MES和ERP之间传的数据，可能是车间最不设防的路

MES和ERP之间传的数据，可能是车间最不设防的路

广东一家电子代工厂，去年接了个大客户的订单，客户图纸、BOM、工艺参数全在ERP里。MES每天要从ERP拉生产任务，工艺员为了方便，把ERP导出的Excel放在共享文件夹里，MES再去读取。结果一次投标前，竞争对手的报价比他们精准得多，连客户特殊工艺要求都一清二楚。后来复盘发现，问题就出在共享文件夹——全厂几十台电脑都能访问，谁复制过、谁打开过，根本没人知道。

系统之间的“中间地带”，最容易被忽略

制造企业数字化转型，往往ERP管计划、MES管执行、PLM管图纸，各管一段。但系统之间的数据流动，常常是最薄弱的环节。典型的场景有：ERP通过共享文件夹或FTP给MES下发工单；MES把生产报表导出Excel回传给ERP；质检数据通过U盘或邮件汇总；工艺参数靠人工录入到机床边的电脑。这些路径既没有加密，也没有留痕，数据在这些“中间地带”裸奔。

更麻烦的是，车间里的电脑往往权限很宽。操作工、班组长、质检员共用一台机，USB口开着，微信能登，网盘能传。MES终端本身可能很安全，但边上的Excel、工艺单、临时文件根本没人管。攻击者不需要攻破MES，只要拿到一份导出的生产任务表，就能推算出客户结构、产能和报价。

补上中间地带，要同时抓“传输”和“终端”

上邦在这类项目里的思路是：先把系统之间的数据通道加密。ERP到MES之间的接口，尽量不走共享文件夹，而是走加密API或安全文件通道。如果必须导出Excel，文件本身要加密，并且绑定接收人身份。这样哪怕文件被复制到别的地方，没有授权也打不开。

其次是终端保护。MES工位机、车间看板电脑、质检平板，都应该纳入终端安全基线：USB、蓝牙、打印要受控；屏幕显示敏感数据时加上水印；系统临时文件和下载目录纳入加密范围。很多泄露不是黑客攻进来的，而是工位机上的一份Excel被随手拷走。

第三是审计留痕。谁从ERP导出了什么、MES什么时候接收了工单、哪台电脑打开了BOM表、有没有截屏或外发动作，都要有日志。不是事后追责才看，而是让日常行为可回放、异常可告警。

关键不是加系统，而是理清数据流

我们建议企业先做一件事：画一张“数据流转图”。标出ERP、MES、PLM、WMS、质检系统之间哪些数据在流动，走什么协议，落到哪些终端，哪些人接触。这张图画完，薄弱点自己就跳出来了。很多时候企业以为最大的风险是外部攻击，画完图才发现，风险最大的地方是车间角落那台公用电脑。

写在最后

MES和ERP让企业跑得更顺，但它们之间的数据通道不能是“法外之地”。把传输加密、终端受控、操作留痕三件事做到位，车间这条最不设防的路，就能变成有护栏的高速公路。