SAP Security Patch Day

SAP Security Patch Day to dzień, w którym SAP publikuje poprawki bezpieczeństwa dla swojego oprogramowania. W każdy drugi wtorek miesiąca prezentowane są informacje w formie biuletynu zawierającego zestawienie not SAP opisujących odnotowane podatności i zagrożenia. Zdarza się, że w przypadku odkrycia krytycznych podatności, SAP wysyła ad-hoc wiadomości mailowe poza zaplanowanym harmonogramem. Takie wiadomości oznaczane są jako Hot News i należy je przeanalizować w pierwszej kolejności, gdyż zawierają informacje krytyczne z punktu widzenia bezpieczeństwa informatycznego.

Każda podatność ma oznaczoną metrykę ważności według skali CVSS, co pozwala określić, które podatności niosą za sobą największe ryzyko. Najwyższą ocenę, powyżej CVSS 9.0, otrzymują poprawki krytyczne, tzw. Hot News, i dla tej kategorii zaleca się wykonanie niezwłocznych działań zabezpieczających.

Noty bezpieczeństwa dotyczą całego portfolio oprogramowania dostarczanego przez SAP. Odnoszą się zarówno do części uruchomionej na serwerach, jak również oprogramowania na stacji końcowej użytkowników – SAP GUI, a nawet poszczególnych funkcji przeglądarek internetowych.

Obecnie, gdy zagrożenia cybernetyczne dotyczą coraz większej liczby firm i podmiotów, każda luka w oprogramowaniu może być potencjalnym punktem wejścia dla atakujących. Coraz więcej ataków opiera się na zautomatyzowanym podejściu, często wspieranym przez sztuczną inteligencję, dlatego liczba zdarzeń bezpieczeństwa rośnie w szybkim tempie. Regularne aktualizowanie oprogramowania i wprowadzanie łatek zabezpieczających pozwala na zminimalizowanie ryzyka ataków.

Zaniechanie aktualizacji poprawek bezpieczeństwa w systemach SAP może narazić firmę na poważne konsekwencje. Po pierwsze, zwiększa to podatność na ataki cybernetyczne, które mogą prowadzić do wycieku danych lub utraty poufnych informacji. Po drugie, zaatakowane systemy mogą zostać uszkodzone, co może prowadzić do wielogodzinnych przestojów w działaniu systemu. Po trzecie, firmie mogą grozić konsekwencje prawne i finansowe wynikające z nieprzestrzegania regulacji dotyczących bezpieczeństwa danych. Wreszcie może ucierpieć reputacja firmy, co prowadzi do utraty zaufania klientów i partnerów biznesowych.

Jak widać, skutki zaniechań w obszarze bezpieczeństwa SAP mogą być bardzo poważne. Większość firm zdaje sobie z tego sprawę i poważnie podchodzi do aktualizacji systemów.

Jednak samo wdrażanie poprawek również wiąże się z szeregiem wyzwań. Każda zmiana w oprogramowaniu może spowodować nieoczekiwane problemy w działaniu innych obszarów, dlatego tak ważny jest proces zarządzania zmianą i testowanie wprowadzanych zmian.

Liczba publikowanych poprawek stale się zwiększa, poprawki dotyczą wszystkich produktów SAP i często są przygotowane dla określonych wersji komponentów lub systemów z zaimplementowanymi specyficznymi funkcjami. Dlatego w pierwszym kroku niezbędne jest określenie, czy dana poprawka w ogóle dotyczy „naszego” systemu. Z odpowiedzią na to pytanie wielu administratorów SAP ma problem, dlatego często korzystają ze wsparcia zewnętrznych firm konsultingowymi SAP w celu wykonania analizy i przygotowania zaleceń dotyczących poszczególnych poprawek.

Po wybraniu poprawek do implementacji należy przeprowadzić odpowiednie zmiany na systemie i wykonać niezbędne testy. Sukces każdej zmiany zależy w dużej mierze od zaimplementowanego procesu zarządzania zmianą w firmie. Braki w tym zakresie, jak np. niedostateczne testy, mogą skutkować nieoczekiwanymi problemami już po implementacji poprawki.

Proces zarządzania podatnościami SAP nie może funkcjonować w oderwaniu od długoterminowego planu aktualizacji i upgrade’u środowiska SAP. W sytuacji kiedy system SAP nie był aktualizowany przez kilka lat, samo wgranie poprawek bezpieczeństwa w większości przypadków okazuje się niemożliwe ze względu na ich ogromną liczbę lub z powodu wymagań co do wersji komponentów systemu, które muszą być spełnione.

Poprawki bezpieczeństwa są zawarte w pakietach aktualizacyjnych SAP (Support Package Stack), dlatego fundamentem niezbędnym do zapewnienia bezpieczeństwa jest regularne aktualizowanie całego środowiska SAP. Wgrywanie comiesięcznych poprawek jest uzupełnieniem tego procesu, pozwalającym na utrzymanie wysokiego stopnia bezpieczeństwa.

Cyberbezpieczeństwo stało się stałym elementem otoczenia prawnego, w którym funkcjonują firmy. Elementy bezpieczeństwa IT zostały także wprowadzone w wymaganiach rozporządzenia RODO (GDPR), które funkcjonuje od wielu lat. Obecnie w Unii Europejskiej została wprowadzona dyrektywa NIS2, która dotyczy firm średniej wielkości i dużych z wielu sektorów. Brak realizacji wytycznych NIS2 może skutkować poważnymi karami finansowymi dla objętych nią podmiotów.