烟草行业信息安全保障体系是烟草行业信息化健康发展的基础和保障，是烟草行业各级数据中心的重要组成部分。为推进信息安全保障体系建设，提高信息安全管理水平和保障能力，国家烟草专卖局制订了《烟草行业信息安全保障体系建设指南》。

    随着行烟草业网络建设的不断发展，“以电子商务为特征的，以信息化为支撑的新业务模式”不断完善和发展，网上订货在行业内得到不断推广应用。作为一种互联网与行业内网结合的信息系统，信息安全是一个非常重要的问题。

    目前烟草信息系统主要由营销系统、网上交易平台、前置机以及非可信的零售商等终端组成，这些复杂但又相互独立的子系统的运行、维护需要大量的人力物力和专业化技能，更重要的是各个职能部门的通力配合。系统各个部门之间合理的职能划分，是实现信息系统高效、安全运行的制度保障。在现有的系统职能划分中，业务部门部门负责数据录入、输出、流程处理等工作，保障业务信息系统的安全运维工作是由在信息中心指导下的厂商现场专人维护完成。现在行业内的计算机系统基本上都是以厂商现场专人维护方式，因此对于本系统应用的服务器系统，存在服务器厂商、数据库厂商、应用系统厂商三方共同维护的问题，各厂商从分清责任考虑都仅对自己责任范围内负责，然而我们面临的问题是，三方在分清责任的同时，却并没有规范各自的权限，各方人员通过系统管理员账号进入系统，除了执行责任内的运维、升级等行为外，对服务器中的业务数据文件、核算程序进程也有着完全的访问权限。

    浪潮SSR的系统操作人员授权管理功能，可以让主管部门根据各职能单位和外包商的实际工作范围进行授权，对各人员使用的服务器系统管理员的无限权力进行合理分配，设置访问控制规则约束系统管理员的行为，从而达到从根本上保障系统安全的目的。也就是说，今后各系统操作人员，即使用系统最高权限账号登录也只能做其职能范围内的操作，例如查看日志、定期备份、软件维护等，如果需要访问业务信息系统的数据库、程序等，就必须取得主管信息系统的授权，否则对所有业务信息系统资源都没有任何访问权限。

    通过合理的权力划分，不仅可以规避来自服务外包商人员对业务数据误操作等非法访问带来的风险，还可建立对数据等敏感信息更加合理的访问控制机制，完善烟草行业的系统安全管理制度。