ERP под защитой: ключевые киберриски для авиационной отрасли

ERP-системы сегодня являются одним из ключевых элементов управления авиапредприятием. Какие риски информационной безопасности вы считаете наиболее критичными именно для ERP-контуров авиационной отрасли?

ERP-системы сегодня являются одним из ключевых элементов управления авиапредприятием. Какие риски информационной безопасности вы считаете наиболее критичными именно для ERP-контуров авиационной отрасли?

Компрометация привилегированной учётной записи. Администратор ERP может изменить справочники, маршруты согласования, финансовые реквизиты, роли, настройки интеграций или программный код.

Подмена данных. Изменение сведений о запасных частях, поставщиках, ресурсах воздушных судов, договорах, платежах или доступности персонала может привести не только к финансовому ущербу, но и к сбоям производственных процессов.

Атаки через интеграции. ERP связана с системами ТОиР, кадровым контуром, бухгалтерией, закупками, складом, внешними порталами, банками, API и шинами данных. Компрометация менее защищённой системы может стать путём к ERP.

Уязвимости кастомизированного кода. В SAP это ABAP, в 1С — конфигурации, расширения и внешние обработки. Опасны небезопасные права, динамическое выполнение кода, ошибки авторизации, SQL-инъекции, небезопасные интеграции и отсутствие контроля изменений.

Нарушение целостности конфигурации и объектов. Особенно критичны изменения ролей, RFC-соединений, профилей безопасности, критичных таблиц, программ и настроек продуктивной системы.

Шифровальщики и остановка ERP. Для авиации простой ERP быстро превращается в операционный кризис: нарушаются снабжение, ремонт, расчёты, планирование и документооборот. В отраслевых обзорах ransomware также называют одним из ведущих киберрисков авиации.

Утечка чувствительных данных ERP содержит персональные данные, коммерческую тайну, сведения о договорах, закупках, зарплатах, поставщиках и внутренних процессах. ** Ошибки обновлений и миграций**. Изменение платформы, конфигурации или кода без полноценного тестирования может одновременно создать уязвимость и нарушить бизнес-процесс. В контексте SafeERP это означает необходимость контролировать не только CVE, но и внутреннее состояние самой ERP: небезопасные настройки, изменения контрольных сумм, обращения к объектам ограниченного доступа, новые объекты, авторизации и состояние прикладного кода. Такие сценарии контроля предусмотрены в SafeERP.

Какие особенности защиты российских авиапредприятий отличаются от классических задач корпоративной ИБ? Какие отраслевые факторы необходимо учитывать при построении защиты ERP?

Классическая корпоративная ИБ обычно ставит во главу угла конфиденциальность данных и непрерывность офисных процессов. В авиации приоритет смещается к безопасности, непрерывности и предсказуемости операционной деятельности. Основные отличия: Высокая цена простоя. Недоступность ERP влияет на большое число взаимосвязанных служб и подрядчиков.

Круглосуточная эксплуатация. Окна для обновлений, сканирования и тестирования ограничены, а изменения должны согласовываться с операционными подразделениями.

Смешанный ИТ-ландшафт. В одном контуре могут присутствовать современные отечественные системы, старые ERP-инсталляции, специализированные решения ТОиР, самописные модули и унаследованные интерфейсы.

Связь с технологическими и физическими процессами. ERP может напрямую или косвенно влиять на ремонт, снабжение, склад, планирование экипажей и управление наземным обслуживанием.

Большое количество внешних участников. Авиакомпания взаимодействует с аэропортами, лизинговыми компаниями, поставщиками, ремонтными организациями, агентами и государственными системами.

Строгие требования к прослеживаемости. Важно доказать, кто, когда и почему изменил критичные данные или конфигурацию.

Ограниченная применимость активных проверок. Автоматизированный пентест нельзя бездумно запускать на продуктивном контуре в рабочее время. Необходимо разделять продуктивную, тестовую и резервную среды.

Требования к импортонезависимости и регуляторике. Для значимых систем необходимо учитывать требования ФСТЭК, включая применимость приказов № 17, 21, 31 и 239; SafeERP заявляет возможность использования при реализации соответствующих мер защиты и имеет сертификат ФСТЭК по 5-му уровню доверия. Практически, это означает: ERP-защита должна строиться совместно ИБ, ИТ, эксплуатацией, службой качества, подразделениями ТОиР и владельцами бизнес-процессов.

