Bezpieczeństwo danych w systemach ERP – jak się zabezpieczyć?

# BMS

Bezpieczeństwo danych w systemach ERP – jak się zabezpieczyć?

28.05.2024

W tym artykule dowiesz się:

Na co szczególnie należy zwracać uwagę korzystając z systemu ERP
W jaki sposób chronić dane w firmie
Dlaczego w ochronie danych istotna jest kultura organizacji
Jak przeprowadzać audyty, aby realnie zwiększały bezpieczeństwo danych

Wiele firm korzysta codziennie z systemów ERP, ale trzeba pamiętać, że integracja wszystkich procesów w jednej platformie, choć pomocna, może stanowić zagrożenie dla bezpieczeństwa danych. Jak się zabezpieczyć przed awariami i zagrożeniami?

Główne zagrożenia bezpieczeństwa danych w systemach ERP

Bezpieczeństwo danych w systemach ERP jest ważne bez względu na to, czy mowa o wymianie systemu na nowy, czy o optymalizacji już stosowanego. Ochrona danych w ERP jest zagadnieniem uniwersalnym (chociaż niektóre zagrożenia mogą być specyficzne dla branży) i skorzysta z niej zarówno sektor produkcyjny, jak i nadmorski hotel stosujący tego typu system do rezerwacji pokoi.

Żeby jednak skutecznie zadbać o cyberbezpieczeństwo ERP, trzeba zdawać sobie sprawę z rozmaitości czyhających zagrożeń. Jednym z najgroźniejszych (z tego powodu jego świadomość jest wysoka) są ataki zewnętrzne w postaci włamań hakerów np. w celu kradzieży danych. Można sobie łatwo wyobrazić, że skutkujący zaszyfrowaniem danych i żądaniem okupu atak ransomware mógłby być kłopotliwy dla firmy zarządzającej flotą transportową.

Równie groźne są ataki wewnętrzne – mowa o skrajnych przypadkach takich jak sabotaż przemysłowy, ale również (a nawet bardziej) o zwykłych niedopatrzeniach z tragicznymi skutkami. Do naruszeń danych, jak wynika z danych firm doradczych ODO 24 i iSecure, najczęściej dochodzi z powodu ludzkich błędów w postaci słabych haseł, braku aktualizacji oprogramowania, wysłania maila na niewłaściwy adres czy zgubienia papierowych dokumentów.

Ochrona danych osobowych i poufnych informacji

Ochrona danych osobowych i poufnych informacji to obowiązek każdej firmy nie tylko ze względu na RODO, ale przede wszystkim z powodu elementarnej przyzwoitości biznesowej. Jest to niezbędne w zapewnianiu ciągłości operacyjnej. Nie warto tej sprawy bagatelizować, ponieważ naprawa skutków ewentualnych naruszeń jest niejednokrotnie droższa i bardziej wymagająca niż regularna dbałość o zabezpieczenia.

Bezpieczeństwo danych w ERP w największej mierze zależy od świadomości użytkowników systemów. Brak wiedzy na temat zagrożeń czy nieznajomość metod tworzenia silnych haseł sprawiają, że rośnie zagrożenie atakami. Z tego powodu warto inwestować w systematyczne szkolenia pracowników, a także dbać o zarządzanie dostępem – do niektórych danych mogą mieć dostęp wszyscy, ale wobec najbardziej poufnych należy stosować zasadę najmniejszych uprawnień (choć może ona być stosowane wobec wszystkich danych i użytkowników).

Dane należy też chronić za pomocą software’u. Należy nie tylko zainstalować na firmowych urządzeniach oprogramowanie antywirusowe (z naciskiem na zabezpieczenia antymalware’owe i antyphishingowe), ale też monitorować aktywność użytkowników za pomocą aplikacji SIEM, czyli Security Information and Event Management. Pomocny będzie też hardware – mowa zarówno o zabezpieczeniach serwerów (np. połączenie grubych drzwi i kart magnetycznych może zdziałać cuda), jak i o kluczach fizycznych chroniących najważniejsze dane.

Procedury bezpieczeństwa i najlepsze praktyki

Zabezpieczenia wirtualne i fizyczne to tylko jeden element ochrony danych w systemach ERP. Poza nimi należy zadbać także o kwestie kulturowe – mowa o stworzeniu kultury organizacyjnej kładącej duży nacisk na kwestie związane z bezpieczeństwem systemów. Jedną z najlepszych praktyk w tym wypadku jest opracowanie szczegółowej polityki bezpieczeństwa, w której zawarte zostaną wszystkie najważniejsze standardy i procedury dotyczące ochrony danych.

Poza standardami i procesami warto dbać o aktualizacje oprogramowania, ponieważ według danych Ponemon Institute 57% naruszeń danych udałoby się uniknąć, gdyby zaatakowany sprzęt posiadał aktualne oprogramowanie. Warto też wdrożyć metody szyfrowania danych, takie jak Advanced Encryption Standard czy algorytm Rivesta-Shamira-Adlemana – bez względu na wybraną metodę dobrze jest szyfrować wszystkie rodzaje danych, zarówno w spoczynku, jak i w transmisji.

Inną często stosowaną procedurą bezpieczeństwa w ochronie danych w ERP jest plan zarządzania incydentami. Jest to dokument określający dokładny plan działania w przypadku naruszeń bezpieczeństwa, a jego opracowanie skraca czas reakcji na ataki i przywracania usług. Oprócz tego należy regularnie (np. raz w tygodniu) tworzyć kopie zapasowe danych. Dobrze jest też przechowywać je w bezpiecznym (najlepiej odłączonym od sieci) miejscu.

Audyt bezpieczeństwa i zarządzanie ryzykiem

Audyt bezpieczeństwa i zarządzenie ryzykiem są wymaganymi elementami każdej strategii zarządzania bezpieczeństwem danych w systemach ERP. Nie wystarczy jednak regularnie je przeprowadzać – trzeba jeszcze wiedzieć, jak to robić. Najbardziej efektywnym kosztowo w długim okresie rozwiązaniem jest zatrudnienie wewnętrznego specjalisty od audytów, ale rozwiązaniem o podobnej skuteczności jest powierzenie tego zadania firmom audytorskim.

Stosowane zabezpieczenia należy oceniać według ich zgodności z wewnętrzną polityką bezpieczeństwa, ale równie ważne jest porównanie z regulacjami branżowymi oraz standardami ISO. Audytować należy wszystko – od konfiguracji systemów, przez uprawnienia dostępu, po sposoby zarządzania hasłami i logami zdarzeń.

Audyt bezpieczeństwa powinien zakończyć się przygotowaniem raportu z wynikami, zidentyfikowanymi zagrożeniami oraz zaleceniami poprawek. Te ostatnie należy wdrożyć najszybciej jak to możliwe, ponieważ zwlekanie z naprawą zabezpieczeń może skończyć się poważnymi problemami i stratami finansowymi.

Wdrożenie zaleceń audytu bezpieczeństwa to nie koniec prac nad ochroną danych w systemach ERP. Dobrze jest regularnie analizować możliwe ryzyka, opracować scenariusze reagowania na różne problemy oraz rozwijać świadomość i umiejętności użytkowników systemu – zwłaszcza to ostatnie pozwala skutecznie chronić oprogramowanie przed zewnętrznymi atakami i wewnętrznymi naruszeniami.