И это важный сигнал не только для ИБ
Forbes опубликовал исследование Digital Security о состоянии SAP-ландшафтов в крупных российских компаниях.
Речь не про «устаревшие системы», а про компании, которые продолжают скрыто эксплуатировать SAP без поддержки и обновлений вендора.
Источник: https://www.forbes.ru/tekhnologii/554028-zaboleli-sapom-soft-ot-nemeckogo-vendora-stal-vorotami-dla-hakerov
Факты, которые приводят исследователи, довольно показательные.
В большинстве таких компаний:
- критические пользовательские транзакции доступны без полноценного разграничения ролей;
- сохраняются устаревшие интерфейсы и сервисы, которые продолжают работать с финансовыми и персональными данными;
- более 70% попыток атак фиксируются внутри SAP-периметра;
- стандартные средства ИБ видят лишь малую часть событий на уровне приложений;
- значительная доля инцидентов связана с сотрудниками и подрядчиками с избыточными полномочиями.
Важно подчеркнуть:
SAP не выведен из эксплуатации. Он работает. Используется. Поддерживается внутренними командами.
Но при этом живет без регулярных обновлений и поддержки вендора, что радикально меняет профиль рисков.
И здесь стоит выйти за рамки темы информационной безопасности.
Исторически SAP и другие ERP стали местом концентрации всего: учета, расчетов, методологии, правил распределения, управленческих выводов.
В том числе туда же была «привязана» аллокация расходов.
В условиях скрытой эксплуатации это начинает проявляться особенно остро:
- модель распределения сложно читать и обсуждать вне самой системы;
- изменения правил требуют вовлечения ИТ и аккуратных доработок;
- пересчет занимает время и несет операционные риски;
- логика аллокации жестко связана с конкретной платформой и ее реализацией.
Отсюда логичный вопрос:
обязательно ли управленческой модели аллокации жить внутри ERP?
Claritech отвечает именно на этот вопрос.
Claritech — это не учет и не транзакции.
Это отдельная модель аллокации и управленческих расчетов.
Что это дает в enterprise-контуре:
- объяснимую модель, которую можно показать бизнесу и обсуждать на одном языке;
- быстрый пересчет при изменении правил и драйверов;
- возможность вносить изменения силами финансовой команды, без программистов;
- прозрачную методологию, где видно, что именно влияет на результат;
- снижение концентрации критичной логики внутри ERP, работающей в режиме скрытой эксплуатации.
В текущих условиях разговор все чаще смещается
не к вопросу «чем заменить SAP»,
а к более практичному: какую логику разумно вынести из него уже сейчас.