ERP数据安全与账号授权风险：五类常见隐患与对策
团队规模小的时候，安全问题常常被排到清单最后：反正人不多，都是自己人。但恰恰是小团队，一旦出现账号泄露或数据外带，往往没有第二个人能及时发现异常。
一、五类高频隐患
| 隐患 | 典型场景 | 后果 |
|---|---|---|
| 共用账号 | 多人使用同一登录名 | 操作无法追溯，离职后密码仍有效 |
| 授权过度 | 为省事给全部权限 | 误操作与数据外带风险放大 |
| 凭据散落 | 平台密码写在聊天记录或共享表格里 | 一处泄露牵连多个系统 |
| 导出失控 | 订单含客户信息被批量导出 | 客户资料外流，难以追责 |
| 离线留存 | 导出的数据长期放在个人电脑 | 设备丢失即等于数据丢失 |
二、账号层面的四条规则
- 一人一号。不使用共享账号，所有操作可归属到具体人员。
- 离职即停用。当天停用而非删除，保留历史记录。同时清理该账号绑定的授权。
- 强口令与二次验证。至少要求定期更换口令，管理类账号建议开启二次验证。
- 定期复核。每季度核对账号清单，清理长期未登录或已转岗的账号。
三、授权层面的三个关注点
店铺与平台授权是ERP权限体系里最敏感的部分，因为它直接关联资金与经营数据。
- 授权范围最小化。只勾选业务必需的权限，不必授予店铺Réglages类权限。
- 绑定公司账号。授权应挂在公司统一管理的账号下，不依赖某个员工个人账号。否则人员变动会直接导致授权失效。
- 记录授权台账。把每个店铺、每个平台的授权主体、授权时间与到期时间登记成表，到期前有提醒。
一个常被忽略的点：客服或运营为了方便，可能用个人账号去绑定平台的开放接口。这类操作应在制度上明确禁止，并在季度复核时实际抽查。
四、数据层面的三个动作
- 区分查看与导出。多数泄露来自导出而非查看，导出口径应按角色单独控制。
- 监控敏感字段。成本价、毛利率、供应商联系电话这类字段建议单独设权限。
- 日志留痕。确认系统是否提供登录日志、操作日志与导出记录，并定期抽查异常登录。
五、选型时怎么问
如果正在选型，可以把安全能力变成几个具体问题：数据存放在哪里、是否支持字段级权限、是否有操作日志、导出是否可控、账号能否与企业现有账号体系打通。这些问题比笼统地问”安全吗”有效得多。
权限矩阵的具体设计方式可参考ERP子账号与权限Réglages；实施阶段的数据与账号准备见ERP上线前的数据准备；隐性成本的识别可参考小团队ERP工具栏目中的选型说明。
结论：ERP的数据安全风险集中在共用账号、授权过度、凭据散落、导出失控与离线留存五类。落地对策是账号层面做到一人一号、离职即停用、强口令与定期复核；授权层面做到范围最小化、绑定公司账号、登记台账；数据层面把查看与导出分开控制、监控敏感字段并保留日志。选型时用具体问题代替笼统提问，更容易得到可验证的答案。