Caracteristicile moderne de securitate ERP evoluează și se îmbunătățesc pe zi ce trece. Deci, de ce afacerile se simt mai expuse ca niciodată? În parte, se datorează accelerării rapide a tehnologiilor digitale și cloud. Până în 2025, IDC estimează că numărul dispozitivelor IoT va crește la peste 30 de miliardeși va continua să crească exponențial. Multe dintre aceste dispozitive fac parte din rețelele Industrial Internet of Things (IIoT) ale companiilor și, ca atare, alimentează datele într-un sistem ERP central. În prezent, un ERP cloud modern este esențial pentru majoritatea companiilor, ajutând la unificarea tuturor operațiunilor comerciale într-un singur sistem. Cu toate acestea, această caracteristică de bază poate fi, de asemenea, o slăbiciune în ceea ce privește securitatea cibernetică, făcându-l un portal unic într-o mulțime de informații critice.

Provocări moderne de securitate ERP și software

Abordările tradiționale în materie de securitate cibernetică nu mai sunt suficiente. Ideea de a construi un perimetru sigur în jurul anumitor active sau baze de date IT, și apoi limitarea și controlul accesului, nu este eficientă într-un ecosistem conectat la cloud.

Într-un mediu ERP în cloud, organizațiile își recalibrează abordarea securității, deoarece împărtășesc mai multă responsabilitate furnizorilor de cloud public și, prin urmare, se concentrează mai puțin pe infrastructură și mai mult pe responsabilitățile pe care continuă să le dețină pe partea de aplicație.

Ransomware-ul și atacurile de phishing reprezintă o provocare în creștere rapidă. Pe măsură ce ERP-urile sunt integrate în mai multe departamente, există un număr mai mare de utilizatori cu acces autorizat care - pentru hackeri - înseamnă un teren de vânătoare mai bogat pentru ținte de phishing. Integrarea ERP operațională extinsă înseamnă, de asemenea, o gamă mai largă de date valoroase conținute în ERP - ceea ce ridică, de asemenea, valoarea sa ca țintă de hacking. În plus, cu sistemele ERP preexistente, încercările de a extinde integrarea ERP în noi departamente necesită adesea bolt-on-uri și codificare personalizată, care pot servi la creșterea suprafeței de atac potențiale. Cu alte cuvinte: există mai multe puncte slabe în mai multe locuri. Acest lucru este agravat de o creștere a lucrătorilor de la distanță și a celor care au nevoie de puncte de acces externe.

Criminalii cibernetici pot fura și exorta, dar pot, de asemenea, să închidă sistemele esențiale și să macineze toate operațiunile până la oprire. Organizațiile mari (în special în sectoare precum finanțe și asigurări, producție, servicii pentru afaceri și sănătate) au fost de mult timp un obiectiv, cu toate acestea întreprinderile mici și mijlocii sunt din ce în ce mai atacate - adesea din cauza lipsei resurselor de securitate și a expertizei.

Ce tipuri de date ERP vizează infractorii cibernetici?

Hackerii fură tot felul de date din tot felul de motive. Dar, în cea mai mare parte, infractorii cibernetici corporativi sunt după date, inclusiv date ERP, care pot fi cel mai rapid bani, fie prin strecurarea companiei victimizate în sine, fie prin escrocherie - sau deteriorarea în alt mod - a clienților sau a persoanelor numite în datele furate. Acest lucru poate duce la tentative de accesare directă a fondurilor prin încălcări ale cardurilor de credit sau transferuri de bani. Dar, deoarece bazele de date financiare și ERP tind să fie unele dintre cele mai bine securizate, hackerii fac de obicei ravagii accesând alte tipuri de date mai accesibile.

Un nivel suplimentar de risc pentru companii vine nu numai în daunele provocate profiturilor, reputației și clienților lor, ci și în riscul proceselor de clasă aduse de acei indivizi numiți în datele furate. În cazurile în care aceste date includ informații personale, juridice sau medicale sensibile ale persoanelor, daunele rezultate din litigiu pot fi ireparabile.

