Par Dudley Cartwright, PDG de Soterion, fournisseur de solutions GRC (Gouvernance, Risques et Conformité) SAP

 

Selon les prédictions de Stephen McBride, contributeur pour le magazine Forbes et rédacteur à la revue de conseils RiskHedge Report, la plus grande cyberattaque de l’histoire se déroulera probablement dans les six prochains mois, facilitée par la crise du coronavirus (article disponible ici).

Stephen McBride explique que la multiplication des appareils connectés à un réseau augmente le nombre de points d’entrée possibles, ce qui facilite l’accès des pirates informatiques. Bon nombre de salariés s’étant subitement retrouvés en télétravail, les sociétés n’ont eu que quelques jours pour bricoler des plans de travail à distance. Or, les plans de sécurité des systèmes ont souvent négligé deux éléments clés dans cette nouvelle configuration : le nombre colossal de télétravailleurs et l’utilisation de connexions Internet moins sécurisées à domicile. Il suffit aux pirates informatiques d’accéder au réseau via l’un de ces points d’entrée non sécurisés.

Ils ont ainsi réussi à pénétrer dans les systèmes de la première entreprise américaine de défense, Lockheed Martin, en ciblant des télétravailleurs. S’ils parviennent à infiltrer ce type de réseau, nul doute que les télétravailleurs moins protégés constituent des proies faciles, a-t-il ajouté.

Ces deux derniers mois, les pirates informatiques ont ciblé le département de la Santé des États-Unis. Par ailleurs, les attaques à l’encontre de l’Organisation mondiale de la Santé ont plus que doublé.

CYFIRMA, cabinet d’études spécialisé dans le cyber-renseignement, a révélé que les cybermenaces liées au coronavirus avaient bondi de 600 % entre février et mars. Selon Stephen McBride, ce n’est qu’une question de temps avant que l’on entende parler d’une attaque informatique de grande ampleur.

Dans son récent article, Reza Rassuli, PDG de SDA Inc. et conseiller technique SAP, cite cinq grandes menaces informatiques que les entreprises sous SAP doivent prendre au sérieux et surveiller en 2020. Il s’agit des attaques d’ingénierie sociale, des attaques IoT, des attaques par rançongiciel, des menaces internes et des menaces commanditées par des États. Il conseille aux utilisateurs SAP de renforcer leurs programmes de détection des menaces en temps réel ou en amont, avant qu’il ne soit trop tard.

Dans un récent article traitant des enjeux liés à la COVID-19, même l’entreprise SAP a insisté sur la nécessité impérieuse de renforcer la cybersécurité, tandis que le Forum économique mondial a mis en garde contre l’organisation croissante des cybercriminels, décidés à tirer profit de la tragédie sanitaire en cours.

Dans cet article, nous nous intéressons à diverses tâches de sécurité qu’une entreprise doit envisager afin de minimiser le risque de menace interne procédant du télétravail.

Cette « nouvelle normalité » imposée par le télétravail s’accompagne de risques élevés en matière de sécurité, qui doivent inciter les entreprises à modifier leurs protocoles à cet égard.

Accéder au système SAP depuis son domicile n’est pas du tout la même chose que depuis le bureau. Cela fait émerger des failles. Si l’on ajoute le risque accru d’intrusion (menace externe), il est probable que le travail depuis la maison augmente aussi le risque de fuite de données (menace interne).

Cela soulève un certain nombre de questions. Le télétravail va-t-il changer nos comportements d’utilisateur ? Le fait de ne pas avoir de superviseur ou de collègues à proximité va-t-il bouleverser le comportement des utilisateurs dans le sens où ceux-ci pourront accéder au système et « l’explorer » à leur guise ? Seront-ils plus susceptibles de télécharger des données sur une clé USB s’il n’y a personne pour les surprendre ?

On peut affirmer sans exagération que le comportement de bon nombre de salariés ne sera pas tout à fait le même hors de l’environnement classique du bureau. Le télétravail agira comme un catalyseur poussant les entreprises à développer leurs activités de sécurité SAP, suivant là les conseils prodigués depuis des années par les professionnels du milieu.

