Se lavori in ambito SAP sicuramente conosci la piattaforma SAP BTP Business Technology Platform, se co sì non fosse prosegui nella lettura!
Ma quali sono i punti di attenzione della piattaforma dal punto di vista della sicurezza dai dati? Quanto fatto nel contesto on-premise è replicabile on-cloud? Ma cosa controlli o cosa conviene verificare?
Si tratta di una piattaforma cloud messa a disposizione dalla SAP che permette di sviluppare applicazioni, attivare servizi che riguardano gli aspetti legati all'automazione dei processi, alla analisi dei dati, all'intelligenza artificiale, all'integrazione dei sistemi e molte altre funzionalità.
Ne abbiamo già parlato in un post dedicato, se te lo sei perso leggi qui: SAP BTP User Management?
Trovo sia un componente già abbastanza diffuso tuttavia ancora non del tutto "conosciuto" rispetto alle soluzioni presenti da molto tempo sul mercato ad esempio. Per diverse ragioni a mio avviso:
Per queste ragioni anche gli aspetti legati alla protezione dei dati, soprattutto sulla piattaforma sono spesso sottovalutate. Anche qui si presenta il rischio di:
Ci sono diversi domini di controllo sui quali porre attenzione ad esempio:
Ognuna delle macroaree sopra può declinarsi in diversi aspetti. Ad esempio, la BTP offre la possibilità di utilizzare un concetto di "Risk-Based Authentication" ovvero utilizzando determinati attributi di controllo viene definito un livello di rischio durante l'autenticazione.
Facendo un paragone nel contesto Microsoft esiste questa logica, ad esempio, dove se non hai alcuni criteri soddisfatti (antivirus aggiornato, sistema operativo aggiornato etcc) non è possibile autenticarsi in quanto alcuni o tutti i criteri di sicurezza non sono soddisfatti.
Così come, sempre restando nell'area dell'autentication, è possibile abilitare o disabilitare il logon attraverso i profili social. Esiste inoltre la possibilità di bloccare degli utenti secondo alcuni criteri (es. se non usati)?
Oppure nel caso della comunicazione con sistemi terzi il mancato utilizzo di protocolli sicuri. O la verifica che gli audit log siano attivi.
Sono alcuni degli esempi sulle possibili verifiche da svolgere. Sei sicuro che la tua configurazione della BTP rispetti quanto sopra descritto?