Ces principes constituent la base de toute architecture Zero Trust efficace que les clients existants de SAP peuvent mettre en \u0153uvre \u00e0 l'aide d'outils et de processus appropri\u00e9s, mais aussi de partenaires.<\/p>\n\n\n\n
Exploiter au maximum les outils SAP<\/h2>\n\n\n\n
En r\u00e8gle g\u00e9n\u00e9rale, les clients existants de SAP devraient utiliser syst\u00e9matiquement les outils de s\u00e9curit\u00e9 mis \u00e0 disposition par SAP et les exploiter au maximum de leurs possibilit\u00e9s. La solution SAP Identity Management (IdM) permet de g\u00e9rer toutes les identit\u00e9s d'utilisateurs SAP et leurs autorisations de mani\u00e8re centralis\u00e9e et s\u00fbre.<\/p>\n\n\n\n
Un workflow d'approbation bas\u00e9 sur des r\u00e8gles et des r\u00f4les contr\u00f4le la cr\u00e9ation des comptes utilisateurs avec leurs autorisations. Tout au long du cycle de vie de l'utilisateur, il est garanti que les identit\u00e9s ne peuvent utiliser que les syst\u00e8mes et les fonctions dont elles ont r\u00e9ellement besoin. Toutefois, un acc\u00e8s complet ne devrait \u00eatre accord\u00e9 qu'en cas d'urgence et en aucun cas plus longtemps que n\u00e9cessaire. En compl\u00e9ment, il est recommand\u00e9 de mettre en place et de g\u00e9rer un acc\u00e8s central \u00e0 SAP au moyen de SAP Single Sign-On (SSO), qui am\u00e9liore l'authentification des utilisateurs. En m\u00eame temps, SAP SSO assure une communication crypt\u00e9e de bout en bout entre les clients et les ressources SAP, tandis que SAP NetWeaver peut rendre la transmission des donn\u00e9es et la communication entre les syst\u00e8mes SAP et les autres composants du r\u00e9seau \u00e0 l'abri des \u00e9coutes.<\/p>\n\n\n\n
Outre les autorisations et l'authentification, les r\u00e9glages et les param\u00e8tres des syst\u00e8mes SAP et de la base de donn\u00e9es sont consid\u00e9r\u00e9s comme des points faibles potentiels. Il est possible de v\u00e9rifier si elles existent r\u00e9ellement \u00e0 l'aide de Configuration Validation et du Security Baseline Template du populaire et tr\u00e8s r\u00e9pandu SAP Solution Manager (SolMan), qui permet en outre d'appliquer les notes de s\u00e9curit\u00e9 et les correctifs SAP mensuels.<\/p>\n\n\n\n
Au niveau technique, les ports r\u00e9seau et les clients utilis\u00e9s par les utilisateurs finaux pour acc\u00e9der aux applications SAP, que ce soit \u00e0 partir de leur bureau, de leur domicile ou en d\u00e9placement via une tablette ou un smartphone, sont des cibles privil\u00e9gi\u00e9es pour les attaques. Outre les formations r\u00e9guli\u00e8res et n\u00e9cessaires des utilisateurs, les syst\u00e8mes de d\u00e9tection et de pr\u00e9vention des intrusions (IDS\/IPS) peuvent ici aider \u00e0 d\u00e9tecter et \u00e0 repousser les tentatives d'attaque. Et bien entendu, l'\u00e9quipe de s\u00e9curit\u00e9 doit surveiller les informations relatives \u00e0 ces tentatives et prendre des mesures pour les emp\u00eacher durablement.<\/p>\n\n\n\n
Les outils SAP offrent ainsi une base solide pour la s\u00e9curit\u00e9 des syst\u00e8mes SAP, mais ils atteignent leurs limites face aux exigences commerciales individuelles et aux cybermenaces de plus en plus sophistiqu\u00e9es.<\/p>\n\n\n\n
