Перейти до вмісту

Кібербезпека ERP

Матеріал з K2 ERP Wiki

K2 ERP повинна розглядатися як платформа, у якій кібербезпека вбудовується в архітектуру: ролі, права, аудит, API, інтеграції, backup, контроль змін і dashboard безпеки.

Етап 4.; Журналювання та моніторинг

!;

  • включити логи;
  • визначити критичні події;
  • налаштувати alert;
  • інтегрувати з SIEM, якщо є собою;
  • зробити dashboard.; | style="background:#c8e6c9;" | Обов'язково

|- | MFA | Критичні ролі входять тільки з багатофакторною автентифікацією.; Якщо ERP зламана, зашифрована, зупинена або скомпрометована, організація має змогу втратити: !; |- | RTO | 2–24 години | За який час ERP повинна бути відновлена.; Production.; Критерій

4.; Карта кіберризиків ERP

10.; | style="background:#c8e6c9;" | Погодження, фото/акт, журнал.; | Оплата йде не на той рахунок.;

Ransomware — один із найнебезпечніших сценаріїв для ERP.; !; {| class="wikitable"

16.; Dashboard кібербезпеки ERP

!; Статус

9.; Спільний логін знищує аудит і відповідальність.; Очікуваний результат !; | style="background:#c8e6c9;" | Обов'язково |- | Шифрування | інформаційні дані захищені під час передачі та зберігання.; користувач системи !; характеристика !; * сервер ERP;

  • сервер бази даних;
  • файлове сховище;
  • backup;
  • інтеграційний сервер;
  • термінальний сервер;
  • робочі місця бухгалтерів;
  • облікові записи адміністраторів.; | є собою immutable або ізольоване зберігання.; | платформа відхиляє підроблені webhook.; :contentReference [oaicite:1]{index=1}

|- | RPO | 1–24 години | Скільки даних організація готова втратити.; Критерій !; Зафіксувати час і джерело.; |}

2.; Чому ERP є собою ціллю для атак

!; Значення

Етап 2.; Швидкі виправлення

!; | style="background:#c8e6c9;" | Обов'язково |- | EDR/AV | Захист серверів і робочих станцій.; |- | Масовий експорт даних | Можливий витік.;=== 16.1.; KPI для керівника ===

  • визначити відповідальних;
  • описати сценарії;
  • підготувати контакти;
  • підготувати план ізоляції;
  • підготувати план відновлення;
  • провести тренування.; Відновити з backup, якщо потрібно.; {| class="wikitable"
; № ; це не полігон виступає ключовою рисою Критично істотно: розробники не повинні тестувати доробки напряму на production-базі без контролю, backup і погодження.; Фіндиректор

Критично істотно: backup, який ніхто не пробував відновити, не вважається надійним backup.; Критерій

;

3.; | MFA challenge, alert.; кібератаки.; Роль

- Critical restore drill 1 раз на квартал - Масова зміна цін Помилка або атака.;=== 12.2.; Контрольні заходи ===

21.1.; Доступи

; * доступ до замовлень;
  • доступ до складу;
  • можливість відвантаження;
  • можливість виставлення рахунків;
  • контроль оплат;
  • бухгалтерський обліковий облік;
  • податкову формування звітів;
  • зарплатний бізнес-процес;
  • управлінську аналітику;
  • довіру клієнтів;
  • гроші;
  • репутацію.; | Видно хто, коли і що змінив.; Рівень
Багато невдалих входів style="background:#c8e6c9;" | Must have
Patch management - Вхід адміністратора у неробочий час style="background:#c8e6c9;" | Обов'язково
Network segmentation style="background:#c8e6c9;" | Обов'язково
Розділення обов'язків організація не має змогу працювати.; Заблокувати підозрілі сесії.;=== 15.1.; Вимоги === ; Стан

17.; K2 ERP як контрольована платформа

Ризик: один старий API-ключ, який має повний доступ до ERP і лежить у скрипті на сервері, має змогу бути небезпечнішим за слабкий пароль користувача.; * NIST Cybersecurity Framework.; | style="background:#c8e6c9;" | Погодження, MFA, журнал.; :contentReference [oaicite:2]{index=2}

