OA产品线

 

绩效展现 即时通讯

 

管理看板 审批流程

 

协同平台 信息安全

信息安全

随着行业竞争的加剧，企业中各类信息资源的安全性、保密性变得更为重要，涉及到的技术标准、生产工艺文件、质量体系文件、市场报表、财务报表、报价信息等等众多信息，均需要进行保密处理、安全管理。网商公司根据企业管理需求，研发出一整套企业信息安全管理方案，通过平台化的对内、对外交互模式，确保企业重要信息的流通规范、受控，企业的信息安全得到保障。

信息安全存在几个层面的概念和意义：

• 1）防止“天灾”和“不可抗力”，主要是指信息存在性，及企业信息数据库以及文档库需要通过备份的方式来防止集中性丢失，同时也需要通过部署硬件防火墙形式来防止病毒或人为攻击；
• 2）信息保密加密：除了普通文档加密手段之外，最好的信息保密加密方式是通过数据项和数据库的形式，使得数据集中存储并通过软件厂商为企业定制的系统才能查阅，尽量减少通用信息存储方式（例如word、excel）的使用。
• 3）信息安全监控：通过信息传递过程中的日志、监控、审计跟踪等手段，进行信息安全的管理。

安全管理机制

网商ERP系统采用平台化设计思想，在实现各个功能模块的方便扩展的同时，提供了更加强大和完善的系统安全解决方案。如下图所示：

1、服务器数据库管理

使用网商ERP，安全防护集中于服务器端，主要是防病毒和防攻击，客户端不需要增加额外的安全措施。可配置多台应用服务器，一台应用服务器暂停服务之后，可自动切换至其他应用服务器，确保整个系统持续运行。网商ERP采用了数据自动备份机制，系统管理员对备份数据定期加密存档，可确保系统数据安全。如下图所示，网商自行开主的任务服务管理器中可以对数据备份机制进行设置。

2、用户权限管理

用户主要是指直接或间接使用网商相关软件系统的应用人员，在人机交互过程中，称之为操作人员。而用户权限即是对当前操作人员在系统中的各种行为和数据处理权限范围的记录和控制。

严格的用户权限管理机制是系统安全机制的重要和最直接的手段之一。系统需要对操作员按操作角色，操作模块以及操作按钮进行权限设置，不同操作员在授权下，查看不同部门不同类别下的商品资料和报表，对操作员的操作日志进行全程跟踪，最大程度保证系统的安全。

根据用户的实际需要，系统提供了不同层级的权限级别，可以定义到不同的明细程度，以满足不同企业的管理实际。

网商软件提供了：子系统级、功能级、数据项级、数据记录级四个权限设置策略。

2.1、子系统级权限

设置相关的操作人员是否可以登录到指定的子系统或功能模块，如企业实施了财务管理、库存管理两大子系统时，就可设置财务人员可以进入财务管理系统，也可以使用库存管理中的部分模块。相反，仓库保管员只能登录库存管理的相关模块而不能登录财务管理系统。再如，如果企业开设了多个帐套，则可以通过权限设定来划分操作人员所能操作的帐套。

2.2、功能操作权限

在子系统级权限的基础上，系统可以把权限设置到每一个明细的操作功能上，即设置功能级权限就把每个操作人员所能使用的窗口级权限进行了明确的限定。例如：只给操作员甲赋予开入库单权限，只给操作员乙赋予入库单审核权限后，操作员甲只能编制和处理未审核的入库单，操作员甲无法使用入库单审核功能。相反，操作员乙只能对操作员甲已经输入到系统中的入库单进行审核，而无法进行对操作员甲的入库单进行编辑操作。

功能级权限通常按每个操作员的岗位和业务需要对系统中的功能模块进行分配，通过功能级的权限分配后，通常每个操作员登录到系统后，所能使用的功能模块就相当有限了，即只能看到或使用与自身业务相关的操作单元了。

如下图所示，对于同一功能上，对于数据导出操作、打印输出等操作，系统都可以分配权限，可以把操作人员对数据的访问权限严格控制在查询、或得到授权的导出和打印。确保数据信息的受控范围和安全性。

2.3、数据项级权限

前面的权限通常是针对操作功能的，而数据项级权限管理和数据记录级权限管理主要是通过约束条件来对数据进行访问权限管理的。

数据项级访问权限主要对相同的窗口上的数据项进行访问控制。例如，操作员甲和操作员乙都可以使用合同输入功能，但是，在实际管理中，我们不允许操作员乙了解到合同的“价格”信息，因此，需要进行数据项级访问权限设定，即在操作员乙的权限中把“价格”信息设置为不可见。经过上述设置后，操作员乙虽然能和操作员甲一样打开和使用合同输入的功能，但是，操作员乙看不到合同的“价格”信息。

对于字段权限控制，在系统实施前需要设置字符是否可用以及显示字段标题，如果设置不可用则系统的任何地方都将不能看到该字段，只有在设置成可用的情况下，系统才会根据权限范围数据控制字段是否显示。

如果系统没有设置字段的权限范围数据则所有字段都是可见的；如果设置了某个字段的权限范围数据，则说明这个字段是需要控制的，在权限设置范围允许的情况下，字段才是可见的，否则其他人员都不允许看见。

例如在销售合同查询功能中，可以针对不同的部门、岗位、个人设置查看权限，是否允许其看到销售合同的单价、数量、客户等，用户可以进行自定义。

如下图所示，对于窗口上的每个数据项即字段信息，进行详细的权限设置后，可以确保操作人员只能看到得到授权的数据项。

2.4、数据记录级权限

与数据项访问权限有所区别的是数据记录的分权限管理。例如，在很多公司的销售过程中，每个业务员的客户信息对其他同级的业务员是保密的，因此要求不同的业务员只能查询到自己的客户资料信息。这个需求就可以通过对客户信息设置数据记录级的访问权限来解决。

数据权限控制包括工序权限、组织机构权限、产品权限、仓库权限、供应商权限、客户权限。

对岗位，员工等设置了数据权限后，相应的被授权对象只能操作已授权的数据。如对客户数据设置相关权限，销售员只对其所属的客户有数据权限，那么销售员只能选择自己的客户形成销售合同。所有的数据权限控制都是指单项权限，以员工权限优先级最高，其次是岗位，最后是部门。如果一个员工所在的部门设置了权限，该人员也设置了权限，则取该员工的权限，忽略部门的权限。

2.5、其他说明

操作人员的信息和口令是通过加密算法存储到后台数据库中，确保信息的安全。配合企业的用户名和口令管理规范，切实做好登录口令的定期修改等措施，就能有效地把人为疏忽而造成的非法登录等情况杜绝。完善的用户权限管理机制为系统的安全把好第一关，越细致的权限分配，就能提供越安全的安全保障，但是其操作也最复杂。因此，企业可以根据自身的实际情况选择合适的权限约束并在实施工程师的指导下进行分配和维护。