Neben der technischen (Un-)Sicherheit von SAP-Umgebungen sind immer wieder auch fehlende Transparenz, Kommunikation, unklare Prozesse und Verantwortlichkeiten die Ursachen für offene Flanken. Die Firma Onapsis hat einen kurzen Fragenkatalog aufgestellt, mit dem Verantwortliche Mängel in der eigenen SAP-Sicherheitspolitik entdecken können.
Laut Onapsis können zehn Fragen für jeden Betreiber von Infrastrukturen als Checkliste dienen, wie es um seine SAP-Sicherheit bestellt ist:
- Haben die Verantwortlichen einen Überblick über sämtliche geschäftskritischen Applikationen und die SAP-Infrastruktur – sowie über deren spezifische geschäftliche Relevanz (z. B. darin gespeicherte sensible Informationen, laufende Schlüsselprozesse und Zahl der Anwender, die die Services nutzen)?
- Betreibt das Unternehmen geschäftskritische SAP-Applikationen, die über das Internet oder für Geschäftspartner sowie ausgegliederte Subunternehmer in fremden Ländern zugänglich sind?
- Wie oft finden Besprechungen mit dem ERP-Sicherheitsteam statt und gegenüber wem ist dieses Team rechenschaftspflichtig?
- Kennt das ERP-Sicherheitsteam die aktuellen Schwachstellen, Malware- und Hacker-Techniken, die es speziell auf SAP-Systeme abgesehen haben und wie werden solche Schwachstellen dokumentiert? Was ist, wenn ein Angreifer einen Exploit ausgenutzt hat, der bereits seit Jahren öffentlich bekannt ist?
- Wer ist im Unternehmen für Verletzungen der Cyber-Sicherheit verantwortlich, die die ERP-Plattform beeinträchtigen?
- Setzt das Unternehmen gegenwärtig ein Sicherheits- und Compliance-Audit- und Bewertungsprogramm von SAP um? Welche Techniken oder Dienste nutzt das Unternehmen dafür?
- In welchen Zeiträumen werden Sicherheitspatches von SAP auf Applikationsebene implementiert? Wer definiert und priorisiert dabei, welche Patches angewendet werden sollen? Werden Patch-Prozesse dokumentiert?
- Wissen die Verantwortlichen, ob ihre SAP-Systeme in der Vergangenheit angegriffen worden sind? Falls ja, welche Logging-Quellen oder forensische Lösungen setzen Sie zum Erkennen von schädlichen Aktivitäten ein?
- Werden SAP-Systeme gegenwärtig auf Angriffe auf Applikationsebene überwacht? Auf auffälliges Nutzerverhalten? Wie?
- Verfügt das Unternehmen über einen dokumentierten Plan zum Umgang mit der erhöhten Gefahr eines Angriffs auf geschäftskritische Applikationen?
Quelle: Onapsis
Linktipp: The Onapsis Security Blog