  • окремі бази;
  • маскування персональних даних у тесті;
  • code review;
  • контроль міграцій;
  • rollback plan;
  • журнал deployment;
  • заборона ручних змін у production без заявки;
  • автоматичні тести критичних процесів.; характеристика
  • MFA для адміністраторів;
  • MFA для бухгалтерів;
  • MFA для фінансових ролей;
  • MFA для користувачів із доступом до банківських операцій;
  • складна політика паролів;
  • заборона спільних логінів;
  • автоматичне блокування після невдалих спроб;
  • контроль входів із нових пристроїв;
  • контроль входів із незвичних країн або IP;
  • регулярний перегляд активних користувачів;
  • швидке відключення звільнених працівників.; | style="background:#c8e6c9;" | Ліміт відхилення, погодження керівником.; | style="background:#ef9a9a;" | Критично
Витік зарплат Він бачить MFA, backup, підозрілі входи, старі token, критичні дії.; | Погодження, rollback.; * CISA Cybersecurity Best Practices.; Критерій

21.2. Backup

K2 ERP має змогу включати:

10.; Моніторинг і виявлення інцидентів

11.; Що означає для ERP

Див.; 24.; додатково

5.; Очікуваний результат При інциденті потрібно мати чіткий план.; | Видно старі та нові права.; Зберегти логи.; Очікуваний результат

}

2.; * щоденний backup бази;

  • backup файлів;
  • backup налаштувань;
  • backup інтеграційних ключів у захищеному вигляді;
  • зберігання копій поза основним сервером;
  • immutable backup;
  • регулярне тестове відновлення;
  • документований RPO;
  • документований RTO.; Адміністратор

22.; Висновок

15.; Dev/Test/Prod безпека

MFA Внутрішній ризик.; * платіжні реквізити;
  • договори;
  • контрагентів;
  • персональні інформаційні дані;
  • зарплати;
  • ціни закупівельна діяльність;
  • ціни продажу;
  • знижки;
  • залишки;
  • виробничі рецептури;
  • комерційні умови;
  • податкову інформацію;
  • банківські виписки;
  • управлінську формування звітів.; Статус

Кібербезпека ERP — це не технічна опція, а умова виживання бізнесу.; Пояснення

8.; |-

Списання товару Крадіжка або приховане списання.; №
AC-1 }

14.; Безпека мобільного доступу

; Менеджер ; ISO/IEC 27001 визначає вимоги до системи керування інформаційною безпекою, тобто ISMS, і застосовують, коли потрібно компаніями для створення, впровадження, підтримки та постійного покращення керування інформаційною безпекою.; Рівень

8.2.; RPO та RTO

AC-13 Керівник відкриває dashboard безпеки.; складський облік
  • банки;
  • податкова;
  • ПРРО;
  • CRM;
  • WMS;
  • маркетплейси;
  • Нова пошта;
  • Укрпошта;
  • електронний підпис;
  • електронний електронний документообіг;
  • BI;
  • мобільні додатки.; Що має змогу статися
; №
MFA Для адміністраторів, бухгалтерів, фінансів, керівників.; Значення - Видалення документа Приховування операції.; | Вхід без MFA неможливий.;== 5.; Захист облікових записів ==
; Очікуваний результат
  • інвентаризація користувачів;
  • інвентаризація ролей;
  • інвентаризація інтеграцій;
  • інвентаризація API token;
  • перевірка backup;
  • перевірка доступу до бази;
  • перевірка журналів;
  • перевірка серверів;
  • перевірка критичних операцій.; |-
 центральний бухгалтер - Зміна прав користувача Несанкціоноване розширення доступу.; Виявити інцидент.; Ізолювати скомпрометований акаунт або сервер.; :contentReference [oaicite:0]{index=0} ;=== 6.1.; Рольова модель ===
  • окремий API token для кожної інтеграції;
  • обмеження прав token;
  • IP whitelist;
  • rate limiting;
  • expiration date для token;
  • token rotation;
  • журнал API-запитів;
  • підпис webhook;
  • перевірка повторів webhook;
  • idempotency key;
  • HTTPS;
  • заборона передачі секретів у URL;
  • маскування персональних даних у логах.; |-
 07.05.2026 09:15 ivan.petrenko Зміна реквізитів ТОВ «Альфа» Критично Очікує погодження
07.05.2026 10:22 admin Зміна ролі user_245 Критично Погоджено
07.05.2026 11:05 sklad_01 Списання товару SKU-001 Високий На перевірці

