Segurança da Informação SAP: tudo o que você precisa saber sobre o tema
Conteúdo também disponível em áudio e para download!
A SAP é líder mundial no mercado de aplicações de software empresarial. São mais de 440 mil clientes ao redor do mundo, 15 mil deles somente no Brasil, onde a empresa atua há mais de 25 anos.
Não há dúvidas, portanto, da qualidade do que a SAP oferece. Como uma das empresas referência quando o assunto é ERP (Enterprise Resource Planning, ou Planejamento dos Recursos da Empresa), a SAP fornece um produto completo e pronto para otimizar a gestão da empresa.
O grande problema é que, ao reunir todos os mais importantes dados da organização, o software ERP se torna um importante foco de riscos para a empresa. Pensar na segurança da informação SAP, portanto, é fundamental.
No entanto, ao contrário do que muitos pensam, a segurança da informação SAP vai muito além de cuidar para que não tentativas de invasão externas não sejam bem-sucedidas. Estudos mostraram que 63% dos ataques bem-sucedidos vêm de fontes internas, seja por erros ou fraude.
Isso significa que as ameaças aos dados da sua empresa não estão somente lá fora, mas podem estar dentro das paredes do seu escritório.
A segurança da informação SAP deve englobar as medidas de proteção internas que impedem funcionários ou terceiros de agirem de forma maliciosa, intencionalmente ou não.
Esse é um assunto complexo, com muitos detalhes, mas de extrema importância para garantir conformidade legal e segurança às informações mais sigilosas do seu negócio.
Por isso, reunimos nesta página tudo que você precisa saber sobre segurança da informação SAP. Continue lendo ou navegue pelo menu abaixo para acessar os tópicos que mais lhe interessam.
Boa leitura!
O que é segurança da informação SAP?
O SAP é a espinha dorsal da gestão de muitas organizações. Ele permite a uma empresa usar aplicativos integrados para gerenciamento de negócios e automação da maioria das funções de backoffice, como recursos humanos, serviços e tecnologia. Funciona como um banco de dados central compartilhado que pode suportar várias tarefas em diferentes unidades de uma mesma empresa.
A segurança da informação SAP, portanto, diz respeito às medidas tomadas para garantir que os dados inseridos no SAP permaneçam dentro dos servidores da empresa. Entre as medidas, podemos citar a proteção da infraestrutura que hospeda o sistema, treinamento dos funcionários que o utilizam, segregação de funções e segurança das aplicações periféricas que se conectam ao SAP.
- Infraestrutura: é preciso avaliar o software e o hardware que suportarão o sistema para garantir a segurança dos dados. O software será instalado no local na nuvem? Se for no local, os servidores estão protegidos? No caso da nuvem, qual nível de segurança o provedor oferece?
- Segregação de funções: o SAP integra dados de todos os departamentos da empresa e em todos os níveis. Por isso, é preciso pensar na hierarquia de acesso para que determinados dados só sejam acessados por profissionais autorizados;
- Treinamento: os colaboradores são sua linha de frente. São eles que operam o sistema diariamente e lidam com diferentes níveis de dados sigilosos. Para garantir que não haja mau uso, é preciso treinar o time sobre as melhores práticas de segurança. Em outras palavras, é preciso priorizar a criação de senhas fortes, o não compartilhamento de senhas e ações para prevenir ataques que utilizam de engenharia social;
- Aplicações periféricas: é comum que o SAP seja conectado a aplicações periféricas. Também é preciso pensar em como essa conexão será feita e quais são as medidas de proteção dessas aplicações para garantir que os dados que trafegam entre os dois sistemas estejam seguros.
Veja mais >> O que é a segurança da informação SAP
Quais os problemas gerados por falha na segurança da informação SAP?
O SAP carrega informações muito sensíveis para uma organização, como planejamento financeiro, folha de pagamento, fórmulas de fabricação, gestão de estoque, logística, preços, cobrança, cartões de crédito, vendas, informações pessoais de funcionários, clientes e fornecedores, propriedade intelectual da empresa… e a lista continua.