Malheureusement, m\u00eame SolMan ne peut surmonter que partiellement ces limites gr\u00e2ce \u00e0 ses fonctions de surveillance ; apr\u00e8s tout, il n'a jamais \u00e9t\u00e9 con\u00e7u comme une solution de s\u00e9curit\u00e9. En outre, il n'offre pas de surveillance en direct et limite la surveillance aux applications SAP, mais n'a pas de vue sur l'infrastructure, les interfaces et les flux de donn\u00e9es depuis et vers les syst\u00e8mes environnants.<\/p>\n\n\n\n
Prendre le contr\u00f4le<\/h2>\n\n\n\n
L'id\u00e9al serait donc une solution de monitoring qui surveille tout, de l'infrastructure et du r\u00e9seau aux applications et aux bases de donn\u00e9es en passant par la base SAP. Elle lit et met \u00e0 disposition toutes les informations relatives \u00e0 la s\u00e9curit\u00e9, y compris celles des solutions de s\u00e9curit\u00e9 de fournisseurs tiers, d\u00e9tecte automatiquement les incidents de s\u00e9curit\u00e9 \u00e0 la mani\u00e8re de la gestion des incidents, d\u00e9clenche des alarmes au-del\u00e0 de certains seuils et prend imm\u00e9diatement des mesures de s\u00e9curit\u00e9 telles que le retrait des autorisations, l'interruption des acc\u00e8s ou l'arr\u00eat des transactions. Une solution qui, en cas de catastrophe et uniquement dans ce cas, d\u00e9livre les autorisations n\u00e9cessaires et les retire rapidement apr\u00e8s la r\u00e9solution du probl\u00e8me. Et tout cela, bien entendu, automatiquement et 24 heures sur 24.<\/p>\n\n\n\n
L'\u00e9valuation des risques, la gestion des identit\u00e9s, la gestion des autorisations en cas de catastrophe, le single sign-on, le monitoring complet, la gestion des patchs et des incidents et enfin tout le bouquet de produits de s\u00e9curit\u00e9 allant du pare-feu \u00e0 la d\u00e9tection et la pr\u00e9vention des intrusions en passant par la protection contre les malwares et les ransomwares et autres - la liste des \u00e9l\u00e9ments centraux de la s\u00e9curit\u00e9 est longue. Pour les g\u00e9rer et les appliquer \u00e0 partir d'un point central, il est recommand\u00e9 de mettre en place un Security Operation Center (SOC) qui fonctionne 24 heures sur 24 et dans lequel toutes les informations relatives \u00e0 la s\u00e9curit\u00e9 sont rassembl\u00e9es via une solution de surveillance centrale.<\/p>\n\n\n\n
Cette solution et ce centre de contr\u00f4le doivent fournir le m\u00eame niveau de protection, quel que soit le lieu de d\u00e9ploiement concret de l'environnement SAP, que ce soit dans leur propre centre de donn\u00e9es, dans le cloud public de SAP et des hyperscalers ou chez un partenaire d'h\u00e9bergement.<\/p>\n\n\n\n
Ne pas avoir peur des services g\u00e9r\u00e9s<\/h2>\n\n\n\n
Les clients SAP existants ne devraient pas h\u00e9siter \u00e0 faire appel \u00e0 des services g\u00e9r\u00e9s s'ils ont besoin de ressources suppl\u00e9mentaires. Un partenaire appropri\u00e9 doit disposer d'un savoir-faire approfondi en mati\u00e8re de SAP et de s\u00e9curit\u00e9. Il doit \u00e9galement pouvoir justifier d'une longue exp\u00e9rience pratique. En outre, l'offre de services doit \u00eatre modulaire et compl\u00e9ter parfaitement les comp\u00e9tences et les ressources existantes du client, plut\u00f4t que de les remplacer en tout ou en partie. En effet, c'est en allant vers l'autre que l'on cr\u00e9e les conditions n\u00e9cessaires \u00e0 l'externalisation des t\u00e2ches et \u00e0 la gestion de la qualit\u00e9 requise des services achet\u00e9s par le biais d'accords.<\/p>\n\n\n\n
