Sécurité des applications SAP : un risque négligé ?

Une étude réalisée par Ponemon Institute révèle que les cadres dirigeants sous-estiment les risques liés à la sécurité pesant sur les applications SAP. En parallèle, l’entreprise allemande a recruté depuis le 1^er janvier 2016 Justin Somaini en tant que CSO.

Une enquête portant sur la sécurité des applications SAP a été rendue publique le 24 février 2016. Réalisée par le Ponemon Institute, de mi-décembre 2015 jusqu’au 4 janvier 2016, elle se base sur un échantillon de 607 décideurs IT et managers de la sécurité informatique basés aux Etats-Unis. Les résultats de ce sondage sont alarmants : à cause de l’importante part de personnalisation dans les déploiements SAP, la plupart des systèmes tendent à être exposés, et disposent de vulnérabilités non corrigées.

Pour 60 % des dirigeants ayant participé au sondage, une attaque des systèmes métiers SAP se révélerait extrêmement grave, si ce n’est catastrophique, avec des pertes associées à une indisponibilité s’élevant en moyenne à 4,5 millions de dollars. De plus, plus de la moitié d’entre eux ont déclaré que la plate-forme SAP de leur entreprise a été attaquée en moyenne deux fois au cours des 24 derniers mois, et 80 % des participants pensent qu’il est impossible de détecter immédiatement l’attaque d’un système SAP. Ils restent encore 78 % à penser qu’il n’est toujours pas possible de détecter l’attaque d’un système métier un après après cette dernière.

La question de la responsabilité reste problématique : tout le monde n’est pas d’accord sur à qui il revient d’assurer la sécurité des applications et plate-formes. Pour 54 % des personnes ayant répondu à l’enquête, il s’agit du rôle de SAP.

C’est peut-être dans cette optique que l’éditeur de logiciel allemand a ouvert au 1^er janvier pour la première fois de son histoire un poste de CSO (Chief Security Officer), et recruté Justin Somaini. Ce dernier possède plus de vingt ans d’expérience dans la sécurité IT, ayant déjà officié à un poste similaire chez le fournisseur de services Cloud Box, et en tant que manager chez Yahoo et Symantec.