La sicurezza dei dati nei software aziendali: cosa verificare prima di procedere all’adozione

Un sistema ERP concentra in un unico luogo tutte le informazioni preziose relative a un’azienda: anagrafiche dei clienti, prezzi, margini, condizioni dei fornitori e situazione finanziaria. Tale concentrazione costituisce il punto di forza del sistema — ma anche il suo principale rischio. Il presente articolo illustra i controlli che vale la pena verificare, in ordine di importanza.

Controllo degli accessi

Il punto debole più comune non è un attacco sofisticato, bensì il fatto che chiunque possa vedere tutto. Requisiti pratici:

• Autorizzazioni basate sui ruoli. Autorizzazioni associate ai ruoli, non alle singole persone. Quando qualcuno cambia mansione, si modifica il suo ruolo anziché dover verificare decine di impostazioni individuali.
  
• Restrizioni a livello di campo. Un rappresentante commerciale potrebbe aver bisogno della scheda cliente ma non del prezzo di costo. Se le autorizzazioni funzionano solo a livello di schermata, ciò risulta impossibile.
  
• Ambito a livello di record. Un responsabile regionale visualizza la propria regione. In assenza di questa impostazione, l’«accesso in lettura» implica l’accesso in lettura a tutto.
  
• Limiti di esportazione. La possibilità di esportare l’elenco completo dei clienti in un foglio di calcolo rappresenta la via più comune attraverso cui i dati escono dall’azienda. Tale operazione dovrebbe essere soggetta a restrizioni e registrata.
  
• Disattivazione immediata. Gli account dei dipendenti che hanno lasciato l’azienda devono essere chiusi lo stesso giorno. La revisione trimestrale degli account inattivi consente di individuare ciò che sfugge alle procedure relative alle dimissioni.
  

Registrazione di audit

Sapere chi ha compiuto quale azione e quando è fondamentale sia per la sicurezza che per la risoluzione delle controversie interne. Un registro di audit efficace registra il valore precedente e quello nuovo in caso di modifiche, non solo il fatto che una modifica sia avvenuta. Dovrebbe includere variazioni di prezzo, deroghe agli sconti, rettifiche delle scorte, registrazioni dei pagamenti e modifiche alle autorizzazioni — e non deve essere modificabile dalle persone oggetto della registrazione.

Backup e ripristino

Ogni fornitore afferma che vengono effettuati i backup. Le domande che contano riguardano il ripristino:

• Con quale frequenza vengono effettuati i backup e quanti dati andrebbero persi in caso di guasto? I backup notturni comportano il rischio di perdere il lavoro di un’intera giornata.
  
• Quanto tempo richiede un ripristino? Questo è il dato che determina il tempo di inattività e viene raramente indicato se non richiesto espressamente.
  
• I backup vengono conservati in un luogo separato? Un backup presente sulla stessa infrastruttura non sopravvivrebbe a un evento che colpisse tale infrastruttura.
  
• Quando è stato testato l’ultimo ripristino? Un backup non testato è un’ipotesi, non una garanzia. Chieda la data dell’ultimo test di ripristino andato a buon fine.
  
• È possibile effettuare una propria copia? Indipendentemente dalla procedura del fornitore.
  

Crittografia e trasporto

I dati in transito devono essere crittografati end-to-end — comprese eventuali integrazioni con marketplace, banche o fornitori di servizi logistici, che spesso vengono trascurate. Per i dati inattivi, chieda specificatamente se viene applicata la crittografia a livello di database e dove sono conservate le chiavi.

Residenza dei dati e conformità

• Dove si trovano fisicamente i server e se ciò soddisfa i Suoi obblighi normativi.
  
• Quali sub-responsabili del trattamento utilizza il fornitore e dove operano.
  
• I periodi di conservazione dei dati personali e se la cancellazione viene effettivamente applicata alla scadenza di tali periodi.
  
• In che modo viene soddisfatta nella pratica la richiesta di accesso o cancellazione da parte di un interessato: tramite una schermata o aprendo un ticket di assistenza.
  

Abitudini pratiche

• Abilitate l’autenticazione a più fattori. Soprattutto per gli account amministratore e per qualsiasi accesso esterno.
  
• Limitare il numero di amministratori. Di solito sono sufficienti due o tre persone. Il fatto che tutti siano amministratori è comodo finché non smette di esserlo.
  
• Rivedere periodicamente le autorizzazioni. Le autorizzazioni si accumulano; nessuno le rimuove. Una revisione semestrale consente di tenere sotto controllo la situazione.
  
[*]Utilizzate dati di test separati. Copiare i dati reali dei clienti in un ambiente di test aumenta silenziosamente la vostra esposizione al rischio.

In sintesi

La sicurezza nei software aziendali riguarda principalmente la disciplina di accesso e il ripristino verificato, non minacce esotiche. Assegnate le autorizzazioni ai ruoli, limitate le esportazioni, mantenete un registro di audit che gli amministratori non possano modificare e insistete per ottenere prove che i ripristini siano stati testati.

Saremo lieti di rispondere per iscritto a tutte queste domande all’indirizzo Mekjoy. Vi invitiamo a contattarci per discutere delle vostre esigenze.