Keď sa vo firme rieši kybernetická bezpečnosť, hovorí sa o sieti, o antivíruse a o phishingu. Málokedy sa hovorí o systéme, v ktorom sedia nákupné ceny, marže, mzdy, kontakty na zákazníkov a bankové účty dodávateľov. Pritom to je jediná vec, ktorú by útočník naozaj chcel – a spravidla je najhoršie chránená.
Dôvod je jednoduchý. Bezpečnostné firmy nerozumejú podnikovým systémom a firmy, ktoré podnikové systémy dodávajú, spravidla neriešia bezpečnosť. Tak to prepadne medzi stoličky.
Nižšie je desať otázok. Sú to tie isté, ktoré kladieme pri audite ERP – a odpovede na ne vás možno prekvapia.
1. Koľko ľudí má plné administrátorské práva?
Skúste to zistiť. Nie odhadom – pozrite sa do systému.
Typický nález vo výrobnej firme so 130 zamestnancami: z 38 používateľov má 26 plné práva. Nie preto, že by ich potrebovali, ale preto, že pri implementácii bolo najrýchlejšie dať práva všetkým a „potom to doladíme“. Nedoladilo sa to nikdy.
Znamená to, že dvadsaťšesť ľudí vidí nákupné ceny a marže. A že dvadsaťšesť prihlasovacích údajov stačí ukradnúť na to, aby útočník videl to isté.
2. Môže tá istá osoba založiť dodávateľa aj uhradiť mu faktúru?
Toto je klasické rozdelenie zodpovedností a v malých firmách býva porušené takmer vždy – jednoducho preto, že na to nie sú ľudia.
Nemusí to byť nutne problém, ak o tom viete a máte inú poistku (napríklad schvaľovanie platieb nad určitú sumu druhou osobou). Problém je, keď o tom neviete.
3. Kto smie zmeniť bankový účet dodávateľa?
Najdrahší podvod na slovenských firmách dnes nie je prienik do siete. Je to zmena bankového účtu dodávateľa – buď e-mailom, ktorý vyzerá ako od dodávateľa, alebo priamo v systéme.
Otázky, ktoré si položte:
- Kto má právo prepísať to pole?
- Zapisuje sa, kto to zmenil a kedy?
- Existuje pravidlo, že zmena účtu sa overuje telefonicky na známe číslo – nie na číslo z toho e-mailu, ktorý zmenu žiada?
4. Zapisuje sa vôbec, kto čo zmenil?
Väčšina ERP systémov vrátane Odoo vie zaznamenávať zmeny. Otázka je, či je to zapnuté a či sa v tom dá niečo nájsť.
Bežná situácia: niekto pred pol rokom zmenil cenník a nikto nevie kto. Nie preto, že by to systém nezaznamenal, ale preto, že logovanie nebolo zapnuté – alebo bolo, ale záznamy sa prepisujú po 30 dňoch.
Po incidente je to rozdiel medzi „vieme, čo sa stalo“ a „hádame“.
5. Koľko účtov patrí ľuďom, ktorí už vo firme nepracujú?
Toto je najrýchlejšia kontrola zo všetkých a takmer vždy niečo nájde. Porovnajte zoznam aktívnych používateľov v ERP so zoznamom zamestnancov na mzdách.
Nachádzame účty ľudí, ktorí odišli pred dvomi a viac rokmi. Niekedy s plnými právami. Občas s heslom, ktoré ten človek stále pozná.
6. Má váš IT dodávateľ stále aktívny administrátorský účet?
Pri implementácii dostal prístup – logicky. Skončila implementácia pred tromi rokmi a účet stále funguje?
Nie je to o nedôvere. Je to o tom, že ak sa niekto dostane do systémov vášho dodávateľa, dostane sa aj k vám. Presne toto rieši § 19 ods. 2 zákona o kybernetickej bezpečnosti, keď hovorí o riadení bezpečnosti dodávateľov.
