迁移到云时要小心ERP数据安全

ERP数据通常被称为公司的“皇冠上的宝石”,因为它包含大量有价值的信息。客户数据,库存,预算,工资单和销售订单是ERP系统持有并处理的所有数据类型。

从历史上看,ERP实施是内部部署,它们是后来转移到基于云的环境中的某些[系统],但是这种情况正在改变。我们看到的更多是一些组织正在将ERP系统移至AWS的云超大规模扩展程序,特定于供应商的云或托管提供商。但是,我们发现,这些组织内部的安全部门绝对关心这是怎么回事,一旦发生,谁有权访问数据。通常,当ERP转移到云时,大多数开发实例具有生产的完整副本,因此它们具有与生产相同的敏感数据。这些组织中的许多组织都试图对此进行更改,因此它们在所有这些不同的系统中都没有这种级别的信息。

人们对迁移到云有什么担忧?

Wendt:假设您进入一个托管环境,其中供应商不仅为您运行硬件和软件,还可以管理应用程序。供应商实际上是在登录您的应用程序,并且它具有可以进入您的应用程序集中的强大帐户。因此,您必须问:供应商正在访问什么?看到了什么?

由于这些安全问题,一些组织非常担心迁移到云。他们不希望在可能无法完全控制它们的区域中所有这些私有的敏感数据。因此,我们正在看到围绕数据的控件的转变,无论是多因素身份验证还是数据屏蔽,尤其是对于那些基于谁正在访问什么类型的数据或是否是私有,个人信息类型的数据的帐户。我们看到的是,其中很多控件都是分层的,尤其是在整个开发堆栈中,而不仅仅是在生产实现中,这是因为整个开发堆栈中都存在私有数据的完整领域。

还有其他原因导致组织可能不愿意将ERP系统(www.xberp.cn)迁移到云中吗?

Wendt:这些通常是关键任务系统,因此您必须谈论灾难恢复以及如果网络被切断或切断会发生什么情况。在过去与我合作过的组织中,我们进行了大量的建设工作,并且在一年之内将我们的最新互联网削减了3次。他们切断了光纤线,这些线并不十分快捷且易于修复。因此,您可能需要等待24至48个小时。如果您在本地,则仍然可以访问所有这些系统。但是,如果它在云中,那么您不会这样做,因为您无法到达那里。

关于ERP系统,有什么特别之处使其变得更加脆弱?

Wendt:ERP变得更具挑战性,因为它们不一定像定义和发现谁有权访问哪些信息那样明确。现在,许多ERP都是在元数据驱动的应用程序中构建的,因此您必须了解该元数据才能真正了解用户正在访问的内容。例如,当您查看PeopleSoft时,要了解数据库级别的字段,您必须查看如何定义字段以及如何在ERP系统的PeopleTool层中构建字段。由于ERP的复杂性(无论是PeopleSoft还是SAP),要了解人们在做什么确实增加了挑战。

组织可以采取哪些措施来提高ERP数据安全性?

Wendt:绝对从安全级别的实现来看,它需要是应用程序内部基于上下文的安全性。如果您考虑使用应用程序的方式(可能基于访问该应用程序的方式),则必须屏蔽数据,或者必须进行多因素身份验证。您还可以根据用户来自哪里来控制对特定交易的访问。这些是非常上下文相关的,基于属性的控件,这些控件分层放置在应用程序中,并将控件返回给组织。因为通常在您访问支持Internet的应用程序后,这些ERP应用程序中的许多只是经过用户ID和密码验证的,因此它们很容易受到攻击。一旦黑客掌握了这些凭据。这就是网络钓鱼攻击如此成功的原因,因为网络钓鱼攻击可以访问该系统以及该用户有权访问的所有角色和事务。当它们从不受信任的位置进入时,您要在其中强制执行最小特权的访问。在那里,您进入了额外的保护层,并通过这些属性来确定某人实际上应该能够执行,查看或编辑的内容。然而,尽管具有所有这些价值,但ERP数据安全性通常是一个鲜为人知的话题,并且ERP系统可能容易受到安全威胁的攻击。从本地系统迁移到基于云的系统的组织尤其如此。

在一个由两部分组成的系列文章的第一个部分中,达拉斯Appsian安全性执行总监Greg Wendt讨论了随着云变得越来越流行,组织需要考虑哪些有关ERP数据安全性的问题。

Appsian主要为SAP和Oracle PeopleSoft系统提供ERP安全服务,包括访问控制,合规性和审计以及威胁防护。

相关文章

联系我们

联系我们

029-88444144      

在线咨询: QQ交谈

邮箱: cnnwn@126.com

工作时间:周一至周五,9:00-17:30,节假日休息

返回顶部