Une pensée en silo dépassée et un manque de budget

Avec leur aide et la numérisation des processus de l'entreprise, on essaie désormais de générer des valeurs ajoutées pour les clients et des avantages concurrentiels. Ce sont surtout les nouveaux modèles commerciaux qui sont au premier plan.

La sécurité des données passe au second plan. Face à des processus informatiques complexes, elle est considérée comme une "entrave", car elle "n'a pas d'influence positive sur la création de valeur".

La plupart des décideurs ne se rendent compte de la véritable importance de la sécurité des données pour le succès de l'entreprise que lorsque la perte de données est déjà survenue.

Dans de tels cas, les DSI comprennent qu'ils doivent réorienter leur informatique afin de suivre le rythme rapide des changements technologiques tout en garantissant la sécurité des données.

Mais attention : les processus d'entreprise numérisés ne connaissent pas de frontières entre les systèmes et vivent d'un échange intense de données entre les applications professionnelles de différents fabricants. Malgré cela, les responsables de la sécurité informatique se concentrent encore largement sur la protection ponctuelle de certains silos de données et applications.

De ce fait, et en raison de l'énorme complexité des rôles et des privilèges des utilisateurs, les projets de gestion des identités, censés améliorer le contrôle d'accès aux systèmes et aux applications, sont souvent voués à l'échec avant même le lancement du projet.

En raison de ce manque de contrôle, il n'est pas rare que les organisations informatiques réagissent en réduisant la liberté des utilisateurs, ce qui favorise inévitablement le développement d'un Shadow IT dans l'entreprise.

Cela ouvre la porte à l'utilisation abusive des données, met en péril la compétitivité de l'entreprise et - en cas de perte de données à caractère personnel - entraîne de lourdes amendes liées au RGPD.

Manque de ressources

Les clients SAP renforcent actuellement la position de l'application SAP en tant que plaque tournante centrale des données au sein de l'architecture informatique, notamment par la migration vers S/4 Hana en tant que nouvelle plateforme de développement.

Le risque potentiel que les données quittent le système SAP sécurisé de manière incontrôlée augmente donc également. Le concept d'autorisation SAP classique, basé sur les rôles, atteint ici ses limites et les fichiers confidentiels tombent rapidement entre de mauvaises mains.

Ce n'est pas sans raison que les systèmes SAP sont de plus en plus la cible des cybercriminels. Si de nombreux services et administrateurs SAP sont conscients de ces nouveaux risques de sécurité, leur résolution durable se heurte souvent à un manque de budget et de ressources :

Les CISO (Chief Information Security Officers), qui sont en fait responsables de ce sujet, n'ont généralement pas de moyens propres et ne reçoivent guère de soutien de la part de l'exploitation informatique opérationnelle, car les collaborateurs y sont déjà occupés par d'autres projets.

Alors que les DSI s'en remettent à leurs spécialistes et se sentent ainsi en sécurité, en cas de fuite de données rendue publique, le sujet atterrit tout de même sur le bureau des CEO qui, dans un tel cas, sont finalement responsables.

Des concepts inédits

Pour pouvoir sécuriser efficacement les données SAP, même dans un monde numérisé, il faut des concepts de sécurité informatique dynamiques d'un genre nouveau, qui se rattachent au concept classique d'autorisation SAP et qui utilisent, en plus des rôles des utilisateurs, le besoin de protection des données pour une sécurité des données multiplateforme.

Pour ce faire, les responsables SAP doivent penser au-delà des limites du système SAP et contrôler et protéger toutes les exportations, qu'elles aient été déclenchées par les utilisateurs ou par des transferts de données en arrière-plan.

Les données elles-mêmes doivent être placées au centre des préoccupations, tant en termes de sécurité des données que de protection des données. C'est la seule façon d'avoir une chance d'atteindre un niveau de sécurité élevé sans restreindre les libertés des utilisateurs.