Riešenie nie je prístup zrušiť. Riešenie je dať ho na požiadanie, s časovým obmedzením a so záznamom.
7. Je testovacie prostredie oddelené od ostrého?
A má v sebe ostré dáta?
Veľmi častý nález: testovacia kópia systému s ostrými dátami – teda so všetkými zákazníkmi, cenami a mzdami – dostupná z internetu, s jednoduchým heslom a bez aktualizácií, lebo „to je len test“.
Z pohľadu útočníka je to tá istá databáza. Len horšie zamknutá.
8. Kto smie stiahnuť celú databázu zákazníkov do Excelu?
Exporty sú slepé miesto väčšiny systémov. Prístupové práva riešia, kto čo vidí na obrazovke. Málokto rieši, kto to smie vyexportovať a odniesť.
Najčastejší únik údajov nie je hackerský útok. Je to obchodník, ktorý pri odchode do konkurencie stiahol zoznam zákazníkov.
9. Kde ležia zálohy databázy a sú šifrované?
Ak leží záloha databázy na tom istom serveri ako databáza, nie je to záloha. Ak leží nešifrovaná na sieťovom disku, ku ktorému má prístup celá firma, nie je to záloha – je to kópia pre toho, kto sa k nej dostane prvý.
A hlavne: kedy ste ju naposledy skúšali obnoviť? Nie či zálohovanie beží. Kedy ste z nej naozaj vrátili dáta a overili, že sa dajú použiť.
10. Beží komunikácia so systémom šifrovane?
Vrátane prístupu z pobočiek, z domu a z mobilov. Vrátane rozhraní, cez ktoré si so systémom vymieňajú dáta e-shop, sklad alebo účtovníctvo.
Nešifrované rozhranie medzi e-shopom a ERP je miesto, kde sa dajú odchytiť objednávky aj údaje o zákazníkoch – a nikto sa naň nepozerá, lebo „to je interné“.
Čo s tým
Dobrá správa je, že drvivá väčšina týchto nálezov sa opravuje nastavením, nie investíciou. Zúženie prístupových práv, zapnutie logovania, zrušenie starých účtov a oddelenie testovacieho prostredia sú veci na pár dní práce, nie na projekt za desaťtisíce.
Zlá správa je, že to nikto neurobí sám od seba, lebo to nie je nikoho práca. IT správca sa stará o to, aby systém bežal. Dodávateľ ERP sa stará o to, aby fungovali procesy. Prístupové práva sú niekde medzi tým.
Praktický postup, ak si to chcete spraviť sami:
- Vytiahnite zoznam používateľov a ich rolí. Porovnajte so mzdami.
- Zrušte účty ľudí, ktorí odišli. Hneď.
- Pozrite, koľko ľudí má plné práva. Pri každom sa spýtajte, čo by nemohol robiť, keby ich nemal.
- Zapnite logovanie zmien a nastavte, aby sa záznamy uchovávali aspoň rok.
- Zaveďte pravidlo na overovanie zmien bankových účtov telefonicky.
- Zistite, kedy naposledy niekto obnovil zálohu. Ak to bolo dávnejšie ako pred pol rokom, vyskúšajte to.
Týchto šesť krokov pokryje väčšinu rizika a nestojí nič okrem času.
Ak na to nemáte čas
Robíme audit bezpečnosti ERP – prejdeme si všetkých desať oblastí, spíšeme nálezy podľa závažnosti a ku každému dáme návrh riešenia a odhad práce. Trvá to do desiatich pracovných dní a cenu vám povieme vopred.
Do systémov pritom nič nemeníme, potrebujeme prístup len na čítanie.
Robíme to najmä pre Odoo, s ktorým máme najviac skúseností, ale princípy sú rovnaké v SAP, Dynamics, Helios, Money aj vo vlastnom systéme na mieru. Otázky sú vždy tie isté: kto má prístup, kto to schválil, zapisuje sa to a dá sa to obnoviť.