Top 7 probleme de securitate ERP și cum să le rezolvați

1. Software învechit

Cei mai buni furnizori ERP sunt neobosiți în lupta lor împotriva riscurilor de securitate noi și emergente. De fiecare dată când un astfel de risc este identificat, un patch de securitate este dezvoltat și distribuit clienților. În trecut, unele întreprinderi au ignorat sau au întârziat punerea în aplicare a acestor actualizări pentru perioade lungi de timp, lăsând sistemele lor vulnerabile. Acest lucru este valabil mai ales în cazul ERP-urilor mai vechi, care au suferit numeroase personalizări și soluții, ceea ce face implementarea patch-ului mai problematică de gestionat.

Fix: Actualizările și patch-urile de securitate trebuie implementate în mod regulat - în ciuda riscului de întreruperi și întreruperi - deoarece apar noi amenințări tot timpul. Aplicarea de patch-uri și actualizări pentru ERP on-premise necesită o abordare bazată pe risc pentru a-i prioritiza pe cei cu cele mai multe implicații de securitate și, deși nu este un proces ușor sau neperturbator, este esențial în reducerea riscurilor. Acest lucru este valabil și pentru acele companii care au o infrastructură ERP hibridă.

Cu software-ul ERP în cloud, distribuția și implementarea patch-urilor este un proces fără întreruperi care continuă în culise de către furnizorul de servicii, fără nicio întrerupere a activității. În plus, gestiunea automatizată a patch-urilor care vine cu o implementare ERP în cloud poate ajuta la asigurarea respectării regulilor de conformitate și guvernare în continuă schimbare.

2. Probleme de autorizație

În climatul de afaceri de astăzi, managerii de HR, IT și alți manageri de echipă sunt presați să pună în funcțiune noi utilizatori cât mai repede posibil, ceea ce poate duce la o lipsă de stringență la predarea autorizațiilor ERP sau chiar la dezactivarea acestora atunci când angajații părăsesc compania. Sistemele ERP preluate sunt adesea expuse unui risc mai mare pentru această situație din cauza capacităților de autentificare învechite și a lipsei fluxurilor de lucru automatizate care să suporte autorizarea.

Fix: Sistemele ERP moderne sunt construite având în vedere riscul, inclusiv capacitățile inerente de furnizare și autentificare și fluxul de lucru care sunt sofisticate, dar simplu de utilizat. În plus, întreprinderile pot implementa o securitate end-to-end mai largă utilizând instrumente de guvernanță a accesului la identitate.

3. Formare inadecvată în domeniul securității

Circularea unei note de instruire cu politica dvs. oficială de phishing nu este aceeași cu coordonarea sesiunilor de învățare regulate și interactive cu toate echipele dvs. De fapt, într-un sondaj recent, 78% dintre organizațiile care au considerat că metodele lor de formare sunt suficiente pentru a elimina riscurile de phishing - au fost surprinși să constate că 31% dintre angajații lor nu au trecut un test de phishing de bază. Parole slabe, lipsa de savvy phishing, și protocoale de securitate prost înțelese, înseamnă că chiar și angajații dvs. cei mai loiali și sârguincioși vă pot pune în pericol afacerea.

Fix: Mulți angajați pur și simplu nu sunt conștienți de modul în care acțiunile lor nevinovate pot provoca riscuri sau daune. Nu lăsați instruirea în materie de securitate cibernetică în seama oamenilor greșiți și nici nu o puneți pe ordinea de zi împotriva altor priorități. Colaborează cu un profesionist pentru a efectua un audit de risc în întreaga companie pentru a afla unde se pot ascunde cele mai slabe legături de securitate. Colaborează cu liderii de echipă pentru a construi planuri regulate de instruire care să răspundă nevoilor lor specifice. Implementează programări automate pentru fiecare departament, cu date de testare, reînnoiri de certificate și cursuri de perfecționare pentru reîmprospătare.