8.; Резервне копіювання ERP

Ризик: ERP часто інтегрована з банками, ПРРО, податковою звітністю, маркетплейсами, службами доставки, CRM, WMS, BI та електронним документообігом.; Окремо варто відзначити Identify, Protect, Detect, Respond, Recover.;== 1.; Короткий висновок для керівника ==

CISA у своїх рекомендаціях для бізнесу окремо підкреслює важливість логування, резервного копіювання та шифрування бізнес-даних як базових практик кіберзахисту.; | style="background:#c8e6c9;" | Must have

Encryption style="background:#c8e6c9;" | Обов'язково
Patch management Регулярне актуалізація ОС, БД, ERP, бібліотек.; Об'єкт

21.4. API

style="background:#c8e6c9;" | Token rotation, IP whitelist, scopes.; | style="background:#ef9a9a;" | Критично
Резервні копії Кожна дія має відповідального користувача.; | style="background:#c8e6c9;" | Двоетапне погодження, журнал, повідомлення фіндиректору.; |- AC-5 - Червоний style="background:#ef9a9a;" | Критично
Фінансові інформаційні дані style="background:#c8e6c9;" | Обов'язково

Якщо ERP має мобільний додаток або web-доступ:


5.2.; Ролі підвищеного ризику

Критичні операції повинні мати додатковий контроль.; Зупинити ризикові інтеграції.; | style="background:#c8e6c9;" | Обов'язково

Моніторинг class="wikitable" - AC-4 } ; Бухгалтер
AC-10 Створюється alert.; |- Фінансовий директор - AC-9 Масовий експорт даних фіксується.; !; * Внутрішні вимоги K2 ERP до ролей, журналювання, інтеграцій і резервного копіювання.; Критерій
продажі та реалізація Робота Перегляд Перегляд Перегляд конфігурація
закупівельна діяльність Перегляд Робота Перегляд Погодження конфігурація
складський облік Перегляд Перегляд Робота Перегляд конфігурація
Зарплата Заборонено Робота Заборонено Перегляд конфігурація
Банківські операції Заборонено Робота Заборонено Погодження конфігурація

11.1.; Вимоги до API

Червона зона: ERP без MFA, без backup-тестів, без журналу критичних дій, із надлишковими правами, старими API-ключами та прямим доступом до бази.; |-

Backup test Не рідше 1 разу на місяць Перевірка, що backup реально відновлюється.; }
style="background:#c8e6c9;" | MFA, окремий admin-акаунт, аудит.; | style="background:#ef9a9a;" | Критично
Інтеграції - Інтеграційний користувач системи - AC-11 API token має обмежені права.; Дата ; Ознака ризику

1.; | style="background:#c8e6c9;" | MFA, погодження змін.; | style="background:#c8e6c9;" | Обов'язково

Least privilege є собою актуальна резервна копія.; Для ERP важливий не факт створення копії, а гарантоване відновлення бізнесу.; |- Розробник Блокування експорту, перевірка.; !; |}

6.; Контроль доступу в ERP

 ; Захід

Альтернатива безпеки: K2 ERP повинна розглядатися не без ускладнень як облікова платформа, а як контрольована ERP-платформа з ролями, журналами, API-безпекою, резервним копіюванням, аудитом, моніторингом і керованими інтеграціями.; | style="background:#c8e6c9;" | Dev/Test/Prod separation, code review.; | Добрий стан

; Критично істотно: у ERP не повинно бути користувачів типу admin/admin, test/test, buh/password або спільного логіна «бухгалтерський обліковий облік».; Показник

5.1.; Основні вимоги

 Вона підсвічується червоним.; | Витік через інтеграцію.; | style="background:#c8e6c9;" | Обов'язково
Резервне копіювання Backup перевіряється відновленням, а не тільки фактом створення.; Дія

ERP повинна не тільки зберігати логи, а й аналізувати їх.; | style="background:#c8e6c9;" | Обов'язково

Журналювання Всі критичні дії логуються.; 4.; Впровадити запобіжні заходи.; №
Облікові записи Злам пароля бухгалтера, адміністратора, менеджера або API-користувача.; Зона ризику

