On associe généralement un ERP à la comptabilité, aux ventes, aux achats ou aux inventaires. Beaucoup plus rarement à la cybersécurité.
Pourtant, dès qu’une entreprise doit démontrer qui a effectué une opération, qui a approuvé une transaction ou qui avait accès à une information, l’ERP cesse d’être uniquement un outil de gestion. Il devient aussi un élément de gouvernance.
La conformité a besoin de traces
Imaginons une commande liée à un contrat de défense :
- Qui l’a créée?
- Qui l’a modifiée?
- Qui l’a approuvée?
- Quel fournisseur a été utilisé?
- Quels documents sont associés à la transaction?
- À quelle date une modification importante a-t-elle eu lieu?
Dans une organisation où ces informations circulent dans des feuilles Excel, des boîtes de courriel et plusieurs logiciels, répondre à ces questions peut devenir un véritable exercice d’archéologie.
Un ERP bien configuré permet au contraire de centraliser une partie importante de l’activité. Cette centralisation crée une continuité entre les opérations, les utilisateurs et les données.
Les rôles deviennent concrets
Un principe fondamental de la cybersécurité consiste à ne donner aux utilisateurs que les permissions nécessaires à leurs fonctions.
Dans une PME, ce principe peut sembler évident en théorie tout en étant beaucoup plus difficile à appliquer dans la pratique. Un ERP permet de transformer la politique en règles opérationnelles.
Un employé des ventes peut consulter certaines informations sans avoir le droit de modifier les paramètres comptables. Un acheteur peut préparer une commande sans pouvoir approuver seul une transaction dépassant un certain seuil.
Un gestionnaire peut valider une opération sans avoir accès aux fonctions d’administration du système. Ces séparations améliorent à la fois la sécurité et la responsabilisation.
Les validations réduisent les zones grises
Prenons un autre exemple : une modification des coordonnées bancaires d’un fournisseur. Si l’information est simplement remplacée dans un fichier partagé, il peut être difficile de déterminer qui l’a changée et pourquoi.
Dans un processus structuré, une telle modification peut déclencher une validation supplémentaire ou être limitée à certains rôles. La conformité rejoint alors très directement la prévention de la fraude.
Comme TechNuCom l’expliquait dans son article Faire de votre ERP un pilier de votre cybersécurité, protéger l’entreprise ne consiste plus uniquement à bloquer les attaques provenant de l’extérieur. Il faut aussi contrôler l’intégrité des processus internes.
La journalisation crée une mémoire
Les événements retenus doivent pouvoir fournir des informations utiles : nature de l’événement, moment où il s’est produit, source, résultat et identité associée.
Un ERP capable de conserver un historique pertinent des activités peut donc contribuer à cette logique de traçabilité. Encore faut-il que la journalisation soit correctement configurée et intégrée à une stratégie globale.
Tous les journaux ne sont pas automatiquement suffisants. Ils doivent être conservés, protégés et analysés selon les besoins de l’organisation.
Centraliser ne signifie pas tout mettre au même endroit
Centraliser les processus d’un projet sensible ne veut pas dire donner accès à toute l’entreprise. Dans un contexte PCCC, l’objectif peut au contraire être de centraliser l’information dans un environnement séparé, avec un groupe limité d’utilisateurs.
C’est l’une des fonctions de TurboDef. L’environnement rassemble les outils nécessaires aux activités d’un projet défense tout en permettant un meilleur contrôle des utilisateurs, des données et des accès.
Cette approche reprend un principe que nous avions déjà abordé chez TechNuCom : multiplier les outils peut aussi multiplier les problèmes de gouvernance.
L’ERP ne remplace pas la cybersécurité
Il serait néanmoins dangereux de présenter un ERP comme une solution de sécurité complète. Il ne remplace ni un pare-feu, ni l’EDR, ni l’authentification multifacteur, ni les sauvegardes, ni la surveillance des infrastructures. Son rôle est complémentaire. Il structure une partie des opérations et produit de la traçabilité là où, autrement, l’information pourrait être dispersée.
Dans un environnement soumis à des exigences de conformité, cette capacité peut devenir particulièrement précieuse. Un ERP n’est donc plus seulement le système qui aide l’entreprise à travailler. Correctement configuré, il devient également le système qui aide l’entreprise à démontrer comment elle travaille.
Vous souhaitez savoir comment structurer vos opérations de défense dans un environnement mieux contrôlé et traçable? TechNuCom peut vous présenter l’approche TurboDef et analyser son intégration à vos processus.