Como garantir a segurança da informação SAP

O SAP, a escolha de ERP para mais de 440 mil empresas no mundo, oferece inúmeros benefícios com o potencial de transformar para melhor o back office da sua empresa. No entanto, com os benefícios também vêm os desafios, como a segurança da informação SAP.

No entanto, quando muitas pessoas pensam sobre segurança do sistema SAP, as primeiras coisas que vêm à mente são programas como firewalls ou software de detecção de malware. No entanto, a segurança da informação SAP diz respeito tanto aos sistemas organizacionais e aos processos que sua empresa possui quanto a qualquer outra coisa.

Dessas estruturas organizacionais, uma das mais importantes é como as empresas atribuem responsabilidade por certas tarefas relacionadas ao uso do ERP. Isso é chamado de Segregação de Funções ou SoD, em inglês Segregation of Duties.

No artigo de hoje, explicaremos em detalhes o que é a Segregação de Funções e como aplicá-la na sua empresa para garantir a segurança da informação SAP!

O que é a Segregação de Funções?

O ambiente SAP é altamente vulnerável e armazena os dados mais sensíveis da empresa. Enquanto a própria SAP tenha abordado considerações sobre ameaças externas ao sistema — liberando patches regularmente para garantir proteção contra as principais ameaças — o sistema ainda exige uma abordagem diferente para garantir a segurança da informação SAP.

O planejamento e gerenciamento da Segregação de Funções é um dos elementos mais críticos ao fazer a gestão da segurança do seu sistema ERP.

O objetivo da Segregação de Funções é bem simples: nenhum indivíduo deve ter acesso a duas ou mais partes de um processo de negócios. O SoD, como também é chamado, foi projetado para evitar fraudes e erros. Assim, exigindo mais de uma pessoa para realizar as várias atividades necessárias para concluir dado processo.

Por exemplo, com a segregação, seria impossível para o mesmo profissional criar uma ordem de compra e aprovar o pagamento dessa ordem. Isso porque uma pessoa com todos esses privilégios pode usá-los para benefício próprio (fraude) ou, simplesmente, cometer erros que comprometem a empresa e seus dados.

Mecanismos de SoD reduzem o risco ao dividir as partes de um processo, como o processo de requisição de compras, entre diferentes indivíduos.

A importância do SoD para a segurança da informação SAP

Pensando na segurança da informação SAP, o SoD visa, principalmente, duas coisas: evitar conflitos de interesse que podem resultar em abuso ou fraude e prevenir falhas de controle que podem resultar em roubo de dados ou violações de segurança.

Por exemplo, um conflito de interesses surgiria se a pessoa responsável pela segurança do sistema também redigisse e entregasse seus próprios relatórios de desempenho. Em teoria, uma pessoa nessa posição poderia negligenciar suas obrigações, mas continuar relatando que “está tudo bem” sem supervisão.

Da mesma forma, se um indivíduo é responsável por desenvolver e testar um sistema de segurança, é mais provável que ele não perceba seus pontos fracos. Ou, eles podem projetar intencionalmente uma brecha no sistema para explorar mais tarde, sabendo que ninguém mais poderia testar e encontrar.

Para evitar essas situações, diferentes pessoas devem ser responsáveis por essas funções — daí a importância da Segregação de Funções.

A Segregação de Funções também possibilita à empresa estar em conformidade com os novos regulamentos de proteção. A LGPD, por exemplo, a lei brasileira que busca proteger os dados pessoais do cidadão, entrou em vigor em agosto e exige que organizações de todos os portes implementem medidas robustas de segurança da informação, para proteger as informações pessoais de clientes ou fornecedores.

O SoD, portanto, ajudam a garantir que esses dados, armazenados no SAP, permaneçam em sigilo, garantindo o compliance em TI da empresa.

O princípio do menor privilégio na Segregação de Funções

Na prática, a Segregação de Funções se baseia no princípio de menor privilégio, um princípio conhecido para gestores de TI. Para relembrar, o menor privilégio diz respeito às práticas que visam garantir que profissionais recebam acesso apenas às ferramentas e dados estritamente necessários para executar seus trabalhos.

Na TI geral, os controles de privilégios são geralmente ligados às funções de trabalho. Por exemplo, isso significa que um funcionário possa visualizar um arquivo mas não o editar, dependendo da sua função de trabalho. Ou que não tenha permissão para fazer o download de determinados softwares no computador da empresa.

O controle de privilégios também previne ataques e vazamento de dados — se um criminoso obter acesso a conta de um funcionário, ele não pode ir muito longe, além das funções que aquele profissional está permitido a acessar. Isso também é válido para a segurança da informação SAP.

Veja mais >> Por que alocar o SAP na nuvem?

Como implementar a Segregação de Funções na empresa

A Segregação de Funções é a melhor prática para gerenciar e reduzir os riscos internos no uso do sistema SAP. Ela é um dos principais pontos verificados por auditores em auditorias que buscam identificar os mecanismos de segurança implementados contra fraudes, erros e vazamentos de dados.

Os auditores, em geral, procuram evidências de como sua empresa gerencia a Segregação de Funções e quais controles tem no lugar para garantir que ela continue sendo cumprida, independentemente das mudanças que aconteçam no quadro de funcionários da empresa.

A primeira etapa para a segurança da informação SAP é definir suas políticas ou regras de Segregação de Funções. Nesse sentido, é preciso avaliar os processos de negócios para identificar os riscos e determinar quais tarefas devem ser segregadas.

Diante desse cenário, você deve trabalhar com os usuários do sistema SAP para mapear as tarefas para processos específicos e definir as regras de SoD. Assim, ao definir regras, é importante incluir as aplicações periféricas que enviam ou recebem dados do SAP.

Uma vez que as regras estejam estabelecidas, você precisa ser capaz de produzir relatórios SoD para identificar qualquer um que tenha acesso que viole suas regras.

Para evitar a criação inadvertida de violações de SoD quando os usuários recebem novos privilégios de acesso, você também deve implementar controles preventivos para verificar se há conflitos de SoD antes que o novo acesso seja concedido.

Haverá ocasiões em que os usuários precisam violar legitimamente as regras do SoD, talvez para cobrir uma ausência na equipe ou onde em pequenas equipes. Ou seja, em times onde os indivíduos precisam assumir uma gama mais ampla de responsabilidades (algo comum em pequenas empresas).

Essas exceções devem ser documentadas e você também deve implementar controles de compensação para monitorar as atividades desses usuários.

Para acertar na Segregação de Funções e garantir a segurança da informação SAP, você também pode contar com uma consultoria SAP especializada. Ela te ajudará a estabelecer a hierarquia de funções na empresa e garantir que seja sempre cumprida.

Para saber mais, veja também a importância de uma boa consultoria SAP em contraste aos processos operacionais de negócios!