Comment Microsoft protège ses données SAP

Si l'on examine les processus d'entreprise actuels du début à la fin, on constate que la plupart d'entre eux ne se limitent plus à une application ou à une plateforme technologique particulière et qu'ils reposent déjà souvent sur des modèles d'exploitation différents ou hybrides.

L'interconnexion transparente de ces applications et plateformes est certainement un défi central dans le cadre de la transformation numérique, mais la sécurité des données ne doit pas être négligée si l'on ne veut pas que les nouveaux processus automatisés soient immédiatement victimes des cyberattaques qui se produisent quotidiennement.

Les entreprises actives à l'échelle mondiale offrent justement une grande surface d'attaque aux pirates informatiques aux motivations les plus diverses pour s'emparer de données. Or, dans un monde informatique en réseau, il est pratiquement impossible de garantir la sécurité des données uniquement par des pare-feu et des voies de communication cryptées.

Les pirates informatiques trouvent toujours un point faible pour pénétrer les périmètres de sécurité et si, derrière, les données sont partagées et traitées sans protection, ils sont une proie facile.

Adapter le concept de sécurité

Microsoft l'a également reconnu et a adapté sa stratégie interne de sécurité informatique en conséquence. En tant que fabricant de logiciels d'entreprise, fournisseur de cloud et exploitant de ses propres systèmes informatiques, Microsoft a de multiples perspectives en matière de sécurité des données.

La protection des propres utilisateurs et des données joue un rôle tout aussi important que la protection des données des clients et le respect des réglementations internationales qui y sont liées, comme par exemple le nouveau RGPD de l'UE.

Pour les processus d'entreprise à l'échelle mondiale, Microsoft utilise également en interne des applications SAP hautement intégrées avec d'autres systèmes satellites non-SAP.

En outre, des données sont exportées quotidiennement de SAP sous la forme de différents documents Office et traitées dans des étapes de processus en aval. Le contrôle d'accès à ces données sensibles est assuré au sein de SAP grâce au concept d'autorisation qui y est disponible.

Le transfert de données ou le téléchargement de fichiers les soustrait toutefois au système de protection SAP et il n'y a plus de contrôle technique suffisant pour savoir qui a le droit d'accéder à ces données et dans quelle mesure.

La distribution très simple de documents Office, par exemple par e-mail, élargit rapidement le cercle des accès possibles, ce qui rend impossible le contrôle de la transmission tel que le prévoit le RGPD pour les données à caractère personnel.

En collaboration avec Secude, Microsoft a donc adapté son concept de sécurité pour les données SAP. Il était naturel d'utiliser Azure Information Protection (AIP) comme solution de gestion des droits d'information et de cryptage des fichiers de la gamme de produits Microsoft également pour SAP.

La solution de sécurité Halocore de Secude, spécialiste de la sécurité SAP, assure l'intégration transparente et automatisée de Microsoft AIP dans les systèmes SAP.

Contrôler les exportations de données SAP

Les défis consistaient d'une part à maîtriser les fonctions d'exportation de données les plus diverses dans le standard SAP, afin qu'aucune donnée ne puisse quitter le système SAP sans autorisation.

D'autre part, les utilisateurs et les processus ne devaient pas être affectés, ce qui exigeait un degré élevé d'automatisation, notamment pour la classification des données.

Ce n'est qu'à ce moment-là que la protection AIP appropriée (label) peut être appliquée sans intervention de l'utilisateur SAP. Selon les besoins de protection, le fichier d'exportation doit en outre être automatiquement crypté.

L'intervention dans les fonctions de téléchargement SAP est ici la première étape décisive, car sinon un utilisateur SAP peut exporter toutes les données qu'il est autorisé à consulter dans SAP, à condition qu'il dispose de l'autorisation de téléchargement (S_GUI), qui ne peut être attribuée que de manière générale.

Le SAP Audit Log (SAL) normal ou d'autres solutions de monitoring similaires n'aident pas dans ce cas, car ils ne regardent que le passé et ne peuvent pas contrôler le fichier d'exportation lui-même.

Les spécialistes de Secude s'appuient sur leurs années d'expérience dans le domaine de la sécurité SAP pour construire une solution technique facile à mettre en œuvre et qui contrôle le processus de téléchargement SAP indépendamment des applications professionnelles SAP ou des développements propres du client.

