Co je největší bezpečnostní hrozbou u ERP systémů?

Milan Tesař
obchodní ředitel, InfoConsulting

Otázka kyberbezpečnosti je v souvislosti s ERP zásadní, protože tyto ­podnikové systémy obsahují klíčové podnikové informace a zpracovávají citlivé transakce. Mezi aktuální největší hrozby patří ransomwarové útoky, které typicky využívají zranitelnosti na straně uživatelů. ­Ti, často v dobré víře, obvykle umožní zahájení útoku a zašifrování podnikových dat. Prevencí je na jedné straně osvěta a vzdělávání uživatelů, na straně druhé připravenost IT na podobný druh incidentů. Zálohování dat do oddělené lokality, klidně i offline, a nastavení, pravidelné ověřování a zlepšování plánu reakce na incidenty (disaster recovery plan).

Vladimír Bartoš
ředitel pro strategii, Minerva

ERP systémy jsou velmi komplexní a mívají dlouhý životní cyklus. Proto je firmy provozují ve starších verzích, které ale současné požadavky na bezpečnost nesplňují. Dřívější řešení bezpečnosti založené na interní síti chráněné na hranicích proti externímu prostředí je kvůli rozšíření vzdáleně pracujících uživatelů neúčinné. Čím dál více se využívá zero trust security model, který vyžaduje kvalitní řešení bezpečnosti u všech prvků podnikového IT, tedy i u ERP systémů. To vede jednak k urychlení upgradů ERP systémů v podnicích, jednak k vytvoření ERP systémů, které mohou být kontinuálně upgradovány. A protože personální zdroje v IT odděleních podniků jsou často nedostačující, směřuje to k poskytování ERP jako služby (SaaS).

Tomáš Smutný
generální ředitel, QI Group

Z mého pohledu nejde v prvé řadě o ERP, ale primárně musíte zabezpečit podnikovou síť. ERP je jen jeden ze softwarů, který může být postižen. Mezi největší hrozby patří kybernetické útoky, s ransomwarem se setkala již téměř každá firma. Proto zálohujte, zálohujte a zálohujte. Dále je to slabá autentizace, která umožní útočníkům získat přístup k účtům a datům i v ERP. A také jsou to zastaralé aktualizace a záplaty, které ERP vystavují bezpečnostním hrozbám. Pokud tedy údržbu zanedbáváte, zbytečně riskujete.

Petr Schaffartzik
generální ředitel, K2 atmitec

Kyberbezpečnost ERP systémů v první řadě souvisí s infrastrukturou, na které je systém provozován, a jejím zabezpečením. Podniky tuto problematiku podceňují až do doby, kdy dojde k významnému incidentu. V oblasti infrastruktury platí, že nejlepší zabezpečení nabízí komerčně provozované cloudy. Bezpečnost vlastních ERP systémů je nutné řešit už na úrovni vývoje formou například penetračních testů. Tím nejrizikovějším prvkem z pohledu kyberbezpečnosti jsou také u ERP systémů lidé. Administrace uživatelských účtů, zvolená politika hesel nebo například dvoufaktorové ověření při přihlašování do systému jsou nutnými předpoklady.

Robert Fárek
ředitel a předseda představenstva, ITeuro

Osobně si myslím, že účinným lékem je cloud. Systém i data jsou v cloudu zabezpečena na takové úrovni, ­kterou si prostřednictvím vlastních sil a investic může střední, ale i větší firma jen těžko dovolit. Bezpečnost je jedním z hlavních pilířů cloudových služeb. Chápu, že cloud je ­v české kotlině stále ještě přijímán s rezervami a spoustou námitek. Je třeba se o tom otevřeně bavit. V oblasti ­kyberbezpečnosti jsem přesvědčen, že je to rozhodně správná cesta a zároveň silný argument pro rozhodnutí přesunout ERP systém do cloudu.

ICT revue

Stáhněte si přílohu v PDF

Martin Dudek
Solution Architect, SAP

Mezi největší kybernetické bezpečnostní hrozby pro systémy ERP patří neoprávněný přístup, narušení dat a útoky malwaru. Pro zmírnění těchto rizik je důležité zavést silná bezpečnostní opatření, jako je monitorování aplikací v reálném čase a ochrana proti zneužití. Důležité je také vyhodnocovat, sledovat a dokumentovat zranitelnosti v souladu se standardy správy zranitelností podniku. Jedním z problémů při zabezpečení systémů ERP je nedostatek kvalifikovaných odborníků a složitost systémů. Je důležité, aby společnosti upřednostňovaly svou kybernetickou připravenost a reakci na rizika a investovaly do školení a rozvoje svých pracovníků v oblasti kybernetické bezpečnosti.

Článek byl publikován ve speciální příloze HN ICT revue.