Artikel top billede

SAP: Super udbredt og en af de mest givtige platforme for it-kriminelle, så pas godt på det

Klumme: SAP-systemer er blandt de mest lukrative platforme for it-kriminelle. Og da SAP for mange er virksomhedens hjerteblod, så er det i sagens natur vigtigt at beskytte et helt essentielt aktiv. Men først er det nødvendigt at fatte arkitekturen.

Denne klumme er et debatindlæg og er alene udtryk for forfatterens synspunkter.

SAP-sikkerhed del 1: Noget gammelt, noget nyt og når generationer mødes

Velkommen. Overskriften kunne godt have fortsat med ”... noget lånt og noget blåt”. Men her må jeg skuffe dem, der tror, at denne klumme handler om bryllupstraditioner. Den handler i stedet om SAP-sikkerhed.

Men inden vi kommer så langt, så tillad mig lige at adressere problemstillingen. For her i it-industrien, er vi rigtig innovative, samtidig med at vi har en masse legacy-teknologi.

Der findes nemlig mange eksempler på, at vi opfinder ny teknologi, der skal tage hensyn til gammel teknologi.

De fleste er bekendt med begrebet bagud-kompatibilitet. Et godt eksempel er virtualisering. Det er nemlig ikke alle applikationer, der fungerer i et virtuelt miljø.

Historien gentager sig, når leverance-modellen er cloud og dermed også virtuel. Hvis du har en applikation, der ikke kan leveres fra dit lokale virtuelle miljø, så kan den heller ikke leveres fra et virtuelt cloud-miljø.

Et andet godt eksempel er mainframes. Selvom langt de fleste tror, at mainframes – ligesom dinosaurerne – er uddøde for længst, så tages der grueligt fejl. Mainframes lever i bedste velgående og er for mange store virksomheder en vital komponent i it-miljøet.

Og sådan kunne jeg blive ved.

Udfordringen er ...

Udfordringen er en moderne applikation baseret på en moderne leverancemodel, kombineret med en legacy-komponent.

Et helt grundlæggende og dermed essentielt krav til en moderne applikation er, at denne kan leveres via internettet og dermed på alle mobile enheder.

Ser vi på it-virksomheder, så er der basalt set dem, der er født ind i cloud-alderen, og dem der har en masse legacy og forsøger at tilpasse sig til cloud-alderen.

I øvrigt er begrebet “cloud computing” opfundet af Compaq tilbage i 1996. Som gammel Compaq’er, så gør det mig lidt stolt. Men det er en helt anden historie.

Og hvad med SAP?

Så hvor kommer SAP ind i billedet?

Det handler om, at ca. 92 pct. af Forbes Global 2000 virksomheder anvender SAP i en eller anden udstrækning.

Samtidig med den store udbredelse, så handler det også om, at SAP-systemer er blandt de mest lukrative platforme for it-kriminelle. Og da SAP for mange er virksomhedens hjerteblod, så er det i sagens natur vigtigt at beskytte et helt essentielt aktiv.

Det handler også om, at SAP er stiftet i 1972, og dermed har virksomheden eksisteret før den hyper-connectede verden. SAP står i øvrigt for Systems, Applications & Products.

Lad os spole tilbage til begyndelsen og tale lidt om, hvad SAP egentlig er for en størrelse.

For SAP har været igennem en masse forandringer gennem tiden og er i dag kendt som verdens mest udbredte ERP-system.

ERP står for Enterprise Resource Planning. På jævnt dansk, så ville jeg kalde det for et finanssystem. Men SAP er ikke bare et finanssystem. Således har SAP et væld af moduler, der understøtter stort set alle virksomheders processer.

SAP HANA?

Mest udbredt i dag er SAP HANA. Og så kan man jo passende spørge sig selv: ”Hvad er SAP HANA for noget”?

Svaret er meget simpelt: SAP S/4 HANA er egentlig bare en applikation.

Dét, der gør S/4 HANA interessant, er, at det er baseret på en såkaldt ”in-memory” kolonneorienteret relationsdatabase.

En relationsdatabase, som er en kombination af OLAP (Online Analytical Processing) og OLTP (Online Transaction Processing).

Databasen nedenunder SAP S/4 HANA-applikationen hedder SAP HANA, og det interessante er, at den er meget hurtig.

Og hvorfor er den så ”High Performance”? Det er den, fordi at den ikke er afhængig af roterende medier (læs: harddiske). I stedet foretager den alle sine kalkulationer i memory. Og samtidig udnytter den parallel processing, index på alle felter, etc.

Når det er sagt, så er det ikke alle forbedringer, der kan henføres til hurtigere hardware. Selve SAP-softwaren er også blevet simplificeret og dermed mere effektiv.

