ERP系统数据备份及访问权限管理办法

ERP系统数据备份及访问权限管理办法目的为进一步规范公司ERP数据管理工作，合理存储企业经营历史数据并保证数据的安全 性，防止因硬件故障、意外断电、病毒等因素造成数据的丢失，保障公司正常的财务数据储 备，特制定本管理办法。适用范围本管理办法适用于我公司ERP系统的数据备份及访问权限管理工作。术语和定义ERP数据备份：指的是用户将ERP数据贮存起来，用于数据恢复时使用。A、包括ERP系统文件；B、ERP数据库（各帐套和各模块）；C、ERP系统相关应用程序。 移动硬盘：是以硬盘为存储介质，计算机之间交换大容量数据，强调便携性的存储产 品。ERP 访问权限：根据公司人员岗位职责，角色访问权限须由该岗位的部门经理申请， 部门直属高管批准，财务总监或其授权的ERP数据管理员复核访问权限的匹配性，财务总监 分配ERP访问权限。信息处理设备：ERP服务器、移动硬盘 信息资产密级管理：企业秘密事项（秘密）级别 保存年限：永久备份类型：ERP系统数据的备份包括定期备份和临时备份两种。定期备份指按照规定 的日期定期对数据进行备份；临时备份指在特殊情况（如软件升级、设备更换、外部审计需 求、感染病毒等）下，临时对信息数据进行备份。职责和权限财务总监负责ERP数据备份活动请求的审批、管理和监督； 负责数据备份存储介质使用需求的审批； 负责监督数据备份的执行情况及存储介质的保管执行情况； 负责分配ERP访问授权权限ERP数据管理员ERP数据管理员由总经理指定，负责年度、季度、月度定期ERP系统数据备份活动 的操作及介质保管工作。定期对数据库的操作日志及本地自动备份日志进行检查。如果发现异常，及时进行 分析解决。负责在对数据备份操作记录的备案登记。网络管理员负责ERP服务器的硬件维护，磁盘空间维护，进行物理边界保护。人力资源 人力资源部应将人事变动情况及时通知至访问授权实施部门进行权限设置更改。公司ERP数据系统涉及的各业务部门公司ERP涉及的各业务部门在发生重大信息安全事件或灾难时,负责保护本部门使用 的信息系统及业务数据，及时恢复中断的业务活动。ERP数据输出作业流程编制需求申请凡有ERP系统数据输出需求的部门和人员必须提前编制需求申请，写明缘由和使用 时间范围。数据提取中的申请、审批、操作及检查工作需分别由不同人员承担。即部门经理申 请、财务总监审批、ERP数据管理员进行操作，财务总监在交付前检查，提取权限应按照规 范通过系统设定分配指定人员。提取出的数据只能发放给申请人，不能发放给其他人员。对存放数据的介质，确保只 有授权人员能够访问。可移动数据存储介质管理临时、短期数据存储必须使用性能可靠、数据安全有保证、内存2T或更大的USB接 口品牌移动硬盘进行保存。存储数据的介质必须放在公司专用保险柜中，钥匙由ERP数据管理员保管，非授权 人员不得访问。数据备份安全要求本公司ERP使用远程登录技术保证通信线路中传输数据的完整性和保密性，使用远程 桌面、SSH等方式实现联机互访。主要采用隧道技术、加解密技术和使用者与设备身份认证 技术。远程桌面登录密码及ERP系统注册密码由财务总监和ERP数据管理员备案，非授权人 员不得登录。备份方案采取本地触发自动备份与异地手动人工备份两种方式同时进行； 数据备份范围及周期要求异地封存型备份：在上一个年度审计结束后的4月1日进行上一年度的从ERP建立初 始数据至上一年度12月31日各帐套的备份，存储移动硬盘，该介质作为档案封存式管理，除 每年4月1日启用备份程序外，其余时间不得动用。异地辅助型备份：在上一个年度审计结束后的4月1日进行从上一年度1月1日至12月 31日帐套的备份，存储移动硬盘，做为档案随年度进行封存，另一份备份至移动硬盘，该介 质作为内部和外部使用管理。异地时时型备份：当年度ERP各帐套数据，按照每季度备份一次，当次备份覆盖上 一季度的备份，该介质作为应急预案管理，在发生重大信息安全事件或灾难时，及时恢复中 断当期的ERP业务活动。本地自动型备份：进入ERP服务器系统管理，通过系统注册登录界面，通过设置备 份计划，在服务器上设置每一周自动备份，此备份为覆盖型备份，每季度应定期检查本地自 动型备份日志及备份数据的有效性。备份标识及定期检查 盘面需标明刻录日期、年度范围及版本号，例如“2013年1月1日到2013年12月31日数 据备份-版本0-2013年12月31日制”。基于备份数据的安全性及稳定性，需对封存型和辅助型备份存储介质进行每年一次的 定期检查，对时时型和自动型备份的存储介质进行每3个月一次定期检查，确保安全可用。内部使用每次备份工作由ERP数据管理员发起，需按ERP系统数据备份记录表要求，详 细填写相关信息、记录备份明细，并由财务总监统一保管。具有输出需求的部门和人员，必须编制需求申请，经由部门直属高管签字后，由财 务总监审批，并在网络管理员亲自或陪同监督下进行，相关工作参与人员出入机房不可随身 携带U盘、手机、私人移动硬盘等存储介质或具备存储功能的物品，严格按IS027001规范 进行操作。每次数据备份确保不影响公司其他工作，并保证备份数据完整有效。外部使用ERP 系统数据的备份存储介质不得擅自借用、不得带离公司，如确有需求，需编制 需求申请写明需求缘由经我公司财务总监签字审批后执行。如外部审计人员有数据需求，必须编制需求申请，经由我公司财务总监签字确认后 在网络管理员亲自或陪同监督下进行，工作进行前需对审计人员存储介质严格检查，避免在 备份过程中发生病毒传播等危险。如系统维护需数据还原或导入，必须编制需求申请，经由财务总监签字确认后在网 络管理员亲自或陪同监督下进行，操作过程需全程跟踪监控，直至维护完毕。失效处理 期间如发现存储介质损坏或备份数据丢失，及时进行冗余处理，并将损坏存储介质 彻底清除，确保数据消亡。备份工作记录 对于异地人工备份应填写重要信息备份记录，信息备份的登记记录应由财务总监 保存。ERP权限访问由于用户变换岗位等原因造成访问权限变更时，用户应重新填写用户授权申请表， 履行授权手续。对发生以下情况对其访问权应从系统中予以注销：a) 内部用户雇佣合同终止时；b) 内部用户因岗位调整不再需要此项访问服务时；c) 第三方访问合同终止时；d) 其它情况必须注销时。相关文件文件控制程序ISMS-B-03记录控制程序ISMS-B-04信息交流管理程序ISMS-B-08可移动介质管理程序ISMS-B-24信息资产密级管理程序ISMS-B-10数据操作管理程序ISMS-B-12用户访问控制程序ISMS-B-14电子文件管理办法QI-BG02-02本管理办法自发布之日起有效执行，最终解释权归财务部所有。