La protection des données passe par la sécurité des données

En raison notamment des nouvelles règles de l'UE, les conférences sur le thème de la protection des données ont été très fréquentées lors des journées technologiques DSAG de cette année - en particulier celles sur les fonctions dans SAP qui peuvent garantir la protection des données.

Conclusion : SAP est bien placé pour la protection des données, même s'il faut utiliser SAP GRC pour certaines fonctions.

Toutefois, la protection des données ne vaut pas grand-chose si la sécurité des données n'est pas garantie. Il s'agit ici de fermer quelques portes dérobées ouvertes. Dans le système SAP lui-même, les données sont bien protégées par le concept d'autorisation.

Or, les exportations de données, les ordres d'impression et les e-mails provenant de SAP font sortir les données SAP du "havre de protection". En effet, dans SAP, on peut soit télécharger tout ce à quoi on a accès, soit ne pas exporter de données du tout si cette autorisation fait défaut.

À l'ère de l'"économie ouverte", où les entreprises collaborent de plus en plus avec des partenaires, des collaborateurs externes et indépendants, on ne peut pas interdire les exportations - sinon, des processus importants s'arrêtent.

Il est donc nécessaire de contrôler qui peut traiter quelles données et dans quel but en dehors du système SAP. L'échange automatique de données entre les applications et les systèmes, par exemple au moyen de RFC ou d'interfaces de services web, affaiblit également la protection des données.

Il est presque impossible de garantir que le contrôle d'accès et de transfert se déplace avec les données dans le système cible. En effet, différents systèmes ont généralement aussi différents concepts d'autorisation.

La numérisation croissante de ces dernières années a entraîné l'apparition de nombreuses petites applications satellites non SAP autour du SAP ERP, qui échangent des données de manière très intensive avec le SAP central. Avec l'Internet des objets (IoT), le trafic de données devient encore plus intense et les points d'extrémité de données sont encore plus nombreux.

Celui qui pense à la protection des données dans les mois à venir doit donc absolument créer les conditions adéquates et investir dans la sécurité des données. Il est difficile de sécuriser tous les points finaux qui génèrent et consomment des données, ainsi que tous les canaux qui les transportent.

Les attaquants chercheront toujours le point le plus faible et auront rapidement accès aux données sensibles ou critiques pour l'entreprise en raison de la forte interconnexion des systèmes.

C'est pourquoi une approche intelligente et orientée vers l'avenir consiste à protéger les données elles-mêmes. Cela peut être mis en œuvre en classant les informations dès leur création comme base pour un contrôle granulaire des téléchargements.

Ainsi, seules les données qui sont réellement nécessaires dans les systèmes cibles quittent le système source. La condition préalable est que le système cible puisse également garantir la protection des données.

Il est important que la solution de classification soit profondément intégrée dans SAP afin que ce processus puisse être mis en œuvre de manière automatisée. La classification manuelle ralentit les processus et n'est donc souvent pas appliquée de manière conséquente dans le quotidien professionnel.

En outre, le concept d'autorisation SAP peut d'ores et déjà être étendu aux exportations de données grâce aux technologies DRM telles que RMS de Microsoft. Les utilisateurs peuvent ainsi contrôler qui a accès au document crypté et quelles possibilités d'utilisation (lecture, écriture, impression, etc.) sont autorisées.

Si l'on considère le monde de l'exportation et du traitement des données par les employés, qui représentent traditionnellement le plus grand risque pour la sécurité des données, il existe aujourd'hui déjà de très bonnes solutions pour garantir la sécurité même pour les nouvelles exigences de conformité.

Actuellement, les experts travaillent donc déjà sur le prochain défi : la sécurisation des données qui sont transférées automatiquement en arrière-plan entre les applications.

En effet, cette communication "machine-to-machine" va se développer encore plus à l'avenir et le contrôle d'accès est ici encore plus complexe.