FEDER
Los softwares ERP son una parte fundamental de la operativa de muchas empresas puesto que en ellos se realizan muchos de los procesos críticos del negocio (gestión de stocks, compras y gestión de cobros, gestión de clientes, etc.). Por ello, la seguridad de estos sistemas es vital. Cualquier acceso indebido puede significar la substracción de información crítica que puede derivar en pérdidas económicas considerables.
Debido a la cantidad de información importante que almacenan los ERP estos suelen ser objetivos principales de los “hackers”. Por este motivo, los fabricantes procuran mantener sus soluciones protegidas y permanentemente publican parches de seguridad o actualizaciones para solventar vulnerabilidades.
La seguridad de los ERP no es un tema nuevo, sin embargo, este concepto se ha transformado significativamente puesto que hace tan solo unos años la seguridad ERP se enfocaba a nivel interno. En aquellos momentos, la principal preocupación era evitar casos en los que un empleado accedía a información importante que no le correspondía permisos o porque no era necesaria para desempeñar sus actividades. Actualmente ha cobrado una mayor relevancia la seguridad a nivel externo puesto que han aumentado los casos de acceso a información relevante para su substracción, encriptado o borrado y en consecuencia las pérdidas y aspectos negativos asociados a esos ciberataques.
Hay varias razones por las que la ciberseguridad ERP merece una mayor atención.
En primer lugar, el crecimiento de los dispositivos conectados, que proporcionan acceso a un sistema desde cualquier lugar, da como resultado la distorsión de los límites de la red y de la organización. Por lo tanto, un enfoque tradicional de seguridad centrado en establecer un perímetro de seguridad alrededor de los activos IT se vuelve casi ineficaz.
Sin embargo, las organizaciones están lamentablemente poco preparadas para los ataques. La seguridad ERP se ha descuidado por las empresas por mucho tiempo. Incluso ahora, muchas de las organizaciones no han tomado ninguna iniciativa en relación a la seguridad ERP, aunque muchas se están planeando llevarlo a cabo.
Uno de los principales motivos que provoca este problema es que pese a disponer de los parches de seguridad dada la complejidad de estos sistemas y su clara integración en el día a día de las compañías, con frecuencia no se mantienen tan actualizados como se debiera. En la mayoría de casos no es una cuestión de desgana o falta de atención, sino más bien se debe a que en muchas ocasiones para poder aplicar cierto parche es necesario realizar actualizaciones de versión, lo que implica en algunos casos procesos un tanto complejos que requieren un cierto tiempo del que las empresas no siempre disponen.
Soluciones para implementar medidas de ciberseguridad en la empresa
Las organizaciones deben enfocarse y prestar mayor atención a la ciberseguridad ERP. Las empresas deben realizar un análisis y evaluación continua de las debilidades existentes que debe cubrir, como mínimo, estas tres áreas:
- Controlar la configuración de la arquitectura del ERP, como los puertos abiertos, conexiones a Internet, etc.
- Comprobar los parámetros que afecten a la seguridad del sistema y de los datos.
- Verificar que los roles y permisos de los usuarios son correctos y que sus permisos se corresponden con las actividades que realizan.
Un análisis de estos elementos permite obtener una imagen fiable de la seguridad y facilita la búsqueda de vulnerabilidades, potenciales o reales, frente a ataques externos o internos.
También se deben evaluar los posibles riesgos y sus posibles consecuencias para focalizar los esfuerzos en aquellos más relevantes y evaluar el nivel de seguridad para ver si es el adecuado en todo momento o si por el contrario se ha quedado desfasado o anticuado.
El siguiente paso es establecer mecanismos de prevención frente a las amenazas de estos sistemas.
El objetivo de la prevención no es solo señalar las vulnerabilidades, sino también remediarlas y proporcionar una información detallada de los riesgos junto con las diferentes contramedidas para mitigarlos o erradicarlos. Solo así se puede evitar que evolucionen y deriven en problemas futuros.
De todas formas, aunque se apliquen las mejores medidas de protección y prevención, siempre existe la posibilidad de un ataque que no se puede prevenir a través de los medios tradicionales.
Por lo que además será necesario disponer de un sistema de detección efectiva que realice análisis en busca de comportamientos atípicos (accesos fuera de horario, transacciones no habituales, etc.), que averigüe si usuarios no autorizados pueden acceder a los datos del ERP o si se realizan copias en dispositivos externos.
Cualquier anomalía detectada debe activar inmediatamente una actividad, bien sea una alerta o una acción correctiva directa, para subsanar el problema puesto que la capacidad para dar respuesta es vital a la hora de resolver los incidentes, recuperar el normal funcionamiento y minimizar el impacto operativo de los ataques.
Por último conviene destacar que una solución de ciberseguridad para los sistemas ERP debe cubrir tanto las áreas técnicas como las de negocio. Los parámetros que afectan a la configuración deben analizarse de acuerdo con su conformidad con las recomendaciones más reconocidas: SOX, GDPR, NERC CIP o PCI DSS. De esta forma se garantiza el cumplimiento con la seguridad técnica y también con las normativas vigentes en todo el ERP.
Aunque no es posible proteger todos los componentes de TI por igual, ni asegurar que los sistemas sean seguros al 100%, los sistemas ERP deberían estar en el centro de la ciberseguridad en cualquier organización. En general, el nivel de seguridad de estas soluciones se puede calificar como medio/bajo, y eso es algo que hay que solucionar cuanto antes.