4. Deficitul de personal experimentat în domeniul securității ERP

Pentru companiile care rulează software ERP vechi, echipele IT trebuie să își înțeleagă pe deplin riscurile specifice și multitudinea de riscuri de securitate ERP și să poată rula și implementa cele mai bune practici de securitate din clasă. Aceasta include identificarea amenințărilor, efectuarea de scanări de vulnerabilitate și testarea penetrării, crearea de planuri de răspuns la incidente și integrarea celor mai recente instrumente de monitorizare a securității cibernetice în sisteme învechite. În climatul de astăzi, nu numai că este dificil să găsești și să păstrezi profesioniști calificați, ci este și costisitor și consumator de timp să se încadreze în numărul tot mai mare de sesiuni de instruire necesare pentru a menține echipele IT la curent cu ritmul fulgerător al evoluțiilor de securitate digitală.

Fix: Cloud ERP oferă o ușurare enormă pentru această preocupare în creștere. Funcțiile de securitate de mare capacitate, cum ar fi monitorizarea 24/7 și recuperarea în caz de dezastru, sunt toate gestionate de către furnizor - fără probleme, în cloud. În plus, sarcinile IT zilnice și mai consumatoare de timp, cum ar fi gestionarea patch-urilor, testarea și upgrade-urile, pot fi, de asemenea, automatizate în cloud și pot avea loc fără nicio întrerupere perceptibilă.

5. Nerespectarea standardelor de securitate și de guvernanță

Pe măsură ce sistemele ERP sunt integrate în tot mai multe departamente, domeniul de aplicare al datelor vulnerabile crește din ce în ce mai diversificat, inclusiv lucruri precum informații sigure despre produse, dosare medicale sau proprietate intelectuală. Cu cât datele (financiare, medicale sau juridice, de exemplu) sunt mai sensibile, cu atât este mai probabil să aibă propriile protocoale unice de securitate și stocare. Nerespectarea sau conștientizarea acestor protocoale poate duce nu numai la posibile încălcări ale acestor date, ci și la sancțiuni și chiar repercusiuni legale pentru neconformitate.

Fix: Astăzi, cele mai bune ERP-uri - cu baze de date moderne - pot facilita automatizarea și controlul centralizat al unei game de protocoale de conformitate pentru o mare varietate de tipuri de date. Acest lucru înseamnă că echipele IT pot lucra cu specialiști în domeniu din întreaga companie pentru a determina inițial standardele de securitate corecte și apoi să automatizeze sistemele și tablourile de bord ale utilizatorilor pentru a se asigura că protocoalele corecte sunt respectate în viitor.

6. Autentificarea cu un singur factor

Un singur factor (o singură parolă sau un cod de acces) pur și simplu nu este suficient. În timp ce în aceste zile, majoritatea companiilor sunt conștiente de acest fapt, mai mult de 40% dintre organizații încă nu reușesc să utilizeze autentificarea în doi pași pe toate potențialele puncte de intrare ERP. Cu alte cuvinte, nu are rost să vă protejați datele cele mai evident cruciale prin autentificarea cu doi factori (2FA) dacă alte lucruri conectate, cum ar fi dispozitivele IoT sau aplicațiile departamentale, sunt lăsate vulnerabile cu parole într-un singur pas.

Fix: Este esențial pentru companiile de toate dimensiunile să implementeze imediat protocoale 2FA (inclusiv jetoane de securitate sau scanări biometrice) pentru toate potențialele puncte de intrare ERP. Aceasta este o soluție simplă, ieftină, care este extrem de importantă.

7. Export de date

În ciuda protocoalelor oficiale, utilizatorilor le place să pună lucrurile în foi de calcul sau să le salveze în alte formate și riscurile de export de date rămân o problemă pentru întreprinderi.

