«Диасофт» и «Центр «РИС» подтвердили безопасность Digital Q.ERP

Компания «Диасофт» и ведущая компания в области защиты информации «Центр «РИС» объявили о результатах комплексного тестирования Digital Q.ERP от «Диасофт». Цель этого сотрудничества: независимый аудит безопасности решения, предназначенного для управления ресурсами предприятия в условиях роста киберугроз.

Сегодня ERP-система становится для предприятия не просто инструментом учета, а «центральной нервной системой». В современном решении класса ERP консолидируются все ключевые процессы. В частности, в решении Digital Q.ERP от «Диасофт», признанном самой инновационной ERP-системой по версии СNews Market, выделены 8 стратегических шагов построения современного производства:

ERP-решение концентрирует в себе чувствительную информацию: финансовые потоки, персональные данные и конфиденциальную информацию. Кибератаки могут привести не только к утечке данных, но и к остановке ключевых бизнес-процессов. Безопасность современного ERP-решения становится системообразующим требованием, влияющим на операционную непрерывность и экономическую безопасность предприятия. Для объектов критической информационной инфраструктуры (КИИ) проактивный аудит безопасности является обязательной частью жизненного цикла системы.

Методика тестирования безопасности от компании «Центр «РИС»

Специалисты компании «Центр «РИС» применяют комплексный подход пентест-тестирования, моделируя действия злоумышленника.

Ключевые этапы тестирования включают:

- Анализ внешней защиты. Комплексное сканирование инфраструктуры, включающее пассивный и активный поиск поддоменов целевого домена для расширения поверхности атаки, выявление открытых портов и сетевых служб, а также обнаружение скрытых ресурсов.

- Поиск известных уязвимостей. Проверка на наличие устаревших версий ПО, опасных файлов, стандартных проблем конфигурации и уязвимостей, имеющих идентификаторы CVE (общеизвестных уязвимостей).

- Оценка безопасности веб-сервера. Анализ заголовков сервера, настроек cookie и других общих векторов атак.

- Ручное тестирование бизнес-логики приложения. Исследование бизнес-логики приложения через перехват, анализ и модификацию HTTP/S трафика.

- Автоматическое сканирование. Комплексное сканирование с помощью российского программного обеспечения RedCheck.

Специалисты «Центр «РИС» применяют комплексную методику, которая сочетает автоматизированное сканирование с ручным тестированием и обеспечивает выявление как стандартных уязвимостей, так и специфических рисков. По результатам формируется комплексная оценка защищенности ERP-решения, позволяющая дать рекомендации для усиления защиты.

Результаты тестирования российского решения Digital Q.ERP от «Диасофт»

В рамках анализа уязвимостей специалистам компании «Центр «РИС» был предоставлен доступ к демонстрационному стенду веб-приложения решения Digital Q.ERP от компании «Диасофт».

Автоматическое сканирование не выявило в системе общеизвестных уязвимостей, что свидетельствует о своевременном обновлении используемого технологического стека.

Ручное тестирование позволило обнаружить потенциальные некритические уязвимости в анализируемом веб-приложении. Найденные уязвимости не способствовали проникновению злоумышленников во внутреннюю инфраструктуру, однако с их помощью можно было оказать влияние на работу веб-приложения в целом, в том числе создать инцидент недоступности.

Результаты тестирования подтвердили высокий уровень защищенности решения Digital Q.ERP от уязвимостей программного обеспечения. По результатам тестирования специалисты компании «Диасофт» выполнили все рекомендации компании «Центр «РИС», что позволило оперативно устранить потенциальные уязвимости и усилить защищенность решения Digital Q.ERP.

Проактивная безопасность как конкурентное преимущество ERP-решения

Современные требования к защите ERP-систем предполагают подход от реактивного реагирования на инциденты к проактивному выявлению потенциальных угроз.

Сотрудничество «Диасофт» и «Центр «РИС» демонстрирует важность аудита безопасности как части жизненного цикла системы. Своевременное устранение рисков позволяет компании «Диасофт» значительно усилить безопасность продукта для клиентов, включая объекты КИИ, и соответствовать высоким стандартам защиты, ожидаемым от решения для предприятий уровня enterprise.