Les chaînes d'approvisionnement SAP n'ont besoin d'aucune confiance pour atteindre la cybersécurité de l'entreprise

janvier 13, 2022 Par admin 0
Les chaînes d'approvisionnement SAP n'ont besoin d'aucune confiance pour atteindre la cybersécurité de l'entreprise

Crédit d'image: Travel mania/Shutterstock

Vous avez manqué une session du Sommet sur l'avenir du travail? Rendez-vous sur notre bibliothèque à la demande du Sommet sur l'avenir du travail pour diffuser.

Tandis que SAP, l'un des leaders mondiaux producteurs de logiciels pour la gestion des processus métier, adopte une approche pour sécuriser les piles technologiques des chaînes d'approvisionnement à l'aide de SAP Data Custodian, Cloud Identity Access Governance et le lancement récent de Enterprise Threat Detection fournissent les bases d'une confiance zéro pour l'infrastructure SAP uniquement, le En fin de compte, ils ne répondent pas aux besoins des entreprises dans divers environnements de chaîne d'approvisionnement.

Pris ensemble, la cybersécurité, la protection et la confidentialité de SAP ne vont pas assez loin pour fournir un zéro- approche basée sur la confiance dans des environnements d'infrastructure cloud hétérogènes qui dominent aujourd'hui les piles technologiques de la chaîne d'approvisionnement de l'entreprise. Comme l'indique la norme NIST Zero Trust Architecture la plus récente, « les actifs et les flux de travail se déplaçant entre l'infrastructure d'entreprise et non-entreprise doivent avoir une politique et une posture de sécurité cohérentes », mais cela n'est pas possible avec les composants de cybersécurité SAP uniquement utilisés pour les chaînes d'approvisionnement aujourd'hui.

La dernière série d'annonces de produits SAP en matière de cybersécurité, de protection et de confidentialité, ainsi que de gouvernance des identités et des accès, fournit des niveaux de support zéro confiance de base pour les environnements centrés sur SAP. Pris ensemble, ils ne vont cependant pas assez loin pour sécuriser les chaînes d'approvisionnement d'une entreprise entière.

SAP Data Custodian en est un bon exemple. Il est possible de sécuriser les terminaux, de protéger les surfaces de menaces, de définir des niveaux d'authentification et d'organiser les réseaux avec la microsegmentation. Le facteur manquant est une plate-forme de point de terminaison sécurisée qui peut protéger les applications commerciales non SAP SaaS et les points de terminaison matériels associés répartis sur les chaînes d'approvisionnement. SAP Data Custodian ne protège pas non plus les applications tierces ou la suite complète d'applications SAP – c'est toujours un travail en cours.

Jusqu'à ce que SAP intègre Data Custodian avec chaque SAP suite d'applications à travers leur suite de chaîne d'approvisionnement, il est prudent de ne pas évoquer la confiance zéro comme différenciateur unique pour les chaînes d'approvisionnement. Il manque une gestion des points de terminaison capable de sécuriser chaque point de terminaison et de traiter chaque identité comme un nouveau périmètre de sécurité, ce qui est au cœur d'un cadre de confiance zéro capable de sécuriser des chaînes d'approvisionnement diversifiées à l'échelle mondiale.

SAP Cloud Identity Access Governance s'adapte bien pour fournir la gestion des rôles, les demandes d'accès, les examens et analyses, et la gestion des accès privilégiés (PAM) avec les solutions SAP, GRC et IAM (gestion des identités et des accès) sur la même pile technologique. Il s'est également avéré efficace pour protéger les chaînes d'approvisionnement SAP qui s'intègrent aux implémentations S4/HANA. Cependant, s'écartant d'une pile technologique SAP, IAM et PAM ne s'adaptent pas ou, dans certains cas, ne peuvent pas protéger les applications d'entreprise tierces. À son honneur, Cloud Identity Access Governance inclut des politiques et des règles préconfigurées pour la gestion des accès. Cependant, SAP exige que ses clients achètent également SAP Access Control pour personnaliser les flux de travail et s'assurer qu'ils incluent des points de terminaison et des configurations de réseau basées sur la microsegmentation qui sont un composant essentiel de tout cadre de confiance zéro.

La vérité sur la confiance zéro avec SAP

L'objectif du modèle de responsabilité partagée est d'attribuer la responsabilité de la sécurité des piles de technologies cloud par les fournisseurs de services cloud, l'infrastructure et les clients cloud. La version SAP du modèle de responsabilité partagée illustrée ci-dessous illustre comment l'entreprise a défini la sécurisation des données elle-même, la gestion de la plate-forme, des applications et de leur accès, ainsi que diverses configurations sous la responsabilité des clients:

Ci-dessus: Communauté SAP, RISE with SAP: Responsabilité partagée de la sécurité pour les services SAP Cloud

Bien que SAP fournisse un support IAM de base, il ne protège pas contre la principale cause des failles de sécurité , y compris l'abus d'informations d'identification privilégiées. Forrester rapporte que 80 % des violations de données sont initiées à l'aide d'informations d'identification privilégiées compromises. Selon les RSSI interrogés qui évaluent les capacités de confiance zéro de SAP, les fournisseurs suivants sont le plus souvent inclus dans les comparaisons: SailPoint Identity Platform, Oracle Identity Manager, Okta Lifecycle Management, Saviynt Security Manager, IBM Security Verify Governance, Ivanti Identity Director, Microsoft Azure Active Directory et Micro Focus NetIQ Identity Manager. Les entreprises comparent souvent ces fournisseurs IAM sur leurs niveaux d'intégration, de déploiement, de service et de support, ces facteurs pesant plus sur les décisions d'achat que sur les fonctionnalités seules.

Les offres de chaîne d'approvisionnement de SAP manquent de diversité

L'approche SAP de l'IAM ne protège pas les privilèges- accéder aux informations d'identification ou protéger chaque point de terminaison des applications tierces, ce qui est essentiel pour créer un cadre de sécurité zéro confiance. Comme l'illustre le modèle de responsabilité partagée, SAP sécurise les services, laissant l'IAM aux clients. Bien que leurs applications PAM et IAM soient utiles dans les environnements entièrement SAP, elles ne reflètent pas à quel point les piles de la chaîne d'approvisionnement SAP peuvent être diverses et complexes dans presque toutes les entreprises aujourd'hui.

    VentureBeat

  • La mission de VentureBeat est d'être une place publique numérique permettant aux décideurs techniques d'acquérir des connaissances sur la technologie transformatrice et d'effectuer des transactions. Notre site fournit des informations essentielles sur les technologies et les stratégies de données pour vous guider dans la gestion de vos organisations. Nous vous invitons à devenir membre de notre communauté, pour accéder à :

    • des informations à jour sur les sujets qui vous intéressent

    nos newsletters contenu de leader d'opinion et accès à prix réduit à nos événements prisés, tels que Transformer 2021: En savoir plus

    Fonctionnalités de mise en réseau, et plus encore

    Devenir membre