專利名稱：一種erp系統(tǒng)中基于規(guī)則配置的數(shù)據(jù)安全審計(jì)方法
技術(shù)領(lǐng)域：
本發(fā)明涉及ERP系統(tǒng)安全審計(jì)領(lǐng)域，具體地說是一種ERP系統(tǒng)中基于規(guī)則配置的數(shù)據(jù)安全審計(jì)方法。
背景技術(shù)：
應(yīng)用系統(tǒng)的安全一般包括五個范疇，分別是身份驗(yàn)證、授權(quán)訪問控制、安全審計(jì)、 數(shù)據(jù)私密性和完整性。其中的安全審計(jì)是指系統(tǒng)中運(yùn)行過程中對系統(tǒng)安全相關(guān)的信息進(jìn)行收集對對象成功和失敗訪問，特權(quán)的使用情況和其它重要的安全行為，并且將它們記錄下來以便以后的分析。一般應(yīng)用系統(tǒng)的安全審計(jì)，記錄的信息相對固定，主要是記錄操作用戶的登錄、退出，功能的打開、關(guān)閉，數(shù)據(jù)的刪除等等，這些審計(jì)行為一般是在系統(tǒng)開發(fā)階段通過編程方式實(shí)現(xiàn)的。隨著企業(yè)對信息安全的認(rèn)識提高，某些企業(yè)對安全審計(jì)提出更高的要求，例如能夠記錄單據(jù)的每一次數(shù)據(jù)變更情況，并且當(dāng)發(fā)生某些行為或數(shù)據(jù)變化時(shí)需要通過系統(tǒng)發(fā)送消息給特定用戶，等等。這種要求，如果每次都通過修改程序的方式實(shí)現(xiàn)，難以滿足不同用戶的需求。

發(fā)明內(nèi)容
本發(fā)明的技術(shù)任務(wù)是針對上述現(xiàn)有技術(shù)的不足，提供一種ERP系統(tǒng)中基于規(guī)則配置的數(shù)據(jù)安全審計(jì)方法。本發(fā)明的技術(shù)任務(wù)是按以下方式實(shí)現(xiàn)的一種ERP系統(tǒng)中基于規(guī)則配置的數(shù)據(jù)安全審計(jì)方法，包括開發(fā)階段、項(xiàng)目實(shí)施階段，
所述開發(fā)階段包括以下步驟和內(nèi)容
(一)定義安全審計(jì)主體；
(二)調(diào)用安全審計(jì)編程接口，
所述項(xiàng)目實(shí)施階段，根據(jù)客戶的具體需求，對安全審計(jì)主體進(jìn)行相應(yīng)配置，配置包括如下方面
(一)設(shè)置安全審計(jì)主體的各審計(jì)事件是否啟用；
(二)設(shè)置安全審計(jì)主體的審計(jì)記錄的數(shù)據(jù)項(xiàng)列表；
(三)設(shè)置安全審計(jì)主體的消息通知；
(四)設(shè)置安全審計(jì)主體的其他安全審計(jì)擴(kuò)展行為。進(jìn)一步的，
所述安全審計(jì)主體，用于描述某類業(yè)務(wù)的安全審計(jì)定義，包含業(yè)務(wù)的數(shù)據(jù)結(jié)構(gòu)、安全審計(jì)事件定義，其中
安全審計(jì)主體的數(shù)據(jù)結(jié)構(gòu)用于描述業(yè)務(wù)數(shù)據(jù)及其包含的數(shù)據(jù)項(xiàng)集合，其中業(yè)務(wù)數(shù)據(jù)屬性信息包含但不限于名稱、主鍵、備注說明；數(shù)據(jù)項(xiàng)集合由多個數(shù)據(jù)項(xiàng)組成，數(shù)據(jù)項(xiàng)屬性信息包含但不限于名稱、類型、長度、精度、默認(rèn)值；
安全審計(jì)主體的安全審計(jì)事件用于描述用于安全審計(jì)記錄的行為觸發(fā)的事件信息，事件屬性信息包含但不限于名稱、分類等級、默認(rèn)設(shè)置。開發(fā)階段調(diào)用安全審計(jì)編程接口需符合以下要求
