基于业务流程的ERP信息安全进化熵的风险评估

宋彪，朱建明

（1. 中央财经大学 信息学院，北京 100081；2. 内蒙古财经大学 会计学院，内蒙古 呼和浩特 010051）

1 引言

ERP（enterprise resource planning，企业资源计划）由美国Gartner Group 公司在20世纪90年代提出以来，ERP在国外获得了广泛应用和飞速发展，投资年均增长速度超过30%，同时也取得巨大的经济和社会效益。在我国，ERP的发展已有20多年，《2009～2010中国IT应用技术蓝皮书》中显示，目前50.7%的企业拥有ERP系统，同时还有大量企业筹备或正在实施ERP项目。

由于ERP系统项目的投资大，软件涉及的业务流程复杂，因此企业在实施项目时往往只关注投资的收益和业务流程的实现，而忽略ERP系统的信息安全。ERP系统集成了企业所有的相关信息，包括客户信息、BOM结构、账户情况等，这些信息对别有用心者都具有极大的吸引力。因此，利用ERP进行犯罪的事件时有发生，例如上海发生的一家大型跨国连锁超市营业款被窃案为企业敲响了警钟，以收银员、计算机管理员为主的普通员工居然利用超市ERP系统的漏洞在短短半年之间悄无声息地从超市窃走372万元的营业款。国内某银行在对即将上线的信息系统进行测试时，误将带有蠕虫病毒的主机接入生产系统，造成其生产系统的长时间故障，造成大量经济损失。中国银联信息系统设备曾出现通信网络和主机出现故障，造成辖内跨行交易全部中断，故障时间长达8小时，给人们的生活带来了极大的不便。英国保险巨头英杰华集团(Aviva)于2009年证实，ERP系统中的一台机器感染病毒，造成敏感个人信息泄露，估计大约有550名保险客户的数据记录被泄露，其中包含用户的姓名、地址和社会安全号码等信息。……