[发明专利]基于ERP的数据安全维护系统

说明书

技术领域

本发明涉及一种数据访问控制装置，特别是涉及事务处理中数据访问权限的控制装置。

背景技术

ERP系统中事务处理(Transaction processing)往往需要跨越多个业务应用模块，整个事务处理过程需要由不同的事务代码组成以完成相应的功能，对于涉及异构系统的离散的业务应用，ERP系统通用的事务处理模型基本可以满足需求。但是对于大规模的集中式事务处理系统，ERP系统通用的事务处理模型存在数据访问的安全隐患。

大集中模式下业务应用涉及的众多事务处理过程中，组成业务的事务代码通常要以实例(Instance)的形式分配给事务处理过程中的众多角色，同一角色内的事务代码实例形成具体的业务过程，根据业务需要分配给相应的用户。在这个过程中没有针对各个事务代码实例的有效权限控制。这就造成用户在利用业务完成相应流程时，有可能接触到超越业务范围的数据，甚至有可能对业务范围外的数据进行修改。

以中海油ERP系统为例，集团公司ERP系统采用集中式架构，有利于实现最大程度的业务集成和共享，但是复杂的业务环境下并存大量的用户，业务集中在一个环境中处理，管理上稍有不慎就会发生越权修改、越权访问等问题，需要按照业务需求严格控制用户权限。并且，随着现代企业制度的逐步建立和完善，所属单位(尤其是上市公司)的运营独立性要求更加严格。如何在实现集团化管理的同时，保证所属单位之间的数据安全，规避过度授权的问题，是集中模式ERP系统权限管理面临的严峻挑战。

事务代码是启动ERP系统功能操作的基本单位，每个事务代码对应某一项功能操作。由于ERP系统常规的授权过程中，用户权限设计和配置主要依靠顾问的个人经验，控制效果难以保证。在这种情况下，过度授权问题只能通过权限反向测试才会被发现，但是受到项目实施进度、工作量以及人员重视程度等因素的影响，权限反向测试往往存在测试不充分甚至忽略的情况，最终难以发现过度授权问题。

随着ERP实施和应用的不断深入，由于“大集中的特殊性”所引发的权限问题逐渐暴露出来。过度授权问题包括集团管控数据被非法修改和跨单位越权访问两个方面，在复杂的业务环境下用户权限管理面临巨大挑战。典型的过度授权现象从以下业务流程中有所表现：

MM(物料管理)模块的物料主数据逻辑区分为一般视图和其他视图，其中一般视图应该由集团统一维护。如果下属单位用户拥有物料主数据一般视图的维护权限，这些主数据的集团管控将难以保证，对系统应用有严重影响。

FICO(财务会计和管理会计)模块(内部订单的实际结算)，用于将订单成本结转到多个成本对象(包括其他业务模块)，操作复杂且涉及范围广。如果缺乏有效的权限控制，用户有意无意的误操作将导致FICO敏感数据的泄露和错误。

MM(物料管理)模块用于批量更改数据的事务代码，在读取数据时由于缺少权限检查，用户可以查看系统中任何分支公司的采购订单、采购申请等数据，存在泄密隐患。

PM(工厂维护)模块，用于查看维修成本。如果没有权限控制点，用户可以查看任何公司任何设备的维修金额等敏感信息。

发明内容

本发明的目的是提供一种基于ERP的数据安全维护系统，解决各事务代码实例化形成业务过程中，无法有效控制分配给用户的业务处理各阶段数据访问权限的技术问题。

本发明的另一个目的是提供一种控制方法，利用基于ERP的数据安全维护系统，控制业务处理过程中用户进行数据访问时越权访问的技术问题。

本发明的基于ERP的数据安全维护系统，包括权限索引装置、事务代码存储装置、角色任务存储装置和用户分配装置，其中：

权限索引装置，用于存储单一事务代码运行时需要获得的权限数据；

事务代码存储装置，用于存储形成完整事务处理过程所包括的事务代码；

角色任务存储装置，用于存储形成业务处理过程所包括的事务代码实例和相应的权限控制参数；

用户分配装置，用于为业务处理过程中的用户分配相应的角色任务。

所述权限索引装置中包括事务代码索引装置和权限存储器，其中：

事务代码索引装置，用于为组成业务处理过程的事务代码建立唯一的索引值并存储；

权限存储器，用于将采集的一个事务代码的部分权限数据分组并存储；

一个事务代码索引装置对应若干个权限存储器，权限存储器存储的部分权限数据的合集为该事务代码在业务处理过程中确定的全部权限控制参数。