Utrzymująca się koncentracja firmy SAP na rozwiązaniach chmurowych potwierdza istotną zmianę w obszarze systemów zarządzania przedsiębiorstwem. Różnica w możliwościach między systemami lokalnymi – z których wiele funkcjonuje już przeszło 20 lat – a aktualnymi rozwiązaniami pogłębia się, co skłania organizacje do poszukiwania nowocześniejszych rozwiązań w obszarze planowania zasobów przedsiębiorstwa. Nie bez znaczenia jest również planowane w najbliższych latach wycofanie wsparcia serwisowego dla SAP ERP Central Component (SAP ECC), które skłania wiele organizacji do przyspieszenia programów transformacji. Niestety, często pod presją czasu i bez pełnego uwzględnienia możliwości strategicznych lub zmieniających się wymagań operacyjnych.
Szanse i wyzwania związane z chmurowymi rozwiązaniami SAP
Podczas gdy niektóre organizacje odchodzą od SAP ECC, wdrażając SAP S/4 HANA, wiele firm decyduje się na rozwiązania ERP w chmurze, w tym SAP Cloud ERP i SAP Cloud ERP Private. Umożliwiają one między innymi:
- usprawnienie procesów;
- integrację systemów, danych i aplikacji w ramach uproszczonych lub wielomodułowych schematów pracy (workflows);
- przyspieszenie automatyzacji dzięki sztucznej inteligencji (AI).
„Przejście na chmurę” napędza szeroką transformację biznesową, nie jest jedynie techniczną modyfikacją. Zmienia sposób wykorzystania kluczowych danych przedsiębiorstwa w systemach, które będą wchodzić w bezpośrednią interakcję z partnerami, klientami i dostawcami. To zdecydowane odejście od tradycyjnego zarządzania modułami SAP przez wydzielone zespoły wewnętrzne, które wprowadza nowe wyzwania w zakresie bezpieczeństwa i zarządzania danymi (jak poniżej).
Niewystarczająca wiedza na temat zagrożeń
Lokalne systemy SAP są zazwyczaj głęboko osadzone w sieci korporacyjnej i, jak wspomniano powyżej, w dużej mierze zarządzają nimi niezależne zespoły pozostające poza zakresem kompetencji głównych działów IT i cyberbezpieczeństwa. Zespoły te zazwyczaj polegają na peryferyjnych systemach zabezpieczeń, co często prowadzi do niepełnego zrozumienia zagrożeń specyficznych dla systemów SAP.
Błędy w niestandardowym kodzie lub zdefiniowanych ręcznie procesach mogą utrzymywać się latami bez dotkliwych konsekwencji dla organizacji, jednak obecnie zbadane ataki wymierzone w systemy SAP pokazują, że cyberprzestępcy odkrywają nowe sposoby na ich wykorzystanie. Exploity i luki w zabezpieczeniach po rozpoznaniu przez cyberprzestępców bywają upubliczniane i stanową zaproszenie do zmasowanych ataków na środowiska SAP. Dla organizacji, które polegają na systemie SAP w zakresie realizacji kluczowych funkcji biznesowych naruszenia te mogą powodować znaczne zakłócenia operacyjne i dotkliwe skutki finansowe.
Chociaż migracja do rozwiązań SAP Cloud ERP może prowadzić do znacznej poprawy cyberbezpieczeństwa, ryzyko pozostaje – szczególnie po stronie aplikacji w modelu wspólnej odpowiedzialności, gdzie klienci otrzymują określone uprawnienia.
Organizacje powinny zadbać o to, by
- świadomość ryzyka cyberataków,
- odpowiedzialne reagowanie na zagrożenia oraz
- przygotowanie działań zapobiegawczych
pozostawały priorytetem. Z praktyki wiemy bowiem, że wspomniane wcześniej najczęstsze zagrożenia związane choćby z niestandardowym kodem, uprawnieniami użytkowników czy zmianami w ustawieniach aplikacji mogą być w trakcie procesu transformacji SAP bagatelizowane. Często pojawia się także pokusa szybkiego i bezrefleksyjnego przenoszenia istniejących praktyk i systemów do chmury, a główny nacisk – zamiast na bezpieczeństwie – kładzie się na opanowaniu nowych architektur chmurowych lub hybrydowych oraz zarządzaniu modelami licencyjnymi.