Mais le plus important dans le choix du partenaire de service est peut-\u00eatre l'attitude vis-\u00e0-vis de la s\u00e9curit\u00e9 et de la conformit\u00e9. Ce n'est que si les deux parties partagent la m\u00eame compr\u00e9hension et partent du principe que l'attaquant est toujours d\u00e9j\u00e0 dans le syst\u00e8me que les clients existants de SAP peuvent atteindre l'objectif de cyber-r\u00e9silience avec l'aide de leur partenaire - contre tous les ennemis, \u00e9trangers et nationaux.<\/p>\n\n\n\n
L'ennemi est toujours dans le syst\u00e8me<\/h2>\n\n\n\n
Pourquoi la protection contre les menaces ext\u00e9rieures ne suffit pas : en 2023, plus de 2000 failles de s\u00e9curit\u00e9 dans les produits logiciels ont \u00e9t\u00e9 signal\u00e9es chaque mois - soit 24 pour cent de plus que l'ann\u00e9e pr\u00e9c\u00e9dente - et 84 pour cent de tous les e-mails frauduleux visaient \u00e0 s'emparer des donn\u00e9es d'acc\u00e8s. Pas moins de 15 % des failles de s\u00e9curit\u00e9 connues ont \u00e9t\u00e9 class\u00e9es comme critiques et l'IA g\u00e9n\u00e9rative rend de plus en plus difficile la distinction entre les e-mails frauduleux et les e-mails l\u00e9gitimes. Telles sont les principales conclusions du rapport du BSI sur la s\u00e9curit\u00e9 en Allemagne publi\u00e9 en novembre dernier. Les failles de s\u00e9curit\u00e9 ne sont pas seulement le r\u00e9sultat d'erreurs dans le code logiciel. Souvent, elles sont la cons\u00e9quence de l'architecture logicielle. De plus, dans tous les paysages informatiques, des syst\u00e8mes et des applications modernes, construits pour un monde en r\u00e9seau, coexistent avec des environnements h\u00e9rit\u00e9s de l'\u00e9poque o\u00f9 ils \u00e9taient isol\u00e9s et o\u00f9 les attaques ext\u00e9rieures \u00e9taient impensables. Les mainframes en sont un exemple, qui vivent une vie quasi \u00e9ternelle dans les banques et les fournisseurs de t\u00e9l\u00e9communications. Mais m\u00eame dans le cas des logiciels d'entreprise courants, diff\u00e9rentes g\u00e9n\u00e9rations coexistent et ne peuvent pas faire autrement que de se faire mutuellement confiance, en acceptant par exemple les certificats sans les v\u00e9rifier. Les pirates internes et externes en profitent, notamment lors des mouvements lat\u00e9raux largement r\u00e9pandus, et s'infiltrent ainsi depuis les parties non critiques de l'environnement jusqu'aux zones les plus sensibles.<\/p>\n\n\n\n
Rester capable d'agir<\/h2>\n\n\n\n
Face \u00e0 cette situation, il serait erron\u00e9 de se concentrer uniquement sur la d\u00e9fense contre les menaces. Au contraire, il est tout aussi important de rester capable d'agir en cas d'attaques r\u00e9ussies. La cyber-r\u00e9silience est donc le mot d'ordre du moment, comme l'\u00e9crit \u00e0 juste titre le BSI. Qu'est-ce que cela signifie pour les clients SAP existants ? Ils devraient partir de la pr\u00e9misse : L'ennemi est d\u00e9j\u00e0 dans le syst\u00e8me et vient dans environ un tiers des cas de l'int\u00e9rieur et dans deux