ERP повинна мати чітку рольову модель:

- AC-3 style="background:#c8e6c9;" | MFA, журнал критичних дій.; | Блокування, alert адміністратору.; | style="background:#ffcc80;" | Високий
Немає контролю змін Контрольований ризик
Зелений class="wikitable"

21.5. Dashboard

  • централізовану рольову модель;
  • журнал критичних дій;
  • контроль зміни реквізитів;
  • контроль зміни цін;
  • погодження фінансових операцій;
  • API token management;
  • інтеграційний журнал;
  • dashboard кіберризиків;
  • контроль active sessions;
  • контроль користувачів без MFA;
  • контроль старих token;
  • контроль backup;
  • контроль підозрілих дій.; | Пароль адміністратора без MFA.; * CISA Level Up Your Defenses.; Контроль

20.; Incident Response для ERP

Зміна банківських реквізитів контрагента Підміна рахунку.; |- AC-15 - Злам адміністратора Отримання повного доступу до ERP.;{{SEO

12.; Захист від ransomware

 style="background:#c8e6c9;" | Обов'язково
- AC-14 style="background:#c8e6c9;" | Must have
API security Token scopes, rotation, IP whitelist.; №

6.2.; Матриця доступу

12.1.; Що потрібно захистити

 ; !; Ризик - AC-12 style="background:#c8e6c9;" | Обов'язково
Immutable backup style="background:#ffcc80;" | Високий
Права доступу Погодження фіндиректором.; | Високий ризик
Жовтий style="background:#ef9a9a;" | Критично
Шифрування бази Ransomware блокує ERP.; Очікуваний результат 



* входи користувачів;
* невдалі спроби входу;
* зміну пароля;
* зміну ролей;
* створення користувача;
* блокування користувача;
* зміну довідників;
* зміну банківських реквізитів;
* зміну цін;
* зміну залишків;
* проведення документів;
* скасування документів;
* видалення документів;
* запуск інтеграцій;
* API-запити;
* експорт даних;
* масові операції.; |}


Етап 5.; Incident response

ERP — це серце бізнесу.; Рівень


Етап 3.; Рольова модель


* база не доступна напряму з інтернету;
* доступ тільки з application-серверів;
* окремі облікові записи для сервісів;
* заборона використання root/superuser для ERP-додатку;
* шифрування дисків;
* шифрування backup;
* аудит SQL-доступу;
* контроль масового читання;
* контроль зміни структури;
* регулярні актуалізація СУБД;
* тест відновлення.;


ERP backup повинен відповідати правилам:




style="background:#c8e6c9;" | Must have




Ролі

style="background:#c8e6c9;" | Must have




13.; Безпека бази даних ERP
- AC-2 MFA увімкнено для критичних ролей.; * DEV; * TEST; * STAGE; * PROD.;

21. Acceptance Criteria

21.3.; Аудит

10.1.; Події для виявлення

16.2.; Матриця кіберстану

style="background:#ef9a9a;" | Критично
Надлишкові права Менеджери бачать фінансовий блок, бухгалтери змінюють складський облік, складський облік змінює ціни.; Рівень Alert, запис у журнал.; !; Принцип
ERP майже завжди інтегрується з іншими системами:
style="background:#c8e6c9;" | Заборона фізичного видалення, soft delete, аудит.;=== 9.1.; Приклад журналу критичних дій === * увімкнути MFA; * вимкнути неактивних користувачів; * прибрати спільні логіни; * змінити старі паролі; * обмежити admin-доступ; * закрити зайві порти; * перевірити backup; * обмежити API token.; 6.; |- AC-8 Зміна прав логуються.; характеристика
AC-7 Зміна реквізитів логуються.; Стан
Найменші привілеї Кожен користувач системи має тільки ті права, які потрібні для роботи.; Колір Token можна відкликати без зупинки інших інтеграцій.; | style="background:#ffcc80;" | Високий
Старі API-ключі } ERP повинна логувати:

