Protección central contra ciberataques

La pasada primavera, la Oficina de Ciberseguridad e Infraestructura Digital (CISA) del Departamento de Seguridad Nacional de Estados Unidos y la empresa de seguridad Onapsis advirtieron del aumento de los riesgos derivados de los ataques a aplicaciones SAP con configuraciones erróneas conocidas: "Muchos sistemas SAP están en peligro".

El motivo ha sido la publicación de un exploit kit llamado 10KBLAZE, que proporciona malware y facilita enormemente a los piratas informáticos comprometer los sistemas correspondientes. En todo el mundo, nueve de cada diez instalaciones de SAP, con un total de más de 50.000 clientes, se habrían visto afectadas.

Aunque estos kits de ataque para vulnerabilidades de Oracle son todavía una novedad en el mundo SAP, llevan tiempo disponibles en foros públicos, y no por ello son menos peligrosos. Los sistemas SAP y Oracle, líderes del mercado, están en el centro de la digitalización, las migraciones a la nube y las iniciativas de IoT en la mayoría de las empresas.

Si se convierten en el blanco de ciberataques, esto puede tener consecuencias muy graves para una empresa, tanto si el ataque pretende ser espionaje, sabotaje o fraude. Si los ciberdelincuentes consiguen acceder a bases de datos enteras para copiarlas, modificarlas o borrarlas, existe el riesgo de que se produzcan elevadas pérdidas económicas.

La reputación también se resiente y la confianza de los clientes disminuye. Esta presión se ve exacerbada por unos requisitos normativos cada vez más estrictos, como el GDPR de la UE, que penaliza las infracciones de la protección de datos con elevadas multas.

Lagunas de seguridad en tres ámbitos

Para evitar eficazmente estas ciberamenazas a los sistemas ERP, se recomienda el uso de herramientas de seguridad holísticas. Por ejemplo, se han identificado tres áreas en SAP que son las principales responsables de las vulnerabilidades de seguridad: La configuración del sistema, el código personalizado y la importación de transportes.

Gracias a las completas herramientas de análisis, es posible comprobar automáticamente las configuraciones del sistema SAP, eliminar inmediatamente posibles errores y evitar nuevos errores de configuración ("automatizar la auditoría"). Al mismo tiempo, se pueden comprobar automáticamente las líneas de código del propio cliente para detectar puntos débiles en materia de seguridad, conformidad y calidad, y rectificarlos.

Mediante el análisis de las solicitudes de transporte de SAP ("aseguramiento del cambio"), es posible evitar en última instancia que se importen contenidos maliciosos en los sistemas SAP con actualizaciones y nuevos desarrollos, así como aplicaciones de terceros, abriendo la puerta a espías o ladrones de datos.

Si desea proteger eficazmente su entorno ERP de los atacantes, sin duda debe confiar en una solución integrada para la detección, eliminación y prevención automáticas de todos los riesgos de ciberseguridad y cumplimiento normativo identificados.

Dado que la mayoría de las empresas operan en entornos de sistemas extremadamente heterogéneos con cientos, si no miles, de aplicaciones, una plataforma de seguridad ERP de este tipo también debería poder utilizarse en distintos fabricantes.

La atención debe centrarse en las aplicaciones de SAP y Oracle, ya que estos dos fabricantes, con alrededor de 437.000 y 430.000 clientes en todo el mundo respectivamente, son considerados líderes del mercado de software empresarial, ya sea local o -cada vez más- basado en la nube.

Un enfoque multiproveedor garantiza que no sea necesario utilizar varias herramientas de seguridad y que los costes de instalación y funcionamiento de la seguridad del ERP se reduzcan al mínimo.

Esto también se aplica al uso de la plataforma de seguridad en proyectos de transformación digital y al migrar los sistemas ERP existentes a la nube o a nuevas generaciones de software de los mismos proveedores, como la próxima migración a SAP S/4 Hana para muchos clientes.

Buenas prácticas

Las buenas plataformas ERP para la seguridad y el cumplimiento también se caracterizan por basarse en directrices de buenas prácticas, incluidas las directrices de seguridad de los distintos fabricantes de software y grupos de usuarios, por ejemplo, las directrices de prueba del DSAG, así como las recomendaciones para la protección básica de las BSI.

Dotadas de una experiencia probada en materia de seguridad, las plataformas de seguridad ofrecen a las empresas una protección completa contra los ciberataques. Esta protección es absolutamente necesaria ante el creciente número de ataques informáticos y los terribles daños que causan cada año.

Según un estudio de la asociación industrial Bitkom, las empresas industriales en Alemania sufrieron una pérdida total de 43.400 millones de euros solo en 2017 y 2018. Tras la adquisición de Virtual Forge, Onapsis puede ofrecer a los clientes una plataforma ERP centralizada para la seguridad y el cumplimiento que puede ser utilizada por todos los grupos objetivo por igual, incluso más allá de SAP y Oracle.