La centralità di SAP nelle architetture applicative delle aziende moderne necessita dell’applicazione di un framework strutturato di cyber security, adatto a un contesto dove la sicurezza informatica riveste un ruolo di fondamentale importanza.
Qintesi adotta una robusta metodologia di assessment, basata sui principali framework di IT Security, che, insieme a competenze sui principali tool SAP in ambito, permettono di accompagnare il cliente nella corretta implementazione di policy di sicurezza, idonee a garantire un adeguato grado di presidio del cyber security risk a livello:
- transazionale;
- di estrazione;
- di trasformazione;
- di trasferimento dati tra i diversi tool che costituiscono l’architettura SAP di riferimento.
Sicurezza dei dati: un approccio olistico
È importante ricordare che, come suggerisce SAP nel SAP Security Baseline Template (la raccolta delle best practice SAP in ambito Cyber Security), la sicurezza non è un tema da considerarsi esclusivamente a livello tecnico: è, piuttosto, un approccio completo, che abbraccia una molteplicità di temi come, ad esempio, la governance o le policy a supporto della IT Security. Qintesi ha maturato competenze in ognuna di queste aree rilevanti, che devono essere tutte prese in considerazione in un progetto di SAP Security:
- Governance, policy, gestione delle emergenze.
- Gestione degli accessi, dell’autenticazione e delle autorizzazioni (anche in ottica SOD).
- Parametrizzazione dei sistemi e delle comunicazioni da e verso i sistemi.
- Sicurezza del codice, sia standard che custom.
- Sicurezza dell’infrastruttura.
Metodologia per un’efficace sicurezza dei dati
La metodologia adottata da Qintesi prevede una fase di assessment che permette di avere una panoramica completa del livello di sicurezza dell’architettura SAP in esame, con evidenza di eventuali gap rispetto alle best practice di riferimento.
In accordo con gli obiettivi condivisi con il Cliente viene, quindi, stabilita una lista di possibili remediation con esplicitazione delle priorità e il relativo piano di implementazione.
Sulla base degli action plan emersi nella fase di security assessment e per garantirne l’effettiva esecuzione, Qintesi suggerisce l’implementazione di uno o più tool SAP di IT Security:
- SAP GRC Access Control
- SAP Enterprise Threat Detection
- SAP UI Masking
- SAP UI Logging
SAP GRC Access Control permette di gestire e monitorare le autorizzazioni critiche che, se fornite a un utente, permettono potenzialmente l’esecuzione di attività sensibili. È possibile anche implementare un processo di provisioning strutturato che fornisce evidenza, ad ogni attribuzione o ad ogni nuova utenza, della presenza di permessi critici.
Nel caso in cui non sia sufficiente segregare gli accessi ai dati tramite profilazione, è necessario intercettare l’accesso ai dati tramite SAP UI Logging e mascherare i dati ritenuti critici da qualsiasi accesso e da qualsiasi tipologia di utente tramite SAP UI Masking.
SAP ETD (Enterprise Threat Detection) è uno strumento strutturato per il monitoraggio continuo dei sistemi SAP e non SAP al fine di individuare potenziali data breach o tentativi di data breach.
Tramite appositi algoritmi di machine learning, SAP ETD è in grado di correlare eventi multipli anche su sistemi diversi, di identificare pattern critici in tempo reale e di gestirne la notifica verso gli attori coinvolti.
SAP CVA, SAP Solution Manager, Cybersecurity Cockpit
Per quanto riguarda l’analisi del codice custom, esiste uno strumento specifico (SAP CVA – Code Vulnerability Analyzer), che permette di effettuare un’analisi statica e di identificare automaticamente eventuali punti di attacco presenti. Questo strumento può essere anche integrato nella catena dei trasporti, permettendo, quindi, l’identificazione di anomalie code-related prima del passaggio in produzione, potendo anche bloccare il trasporto di eventuali change request problematiche.
SAP Solution Manager, infine, distribuisce informazioni critiche sulle patch di security che non siano state ancora implementate.
Qintesi ha sviluppato, inoltre, un Cybersecurity Cockpit che analizza, intercetta in tempo reale eventuali security issue (es. assegnazione di permessi critici, variazione di parametri di sistema, creazione di Remote Function Call, ecc.) e supporta la determinazione delle misure di protezione appropriate al fine di fornire una overview del livello di sicurezza degli applicativi che caratterizzano l’intera architettura SAP.
