Cosa significa questo termine?
Quali sono le azioni che possiamo fare per proteggere un sistema SAP?
Cyber Security/Sicurezza informatica
Questo termine identifica tutte le azioni da porre in essere per la protezione dei sistemi informatici. Ovvero garantire la disponibilità, la confidenzialità ed integrità dei sistemi (CIA principle: Confidentiality, integrity and availability).
È un termine molto usato oggi e spesso inflazionato dalle società che si occupano di sicurezza informatica, leggi qui per approfondimento.
Quali sono le azioni per proteggere i sistemi?
Esistono diversi livelli di azione, i principali sono i seguenti:
- Sicurezza fisica, ovvero tutte le misure per proteggere fisicamente i dati e le informazioni. Ad esempio controllo fisico degli accessi (tornelli, badge aziendali di ingresso, serrature lucchetti etcc), ma anche telecamere, allarmi ed altre protezioni fisiche appunto
- Sicurezza logica, ovvero tutte quelle misure di controllo "digitale". Sistemi di autenticazione, password, single sign on, sistemi di log management, SIEM, sistemi anti intrusione, antivirus etcc..
Al di là delle misure adottate, che siano di sicurezza fisica o logica, diventa fondamentale effettuare una valutazione del rischio.
Dovremmo sempre tenere in considerazione quali dati stiamo proteggendo e quale grado di protezione siamo disposti a gestire.
L'analisi dei rischi ci permette di capire quali siano tutti i trattamenti da adottare per proteggere un sistema SAP, in base alle informazioni in esso contenute. Dati personali o dati strategici aziendali/riservati.
Quali sono le macro aree di intervento?
- Sicurezza delle comunicazioni (attivazione della crittografia)
- Ovvero attivazione della crittografia nei canali di comunicazione SAP, quindi SNC (Secure Network Communication) o HTTPS.
- Sicurezza dei dati archiviati (crittografia dei dati)
- Attivazione dei meccanismi di crittografia del database, nel caso di HANA nativi
- Sicurezza dell'applicazione (Security SAP)
- Definizione di un modello security o authorization concept SAP
- Gestione delle identità
- Attivazione di un sistema per la gestione delle identità ad esempio Identity Management
- Hardening dei sistemi (infrastruttura/sistemi operativi/database)
- Correlazione e log degli eventi security ad esempio tramite SIEM (security information and event management)
- Gestione degli incidenti security
- Formazione
- A tutto il personale come security awareness e formazione professionale agli specialisti security SAP. Questo oggi rappresenta il maggiore problema di sicurezza. Dopo aver protetto la sicurezza fisica e quella logica.
Quali sono le azioni per verificare che quanto sopra sia correttamente impostato?
Effettuare della dei vulnerability assessment/penetration test o degli audit periodici diventa strategico per capire se aree sopra sono state correttamente impostate e configurate.
Quali sono i principali rischi visibili del non agire?
- Rischi di frode aziendale
- Furto di dati
- Danno reputazionale
- Perdita di certificazioni a seguito di non conformità (es. GxP)
- Sanzioni (es. non conformità nella gestione dei dati personali, GDPR)
- Bilancio aziendale non approvato da parte dei revisori
- Perdita di competitività rispetto ai player del settore