Služby · Bezpečnosť ERP
Bezpečnosť ERP: to najcennejšie máte tam, nie v e-maile
Objednávky, nákupné ceny, marže, mzdy, kontakty na zákazníkov, bankové účty dodávateľov. Kto k tomu má prístup? Viete to spätne dokázať? A čo sa stane, keď odíde človek, ktorý o tom vedel najviac?
Prečo o tom nikto nehovorí
Bezpečnostné firmy sa sústreďujú na sieť, koncové stanice a e-mail. Sú v tom dobré. Málokedy sa však dostanú k tomu, čo firma naozaj má chrániť – a to sedí v podnikovom systéme.
Podnikové systémy riešime roky a vieme, ako firma naozaj pracuje so svojimi dátami. Nepýtame sa „a kde to máte“, ale rovno „kto smie prepísať bankový účet dodávateľa a dá sa to spätne dohľadať?“.
Čo preveríme
| Oblasť | Čo hľadáme |
|---|---|
| Prístupové práva | koľko ľudí má plné práva a koľko ich naozaj potrebuje |
| Rozdelenie zodpovedností | môže tá istá osoba založiť dodávateľa aj uhradiť mu faktúru? |
| Zmena bankových účtov | kto smie prepísať účet dodávateľa a je o tom záznam |
| Audit log | zapisuje sa vôbec, kto čo zmenil – a dá sa to prečítať |
| Odchody zamestnancov | koľko účtov patrí ľuďom, ktorí už vo firme nepracujú |
| Prístup dodávateľov | má váš IT dodávateľ stále aktívny administrátorský účet? |
| Prostredia | je testovacie prostredie oddelené od ostrého a má ostré dáta? |
| Zálohy databázy | existujú, sú šifrované a skúšal ich niekto obnoviť |
| Prenos dát | beží komunikácia šifrovane, aj z pobočiek a od domácich používateľov |
| Exporty | kto smie stiahnuť celú databázu zákazníkov do Excelu |
Čo v praxi nachádzame
Toto nie sú výnimky, toto je bežný nález:
- z 38 používateľov má 26 plné administrátorské práva, lebo „to bolo najrýchlejšie“
- účty ľudí, ktorí odišli pred dvomi rokmi, stále fungujú
- testovacie prostredie s ostrými dátami dostupné z internetu bez hesla
- nikto nevie povedať, kto pred pol rokom zmenil cenník – audit log nebol zapnutý
- záloha databázy leží nešifrovaná na tom istom serveri ako databáza
- externý účtovník má prístup do celého systému, hoci potrebuje tri moduly
Ako to prebieha
Prehliadka systému
Prejdeme si nastavenia práv, rolí a logovania. Potrebujeme prístup na čítanie – nič nemeníme.
Rozhovory
S IT správcom a s ľuďmi, ktorí systém denne používajú. Práva na papieri a práca v praxi sa spravidla líšia.
Správa
Zoznam nálezov podľa závažnosti, ku každému návrh riešenia a odhad práce.
Náprava
Vieme to aj opraviť. Pri Odoo to robíme sami, pri iných systémoch v spolupráci s vaším dodávateľom.
Rozsah a termín
| Audit bezpečnosti ERP | pevná cena vopred v písomnej ponuke |
| Trvanie | do 10 pracovných dní |
| Náprava nálezov | podľa rozsahu, odhad je súčasťou správy |
Pri Odoo systémoch, ktoré prevádzkujeme my, je základná kontrola prístupov súčasťou servisnej zmluvy.
Funguje to aj pre iné systémy?
Áno. Najviac vieme o Odoo, ale princípy sú rovnaké v SAP, Microsoft Dynamics, Helios, Money, Pohoda aj vo vlastnom systéme na mieru. Otázky sú vždy tie isté: kto má prístup, kto to schválil, zapisuje sa to a dá sa to obnoviť.