Les informations contextuelles SAP aident à déterminer simultanément et de manière automatisée la classification appropriée des données et à la transmettre au fichier d'exportation sous forme de méta-informations.

Protéger les données critiques au-delà de SAP

Ce processus de contrôle synchrone de Secude génère des téléchargements SAP protégés sans que l'utilisateur ne remarque de différence dans le processus de téléchargement. C'est un avantage décisif par rapport aux solutions classiques de prévention des pertes de données (DLP) qui analysent de manière asynchrone le contenu des fichiers d'exportation ou qui nécessitent une interaction de l'utilisateur pour déterminer la classification appropriée.

"Halocore permet de classer et de protéger efficacement les données sensibles en contrôlant les exportations SAP et en chiffrant les documents extraits avec Azure Information Protection".

explique Shalini Gupta, Principal Privacy Lead au sein de Microsoft IT.

De plus, grâce à Microsoft AIP, la protection est garantie sur n'importe quel appareil et lieu de stockage, même au-delà des frontières de l'entreprise, car aucun agent DLP n'est nécessaire pour respecter la sécurité des données.

Le fichier crypté avec Microsoft AIP détermine automatiquement, via Azure Active Directory, l'autorisation d'accès de l'utilisateur qui souhaite ouvrir le fichier. Cette procédure fonctionne pour tous les formats de fichiers courants, et pas seulement pour les fichiers Office natifs.

En outre, Microsoft et Secude travaillent ensemble à la prise en charge de formats spéciaux, tels que ceux utilisés dans le domaine de la CAO, de manière à préserver la convivialité.

"Secude partage la vision de Microsoft en matière de protection des données sensibles des clients. C'est pourquoi nous considérons Halocore comme un pont naturel entre Microsoft Azure Information Protection et les mécanismes de sécurité des données des applications SAP".

souligne Gagan Gulati, responsable de la gestion des produits pour Azure Information Protection chez Microsoft.

"L'utilisation de la solution Halocore de Secude chez Microsoft nous aide à maintenir notre entreprise en sécurité et en conformité".

ajoute Shalini Gupta.

Conclusion

La pérennité de l'entreprise n'est garantie que si les nouveaux processus numériques sont également sûrs. Mais cela signifie aussi que la sécurité informatique doit faire partie intégrante de l'agenda de chaque niveau C. Les entreprises ne peuvent pas se permettre de négliger la sécurité informatique.

En dernier ressort, le CEO doit également être conscient que les processus commerciaux numériques exigent toujours un prix pour la minimisation des risques de sécurité informatique.

Les entreprises mondiales telles que Microsoft, qui utilisent SAP comme plateforme centrale pour leurs processus d'entreprise, traitent dans la plupart des cas également des données critiques en dehors de SAP.

Afin de protéger sa propre propriété intellectuelle (Intellectual Property) et, dans le cas des données personnelles, de respecter la conformité au RGPD, la sécurité des données doit être mise en place sur l'ensemble des applications et des plateformes et être mise en œuvre au même rythme que la transformation numérique.

En raison de la complexité de ces processus commerciaux, la sécurité informatique doit toujours présenter un degré élevé d'automatisation si elle ne veut pas être considérée comme un obstacle à la réussite de l'entreprise.

Pour Microsoft, il est donc logique d'utiliser ses propres solutions de sécurité informatique également dans l'exploitation interne de SAP. Au sein de SAP, les données sont sécurisées grâce au concept d'autorisation.

Toutefois, si des données sont nécessaires en dehors de SAP et sont extraites de SAP via des fonctions d'exportation appropriées, Azure Information Protection (AIP) de Microsoft veille à ce que les documents soient protégés et que seules les personnes autorisées aient accès aux données qu'ils contiennent.

Pour l'intégration transparente et automatisée de l'AIP dans SAP, Microsoft utilise la solution Halocore du spécialiste de la sécurité SAP Secude. Chaque téléchargement SAP est automatiquement classifié avec Halocore, le fichier d'exportation reçoit le label AIP approprié et s'ouvre de manière habituelle pour l'utilisateur autorisé. Si nécessaire, les téléchargements indésirables sont également bloqués sur la base de règles.

La protection des données SAP critiques est ainsi garantie quel que soit l'appareil ou la plateforme. Le haut degré d'automatisation entraîne une grande acceptation de la part des utilisateurs et garantit que le concept fonctionne également dans de grands environnements informatiques répartis dans le monde entier, comme celui de Microsoft.