安全维护系统，进行业务处理主要包括以下步骤：
通过ERP系统建立事务处理过程的业务逻辑拓扑结构；通过ERP系统确定完成业务逻辑必须的构成角色对象需要的事务代码；
从事务代码存储装置02中提取相应的事务代码；
根据事务代码所处的业务逻辑在事务处理中的拓扑结构的位置，从权限索引装置01中提取相应的一组权限数据；在角色任务存储装置03中各事务代码及相应的权限数据形成角色任务对象31；
用户分配装置04根据ERP系统业务请求，向用户分配角色任务，使用户在在业务处理过程中，按规定的权限运行相应的事务代码。
在本实施例的基于ERP的数据安全维护系统的基础上，还包括权限校验装置，用于接收向用户分配的角色任务对象31，过滤其中与权限索引装置01中相应事务代码冲突的权限数据，并反馈到权限索引装置01或ERP系统。
通过此装置可以持续监测事务处理全过程中，事务代码对资源访问的实时状态，获取用户越权操作和访问的准确数据，检查权限索引装置01和角色任务对象31中相应事务代码的权限数据的一致性，同时可以有效获得对事务代码权限控制的分析数据，用于进一步提高权限数据合理分组，进而形成权限字典，提高全系统的权限管理能力。
以上所述的实施例仅仅是对本发明的优选实施方式进行描述，并非对本发明的范围进行限定，在不脱离本发明设计精神的前提下，本领域普通技术人员对本发明的技术方案作出的各种变形和改进，均应落入本发明权利要求书确定的保护范围内。

Claims (6)

1.一种基于ERP的数据安全维护系统，其特征在于：包括权限索引装置(01)、事务代码存储装置(02)、角色任务存储装置(03)和用户分配装置(04)，其中：
权限索引装置(01)，用于存储单一事务代码运行时需要获得的权限数据；
事务代码存储装置(02)，用于存储形成完整事务处理过程所包括的事务代码；
角色任务存储装置(03)，用于存储形成业务处理过程所包括的事务代码实例和相应的权限控制参数；
用户分配装置(04)，用于为业务处理过程中的用户分配相应的角色任务。
2.根据权利要求1所述的基于ERP的数据安全维护系统，其特征在于：所述权限索引装置(01)中包括事务代码索引装置(11)和权限存储器(12)，其中：
事务代码索引装置(11)，用于为组成业务处理过程的事务代码建立唯一的索引值并存储；
权限存储器(12)，用于将采集的一个事务代码的部分权限数据分组并存储；
一个事务代码索引装置(11)对应若干个权限存储器(12)，权限存储器(12)存储的部分权限数据的合集为该事务代码在业务处理过程中确定的全部权限控制参数。
3.根据权利要求2所述的基于ERP的数据安全维护系统，其特征在于：所述角色任务存储装置(03)中包括若干个角色任务对象(31)，每一个角色任务对象(31)由组成业务处理过程的事务代码(21)实例和相应的权限控制参数组成。
4.根据权利要求3所述的基于ERP的数据安全维护系统，其特征在于：还包括权限校验装置，用于接收向用户分配的角色任务对象(31)，过滤其中与权限索引装置(01)中相应事务代码冲突的权限数据，并反馈到权限索引装置(01)或ERP系统。
5.根据权利要求1至4所述的基于ERP的数据安全维护系统进行业务处理的方法，其特征在于，主要包括以下步骤：
通过ERP系统建立事务处理过程的业务逻辑拓扑结构；通过ERP系统确定完成业务逻辑必须的构成角色对象需要的事务代码；
从事务代码存储装置(02)中提取相应的事务代码；
根据事务代码所处的业务逻辑在事务处理中的拓扑结构的位置，从权限索引装置(01)中提取相应的一组权限数据；在角色任务存储装置(03)中各事务代码及相应的权限数据形成角色任务对象(31)；
用户分配装置(04)根据ERP系统业务需求，向用户分配角色任务，使用户在在业务处理过程中，按规定的权限运行相应的事务代码。
6.根据权利要求5所述的业务处理的方法，其特征在于：还包括以下步骤：
通过权限校验装置检查权限索引装置(01)和角色任务对象(31)中相应事务代码的权限数据的一致性，获取用户越权操作和访问的准确数据，同时获得对事务代码权限控制的分析数据。
CN201410247135.8A 2014-06-05 2014-06-05 基于erp的数据安全维护系统 Expired - Fee Related CN103984907B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201410247135.8A CN103984907B (zh) 2014-06-05 2014-06-05 基于erp的数据安全维护系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201410247135.8A CN103984907B (zh) 2014-06-05 2014-06-05 基于erp的数据安全维护系统

