Protection centrale contre les cyberattaques

Au printemps dernier, le bureau de la cybersécurité et de l'infrastructure numérique (CISA) du ministère américain de la sécurité intérieure et la société de sécurité Onapsis ont mis en garde contre les risques accrus liés aux attaques sur des configurations erronées connues dans les applications SAP : "De nombreux systèmes SAP sont en danger".

La raison en est la publication d'un kit d'exploitation appelé 10KBLAZE, qui met à disposition des logiciels malveillants et permet ainsi aux pirates de compromettre très facilement les systèmes correspondants. Neuf installations SAP sur dix dans le monde, soit plus de 50 000 clients, auraient été touchées.

Dans le monde SAP, il s'agit plutôt d'une nouveauté, alors que de tels kits d'attaque pour les vulnérabilités Oracle sont disponibles depuis plus longtemps sur les forums publics - et ne sont pas moins dangereux. Ainsi, dans la plupart des entreprises, les systèmes SAP et Oracle, leaders sur le marché, sont au cœur de la numérisation, des migrations vers le cloud et des initiatives IoT.

Si elles sont la cible de cyberattaques, cela peut être très lourd de conséquences pour une entreprise, que l'attaque ait lieu dans un but d'espionnage, de sabotage ou de fraude. En effet, si les cybercriminels parviennent à accéder à des bases de données entières pour les copier, les modifier ou les supprimer, ils risquent de causer des dommages économiques importants.

De plus, la réputation en pâtit et la confiance des clients diminue. Cette pression est renforcée par des exigences réglementaires de plus en plus strictes, comme le RGPD de l'UE, qui sanctionne les violations de la protection des données par de lourdes amendes.

Failles de sécurité dans trois domaines

Pour se défendre efficacement contre de telles cybermenaces pour les systèmes ERP, il est recommandé d'utiliser des outils de sécurité globaux. Ainsi, dans le domaine SAP, trois domaines ont été identifiés comme étant largement responsables des failles de sécurité : Les réglages du système, le code propre au client et l'importation des transports.

Grâce à des outils d'analyse complets, il est possible de vérifier automatiquement les configurations du système SAP, d'éliminer immédiatement les erreurs éventuelles ainsi que d'éviter de nouvelles erreurs de configuration ("automatiser l'audit"). Parallèlement, les lignes de code propres au client peuvent être automatiquement contrôlées pour détecter les points faibles en matière de sécurité, de conformité et de qualité et les corriger.

Enfin, l'analyse des ordres de transport SAP ("Change Assurance") permet d'éviter que les mises à jour et les nouveaux développements ainsi que les applications de fournisseurs tiers n'introduisent des contenus nuisibles dans les systèmes SAP et n'ouvrent la porte aux espions ou aux voleurs de données.

Par conséquent, si vous souhaitez protéger efficacement votre environnement ERP contre les attaquants, vous devez absolument miser sur une solution intégrée permettant de détecter, de corriger et d'éviter automatiquement tous les risques de cybersécurité et de conformité identifiés.

Comme la plupart des entreprises exploitent des environnements système extrêmement hétérogènes avec des centaines, voire des milliers d'applications, une telle plate-forme de sécurité ERP devrait en outre être utilisable par tous les fournisseurs.

Il convient de mettre l'accent sur les applications de SAP et d'Oracle, car ces deux fabricants sont considérés comme les leaders du marché des logiciels d'entreprise, qu'ils soient sur site ou - de plus en plus souvent - basés sur le cloud, avec respectivement quelque 437 000 et 430 000 clients dans le monde.

Une approche multi-fournisseurs garantit qu'il n'est pas nécessaire d'utiliser plusieurs outils de sécurité et que les coûts d'installation et d'exploitation de la sécurité ERP sont aussi faibles que possible.

Cela vaut également pour l'utilisation de la plateforme de sécurité dans le cadre de projets de transformation numérique et de migrations de systèmes ERP existants vers le cloud ou vers de nouvelles générations de logiciels des mêmes fournisseurs, comme par exemple la migration vers SAP S/4 Hana qui est prévue chez de nombreux clients.

Meilleures pratiques

Les bonnes plateformes ERP pour la sécurité et la conformité se distinguent en outre par le fait qu'elles se basent sur des directives de bonnes pratiques : notamment les directives de sécurité des différents éditeurs de logiciels et groupes d'utilisateurs, par exemple le guide de contrôle de la DSAG, ainsi que les recommandations relatives à la protection de base du BSI.

Dotées d'un savoir-faire éprouvé en matière de sécurité, les plateformes de sécurité offrent aux entreprises une protection complète contre les cyberattaques. Cette protection est une nécessité absolue au vu du nombre croissant d'attaques informatiques et des dégâts faramineux qu'elles causent chaque année.

Selon une étude de l'association professionnelle Bitkom, les entreprises industrielles en Allemagne ont subi un préjudice total de 43,4 milliards d'euros rien qu'en 2017 et 2018. Après l'acquisition de Virtual Forge, Onapsis est en mesure de fournir à ses clients une plate-forme ERP centralisée pour la sécurité et la conformité, qui peut être utilisée de la même manière par tous les groupes cibles, même au-delà de SAP et Oracle.