安全審計(jì)編程接口調(diào)用，需要以參數(shù)方式傳遞當(dāng)前觸發(fā)的事件以及業(yè)務(wù)數(shù)據(jù)信息； 安全審計(jì)編程接口調(diào)用，參數(shù)中的事件是在“安全審計(jì)主體”中定義的事件； 安全審計(jì)編程接口調(diào)用，參數(shù)中的數(shù)據(jù)信息需符合“安全審計(jì)主體”中定義的數(shù)據(jù)結(jié)構(gòu)。
項(xiàng)目實(shí)施階段的“安全審計(jì)主體”配置具體內(nèi)容如下
若某個審計(jì)事件不啟用，則系統(tǒng)不觸發(fā)與該審計(jì)事件相關(guān)的任何行為，包括審計(jì)記錄和消息通知以及其他用戶自定義的擴(kuò)展行為；
數(shù)據(jù)項(xiàng)列表的配置，是基于安全審計(jì)主體的數(shù)據(jù)結(jié)構(gòu)定義，可選擇數(shù)據(jù)項(xiàng)集合的子集用于安全審計(jì)記錄，如果某事件沒有定義數(shù)據(jù)項(xiàng)配置，默認(rèn)記錄業(yè)務(wù)數(shù)據(jù)的主鍵對應(yīng)的數(shù)據(jù)值；
審計(jì)事件消息提供規(guī)則定義，該規(guī)則返回一個布爾類型的值，若該值為真時(shí)，則執(zhí)行消息通知動作；若干該值為假時(shí)，不執(zhí)行消息通知動作；
所述其他安全審計(jì)擴(kuò)展，是指安全審計(jì)提供了統(tǒng)一的編程擴(kuò)展接口，凡是實(shí)現(xiàn)該編程接口的程序，均可以通過配置的方式注冊和被調(diào)用，以滿足安全審計(jì)的個性化需求。再進(jìn)一步的，
為了提高實(shí)施效率，系統(tǒng)可以提供默認(rèn)的配置，避免安全審計(jì)配置的繁瑣。為了提高實(shí)施效率，系統(tǒng)可以內(nèi)置提供一般性的擴(kuò)展的實(shí)現(xiàn)，例如Web服務(wù)訪問、 SQL執(zhí)行等。本發(fā)明的ERP系統(tǒng)中基于規(guī)則配置的數(shù)據(jù)安全審計(jì)方法通過在實(shí)施階段對審計(jì)時(shí)機(jī)、審計(jì)內(nèi)容和審計(jì)行為擴(kuò)展(消息及其他)的靈活配置，并通過提供配置默認(rèn)的方式，可以快速滿足企業(yè)實(shí)施、應(yīng)用ERP系統(tǒng)在安全審計(jì)方面的不同需求。


附圖1是ERP系統(tǒng)中基于規(guī)則配置的數(shù)據(jù)安全審計(jì)方法的主要階段和步驟示意圖。
具體實(shí)施例方式以下將通過ERP系統(tǒng)中的財(cái)務(wù)會計(jì)憑證的安全審計(jì)實(shí)施例的詳細(xì)描述，使本發(fā)明的上述目標(biāo)、特征和優(yōu)點(diǎn)更加清晰、易懂。首先在開發(fā)階段
(一)為會計(jì)憑證定義一個安全審計(jì)主體，名“會計(jì)憑證審計(jì)”。會計(jì)憑證的數(shù)據(jù)結(jié)構(gòu)包含“憑證編號”、“業(yè)務(wù)日期”、“所述財(cái)務(wù)組織”、“制單日期”、“制單人”等數(shù)據(jù)項(xiàng)。其中設(shè)置 “憑證編號”為主鍵。
