复旦协达——某石油公司BPM实施详细案例（下）

    A公司BPM协同平台安全涉及以下各部分的安全问题：
    网络安全建议方案：为确保全公司管理系统在可依赖的网络环境中稳定运行，根据A公司系统安全要求，制定网络安全方案；
    BPM系统安全：介绍BPM协同平台安全管理策略如何帮助A公司构建安全的公司管理系统。

    2.2.1网络安全建议方案

    网络安全是整个系统安全运行的基础，是保证系统安全运行的关键。网络系统的安全需求包括以下几个方面：
 ·网络边界安全需求
 ·入侵监测与实时监控需求
 ·安全事件的响应和处理需求分析
    这些需求在各个应用系统上的不同组合就要求把网络分成不同的安全层次。
    我们针对网络层的安全策略采用硬件保护与软件保护，静态防护与动态防护相结合，由外向内多级防护的总体策略。

    根据安全需求和应用系统的目的，整个网络可划分为六个不同的安全层次。具体是：
 ·核心层：核心数据库；
 ·安全层：信息系统BPM中间件服务器等应用；
 ·基本安全层：内部局域网用户；
 ·可信任层：网络访问接口；
 ·危险层：Internet。

    具体的安全策略如下：
    核心数据库采用物理隔离：实现最大可能的网络安全：BPM系统采用分层架构方式，客户端只需要访问中间件服务器即可进行日常业务处理，从物理上不能直接访问数据库服务器，保障了核心层数据的高度安全。
    BPM中间件服务器采取综合安全策略：BPM中间件的安全隐患主要来自局域网内部，为了保障BPM系统中间件服务的安全，在局域网中可通过划分虚拟子网对各安全区域、用户和安全域间实施安全隔离，提供子网间的访问控制能力。同时，中间件服务器本身可以通过配置相应的安全策略，限定经过授权的工作站、用户方能访问系统服务，保障了中间件服务器的安全性；
    内部局域网采取信息安全策略：内部局域网处于基本安全层的网络，主要是对于安全防护能力较弱的终端用户在使用，因此考虑的重点在于两个方面，一个是客户端的病毒防护，另一个是防止内部敏感信息的对外泄露。因此，通过选用网络杀毒软件达到内部局域网的病毒防护，同时，使用专用网络安全设备（如硬件防火墙）建立起有效的安全防护，通过访问控制ACL等安全策略的配置，有效地控制内部终端用户和外部网络的信息交换，实现内部局域网的信息安全。
    Internet采取通讯加密策略：Internet属于非安全层和危险层，由于Internet存在着大量的恶意攻击，因此考虑的重点是要避免涉密信息在该层次中的流动。通过硬件防火墙提供专业的网络防护能力，并对所有访问请求进行严格控制，对所有的数据通讯进行加密后传输。
    同时，我们建议设置严格的机房管理制度，严禁非授权的人员进入机房，也能够进一步提升整个网络系统的安全。

    2.2.2系统安全管理

    企业管理信息系统运用于企业业务的方方面面，各种角色都参与其中，信息的安全管理显得尤为重要。对于信息安全来说，[能做什么]和[能做到什么程度]是非常重要的两个方面。
    协同系统作为企业运行的核心应用，严密的访问安全认证是保障企业经常活动正常运行的重要手段，因此系统提供了以下安全管理手段：
 ·统一的安全管理平台
 ·基于角色定义的用户管理机制
 ·基于数据权限的授权机制
 ·基于功能权限的授权机制 
    下面我们将分别进行详细介绍。

    2.2.3统一安全管理平台

    系统提供统一、完善的安全控制管理平台，提供以下安全管理功能： 与第三方安全的集成；支持各种LDAP、CA体系完整的集成
    权限管理：通过用户权限管理，按照企业管理要求进行业务权限的授权控制；
    License监控：提供BPM软件授权的统一管理；
    网络控制：提供网络用户访问的监控，对于网络异常访问能够通过警报、声音、邮件等形式通知系统管理员，并自动采取相应的安全处理措施；
    上机日志：实时记录整个系统的用户访问、业务操作、系统运行等日志，提供查询、过滤、打印等多种日志管理功能；
    用户监控：实时监控BPM用户的当前操作情况，对于异常的功能操作、越权访问等行为通过警报、声音、邮件等形式通知系统管理员，并自动采取相应的安全处理措施。

    2.2.3.1BPM用户管理机制

    用户分组管理：
    系统支持多级用户组管理，能够根据企业组织架构进行分级管理，也能够按照企业的岗位设置进行分组管理，详见下图所示。

    用户的系统定义：
    系统中将用户分为系统管理员及普通用户两类，系统管理员属于系统内置用户，用于普通用户权限的管理工作，不参与业务； 普通用户是真正的业务操作者，不限于公司职员可以是外部的供应商客户等，可以禁用和锁定的，并可以选择不同的安全策略，如密码策略、账号失效日期等。 通过将系统管理员和普通用户的分离，避免了系统管理员可以参与业务处理所带来的安全隐患。

