ERP促进了组织内部、重要和客户之间业务功能的信息流动，在些基本上系统简化和当前及未来客户之间的互动，管理营销活动，建立客户关系，提高客户满意度。ERP（企业资源规划）和CRM

（客户关系管理）对于企业的日常动作是至关重要的两个程序。

Gartner公司最近一项关于企业IT预算支出计划的调查显示，2013年应用软件投资计划中位列前三的分别为CRM、ERP和办公室个人高效工具。尽管公司常在ERP和上进行投资，但其实企业已经有

许多存在多年的应用程序实例。这是因为参与采购和部署系统的工作人员离职后，带走了如何管理和维护这些系统的知识，所以现在这些应用程序只能独自运行。

修补老化的关键应用程序是非常困难的，因为许多传统的CRM和免费ERP都没有打补丁，而且非常脆弱。但是由于它们处理和存储了重要机密的数据，所以必须注意其安全性。在过去，原本的安全控制可

能就够了，但是处于当今多设备、Internet连接并充满威胁的环境中，它们可能就难以应对了。

本文中，我们将回顾ERP和CRM系统应用程序安全的最佳实践，不仅专注于这些应用程序本身，还关注对安全性至关重要的其它IT组件。

为了确保ERP和CRM应用程序的安全，必须在网络层、表示层以及最重要也最受黑客偏爱的攻击对象应用层实施控制。

未打补丁的ERP和CRM系统都特别脆弱，因为他们特别容易成为自动扫描器和攻击工具的目标。尽管不是每一个新漏洞都会有风险，但是真正遇到威胁时，你就必须努力修补旧系统。但是，知道漏洞何时

对特定的应用程序有风险非常有用，因为这就可以优先升级补丁、防火墙和改变入侵检测系统。测试漏洞和补丁影响的一个方法是在一个虚拟测试环境中复制一个生产系统，然后使用渗透测试框架，用

适当方法来试图感染用于测试的应用程序。如果测试的应用程序失败或被感染了，显然这个生产中的应用程序需要安装补丁来防御类似的攻击。

虽然补丁在旧系统上触发的问题并不少见，但是调查显示只有一小部分管理员因为未测试补丁而遭受系统故障。当然，可能你有一个传统或老化的基础设施已经被破坏或出故障了，就是因为过去打补丁

的缘故，如果一个系统是处理关键任务的，那么强烈建议在安装新的补丁之前进行补丁测试。

当修补的整体风险太高时，虚拟补丁可以通过控制受影响应用程序的输入或输出来消除一些漏洞。不同于传统的补丁程序，虚拟补丁不需要昂贵的停机时间，因为一个应用程序可以不触碰到应用程序本

身而打上补丁，它相关的库或操作系统可以一直运行。有时虚拟补丁是支持供应商不再支持的应用程序老版本的唯一方法。最简单的虚拟补丁方法是升级入侵防御系统过滤器的配置来阻挡试图利用该漏

洞的攻击。在虚拟补丁修复该漏洞的过程中，一定要记录下这些变化。

对于基于Windows的ERP和CRM应用程序，管理员应该考虑部署微软的加强版缓解体验工具包（EMET）v4.0，这是一个对于老版Windows应用程序和操作系统软件非常有价值的缓解技术。它是免费的，并且

通过应用最新安全技术来保护应用程序，使黑客更难利用已知攻击向量，例如缓冲区溢出和内存损坏。

为了支持后期的浏览器和移动时代的自定义应用程序，原先用来访问ERP和CRM应用程序的图形用户界面(GUI)可能已经被抛弃了，但是确保任意和这个系统交互的浏览器和应用程序能使用是至关重要的。

第三方应用程序应该经常进行测试，来确保他们不会通过意想不到的渠道或进程泄露数据。使用CitrixSystems公司服务器给桌面用户提供的GUI，或使用8.1的开始屏幕锁定功能为桌面和移动设备用户

来创建一个资讯站环境，可以降低用户相关威胁的可能性。

如果维护现有的ERP和CRM系统变得太困难，昂贵或耗时，那么是时候转移到基于云的服务了，这是对于移动设备更自然，更安全的服务。集成的ERPCRM软件和利用一个集中式的安全数据库托管解决方

案都是可行的。例如，Compiere，一个基于云、开源的免费ERP和CRM系统。

对企业来说，无论运行ERP还是CRM，或者其它软件，都必须采取主动或者是被动的安排保护措施，确保新软件或者是旧软件的程序安全。如果想要实现竞争的优化，信息与知识的共享是不可少的。