tiers des cas de l'ext\u00e9rieur. La r\u00e9silience ne commence pas seulement par la s\u00e9curisation des applications SAP, mais aussi par l'infrastructure, s'\u00e9tend aux interfaces et aux flux de donn\u00e9es en provenance et \u00e0 destination des syst\u00e8mes p\u00e9riph\u00e9riques et g\u00e8re le compromis in\u00e9vitable entre la praticabilit\u00e9 et le niveau de s\u00e9curit\u00e9 le plus \u00e9lev\u00e9 possible. En outre, elle permet aux clients SAP existants d'assumer \u00e0 tout moment et sans faille leurs responsabilit\u00e9s en mati\u00e8re de s\u00e9curit\u00e9 et de conformit\u00e9, m\u00eame en cas de menace, que ce soit dans leur propre centre de donn\u00e9es ou dans le cloud public. Pour cela, il faut une transparence totale \u00e0 tous les niveaux, une surveillance sans faille ainsi qu'une collaboration et une communication \u00e9troites entre les \u00e9quipes SAP et les \u00e9quipes de s\u00e9curit\u00e9. Malheureusement, c'est souvent l\u00e0 que le b\u00e2t blesse.<\/p>\n\n\n\n
Comment naissent les risques pour la s\u00e9curit\u00e9 SAP<\/h2>\n\n\n\n
Un manque de transparence croissant : dans la plupart des entreprises, les paysages SAP sont le r\u00e9sultat d'ann\u00e9es d'extensions, de modifications et de d\u00e9veloppements internes. Des entreprises ont \u00e9t\u00e9 achet\u00e9es et vendues, des secteurs d'activit\u00e9 ont \u00e9t\u00e9 regroup\u00e9s et cr\u00e9\u00e9s, des usines et des succursales ont \u00e9t\u00e9 ferm\u00e9es, de nouvelles ont \u00e9t\u00e9 ouvertes. Et \u00e0 chaque fois, le service informatique a d\u00fb reproduire les changements organisationnels et les souhaits des d\u00e9partements sp\u00e9cialis\u00e9s dans SAP, les syst\u00e8mes tiers et l'infrastructure - en plus des op\u00e9rations quotidiennes telles que l'installation des mises \u00e0 jour et des correctifs, la gestion des autorisations, la maintenance de l'infrastructure et des interfaces, la gestion des solutions de s\u00e9curit\u00e9, etc.<\/p>\n\n\n\n
Les paysages SAP et IT qui se sont d\u00e9velopp\u00e9s au fil du temps sont d'une complexit\u00e9 arbitraire et les collaborateurs sont rares. Les fluctuations de personnel dans l'informatique et les d\u00e9partements sp\u00e9cialis\u00e9s font le reste. Les autorisations ne sont g\u00e9r\u00e9es que de mani\u00e8re incompl\u00e8te, toutes les modifications, tous les syst\u00e8mes et tous les r\u00e9glages ne sont pas document\u00e9s, il reste trop peu de temps pour la formation continue n\u00e9cessaire et l'\u00e9change appropri\u00e9 d'informations et les coll\u00e8gues qui quittent l'entreprise emportent leurs connaissances avec eux chez leur nouvel employeur ou \u00e0 la retraite. Cela ne vaut pas seulement pour les \u00e9quipes SAP de base, mais aussi pour les \u00e9quipes de s\u00e9curit\u00e9. Elles aussi ont du mal \u00e0 suivre l'\u00e9volution des technologies et \u00e0 acqu\u00e9rir en permanence les comp\u00e9tences n\u00e9cessaires. De plus, dans de nombreux cas, elles ne sont pas seulement responsables de la s\u00e9curit\u00e9 informatique, mais \u00e9galement de la conformit\u00e9.<\/p>\n\n\n\n
... se heurte \u00e0 un manque de personnel<\/h2>\n\n\n\n