    2.2.3.2用户权限控制

    用户权限控制支持基于业务模块功能的权限控制，以及基于数据访问权限的控制两大类：

     ·业务模块权限功能：
    功能权限控制业务模块进行对应分级设置，每个业务功能均提供两类权限控制手段：标准权限控制——查看、新增、修改、删除等；特定权限控制——根据功能模块的特殊性，提供相应的特定权限控制。
    以凭证处理功能模块为例：
    凭证标准权限控制：查看、新增、修改、删除、打印；
    凭证特定权限控制：审核、反审核、凭证维护、凭证过账、凭证反过账、冲销凭证、标准凭证引入、标准凭证引出、模式凭证定义……。
     ·数据权限控制：
    系统提供基于数据的权限控制功能，能够灵活定义用户访问数据的规则，实现以下功能：
    控制用户在凭证处理时能够访问哪些科目：控制用户在凭证处理时，特定凭证类型情况下，能够访问的特定科目的数量金额大小；
    其他：BPM基于数据访问规则的自定义实现上述功能，此功能完善、控制方式灵活。
    用户角色权限控制：
    系统提供大量的权限控制，为了便于用户权限控制，BPM支持基于角色的用户权限管理功能。
    由于具有相同操作权限、相同职位、相同职责的用户很多，逐一授权工作量大，所以将具有上述特征的用户抽象成一个角色。
    用户角色可通过以下方式进行用户权限的控制： 一个角色分配给多个用户：比如将出纳角色同时分配给所有出纳人员。 一个用户分配多个角色：比如将某一用户同时赋予报表管理、预算管理等角色。
    用户权限转授权控制： 系统提供用户权限的转授权控制功能，通过用户将自身的权限进行向下授权，极大的提高了大型企业中的授权灵活程度，同时也可以减轻系统管理员的授权负担。 系统可定义用户是否能够进行权限转授，并且能够控制转授的权限范围、转授的权限是否能够再次转授等。 
    系统提供完善的转授控制机制，通过系统定义，实现以下功能：
 ·可灵活定义拥有权限转授的用户
 ·转授的权限范围只能是用户自己拥有的权限
 ·用户可自行设定转授权限，可以只转授部分权限给别人
 ·用户权限禁止控制 
    系统提供用户权限禁止控制，从而为企业提供了完善的越权控制保护。通过用户权限禁止控制，我们可以实现如下功能：
 ·出纳和会计的权限职责明确
 ·仓库管理员和采购销售人员权限职责明确
 ·固定资产管理员与财产损益审核员
 ·应收账款会计和坏账审核人员
 ·其他财务规范管理功能

    综上所述，系统自身提供了严密、完善的安全保障措施，能确保A公司系统安全、可靠的运行。

    2.3系统技术特点

    2.3.1扩展性
    充分考虑A公司现有业务发展的需要，本解决方案具有良好的可扩展性，利用协达CAP保证系统可以快速扩展新的功能以满足业务需求。可扩展的平台能够随着最终用户、数据、复杂性和功能性的增长而增长，在增长的同时维持现有的性能水平。能够支持软硬件平台的平滑升级和扩展。

    2.3.2易用性
    系统提供方便的全中文操作界面，并提供详细的用户手册和在线帮助，系统版本升级时，用户手册和在线帮助都会及时同步升级。
    用户操作界面友好，交互性强，在出现错误时，显示友好的错误提示信息，并且错误信息能够被用户取消，并恢复界面正常显示。

    2.3.3稳定性
    系统能保证稳定可靠的运行
    核心系统（软件、硬件和操作系统）平均无故障连续工作时间（MTBF）大于10年，可用性大于99.9%。系统故障平均恢复时间（MTTR）小于1小时，对于采用双机热备的系统，系统切换后在不需要人工干预的情况下，所有业务功能正常使用。系统应支持集群技术，能够进行负载均衡、分布式运行，支持插件技术。系统不存在因为单点故障而导致系统全面瘫痪的可能性。

    2.3.4开放性
    系统配置的软件和硬件设备具有很好开放性，BPM协同平台标准应用提供开放的应用接口，可以方便地与其他厂家同类型应用系统进行互连，便于系统未来的扩展。
    BPM协同平台各模块中的数据能够方便的导出成电子表格和文本格式，报表系统和其他第三方提供的BI工具系统中能够方便的导出成久其格式，且实业公司总部一次设置对应关系后，实业内所有单位都能共享使用。

    2.3.5安全性 
    本系统的安全解决方案，必须包括以下几方面的要求。
    网络安全管理：本系统充分利用防火墙、安全证书、SSL等数据加密技术并与协达自主知识产权的ORM-RPC（128位加密）相结合保证系统与数据安全。
    系统安全管理：BPM协同平台提供全面完善的安全管理，并与第三方的安全产品能够很好的集成。

    2.3.6可移植性
    软硬件都遵循主流标准。完全实现了跨平台，对目前主流操作系统和应用服务器提供支持。