Cenoti der EPI-USE und Splunk Compliance & Corporate Governance im Kontext SAP

Anbieter zum Thema

Fujitsu Technology Solutions GmbH

TXOne Networks

Arctic Wolf Networks Germany GmbH

Kunden- und Vertragsdaten, Lagerbestände und Produktionsdaten – alle diese Informationen („Kronjuwelen“) sind die Basis kritischer Finanzprozesse, operativer Produktionsprozesse bis hin zu Zahlungen und Inkasso. Unterstützt durch ein ERP in Form von SAP stellt dies für viele Organisationen das „Corporate OS“ dar. Maßnahmen zur Implementierung eines Überwachungssystems sind kein Selbstzweck, sondern eine rechtliche Verpflichtung der Unternehmensleitung.

Organisationen sollten - Betreiber kritischer Infrastrukturen (KRITIS) beispielsweise müssen - angemessene, technische und organisatorische Maßnahmen zur dauerhaften Sicherstellung ihrer Schutzziele (Verfügbarkeit, Integrität, Vertraulichkeit, Authentizität, …) im Kontext der Informationssicherheit planen, umsetzen und fortlaufend qualitätssichern. Basis dafür sind Methoden/Techniken, die dem „Stand der Technik“ entsprechen bzw. darauf aufsetzen.

Diese sind, im Idealfall in quantifizierbarer Form, im Innenverhältnis z. B. gegenüber dem Topmanagement oder der internen Revision stets im Sinne der Auskunftsfähigkeit einzusetzen. Darüber hinaus müssen sie den hohen Anforderungen bei der Erstellung objektiver, verlässlicher und belastbarer Testate (Stichproben auf Basis der Ermittlung der Grundgesamtheit), z. B. im Rahmen der Jahresabschlussprüfung, standhalten. Parallel dazu muss die operative Informationssicherheit stets befähigt sein, mögliche Entscheidungen (z. B. Kategorisierung von Incidents) auf Basis objektiver Informationen in Echtzeit treffen zu können. Compliance-Verstöße, Reputationsverluste oder Wettbewerbsnachteile sind nur einige drohende Konsequenzen unzureichender Nachverfolgung.

Meldepflicht(en)

Im Fall einer Verletzung des Schutzes personenbezogener Daten ist jede Organisation verpflichtet, diese unter Einhaltung jeweils geltender Fristen gegenüber internen und externen Organen zu melden. KRITIS-Betreiber sind durch das IT-Sicherheitsgesetzt verpflichtet, erhebliche Störungen an IT-Systemen, die zur Beeinträchtigung der Funktionsfähigkeit geführt haben bzw. führen können, an das Bundesamt für Sicherheit in der Informationstechnologie (BSI) zu melden. Die Organisation muss dazu also in der Lage sein, Störungen in erhebliche oder gewöhnliche zu kategorisieren.

Cenoti für Splunk – SAP mit Splunk verbinden

SIEM-Blick auf SAP-Daten im Kontext operativer Sicherheit

Technologische Grundlagen schaffen

Cenoti von EPI-USE befähigt Organisationen, ihre Informationen in SAP durchgängig, eindeutig und objektiv zu kategorisieren (z. B. PII, PCI, HIPAA, …). Ein erster Schritt, um den oben gennannten Berichtspflichten an interne und/oder externe Stellen/Stakeholder durch manuelles Extrahieren und Verarbeiten der Basisinformationen nachkommen zu können. Ein wirklicher Mehrwert durch die von Cenoti initial erhobenen Informationen entsteht aber erst durch die Kombination (technische Schnittstellen werden bereitgestellt) mit modernen Analysewerkzeugen, wie z. B. Splunk. Bezogen auf die möglichst breite Abdeckung (Detektion, Aussagefähigkeit von Reports/Dashboards, …) des Informationsverbundes empfiehlt es sich, wenn nicht bereits umgesetzt, weitere Datenquellen (IT, OT, aktive/passive Scanner, ..) an die Analysewerkzeuge anzubinden. Wichtig ist dabei auch insbesondere Schnittstellen und Messpunkte (Zonenkonzepte, Segmentierung, IT/OT, …) bereits bei der in der frühen Planung (z. B. bei Architekturblaupausen) angemessen zu berücksichtigen.

Use cases erarbeiten

So ist es möglich Anomalien übergreifend zu erkennen und dadurch u. a. die Vertraulichkeit und Integrität sensibler Informationen für alle Mandanten und Benutzer gewährleisten zu können. Welcher Benutzer hat wann auf welche Informationen welches Mandanten zugegriffen, welche Informationen sind abgeflossen? Ist Role based access control durchgängig umgesetzt? Sind im Prüfungszeitraum alle Berechtigungen nach dem Namensschema der entsprechenden Richtlinie vergeben? Wann wurden welche Veränderungen durch wen durchgeführt? Existieren toxische Berechtigungen nach einem internen Rollen-Wechsel?

Aufbereitung & Mehrwerte

Diese Informationen auf Basis objektiver Fakten können durch Dashboards oder Kennzahlen in Echtzeit visualisiert bzw. in Form von Reports, ad-hoc oder in zeitlichen Intervallen, individuellen Stakeholder adressatengerecht bereitgestellt werden. Darüber hinaus sind die Mitglieder des Security Operation Center (SOC) jederzeit in der Lage, entsprechende Alerts zu validieren, diese zu priorisieren und so die Remmidiation auf Basis objektiver Informationen im Sinne der individuellen Incident-Response-Policy umzusetzen bzw. zu steuern (Technical response, Management response, Legal response, …). Durch den beschriebenen hohen Grad der Transparenz und Objektivität von der Erhebung der Basisinformationen über deren Verarbeitung bis hin zur Bereitstellung ist das richtlinienkonforme Bedienen von Prozessen und Aktivitäten mit Fokus Lessons-learned ohne weitere ggf. manuelle Aufwände möglich.

Fazit

SAP ERP Systeme bilden das betriebswirtschaftliche Rückgrat jeder Organisation, die darauf zurückgreift. Es ist mehr als fahrlässig, diese als Blind-spots sich selbst zu überlassen oder isoliert (SILO-Ansatz) zu betrachten. Um den unterschiedlich gelagerten Verpflichtungen aller Verteidigungslinien bis hin zum Senior-Management nachkommen zu können, sind übergreifende, faktenbasierte und objektiv ermittelte Informationen und deren Verarbeitung essenziell. Cenoti in Kombination mit Splunk unterstützen dabei, dies dauerhaft sicherstellen zu können.

(ID:48414628)