9.; Журналювання та аудит

* бухгалтер; * центральний бухгалтер; * фінансовий директор; * менеджер продажів; * керівник продажів; * закупівельник; * складський облік; * керівник складу; * виробництво; * HR; * керівник; * адміністратор; * інтеграційний користувач системи; * аудитор.;== 3.; Основні принципи кібербезпеки ERP ==
MFA для адміністраторів Увімкнено Норма
MFA для бухгалтерів Частково Потрібна дія
Останній backup 07.05.2026 03:00 Норма
Останній тест відновлення 35 днів з цієї причини Потрібна дія
Критичні дії без погодження 3 Критично
Активні користувачі після звільнення 1 Критично
Старі API token 7 Потрібна дія
Підозрілі входи 2 Критично
Управлінський результат: керівник повинен бачити не лише «ERP функціонує», а й хто має доступ, які критичні дії виконуються, чи є собою резервні копії, чи функціонує MFA, чи є собою підозрілі входи, чи закриті інтеграції, чи можна відновити систему після інциденту.; Захист Зелена зона: K2 ERP або інша контрольована ERP-платформа з ролями, MFA, аудитом, резервним копіюванням, моніторингом, безпечними API, incident response та dashboard кіберризиків.; | Конфлікти, штрафи, репутаційні втрати.; | є собою протокол тестового відновлення.; | style="background:#c8e6c9;" | Must have
Audit log Критичні дії логуються.; Приклад ; Вимоги: * NIST Cybersecurity Framework 2.0.;
 style="background:#ffcc80;" | Високий
Контрольована ERP Неможливо розслідувати інцидент.; | Вона підсвічується помаранчевим або жовтим.; | інтеграційні функціональні можливості не має зайвого доступу.; операційна дія ; ERP-розробка повинна мати окремі середовища: Орієнтир для побудови захисту: кібербезпека ERP повинна будуватись за логікою NIST CSF 2.0: Govern.; | style="background:#c8e6c9;" | Рекомендовано

8.1.; Правило backup

У ній зберігаються фінансовий блок забезпечується через Критично істотно: ERP-система є собою одним із найцінніших об'єктів; додатково реалізовано зарплати, податки, договори, ціни, залишки, виробничі інформаційні дані, клієнти, постачальники, управлінська формування звітів і комерційна таємниця.; База даних ERP повинна мати окремий контур захисту.; |} 		- Зміна реквізитів перед оплатою Можлива шахрайська дія.; компонент style="background:#ef9a9a;" | Критично
Зміна платіжних реквізитів - Зміна ціни продажу Продаж нижче мінімальної ціни.; !; * описати ролі; * описати матрицю доступу; * розділити обов'язки; * ввести погодження; * ввести періодичний перегляд прав.;

11.; Безпека API та інтеграцій

* MFA; * device binding; * session timeout; * refresh token rotation; * заборона збереження пароля; * обмеження копіювання критичних даних; * захист від доступу з root/jailbreak-пристроїв, якщо це потрібно; * журнал мобільних сесій; * можливість примусового виходу; * remote revoke для загубленого пристрою.; |- 		AC-6 Backup недоступний для ransomware з основної мережі.; Одна слабка інтеграційні функціональні можливості має змогу стати входом у всю систему.; Контроль ; Мінімальна вимога
Адміністратор ERP style="background:#ffcc80;" | Високий
7.; | style="background:#c8e6c9;" | Must have
Backup Щоденний backup + тест відновлення.; Чому небезпечна ; Ризик ; ERP містить інформаційні дані, які мають високу цінність для зловмисників:
; Ризик Головне рішення для бізнесу для керівника: не чекати кібератаки.;== 18.; Мінімальний security baseline для ERP == - Вхід із нової країни Можлива компрометація.;== 19.; План впровадження кібербезпеки ERP ==

Етап 1.; Аудит

 ;== 23.; Джерела == ; Реакція style="background:#c8e6c9;" | Must have
Incident plan Небезпечно
Помаранчевий Частина контролів є собою, але немає системного аудиту.; ERP потрібно захищати заздалегідь: через аудит, role-based access, MFA, backup, журналювання, контроль інтеграцій і план реагування.; Подія

7.; Захист критичних операцій

Кібербезпека ERP повинна будуватися не як набір випадкових налаштувань, а як платформа керування ризиками.; | Доступ припиняється у день звільнення.; Показник
Отримано з https://wiki.corp2.eu/index.php?title=Кібербезпека_ERP&oldid=998