Publications (2)

Publication Number Publication Date
CN103984907A true CN103984907A (zh) 2014-08-13
CN103984907B CN103984907B (zh) 2017-06-13

Family

ID=51276871

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201410247135.8A Expired - Fee Related CN103984907B (zh) 2014-06-05 2014-06-05 基于erp的数据安全维护系统

Country Status (1)

Country Link
CN (1) CN103984907B (zh)

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101697212A (zh) * 2009-10-15 2010-04-21 金蝶软件（中国）有限公司 一种erp系统及其用户权限控制方法和装置
CN102053969A (zh) * 2009-10-28 2011-05-11 上海宝信软件股份有限公司 webERP用户权限管理系统
CN102546530A (zh) * 2010-12-14 2012-07-04 金蝶软件（中国）有限公司 一种用户身份及权限验证的方法、装置及erp系统
CN102799979A (zh) * 2012-08-09 2012-11-28 常熟市宏华外贸包装有限责任公司 一种纸板制造企业用erp管理系统

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101697212A (zh) * 2009-10-15 2010-04-21 金蝶软件（中国）有限公司 一种erp系统及其用户权限控制方法和装置
CN102053969A (zh) * 2009-10-28 2011-05-11 上海宝信软件股份有限公司 webERP用户权限管理系统
CN102546530A (zh) * 2010-12-14 2012-07-04 金蝶软件（中国）有限公司 一种用户身份及权限验证的方法、装置及erp系统
CN102799979A (zh) * 2012-08-09 2012-11-28 常熟市宏华外贸包装有限责任公司 一种纸板制造企业用erp管理系统

Non-Patent Citations (3)

* Cited by examiner, † Cited by third party
Title
周阳,等: "细粒度RBAC模型在ERP权限管理中的研究与应用", 《机械制造》 *
邹文平: "SAP在海洋石油移动仓储管理中的应用", 《中国优秀硕士学位论文全文数据库信息科技辑》 *
黄龙军,等: "基于EBAC的ERP权限管理分析与设计", 《机电产品开发与创新》 *

Also Published As

Publication number Publication date
CN103984907B (zh) 2017-06-13

Similar Documents

Publication Publication Date Title
CN101572630B (zh) 一种基于对象的权限管理系统与方法
CN104376430A (zh) 一种基于云服务平台的风险隐患管理系统及其实现方法
CN103955787A (zh) 一种税务风险管控系统
CN108416230A (zh) 一种基于数据隔离模型的数据访问方法
CN101539855A (zh) 一种业务基础软件平台
CN106528828A (zh) 一种基于多维度校验规则的数据质量检测方法
CN105184144A (zh) 一种多系统权限管理方法
CN102708466A (zh) 项目管理系统
CN105243335A (zh) 一种权限管理方法及装置
CN103632237A (zh) 一种组织机构及权限管理的实现方法及装置
CN102663008A (zh) 政府综合业务平台业务库和基础库的构建方法
CN103605916A (zh) 一种基于组织的rbac访问控制模型
CN103729582A (zh) 一种基于三权分立的安全存储管理方法及系统
CN105117822A (zh) 电力系统基础数据精益化处理方法
CN103279839A (zh) 一种基于活动的战略计划执行与预算分析信息控制系统
CN103984907A (zh) 基于erp的数据安全维护系统
Jacyna et al. Efficacy of Data Security in Managing the Database of SIMMAG 3D System
CN103345485A (zh) 一种大型主机平台动态报表自动生成方法及系统
CN104346662A (zh) 一种业务数据继承的实现方法
CN113541959A (zh) 建设工程管理系统及方法
CN113450083A (zh) 建设工程管理系统
CN103530232B (zh) 一种软件测试管理框架构建方法及装置
CN105956833A (zh) 一种公路施工企业应用云平台及使用方法
CN111368284A (zh) 一种企业信息管理系统中分配用户权限的方法
KR20210053563A (ko) 빅데이터 기반 건설사업 정보관리시스템

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant
CF01 Termination of patent right due to non-payment of annual fee

Granted publication date: 20170613

Termination date: 20180605

CF01 Termination of patent right due to non-payment of annual fee