Resultatet er, at vi er gået fra lange svartider til korte svartider. Og det betyder i sidste ende, at de rapporter, der engang var timer eller dage undervejs, nu kan udføres på meget kort tid. Og dermed kan der tages forretningsmæssige beslutninger meget hurtigere.

Forskellen er vigtig

Det er helt essentielt at forstå – og der jokker mange i teknologiforståelses-spinaten – at SAP HANA kun er en database, hvorimod SAP S/4 HANA er et komplet system, hvor databasen er ”in-memory”-baseret.

HANA står i øvrigt for High Performance Analytical Appliance.

Dét, der også er væsentligt at forstå, er, at i en moderne verden skal alle applikationer – og ikke kun dem fra SAP – tilbyde HTTP-adgang, altså adgang via det åbne internet.

HTTP-adgang er ikke noget nyt, men at majoriteten benytter HTTP-adgang er fagre nye verden.

Det betyder, at stort set alle virksomheders kerneaktiv er eksponeret mod internettet.

I gamle dage, så var adgang til SAP-data begrænset til det for mange velkendte SAP GUI-interface.

Sådan er det ikke i dag. I en moderne verden får man adgang via det, man kalder en SAP Web Dispatcher, og det betyder, at SAP-data er kompromitteret af alle de svagheder, som en HTTP-adgang indebærer.

I dag hedder interfacet SAP Fiori.

Fiori er det brugerinterface (UX), der erstatter SAP GUI. Kort sagt, så er SAP Fiori det moderne strømlinede brugerinterface, mens SAP GUI ligner Forældreintra.

Fiori findes til både iOS, Android og Windows. Fiori understøtter i øvrigt RESTful API’er og hvis du vil læse lidt mere om API’er, så er det beskrevet her: https://www.computerworld.dk/art/254808/klar-tale-om-protokoller-og-apier-it-verdenens-ubesungne-og-usynlige-helte

Gå ikke i panik

Men gå ikke i panik. Når du ved, hvordan noget fungerer, har du også chancen for at beskytte det. Man skal med andre ord forstå arkitekturen, teknologien og de tilhørende processer for at kunne sikre dem.

Disciplinerne, som man skal mestre for at opnå den bedst mulige SAP-sikkerhed, er mange. Og så handler det om at forstå, at mennesker er fejlbarlige kulstofbaserede organismer.

Men inden, vi hovedløst råber ”Mod præsidentpaladset”, så findes der en bedre og strukturel proces, der bringer din virksomhed videre.

Hvordan, spørger du? Det kommer jeg ind på i næste klumme.

Som Oscar Wilde engang sagde: ”Spændingen er forfærdelig. Jeg håber, den varer ved.”

Klummer er læsernes platform på Computerworld til at fortælle de bedste historier, og samtidig er det vores meget populære og meget læste forum for videndeling.

Har du en god historie, eller har du specialviden, som du synes trænger til at blive delt?

Læs vores klumme-guidelines og send os din tekst, så kontakter vi dig - måske bliver du en del af vores hurtigt voksende korps af klummeskribenter.

Kilder:

SAP Corporate Fact Sheet: https://www.sap.com/corporate/en/documents/2017/04/4666ecdd-b67c-0010-82c7-eda71af511fa.html




Computerworld
Apple præsenterer iPhone 13 og iPhone 13 Pro - se dem her
Snart kan du få fingre i den nye iPhone 13 og iPhone 13 Pro. Bliv klogere på de to helt nye iPhones her.
CIO
“Der har simpelthen været for få gråhårede medarbejdere involveret i den her udviklingsproces. Folk der ved, hvad der skal til”
"Vi havde ansat nogle unge mennesker i sandaler og med langt skæg for at bryde med det traditionelle it-setup. De her vakse unge mennesker fik også ret hurtigt bygget en supersmart applikation til virksomheden. Men den brager ned, da vi ruller den ud, og den fylder cirka 1,5 procent af alle transaktioner."
Job & Karriere
35-årig kvinde gik amok på hjemmekontoret efter fyring: ”De fjernede ikke min adgang, så jeg slettede p-drevet lol”
En 35-årig kvinde står anklaget for at have slettet 21,3 gigabyte data fra fællesdrevet efter, at hun blev fyret. Nu risikerer hun op til 10 års fængsel.
White paper
Bringer dine sikkerhedssiloer data og systemer i fare?
Individuelle sikkerhedsservices til hvert behov skaber store problemer og øger sårbarheden. Det er tid til at samle dem, få det fulde overblik og lukke hullerne i beskyttelsen.