Legacy ERP-системи часто є критично важливими для підприємств, проте вони рідко підтримують сучасні стандарти безпеки, такі як MFA або SAML/OIDC. За даними ENISA Threat Landscape 2025, фішинг залишається головним вектором атак, а понад 53% постраждалих організацій належать до критичної інфраструктури. Повне переписування ERP є ризикованим, тому доцільно створити навколо неї захисний контур Zero Trust.
Що це змінює для галузі
Ігнорування вразливостей застарілих ERP-систем загрожує підприємствам критичної інфраструктури та бізнесу масштабними витоками даних, фінансовими втратами та зупинкою операційних процесів через фішингові атаки. Оскільки повна заміна legacy-систем потребує колосальних інвестицій та часу, це стимулює ринок до швидкого впровадження накладених засобів безпеки та переходу до концепції Zero Trust без капітального переписування коду.
Чому застарілі ERP-системи вразливі до атак
Legacy ERP мають низку архітектурних обмежень, які полегшують зловмисникам горизонтальне переміщення всередині мережі:
- відсутність вбудованої багатофакторної автентифікації (MFA);
- надлишкові привілеї користувачів та технічних акаунтів;
- прямий мережевий доступ до серверів і баз даних у плоских мережах;
- статичні та довгоживучі паролі сервісних облікових записів.
Згідно з Cisco Cybersecurity Readiness Index 2025, для захисту таких систем критично важливими є контроль ідентичності, надійність пристроїв та стійкість мережі.
Три етапи побудови захисного контуру
Для захисту legacy ERP без зміни її коду використовують три основні інструменти:
- Identity-Aware Proxy (IAP). Розміщується перед веб-інтерфейсом ERP і перенаправляє користувачів до корпоративного Identity Provider для перевірки MFA. Це дозволяє контролювати доступ ззовні, не змінюючи код системи.
- Privileged Access Management (PAM). Забезпечує контроль адміністративних сесій, безпечне збереження та ротацію паролів до серверів, баз даних і сервісних акаунтів.
- Мікросегментація. Обмежує мережеві потоки так, щоб сервер бази даних ERP приймав запити лише від авторизованих серверів застосунків, а адміністративні протоколи були доступні виключно через PAM.
Безпека інтеграцій та аварійний доступ
Для захисту machine-to-machine взаємодії доцільно використовувати інтеграційні шлюзи, які перевіряють токени та сертифікати перед передачею запитів до ERP. Також обов'язковою є розробка процедури аварійного доступу (break-glass) на випадок відмови систем автентифікації. Вона має передбачати чітко визначені резервні шляхи, окремі облікові записи та обов'язкове журналювання дій.
Методологія впровадження
Впровадження захисного контуру рекомендується проводити поетапно за логікою NIST AI RMF: визначення відповідальних (Govern), мапування потоків даних (Map), тестування правил у пілотному контурі (Measure) та поступове переведення користувачів на нову модель (Manage).
Зовнішній захисний контур не замінює оновлення самої ERP чи закриття вразливостей, але дозволяє суттєво зменшити поверхню атаки та зробити доступ контрольованим уже зараз.
Наступні кроки
- Впровадити Identity-Aware Proxy (IAP) перед веб-інтерфейсом ERP для забезпечення багатофакторної автентифікації (MFA).
- Розгорнути систему Privileged Access Management (PAM) для контролю адміністративних сесій та автоматичної ротації паролів.
- Налаштувати мікросегментацію мережі, обмеживши доступ до бази даних ERP лише авторизованими серверами.
- Розробити та протестувати процедуру аварійного доступу (break-glass) на випадок збоїв систем автентифікації.
Матеріал підготовлено учасником Software Ukraine. Оригінальна публікація.