Какие сценарии атак на ERP-системы авиапредприятий сегодня требуют наибольшего внимания со стороны специалистов по информационной безопасности?

Сегодня специалистам по ИБ нужно защищать ERP не только от «взлома приложения», а от сценариев захвата доверия: доверия к администратору, подрядчику, интеграции, обновлению или резервной инфраструктуре. Для авиапредприятия наиболее опасен тот сценарий, при котором злоумышленник получает легитимный доступ, незаметно меняет критичные данные или выводит из строя общий сервис, а последствия распространяются на снабжение, ремонт, финансовые операции и наземное обслуживание. SafeERP в этой модели помогает отвечать на вопросы: что изменилось в ERP, кто это изменил, какие критичные объекты были затронуты, соответствует ли код эталону и не нарушены ли настройки безопасности. Но для полноценной защиты его необходимо объединять с PAM, SIEM, сегментацией, резервным копированием, управлением уязвимостями и процессами реагирования.

Какие практические шаги вы бы рекомендовали авиапредприятиям, которые только начинают повышать уровень защиты своих ERP-систем? С чего стоит начать: аудит, управление доступом, мониторинг или построение комплексной системы защиты?

Я бы не противопоставлял аудит, управление доступом и мониторинг. Правильная последовательность —аудит → устранение критичных разрывов → постоянный контроль, а не попытка сразу построить идеальную комплексную систему. Защита ERP авиапредприятия — это не установка ещё одного сканера уязвимостей. Это постоянный контроль того, кто получил доступ к системе, какие настройки и код изменились, какие критичные объекты затронуты и может ли организация восстановить работу без потери управляемости. В этой модели SafeERP занимает конкретную нишу: контроль защищённости платформы и бизнес-кода SAP/1С, контроль целостности и критичных операций, а также интеграция результатов с процессами безопасной разработки и корпоративным мониторингом. Если конкретно по шагам, то:

Сформировать реестр ERP-ландшафта. Зафиксировать системы ERP, продуктивные и тестовые среды, базы данных, интеграции, внешние обработки, сервисные аккаунты, владельцев и критичность процессов.

Определить критичные бизнес-сценарии. Например: закупка запчастей, склад, ТОиР, расчёты, кадровое планирование и финансовые операции.

Провести базовый аудит настроек и доступа. Проверить привилегированные роли, неиспользуемые учётные записи, удалённый доступ, RFC/API, открытые сервисы, настройки журналирования и резервного копирования.

Провести контроль кода. Просканировать код, конфигурации 1С, расширения, внешние обработки и интеграционный код. Важно включить в область проверки не только репозитории, но и реально исполняемый код из работающей системы.

Ввести приоритетный список исправлений. Сначала устранять пути к захвату административного доступа, критичные нарушения сегментации, небезопасные настройки и уязвимости, ведущие к изменению данных или остановке ERP.

Настроить передачу событий в SIEM. Начать с действий администраторов, изменений ролей, доступа к критичным объектам, изменений конфигурации и подозрительных массовых операций. SafeERP способен автоматизировать значительную часть таких проверок: контроль настроек, целостности, критичных объектов, авторизаций, новых объектов, анализ кода, формирование отчётов и регулярные проверки по расписанию.

В авиации принято считать, что безопасность полётов начинается с надёжности всех элементов системы. Можно ли сегодня говорить, что защита ERP становится частью общей культуры безопасности авиапредприятия, а не только задачей ИТ-службы?

Да. Более того, для современного авиапредприятия защита ERP уже должна рассматриваться как часть общей культуры безопасности и операционной устойчивости, а не как изолированная функция ИТ или ИБ. Если раньше ERP воспринималась как система финансового и административного управления, то сегодня в авиации её нужно рассматривать как элемент операционной устойчивости. Защита ERP становится частью культуры безопасности тогда, когда изменение роли, справочника, кода или интеграции оценивается не только с точки зрения конфиденциальности данных, но и с точки зрения возможного влияния на техническое обслуживание, снабжение, планирование и непрерывность полётов. Безопасность ERP — это вопрос того, насколько авиапредприятие способно сохранить управляемость и безопасно продолжить работу при ошибке, атаке или отказе цифровой системы.