Remediere: Companiile pot controla oarecum acest lucru blocând descărcările Excel sau urmărind acțiunile utilizatorilor din baza de date. Dar, la sfârșitul zilei, cel mai bun mod de a proteja împotriva exportului de date, este de a limita numărul de persoane care au acces la date vulnerabile. Cu un ERP modern, șefii de departamente pot determina și seta cu ușurință nu numai cine ajunge să vadă ce, ci și ce elemente ale unui set de date pot accesa și vizualiza. Și, spre deosebire de sistemele vechi, ERP-urile cloud au caracteristici de securitate integrate care pot fi automatizate pentru a trimite notificări și pentru a preveni comenzile neautorizate, cum ar fi descărcările sau exporturile de date.

Cele mai bune practici în materie de securitate cibernetică ERP

Multe dintre problemele și remedierile pe care le-am discutat se referă la strategii de securitate mai largi pentru optimizarea resurselor umane și tehnologice într-o lume a criminalității cibernetice. Următoarele sunt câteva elemente de bază suplimentare privind cele mai bune practici pentru a vă ajuta să profitați la maximum de serviciile și beneficiile asociate funcțiilor și caracteristicilor de securitate ERP în cloud:

• Asigură-te că există acorduri de nivel de servicii pentru continuitatea afacerii, recuperare în caz de dezastru și capacități de disponibilitate. Instrumentele bazate pe cloud pot ajuta la integrarea acestor acorduri într-un singur loc, în cadrul operațiunilor globale și la automatizarea actualizărilor.
• Efectuați audituri la hiperscară, terțe părți. Aceste audituri independente ale terților sunt esențiale pentru a asigura conformitatea între întreprinderi în toate etapele și pentru a sprijini lucruri precum certificarea modelului de maturitate în securitate cibernetică (CMMC) și eforturile Zero Trust.
• Criptați toate datele dvs. și concentrați-vă pe consolidarea proceselor, protocoalelor și managementului de proiect pentru toate echipele implicate în practicile de securitate ERP. În special în domenii precum managementul patch-urilor, configurarea securității, scanarea vulnerabilității și gestionarea amenințărilor.
• Faceți investiția de consultanță necesară în experți externi de securitate cibernetică de clasă mondială pentru a vă asigura că toate echipele dvs. sunt bine cunoscute în rolurile și responsabilitățile lor în domeniile de reducere a riscurilor.
• Asigurați-vă că monitorizarea 24/7 și managementul proactiv al securității au fost implementate în întreaga companie pentru a îmbunătăți capacitatea de reacție la incidente. Aceasta include sistemul ERP și orice sisteme, dispozitive sau active IoT de la care un hacker poate avea acces.
• Utilizați o abordare de testare ERP bazată pe domeniu pentru a oferi un proces de testare consistent și replicabil pentru a aborda vectorii actorilor comuni pe întreaga suprafață de atac.

Următorii pași pentru îmbunătățirea securității ERP

Criminalitatea informatică ne afectează pe toți și, dacă întreprinderile trebuie să lupte împotriva acesteia, trebuie să adopte o abordare multidimensională. Tehnologiile ERP cloud sunt un loc excelent pentru a începe – oferind companiilor o bază unificată din care să coordoneze și să automatizeze o apărare puternică și eficientă.

Dar, în cele din urmă, eforturile tale de securitate cibernetică încep și se termină cu oamenii tăi. Liderii de echipă și angajații dvs. fac parte din soluție, dar nu se poate aștepta ca aceștia să își dea seama singuri. Un prim pas bun în călătoria dvs. de securitate cibernetică ERP este de a construi planuri de comunicare și instruire care implică experți interesanți, planuri de învățare practică, vizuală și practică și chiar câteva exemple din viața reală a ceea ce se poate întâmpla atunci când merge prost. Sunt importante măsuri specifice de formare și certificare, dar este, de asemenea, cel mai bine să se sensibilizeze și să se atragă atenția și interesul general pentru acest subiect.

Securitatea digitală este acum o parte importantă a întregii noastre vieți, așa că de ce să nu facem din învățarea despre securitatea cibernetică o experiență captivantă și intrigantă?