Наиболее частые проблемы с безопасностью систем класса ERP

Современные ERP-системы открыты для интеграций и доработок как никогда раньше. Узнайте о наиболее распространенных проблемах безопасности ERP, с которыми сталкиваются компании, и о том, как ИТ-специалисты и службы безопасности могут их решить.

Рост удаленной работы с начала пандемии COVID-19 привел к ранее невообразимым поверхностям атак и рискам. Программы-вымогатели и другие внешние угрозы захватывают самые устойчивые организации, а ERP-системы уязвимы как никогда раньше.

Большинство из этих проблем безопасности не являются чем-то новым, но они растут в геометрической прогрессии. Первым шагом к повышению безопасности компании является признание сегодняшних проблем.

1. Неизвестные уязвимости

Многие организации не полностью определили свои пробелы в безопасности, не говоря уже о том, чтобы их устранить. Самая распространенная проблема безопасности ERP заключается в том, что сотрудники ИТ и службы безопасности не знают, текущие уязвимости.

Прежде чем предпринимать какие-либо другие действия, ИТ-руководители должны получить полное представление о рисках безопасности ERP своей компании.

2. Отсутствие обновлений программного обеспечения

На многих рабочих станциях и серверах отсутствуют необходимые обновления программного обеспечения. Эти упущения могут включать устаревшее программное обеспечение ERP, а также неадекватное обслуживание базовых операционных систем и вспомогательных приложений. Отсутствие обновлений может привести к чему угодно: от заражения вредоносным ПО до атак типа «отказ в обслуживании» и полного удаленного доступа без проверки подлинности.

Несмотря на возможность сбоев и простоев критически важных систем, ИТ-команды должны регулярно обновлять программное обеспечение и устанавливать исправления для системы безопасности.

3. Слабая аутентификация ERP

Неадекватные логины могут включать слабые пароли, общие учетные записи и отсутствие многофакторной аутентификации. Как минимум, аутентификация ERP должна быть такой же надежной, как и внутренние элементы управления учетными записями домена. Когда система использует уникальные учетные данные, этот стандарт обычно не соблюдается.

При необходимости укрепите логины, чтобы избежать проблем в будущем.

4. Уязвимости веб-приложений

Некоторые веб-приложения допускают внедрение SQL-кода и повышение привилегий, и они имеют недостатки бизнес-логики, которые позволяют пользователям манипулировать частями системы, которые в противном случае должны быть запрещены или заблокированы.

Знайте, какие приложения имеют или допускают эти потенциальные проблемы.

5. Откройте сетевые ресурсы

Некоторые системы ERP — обычно более старые — требуют, чтобы все пользователи сети имели доступ к системным папкам ERP. Эта практика крайне небезопасна и может привести к доступам со стороны программ-вымогателей и несанкционированному доступу.

Рассмотрите возможность изменения программного обеспечения, если текущая система ERP требует этих разрешений.

6. Отсутствие пометки о проблеме

Сотрудники должны немедленно уведомить ИТ-отдел или других технических руководителей о возникновении проблемы с безопасностью ERP. Объясните сотрудникам важность пометки проблем, чтобы ИТ-отдел и другие отделы знали о любых потенциальных проблемах до того, как проблема станет еще более серьезной.

7. Отсутствие планирования реагирования на инциденты

Большинство организаций не документируют план реагирования на инциденты для защиты или восстановления своей ERP-системы. Составьте план сейчас, чтобы не упустить время во время кризиса.

8. Отсутствие надлежащего тестирования

ИТ-руководители не могут решить наиболее распространенные проблемы безопасности ERP, если они не знают о них. Внедряйте периодические и последовательные проверки на наличие уязвимостей и тестирование на проникновение, выходящие за рамки аудита ИТ-контроля.

Тесты помогут убедиться, что ИТ-специалисты выявляют любые потенциальные проблемы и устраняют их.

9. Неясные ожидания сотрудников

Многие организации имеют плохо документированные политики безопасности. И во многих руководствах для сотрудников едва упоминаются технические ожидания сотрудников. Удаленная работа может еще больше запутать ситуацию.

Отдел по безопасности должен работать вместе с юрисконсультом и кадрами, чтобы гарантировать, что правила использования технологий ясны, а сотрудники хорошо обучены вопросам безопасности, действуя в поддержку безопасности, а не против нее.

10. Отсутствие непрерывного обучения технического персонала

Технический персонал должен быть в курсе наиболее распространенных проблем безопасности ERP по мере роста и изменения этих проблем. Они также должны понимать новые тренинги и практики по безопасности. Если сотрудники используют устаревшие методы, может возникнуть ненужный риск, поэтому необходимо постоянное обучение.

Читайте анонсы наших статей:

Почитать наши архивные публикации можно и в Yandex Q