Anketa: Jaké požadavky vyplývají z nového zákona o kybernetické bezpečnosti pro provoz ERP systémů v cloudu a do jaké míry se v praxi naplňují?

Martin Dudek
solution architect, IT Specialist, SAP

Nový zákon o kybernetické bezpečnosti přináší na firmy nový regulatorní tlak, který se promítá mimo jiné do podmínek smluv SLA (Service Level Agreement – pozn. red.). SAP k implementaci požadavků zákona přistupuje na dvou úrovních: platformové a aplikační.

Na platformové úrovni jsou bezpečnostní požadavky v cloudových řešeních SAP součástí systému už od jeho návrhu. SAP využívá takzvaný přístup „defense in depth“, tedy vícevrstvou ochranu, která zahrnuje zero-trust architekturu, řízení identit a přístupů, správu zranitelností, bezpečnostní logování a monitoring i business continuity a disaster recovery.

SAP každoročně absolvuje přibližně 130 interních a externích auditů a udržuje klíčové certifikace, které podporují soulad s evropskou směrnicí o kybernetické bezpečnosti (NIS2) a zákonem o kybernetické bezpečnosti (ZoKB).

Na aplikační úrovni SAP nabízí specializované bezpečnostní nástroje. Zákazník pak zodpovídá především za nastavení bezpečnostních rolí, správu identit firemních uživatelů a integraci se svým vlastním SIEM nástrojem. Právě tato oblast bývá v praxi největší výzvou. SAP proto zákazníky aktivně podporuje prostřednictvím svých nástrojů a metodiky, která zahrnuje i samostatné fáze zaměřené na bezpečnostní plánování.

Více odpovědnosti pro provozovatele

U cloudového řešení zákazník přenáší velkou část technické odpovědnosti za bezpečnost infrastruktury na SAP jako poskytovatele. Zákon v takovém případě vyžaduje jasný model sdílené odpovědnosti, který SAP transparentně dokumentuje smluvně i technicky. U on-premise řešení leží celá tíha plnění zákonných povinností na straně provozovatele systému.

V souladu se zkušenostmi z trhu platí, že přechod zákazníků do cloudu a zavedení strukturovaného monitoringu přinášejí lepší přehled o bezpečnostních incidentech. Vyšší počet hlášených incidentů tak často odráží především lepší schopnost jejich detekce, nikoli zhoršení celkové bezpečnostní situace.

Povinnost hlásit incidenty Národnímu úřadu pro kybernetickou a informační bezpečnost (NÚKIB), kterou ukládá zákon, tuto transparentnost dále posiluje. Cloudové nástroje SAP jsou navrženy tak, aby zákazníkům generování potřebných reportů usnadnily.

Vladimír Karpecki
senior konzultant, Minerva Česká republika

Z pohledu dodavatele ERP je potřeba rozlišit dvě roviny – samotný software a jeho provoz. Minerva implementuje ERP QAD, jehož tvůrcem je americká společnost QAD. Za splnění požadavků zákona o kybernetické bezpečnosti na straně samotného softwaru proto odpovídá jeho autor. Stejně jako u ostatních světových ERP systémů i nejnovější verze QAD reflektují aktuální požadavky na kybernetickou bezpečnost.

Úkolem Minervy je pak implementovat tento ERP. U on-premise zákazníků dále pomoci zajišťovat požadavky zákona o kybernetické bezpečnosti a u zákazníků cloudových služeb Minervy trvale pokrývat požadavky na kybernetickou bezpečnost ve spolupráci se zákazníkem.

Realita je tedy taková, že se technické požadavky neřeší izolovaně pouze při jednorázové implementaci, ale promítají se do průběžné spolupráce mezi výrobcem ERP, implementačním partnerem, poskytovatelem cloudových služeb a samotným zákazníkem.

ICT revue

Stáhněte si přílohu v PDF

Jiné dělení odpovědnosti

Právě v rozdělení odpovědnosti je i hlavní rozdíl mezi cloudem a on-premise. Primárně v tom, že v cloudu je většina zodpovědnosti na straně poskytovatele cloudových služeb (pořád je tady ale sdílená odpovědnost), zatímco v případě instalace on-premise je zodpovědný za kybernetickou bezpečnost zákazník, a dodavatel ERP mu poskytuje podporu. Požadavky zákona se tak v praxi liší především podle toho, kde končí odpovědnost dodavatele nebo poskytovatele služby a kde začíná odpovědnost zákazníka, zejména u provozních procesů, přístupových práv, interních pravidel a návazných podnikových systémů.

Realita v praxi zatím ukazuje, že samotný ERP nebývá nejčastějším zdrojem problémů. Počet registrovaných incidentů se podle informací, které máme, zvýšil, ale většinou jsou to kybernetické incidenty spojené s jinými podnikovými systémy.

Aby situace vztahující se ke splnění zákonných opatření, která se týkají kybernetické bezpečnosti, byla ještě složitější, některé subjekty jako třeba poskytovatelé cloud computingu mohou přímo podléhat prováděcímu nařízení EK 2024/2690. To plně nahrazuje technické požadavky české vyhlášky o bezpečnostních opatřeních (vydávané NÚKIB). V praxi to znamená, že při posuzování požadavků versus reality u ERP v cloudu nestačí sledovat pouze českou legislativu, ale je nutné zohlednit i evropský regulatorní rámec a konkrétní roli jednotlivých subjektů v dodavatelském řetězci.

Článek byl publikován ve speciální příloze HN ICT revue.