(二)為“會計(jì)憑證審計(jì)”定義“功能進(jìn)入”、“功能退出”、“數(shù)據(jù)刪除”等事件。(三)在會計(jì)憑證程序中添加代碼段調(diào)用安全審計(jì)編程接口，把相應(yīng)的事件和憑證數(shù)據(jù)作為參數(shù)傳遞。其中，不同的操作，在調(diào)用的參數(shù)中分別傳遞不同的事件；憑證數(shù)據(jù)需要符合“會計(jì)憑證審計(jì)”的數(shù)據(jù)結(jié)構(gòu)定義形式。在項(xiàng)目實(shí)施階段，“會計(jì)憑證審計(jì)”的系統(tǒng)默認(rèn)配置為所有事件均執(zhí)行，數(shù)據(jù)項(xiàng)只記錄主鍵數(shù)據(jù)。在具體某項(xiàng)目，客戶非常關(guān)注憑證刪除的情況，并要求能夠記錄被刪除憑證的所有數(shù)據(jù)項(xiàng)；并且，如果是符合某條件的憑證被刪除，系統(tǒng)能夠自動發(fā)郵件通知相應(yīng)的財(cái)務(wù)主管。則執(zhí)行如下步驟
(一)修改“會計(jì)憑證審計(jì)”的“數(shù)據(jù)刪除”事件，將該安全審計(jì)實(shí)體的所有數(shù)據(jù)項(xiàng)均添加到用于審計(jì)記錄的數(shù)據(jù)項(xiàng)列表中。(二)修改“會計(jì)憑證審計(jì)”的“數(shù)據(jù)刪除”事件，添加消息通知，并為該消息通知定義規(guī)則。通過上述兩個步驟可快速的滿足客戶的個性化需求。優(yōu)選的，在某項(xiàng)目，客戶提出財(cái)務(wù)會計(jì)憑證的安全審計(jì)數(shù)據(jù)需同時(shí)寫入到第三方的數(shù)據(jù)庫進(jìn)行存儲，用于提高安全審計(jì)的可靠性和本身的信息安全性。系統(tǒng)可通過配置相應(yīng)的編程接口擴(kuò)展的方式來滿足此需求。具體的，可通過系統(tǒng)默認(rèn)提供的執(zhí)行SQL的擴(kuò)展， 并編寫SQL的方式來實(shí)現(xiàn)。
權(quán)利要求
1. 一種ERP系統(tǒng)中基于規(guī)則配置的數(shù)據(jù)安全審計(jì)方法，其特征在于包括開發(fā)階段、項(xiàng)目實(shí)施階段，所述開發(fā)階段包括以下步驟和內(nèi)容 定義安全審計(jì)主體； 調(diào)用安全審計(jì)編程接口，所述項(xiàng)目實(shí)施階段，根據(jù)客戶的具體需求，對安全審計(jì)進(jìn)行相應(yīng)配置，配置包括如下方設(shè)置安全審計(jì)主體的各審計(jì)事件是否啟用； 設(shè)置安全審計(jì)主體的審計(jì)記錄的數(shù)據(jù)項(xiàng)列表； 設(shè)置安全審計(jì)主體的消息通知； 設(shè)置安全審計(jì)主體的其他安全審計(jì)擴(kuò)展行為。
2.根據(jù)權(quán)利要求1所述的ERP系統(tǒng)中基于規(guī)則配置的數(shù)據(jù)安全審計(jì)方法，其特征在于 所述安全審計(jì)主體包含業(yè)務(wù)的數(shù)據(jù)結(jié)構(gòu)、安全審計(jì)事件定義，其中安全審計(jì)主體的數(shù)據(jù)結(jié)構(gòu)用于描述業(yè)務(wù)數(shù)據(jù)及其包含的數(shù)據(jù)項(xiàng)集合，其中業(yè)務(wù)數(shù)據(jù)屬性信息包含但不限于名稱、主鍵、備注說明；數(shù)據(jù)項(xiàng)集合由多個數(shù)據(jù)項(xiàng)組成，數(shù)據(jù)項(xiàng)屬性信息包含但不限于名稱、類型、長度、精度、默認(rèn)值；安全審計(jì)主體的安全審計(jì)事件用于描述用于安全審計(jì)記錄的行為觸發(fā)的事件信息，屬性信息包含但不限于名稱、分類等級、默認(rèn)設(shè)置。