De plus, les \u00e9quipes de s\u00e9curit\u00e9 SAP utilisent souvent un ensemble h\u00e9t\u00e9roclite d'outils individuels non int\u00e9gr\u00e9s les uns aux autres, qui sont parfois m\u00eame utilis\u00e9s manuellement. Cela n'est pas tr\u00e8s efficace et le risque est que les failles de s\u00e9curit\u00e9 ne soient d\u00e9couvertes qu'avec un retard consid\u00e9rable. Les cybercriminels en profitent impitoyablement pour compromettre et paralyser les logiciels SAP, tant au niveau de l'infrastructure que des applications, ou pour voler des donn\u00e9es critiques.<\/p>\n\n\n\n
En d'autres termes, le manque de transparence, de connaissances et de personnel conduit r\u00e9guli\u00e8rement \u00e0 une m\u00e9connaissance, du moins partielle, des zones de l'environnement informatique et SAP particuli\u00e8rement sensibles en termes de protection et, par cons\u00e9quent, \u00e0 une focalisation excessive sur les menaces externes et, en miroir, \u00e0 une sous-estimation syst\u00e9matique des risques internes.<\/p>\n\n\n\n
<\/div>\n\n\n\n
Vers l'inscription du partenaire :<\/p>\n\n\n\n De nombreuses entreprises cr\u00e9ent, traitent et stockent leurs donn\u00e9es les plus pr\u00e9cieuses dans SAP. Viele Unternehmen erzeugen, bearbeiten und lagern ihre wertvollsten Daten in SAP.![\"\"](\"https:\/\/e3mag.com\/wp-content\/uploads\/2023\/10\/Logo_itesys_300x135.png\"){kind=logo}
<\/a><\/figure>","protected":false},"excerpt":{"rendered":"
\nPour les prot\u00e9ger efficacement, les clients existants de SAP devraient partir du principe que l'attaquant a d\u00e9j\u00e0 r\u00e9ussi \u00e0 s'infiltrer, que ce soit de l'int\u00e9rieur ou de l'ext\u00e9rieur.<\/p>","protected":false},"author":3083,"featured_media":142220,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"pmpro_default_level":"","footnotes":""},"categories":[43956,2,43945],"tags":[],"coauthors":[42294],"class_list":["post-142216","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-cc-summit-2024","category-sap-nachrichten","category-mag-24-05","pmpro-has-access"],"acf":[],"featured_image_urls_v2":{"full":["https:\/\/e3mag.com\/wp-content\/uploads\/2024\/05\/2405-26-Security.jpg",1000,450,false],"thumbnail":["https:\/\/e3mag.com\/wp-content\/uploads\/2024\/05\/2405-26-Security-150x150.jpg",150,150,true],"medium":["https:\/\/e3mag.com\/wp-content\/uploads\/2024\/05\/2405-26-Security-400x180.jpg",400,180,true],"medium_large":["https:\/\/e3mag.com\/wp-content\/uploads\/2024\/05\/2405-26-Security-768x346.jpg",768,346,true],"large":["https:\/\/e3mag.com\/wp-content\/uploads\/2024\/05\/2405-26-Security.jpg",1000,450,false],"image-100":["https:\/\/e3mag.com\/wp-content\/uploads\/2024\/05\/2405-26-Security-100x45.jpg",100,45,true],"image-480":["https:\/\/e3mag.com\/wp-content\/uploads\/2024\/05\/2405-26-Security-480x216.jpg",480,216,true],"image-640":["https:\/\/e3mag.com\/wp-content\/uploads\/2024\/05\/2405-26-Security-640x288.jpg",640,288,true],"image-720":["https:\/\/e3mag.com\/wp-content\/uploads\/2024\/05\/2405-26-Security-720x324.jpg",720,324,true],"image-960":["https:\/\/e3mag.com\/wp-content\/uploads\/2024\/05\/2405-26-Security-960x432.jpg",960,432,true],"image-1168":["https:\/\/e3mag.com\/wp-content\/uploads\/2024\/05\/2405-26-Security.jpg",1000,450,false],"image-1440":["https:\/\/e3mag.com\/wp