Formas de establecer la resiliencia cibernética para los datos guardados en las soluciones de SAP

La seguridad de los datos procesados ​​por los sistemas SAP, como SAP ERP y SAP S/4HANA, es vital, ya que contienen cantidades significativas de información crítica para el negocio.

Por ejemplo, SAP Human Capital Management (HCM) es responsable de manejar todo, desde la nómina hasta los contratos laborales de los empleados. Estos datos se almacenan y procesan digitalmente. Por lo tanto, estos datos deben protegerse contra el acceso, la manipulación o la destrucción no autorizados. A medida que más organizaciones cambian de una estrategia de ciberseguridad reactiva a un enfoque proactivo para desarrollar resiliencia, es esencial prestar atención a cómo una organización protege sus datos de SAP.

Categorizar los datos de SAP según la confidencialidad

Las empresas deben comprender claramente el valor de los segmentos de datos individuales de SAP que necesitan protección y aplicar estrategias y opciones de protección adecuadas. Para comprender el valor de los datos, el personal de TI debe especificar qué activos de datos necesitan protección según las circunstancias específicas.

Para determinar qué datos vale la pena proteger, el personal de TI debe consultar a los oficiales de protección de datos para establecer un sistema de clasificación. Por ejemplo, las categorías de confidencialidad de datos de SAP se pueden estructurar en tres categorías simples: público, confidencial y secreto. Por lo tanto, para clasificar los datos de SAP, las empresas deben establecer criterios para determinar en qué nivel de confidencialidad caerán los datos, como los siguientes:

• Como la categoría implica, datos públicos debe incluir información que pueda hacerse accesible al público sin poner a la empresa en riesgo de daños financieros o de reputación, y sin proporcionar ninguna ventaja a los competidores. Además, no debe existir ninguna normativa legal que obligue a proteger los datos.
• Contrariamente a los datos públicos, información confidencial es información que no debe hacerse pública. Esta categoría se puede dividir en subcategorías según el riesgo de una violación de datos. Los datos confidenciales se caracterizan porque el acceso interno no es crítico, pero no debe ser accesible para personas ajenas.
• datos secretos abarca todos los secretos comerciales. Estos datos deben estar protegidos del acceso interno y externo y sujetos al principio de necesidad de saber.

Este sistema de clasificación principal permite a las organizaciones categorizar los objetos de datos almacenados en la base de datos de SAP (es decir, por la atribución de la tabla de datos). Muchos departamentos de TI pueden optar por delegarlo en consultores. Sin embargo, se recomienda asumir esta tarea e involucrar a todos los departamentos relevantes, desde recursos humanos hasta ventas y cuentas por pagar. Este paso es vital para definir la propiedad de los datos, que en muchos casos reside dentro del departamento comercial individual. Los propietarios de los datos deben aceptar su función y sentirse responsables de los conjuntos de datos creados dentro de su área comercial. Con esto, se vuelve mucho más fácil establecer un proceso para garantizar que los nuevos objetos de datos se clasifiquen y protejan de acuerdo con los estándares de la organización.

Proteja los datos de SAP con estos métodos

Una vez que una organización ha identificado los datos que necesitan protección, puede establecer medidas de seguridad. La mayoría de las empresas utilizan de forma predeterminada la gestión de autorizaciones, la función estándar en las aplicaciones de SAP. Sin embargo, la gestión de autorizaciones estándar se puede mejorar mediante la implementación de métodos adicionales como:

• Desconectarse de los datos innecesarios e implementar el administrador del ciclo de vida de los datos (DLM). Por lo general, esto se usa para datos técnicos, como registros, que se reorganizarán después de un período predefinido.
• Implementar Gestión del ciclo de vida de la información de SAP (ILM) para regular la retención de datos y cumplir con GDPR. A diferencia de DLM, ILM permite la creación de reglas que consideran contenido individual. Por ejemplo, la regla puede verificar si un registro de socio comercial tiene alguna dependencia contractual que impida la eliminación.
• Evaluar la ruta de los datos a través del entorno de TI y el sistema SAP, así como evaluar los datos sobrantes almacenados en el servidor de aplicaciones SAP. Acceder a la ruta de datos y revisar los datos almacenados es esencial porque muchas violaciones de datos ocurren a través de exportaciones de empleados o procesos por lotes, canales de comunicación inseguros o protección de almacenamiento inadecuada.

La ayuda está disponible en soluciones que analizan los flujos de datos en el contexto de SAP y los presentan en un mapa gráfico. Sin embargo, los registros de información aún existentes en los sistemas SAP también requieren una protección adecuada. Confiar únicamente en el concepto de autorización de SAP puede ser difícil cuando se protegen los datos exportados a fuentes externas, especialmente cuando el departamento de contabilidad exporta regularmente hojas de cálculo de Excel. Para abordar estos problemas, las empresas pueden utilizar herramientas de terceros para detectar anomalías y fugas de datos en tiempo real y proteger los datos que ponen en peligro la integridad del sistema, como los hackeos de hash de contraseñas de usuarios en la tabla de la base de datos USR02.

Los sistemas SAP se comunican con otros sistemas a través de interfaces, incluido el cliente de inicio de sesión de SAP del usuario final. Por lo tanto, es importante cifrar el tráfico de datos. SAP proporciona cryptolib para activar SNC, recomendado para la comunicación entre el cliente y el servidor. El cifrado del tráfico de datos es esencial para evitar la transmisión de contraseñas de usuario de texto sin formato y garantizar que el usuario que accede a los datos clasificados sea legítimo.

Conclusión

Datos procesados ​​por sistemas SAP como ERP de SAP y SAP S/4 HANA es crucial ya que contiene información esencial crítica para el negocio y debe protegerse contra el acceso no autorizado, la exfiltración, la manipulación o la destrucción. Además, las organizaciones están cambiando de una estrategia de ciberseguridad reactiva a una proactiva, por lo que es esencial centrarse en protección de datos en SAP.

Al determinar qué datos proteger, una organización debe consultar con los oficiales de protección de datos y establecer un sistema simple de clasificación de datos para datos públicos, confidenciales y secretos. Una vez que se clasifican los datos, la gestión de autorizaciones se puede mejorar con medidas adicionales, como la desconexión de datos innecesarios, la implementación de DLM/ILM, el análisis de flujos de datos y el cifrado del tráfico de datos. Las empresas deben comprender que hay ayuda disponible para establecer estos criterios y procesos para detectar fugas de datos en tiempo real y garantizar una comunicación segura a través de todas las interfaces asociadas.