 

Les entreprises doivent se concentrer davantage sur cinq grands domaines de la sécurité SAP dans cette nouvelle ère marquée par le télétravail :

1.  Configuration de droits d’accès utilisateur appropriés :  
Bon nombre d’entreprises disposent d’un système obsolète en matière de conception des rôles SAP. Au fil des années, les utilisateurs ont acquis divers droits d’accès inadaptés à leurs fonctions. Pour minimiser le risque de fuite et d’intrusion, il est impératif que les entreprises adoptent le modèle « Zero Trust » (ou Zéro Confiance), une approche qui garantit l’octroi de droits d’accès appropriés selon les utilisateurs.

2. Personnalisation de l’ensemble de règles :
Les entreprises sont nombreuses à déployer une solution de gestion des risques d’accès en utilisant l’ensemble de règles standard sans guère d’adaptation, voire aucune. Il est indispensable de personnaliser l’ensemble de règles en fonction des risques de l’entreprise. Quant aux entreprises qui appliquent un processus d’adaptation de l’ensemble de règles, elles sont très peu à réviser (modifier/actualiser/adapter) cet ensemble de règles après le projet initial. Compte tenu des risques accrus découlant du télétravail, les entreprises doivent insister davantage sur la personnalisation de l’ensemble de règles standard. L’objectif est de garantir que cet ensemble de règles tient compte des risques applicables à l’entreprise en question, y compris les risques concernant la confidentialité des données.

3. Responsabilité des entreprises face aux risques :
Les entreprises font face à deux difficultés majeures : le manque d’adhésion à ces pratiques et une transparence insuffisante dans la gestion des risques d’accès. Cela s’explique souvent par une méconnaissance des risques et de leurs répercussions éventuelles sur l’entreprise. Quand une entreprise ne comprend pas les risques et les effets en découlant, il est fort probable qu’elle accordera et approuvera des droits d’accès inadaptés.

4. Révision des droits d’accès utilisateur :
Le processus de révision des droits d’accès utilisateur oblige les entreprises à examiner régulièrement les droits d’accès SAP de tous les utilisateurs. La plupart des entreprises pratiquent cet examen une fois par an. Compte tenu des risques accrus découlant du télétravail, il est indispensable d’examiner plus régulièrement les droits d’accès des utilisateurs pour déterminer s’ils sont toujours adaptés à leurs fonctions. De nombreuses entreprises devront entamer un processus de révision périodique des droits d’accès des utilisateurs et la fréquence de ces révisions devra probablement être intensifiée pour devenir semestrielle, voire trimestrielle.

5. Activation de différents types de journalisation :
Il existe plusieurs types de journalisation possibles dans SAP pour obtenir des informations utiles. Or, très peu d’entreprises les activent, pour diverses raisons, comme des questions d’espace ou de performance. Compte tenu des risques accrus découlant du télétravail, il est crucial d’activer certaines catégories de journalisation.

Outre les filtres SM20 de base pour le lancement de transactions, il est conseillé d’activer d’autres filtres, comme l’accès générique aux tables (CUZ et DU9) ou les appels RFC permettant d’accéder à des données dans SAP. La confidentialité des données étant devenue un enjeu majeur avec l’adoption de plusieurs réglementations, dont le RGPD, la loi CCPA (California Consumer Privacy Act) et la loi POPIA (Protection of Personal Information Act), il devient crucial de savoir qui a accès à ces données et la journalisation de ces informations peut être configurée au moyen de la fonction Journalisation d’accès en lecture (RAL) dans SAP.

 

Si vous souhaitez savoir comment Soterion peut vous accompagner dans la gestion des problèmes de sécurité SAP cités dans cet article, veuillez nous contacter par e-mail à l’adresse [email protected] Nous nous réjouissons à l’idée de vous aider.

En savoir plus sur nos offresLogiciel en tant que service (SaaS)Infogérance et Logiciel sur siteLes modules GRC de Soterion incluent les outils suivants : Gestionnaire des risque d’accèsGestionnaire des révisions de baseGestionnaire des droits avancésGestionnaire des révisions périodiques, ESS (Employee Self-Service) et Gestionnaire des licences SAP.

  • Partager

Retour à la liste des dernières nouvelles