-content\/uploads\/2024\/05\/2405-26-Security.jpg",1000,450,false],"image-1920":["https:\/\/e3mag.com\/wp-content\/uploads\/2024\/05\/2405-26-Security.jpg",1000,450,false],"1536x1536":["https:\/\/e3mag.com\/wp-content\/uploads\/2024\/05\/2405-26-Security.jpg",1000,450,false],"2048x2048":["https:\/\/e3mag.com\/wp-content\/uploads\/2024\/05\/2405-26-Security.jpg",1000,450,false],"trp-custom-language-flag":["https:\/\/e3mag.com\/wp-content\/uploads\/2024\/05\/2405-26-Security-18x8.jpg",18,8,true],"bricks_large_16x9":["https:\/\/e3mag.com\/wp-content\/uploads\/2024\/05\/2405-26-Security.jpg",1000,450,false],"bricks_large":["https:\/\/e3mag.com\/wp-content\/uploads\/2024\/05\/2405-26-Security.jpg",1000,450,false],"bricks_large_square":["https:\/\/e3mag.com\/wp-content\/uploads\/2024\/05\/2405-26-Security.jpg",1000,450,false],"bricks_medium":["https:\/\/e3mag.com\/wp-content\/uploads\/2024\/05\/2405-26-Security-600x270.jpg",600,270,true],"bricks_medium_square":["https:\/\/e3mag.com\/wp-content\/uploads\/2024\/05\/2405-26-Security-600x450.jpg",600,450,true],"profile_24":["https:\/\/e3mag.com\/wp-content\/uploads\/2024\/05\/2405-26-Security-24x24.jpg",24,24,true],"profile_48":["https:\/\/e3mag.com\/wp-content\/uploads\/2024\/05\/2405-26-Security-48x48.jpg",48,48,true],"profile_96":["https:\/\/e3mag.com\/wp-content\/uploads\/2024\/05\/2405-26-Security-96x96.jpg",96,96,true],"profile_150":["https:\/\/e3mag.com\/wp-content\/uploads\/2024\/05\/2405-26-Security-150x150.jpg",150,150,true],"profile_300":["https:\/\/e3mag.com\/wp-content\/uploads\/2024\/05\/2405-26-Security-300x300.jpg",300,300,true]},"post_excerpt_stackable_v2":"
\nUm diese effektiv zu sch\u00fctzen, sollten SAP-Bestandskunden davon ausgehen, dass der Angreifer bereits erfolgreich eingedrungen ist, ob von innen oder au\u00dfen.<\/p>\n","category_list_v2":"CC-Summit 2024<\/a>, Community Nachrichten<\/a>, MAG 24-05<\/a>","author_info_v2":{"name":"Stefan Dunsch, itesys","url":"https:\/\/e3mag.com\/fr\/author\/stefan-dunsch\/"},"comments_num_v2":"0 commentaire","_links":{"self":[{"href":"https:\/\/e3mag.com\/fr\/wp-json\/wp\/v2\/posts\/142216","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/e3mag.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/e3mag.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/e3mag.com\/fr\/wp-json\/wp\/v2\/users\/3083"}],"replies":[{"embeddable":true,"href":"https:\/\/e3mag.com\/fr\/wp-json\/wp\/v2\/comments?post=142216"}],"version-history":[{"count":2,"href":"https:\/\/e3mag.com\/fr\/wp-json\/wp\/v2\/posts\/142216\/revisions"}],"predecessor-version":[{"id":142222,"href":"https:\/\/e3mag.com\/fr\/wp-json\/wp\/v2\/posts\/142216\/revisions\/142222"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/e3mag.com\/fr\/wp-json\/wp\/v2\/media\/142220"}],"wp:attachment":[{"href":"https:\/\/e3mag.com\/fr\/wp-json\/wp\/v2\/media?parent=142216"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/e3mag.com\/fr\/wp-json\/wp\/v2\/categories?post=142216"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/e3mag.com\/fr\/wp-json\/wp\/v2\/tags?post=142216"},{"taxonomy":"author","embeddable":true,"href":"https:\/\/e3mag.com\/fr\/wp-json\/wp\/v2\/coauthors?post=142216"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}