Com operações de negócios tão cruciais sendo suportadas pelo sistema ERP, fica clara importância de se preocupar com a segurança da informação SAP.
Cada incidente acontece por um motivo diferente, intencional ou não. Enquanto alguns funcionários podem simplesmente esquecer a senha anotada em cima da mesa, deixando a “porta aberta” para agentes maliciosos, outros podem deliberadamente utilizar dos seus privilégios de acesso para cometer fraude, sem que a diretoria da organização note.
Portanto, qualquer organização empresarial que queira sobreviver nesta era moderna precisa ter medidas rigorosas de segurança da informação para proteger seu software SAP. É preciso estar preparado para detectar e gerenciar a situação, antes que ela cause problemas.
Esses problemas incluem:
- Perdas financeiras: fraudes ou erros na gestão do negócio podem levar diretamente a perdas financeiras, que afetam o caixa da empresa;
- Perda de reputação: além das perdas financeiras, a organização está sujeita à perda de reputação, que leva à desconfiança no mercado e podem gerar mais prejuízos financeiros;
- Multas e penalidades legais: por último, toda organização deve cumprir com requisitos legais gerais ou específicos do seu nicho que exigem à prevenção contra fraudes e a proteção dos dados pessoais de consumidores, empregados e terceiros.
Veja mais >> Os problemas gerados por falha na segurança da informação SAP
Garantindo a segurança da informação SAP: a segregação de funções
A segregação de funções é um controle interno que impede que uma única pessoa seja responsável por duas ou mais tarefas em um processo de negócios. A segregação de funções (também chamada de SoD, da sigla em inglês Segregation of Duties) permite mitigar o risco de fraude, desperdício e erro dentro do sistema SAP da empresa.
Os cargos reais e a estrutura organizacional podem variar muito de uma organização para outra, dependendo do tamanho e da natureza do negócio. Portanto, é importante que a gestão analise o conjunto de habilidades e capacidades dos indivíduos envolvidos com base na probabilidade de risco e no impacto nos processos de negócios.
As tarefas críticas do trabalho podem ser categorizadas em quatro tipos de funções: autorização, custódia, manutenção de registros e reconciliação. Em um sistema perfeito, nenhuma pessoa deve realizar mais de um tipo de função.
A segregação de funções deve se basear no princípio de menor privilégio, que diz respeito às práticas que visam garantir que profissionais recebam acesso apenas às ferramentas e dados estritamente necessários para executar seus trabalhos.
Aqui estão alguns exemplos de segregação de funções:
- A pessoa que recebe mercadorias de fornecedores no depósito não pode assinar cheques para pagar aos fornecedores por essas mercadorias;
- A pessoa que mantém os registros de estoque não controla a posse física desse estoque;
- Quem vende um ativo imobilizado a terceiro não pode registrar a venda nem ficar com a custódia do pagamento do terceiro.
Como implantar a segregação de funções no SAP?
Muitas empresas lutam para implementar controles eficazes de segregação de funções em seus sistemas SAP, embora o conceito de SoD seja simples, conforme descrito acima.
Isso se deve principalmente à complexidade e variedade dos aplicativos que automatizam os principais processos de negócios. A propriedade e a responsabilidade pelo controle desses processos requerem uma análise completa de milhares de funções e responsabilidades atribuídas aos usuários. Essa análise é chamada de matriz de conflitos.
A matriz de conflitos lista os conflitos em potencial para determinar qual risco pode ocorrer se um usuário tiver acesso ou autorizações a uma combinação de responsabilidades.
Por exemplo, qual é a probabilidade de que um usuário possa criar um fornecedor fictício e fazer um pagamento a esse fornecedor? A probabilidade e o impacto do risco variam de acordo com a indústria, o modelo de negócios e até mesmo a unidade de negócios individual.
Não é incomum para uma grande empresa ter mais de uma matriz devido às diferenças nos processos de negócios por local ou unidade de negócios.
Por exemplo, uma empresa pode ter uma unidade de negócios de manufatura com uma grande quantidade de estoque, exigindo uma matriz de segregação de funções que se concentra em transações de estoque específicas. Eles também podem ter uma unidade de negócios baseada em serviços, necessitando de foco na contabilidade do projeto, exigindo uma matriz diferente.