3.根據(jù)權(quán)利要求1所述的ERP系統(tǒng)中基于規(guī)則配置的數(shù)據(jù)安全審計(jì)方法，其特征在于 開發(fā)階段調(diào)用安全審計(jì)編程接口需符合以下要求安全審計(jì)編程接口調(diào)用，需要以參數(shù)方式傳遞當(dāng)前觸發(fā)的事件以及業(yè)務(wù)數(shù)據(jù)信息； 安全審計(jì)編程接口調(diào)用，參數(shù)中的事件是在“安全審計(jì)主體”中定義的事件； 安全審計(jì)編程接口調(diào)用，參數(shù)中的數(shù)據(jù)信息需符合“安全審計(jì)主體”中定義的數(shù)據(jù)結(jié)構(gòu)。
4.根據(jù)權(quán)利要求1所述的ERP系統(tǒng)中基于規(guī)則配置的數(shù)據(jù)安全審計(jì)方法，其特征在于 項(xiàng)目實(shí)施階段的“安全審計(jì)主體”配置具體內(nèi)容如下若某個審計(jì)事件不啟用，則系統(tǒng)不觸發(fā)與該審計(jì)事件相關(guān)的任何行為，包括審計(jì)記錄和消息通知以及其他用戶自定義的擴(kuò)展行為；數(shù)據(jù)項(xiàng)列表的配置，是基于安全審計(jì)主體的數(shù)據(jù)結(jié)構(gòu)定義，可選擇數(shù)據(jù)項(xiàng)集合的子集用于安全審計(jì)記錄，如果某事件沒有定義數(shù)據(jù)項(xiàng)配置，默認(rèn)記錄業(yè)務(wù)數(shù)據(jù)的主鍵對應(yīng)的數(shù)據(jù)值；審計(jì)事件消息提供規(guī)則定義，該規(guī)則返回一個布爾類型的值，若該值為真時(shí)，則執(zhí)行消息通知動作；若干該值為假時(shí)，不執(zhí)行消息通知動作；所述其他安全審計(jì)擴(kuò)展，是指安全審計(jì)提供了統(tǒng)一的編程擴(kuò)展接口，凡是實(shí)現(xiàn)該編程接口的程序，均可以通過配置的方式注冊和被調(diào)用，以滿足安全審計(jì)的個性化需求。
全文摘要
本發(fā)明公開了一種ERP系統(tǒng)中基于規(guī)則配置的數(shù)據(jù)安全審計(jì)方法，屬于ERP系統(tǒng)安全審計(jì)領(lǐng)域。該方法包括開發(fā)階段、項(xiàng)目實(shí)施階段，所述開發(fā)階段包括(一)定義安全審計(jì)主體;(二)調(diào)用安全審計(jì)編程接口;所述項(xiàng)目實(shí)施階段，根據(jù)客戶的具體需求，對安全審計(jì)進(jìn)行相應(yīng)配置，配置包括(一)設(shè)置安全審計(jì)主體的各審計(jì)事件是否啟用;(二)設(shè)置安全審計(jì)主體的審計(jì)記錄的數(shù)據(jù)項(xiàng)列表;(三)設(shè)置安全審計(jì)主體的消息通知;(四)設(shè)置安全審計(jì)主體的其他安全審計(jì)擴(kuò)展行為。與現(xiàn)有技術(shù)相比，本發(fā)明的數(shù)據(jù)安全審計(jì)方法可以靈活、快速地滿足企業(yè)實(shí)施、應(yīng)用ERP系統(tǒng)在安全審計(jì)方面的各種不同需求。
文檔編號G06Q10/00GK102184484SQ20111012496
公開日2011年9月14日 申請日期2011年5月16日 優(yōu)先權(quán)日2011年5月16日
發(fā)明者孫立新 申請人:浪潮集團(tuán)山東通用軟件有限公司