Dążenie do wzrostu wartości
Organizacje, które traktują modernizację systemu ERP jako inicjatywę strategiczną – a nie tylko reakcję na termin wyznaczony przez dział IT – są w stanie lepiej zrozumieć ryzyko i czerpać prawdziwe korzyści związane z przeprowadzeniem tak złożonego projektu transformacyjnego. Przejście na SAP Cloud ERP powinno mieć swoje uzasadnienie przede wszystkim w mnogości nowych możliwości oraz elastyczności środowiska SAP, które dostosowuje się do przyszłego rozwoju organizacji.
Daje to perspektywę wzmocnienia ogólnego poziomu bezpieczeństwa i zarządzania ryzykiem oraz osiągnięcia nowego poziomu wydajności, ponieważ dotychczas odizolowane systemy i procesy ERP są przebudowywane w ramach ogólnej architektury IT. W takiej sytuacji włączenie systemu SAP do centrum zarządzania bezpieczeństwem przedsiębiorstwa i wyprowadzenie go z „martwego punktu” monitoringu bezpieczeństwa, jest zarówno bezpieczniejsze, jak i łatwiejsze do zrealizowania. Programy transformacyjne można dostosować do szerszych inicjatyw transformacji cyfrowej obejmujących na przykład CRM, HR, zaopatrzenie i logistykę.
Stwarza to możliwości konsolidacji systemu zarządzania tożsamością, integracji SAP z korporacyjnymi rozwiązaniami typu „single sign-on” oraz systemami uwierzytelniania wieloskładnikowego, a także ujednolicenia zasad zarządzania dostępem w systemach SAP i innych. Całe przedsięwzięcie powinno angażować szerokie grono liderów na szczeblu kierowniczym: z działów finansów, cyberbezpieczeństwa i bezpieczeństwa informacji, zarządzania ryzykiem i zgodnością oraz innych liderów transformacji cyfrowej. Biorąc pod uwagę skalę zmian, niezbędne jest zaplanowanie kompleksowego przeglądu ram ryzyka i kontroli oraz zdefiniowanie obszaru prac poświęconego bezpieczeństwu i administracji, co – jak zauważamy – może stanowić od 5% do 10% kosztów projektu.
Jak odnaleźć się w złożonościach transformacji SAP?
KPMG opracowało model Trusted SAP Framework, aby wspierać migracje do SAP Cloud ERP poprzez ustrukturyzowane podejście do dostosowania zarządzania ryzykiem i zgodnością z przepisami. Model ten obejmuje zarządzanie uwierzytelnianiem, autoryzacją i bezpieczeństwem, a także integrację mechanizmów kontrolnych niezbędnych do zachowania integralności funkcji i danych w całym środowisku.
Uproszczony schemat Trusted SAP Framework
Rozszerzona mapa bezpiecznych operacji SAP (Enhanced SAP Secure Operations Map) stanowi uzupełnienie niniejszych ram, przedstawiając bardziej szczegółowe wytyczne dotyczące proceduralnych, organizacyjnych i technicznych zagrożeń dla cyberbezpieczeństwa. Usługa Managed Detection and Response for SAP (MDR/S) pomaga klientom zwiększyć widoczność przypadków naruszeń bezpieczeństwa wynikających z rosnącej liczby ataków na systemy SAP.
Jakie wsparcie zapewniają powyższe narzędzia?
Przygotuj się na migrację do SAP Cloud ERP
Projekty transformacji SAP stwarzają organizacjom ogromne możliwości modernizacji i dostosowania się do zmian rynkowych w coraz bardziej zwinnym, cyfrowym środowisku biznesowym. W trakcie realizacji tej transformacji organizacje powinny działać w oparciu o pełną świadomość zmieniającej się dynamiki w zakresie cyberbezpieczeństwa oraz ram zapewnienia jakości, które wspierają obszar GRC (Governance, Risk management and Compliance). Specjalnie zdefiniowany zakres prac poświęcony zarządzaniu bezpieczeństwem i zgodnością z procedurami stanowi istotną wartość dodaną dla zespołu migracyjnego, optymalizując możliwości nie tylko uwzględnienia istniejących obaw, ale także poprawy ogólnego poziomu ryzyka i stanu bezpieczeństwa.
KPMG jest gotowe zadbać o bezpieczeństwo na każdym etapie transformacji SAP.
Skontaktuj się z nami
Dowiedz się więcej, o tym w jaki sposób wiedza i technologia KPMG mogą pomóc Tobie i Twojej firmie.
Poznaj hisotrie naszych klientów
Newsletter
Chcesz otrzymywać najświeższe informacje biznesowe?