Embora o conhecimento de negócios e setores semelhantes possa ajudar a estabelecer a matriz de conflitos, cada unidade de negócios deve realizar uma análise personalizada de suas transações conflitantes para capturar o risco real para aquele modelo de negócios específico.
Por isso, contar com uma consultoria SAP especializada, especialmente em grandes empresas, é a melhor forma de garantir uma matriz atualizada e devidamente aplicada em toda a hierarquia da organização.
Veja mais >> Como garantir a segurança da informação SAP
Como a segurança da informação SAP garante um bom compliance de TI
A segregação de funções é um bloco básico de gerenciamento de risco sustentável e compliance de TI para uma empresa.
O compliance de TI e a segurança da informação não são a mesma coisa, mas devem andar de mãos dadas. Os dois buscam proteger os ativos da empresa, no entanto, no caso do compliance, essa proteção é guiada por instruções de uma entidade terceira, como um governo, padrão de segurança externo os termos de contrato com um cliente.
Uma organização que queira fazer negócios nos EUA, onde as leis contra fraudes são rígidas, deve cumprir os requisitos do governo estadunidense. Da mesma forma, alguns setores, como o de saúde e finanças, são mais regulados e organizações nessas áreas devem estar atentas a padrões exigentes de regulação.
Por exemplo, para ser compatível com o padrão PCI-DSS (do mercado de finanças) ou com a ISO:27001 (que estabelece padrões para a segurança da informação), a empresa deve cumprir requisitos muito específicos. Esses padrões podem ser exigidos para operar em determinado mercado ou para fechar contrato com um cliente de alto perfil.
O compliance de TI, portanto, aumenta a satisfação do cliente e a confiança do mercado na organização, além de evitar que as operações sejam consideradas ilegais.
O princípio da segregação de funções é uma parte básica dos controles internos descritos nesses padrões de regulação. Ele é baseado nas responsabilidades compartilhadas de um processo-chave, em que as funções críticas de um processo são atribuídas a mais de uma pessoa ou departamento. Gerenciar riscos de fraude e erro é difícil sem essa separação nos processos-chave.
O principal objetivo da aplicação da segregação de funções é evitar as instâncias e oportunidades para cometer ou ocultar uma fraude e / ou erro no curso normal das atividades de uma organização. Ter mais de uma pessoa para realizar uma tarefa minimiza a oportunidade de transgressão e ajuda a detectar qualquer má conduta ou erros não intencionais — seja qual for a causa real.
Mas a SoD não é apenas para prevenir fraudes. Também ajuda a evitar a ocorrência de erros em grande escala. Por exemplo, o caso de alerta falso de mísseis no Havaí poderia ter sido evitado se as funções de criar e testar o sistema de alerta de mísseis tivessem sido separadas das de enviar um alerta ao vivo.
O fato de um único funcionário poder enviar acidentalmente um falso alerta indica um erro no projeto do sistema de alerta de segurança. Desde então, o Havaí mudou seu sistema para que duas pessoas agora sejam obrigadas a enviar um alerta de segurança.
Isso tem outras ramificações para o compliance de TI. Enquanto alguns lapsos de segurança podem ser causados por negligência ou intenção maligna, outros são erros simples. O SoD fornece backup para você e seus funcionários, ao mesmo tempo que deixa uma trilha de auditoria clara para que as organizações possam entender o que está acontecendo em sua empresa do início ao fim, pontos essenciais para o compliance de TI.
Garanta a segurança da informação SAP agora mesmo!
O SAP é um dos — senão o — sistemas mais importantes da sua empresa. Por isso, pode ser útil ter uma empresa externa para consultar sua empresa para criar um ambiente mais seguro.
Cada vez mais, a aplicação de práticas recomendadas de segurança da informação SAP, adequadas à sua rede de TI, se tornará crítica, e talvez até obrigatória, para proteger a segurança de sua empresa.
Se você deseja ajuda para gerenciar sua segurança da informação SAP, nós podemos ajudar. Entre em contato o quanto antes para começar!