荟聚业内菁英,领读前沿趋势

RISE With SAP 乘云而上 | SAP S/4HANA Cloud 私有云安全体系总览

本文作者:SAP成长型企业社区 文章来源: SAP成长型企业社区 2021-12-10 09:00

1151

面对当前日益复杂和瞬息万变的业务环境,掌控不确定性成了新的竞争优势。敏捷性和前瞻性是未来成功的秘诀,只有智慧企业才能实现长足发展。


RISE with SAP 乘云而上是一款全新的、综合的数字化转型加速包,帮助企业实现加速上云,向数字化智慧企业转型。


本文将带您全面了解 SAP 如何构建多层次的网络安全及数据隐私保护体系,确保客户云端数据的机密性、完整性、可用性;确保云服务网络访问的安全性;确保 SAP 运维服务的安全合规性。


微信图片_20211129093530.png


SAP S/4HANA Cloud, Private Edition(私有云版本)作为 RISE with SAP 解决方案包中的数字化核心组件,拥有 On Premise 本地版本的全部功能,覆盖25个行业、 64个国家和地区及39种语言;支持客制化开发和专家配置,具备足够的扩展性和灵活性,满足企业的个性化需求。



SAP S/4HANA Cloud, Private Edition(私有云版本)采用单租户模式,部署在 Hyper Scaler(IaaS 服务商,国内使用 Azure 中国的数据中心)提供的公有云基础设施上,由 SAP 提供一站式服务,用云运营快速实现价值、保障业务连续性,确保安全与合规的优势的同时,帮助企业以轻资产、低成本的模式发展和创新。



微信图片_20211129093558.jpg


SAP 安全政策及安全标准:SAP 制定了跨组织跨业务线,全球统一的安全政策和标准,覆盖安全的方方面面,这些政策和可落地的安全标准构成了安全体系的“基石”。SAP 以最高的隐私和数据安全标准构建全方位,多层次的安全防护体系,为企业上云保驾护航。

1、数据安全


SAP S/4HANA Cloud, Private Edition(私有云版本)具备以下数据安全特性:

  • 单租户架构:每个租户使用独立的 IaaS 订阅号,独立的虚拟机,独立的应用服务器和数据库,独立的虚拟网络,确保应用和数据完全隔离,这也是 SAP S/4HANA Cloud 称之为私有云版本的重要原因。同时每个客户会默认配置独立的开发环境,测试环境,生产环境三套系统环境,也可以按需增购额外的系统环境。

  • 数据加密:SAP HANA 数据库加密使用 AES-256-CBC 算法(256 位密钥长度)。各种加密根密钥(数据卷、日志卷、备份、应用程序)存储在 HANA 数据库实例内的实例安全存储文件系统 (SSFS) 中。加密使用的 SAP Cryptolib 加密库通过 FIPS 140-2 认证。SSFS 的内容受 SSFS 主密钥保护。

  • 密钥管理:在 HANA 初始安装和版本更新期间生成唯一的加密根密钥和主密钥。主钥匙也可以根据要求定期更换。密钥管理遵循 SOD 权责分离原则。

  • 传输加密:所有 HTTP 流量都受到 TLS 1.2传输层加密和 AES-256-GCM 加密保护。

  • 数据备份:生产环境每天进行全备份,备份数据保留30天,每隔10分钟还进行日志备份。备份数据以加密的方式复制到异地数据中心,即便主数据中心完全损毁,也同样能保证数据安全。同时运维团队定期开展数据备份恢复演练,确保数据的可恢复性。SAP 业务连续性管理通过 ISO22301 体系认证。



2、应用安全


SAP S/4HANA Cloud, Private Edition(私有云版本)应用安全特性:

  • 通过 WAF 防火墙,应用网关,负载均衡器保护来自 Internet 的入站访问流量。

  • 数据传输端到端的加密(TLS1.2 或 SNC 加密)。

  • 提供 SAP Cloud Connector 云连接器,将 SAP S/4HANA 系统与其他 SAP SaaS 应用安全的集成在一起(所有传输通过 SSL 安全隧道)。

  • 使用 SAP Web Dispatcher 反向代理保护后端应用,避免直接访问后端系统。

  • 支持通过 SAML、Kerberos/SPNEGO、X.509 证书进行身份验证,支持多因素访问认证。



微信图片_20211129093604.jpg


SAP 应用设计,原生就具备“多租户”的特点,使用过 SAP 的用户都知道,在登录 SAP 的时候有个入口选择即 Client 集团。

在 SAP 系统内部,每个 Client 的用户账号和权限,业务规则及流程配置,业务数据都是相互隔离的。不同的 Client 的用户完全看不到另外 Client 的信息。而底层和业务无关的技术配置,程序代码等信息则是跨 Client 共享的。这样的设计机制,就使得 SAP 运维人员,只需要登录 000 Client 就可以做运维支持,而看不到客户其他 Cleint 的任何业务数据。

包含业务数据的 Client100,由客户掌管超级管理员账号,并负责应用相关的用户及权限管理。客户管理员用户可以通过事物代码 SM20 查看 SAP 审计信息,可以查看包括终端用户以及 SAP 管理员账号何时从哪个终端登录系统,执行了何种操作。通过这样的职责分工,使得客户可以监督 SAP 的运维行为,进一步保障应用安全。

3、网络安全


  • SAP 在 IaaS 环境为客户部署系统时候,为每个客户创建多个独立的 IaaS 订阅号,用于部署专属的 SAP 实例。在每个订阅号内创建客户特定的虚拟私有云 (VPC) 或虚拟网络 (VNET),以满足系统/数据隔离的要求。在每个 VPC/VNET 中,将创建多个子网来隔离环境。

  • 每个子网都配置有安全组或防火墙,并通过规则控制网络流量。

  • 客户对 VPC 或 VNET 的访问只能通过专用的连接进行(Site to Site VPN 或 MPLS 专线)。默认不允许从 Internet 访问。

  • VNET/VPC 和 SAP 管理网络之间的网络流量始终通过加密的 VPN 隧道传输,所有管理数据交换都通过 TLS 1.2 标准进行加密。



微信图片_20211129093608.jpg


从客户网络环境访问 SAP S/4HANA 私有云环境,默认只能通过安全的专用私有连接进行。专用连接可以是 Azure Express Route 专线连接,或者 Site to Site  IPsec VPN 连接。如果确有需要从 Internet 访问,由客户主动申请之后,SAP 可以启用 HTTPS 公网访问,所有入站流量经过 WAF 防火墙保护,并通过反向代理,确保后端应用和数据库不直接暴露到公网,保障网络安全性。



4、运维安全



微信图片_20211129093612.jpg


为了应对内外部安全威胁,SAP 构建了多层次的网络防御体系。Internet 接入区部署了入侵检测系统,配合 WAF 防火墙,网络安全组,访问控制列表,以及 DDOS 清洗措施,可以有效抵御外部的黑客入侵。



SAP 所有对客户环境的运维管理活动,必须通过统一集中的账号管理系统 Central Cloud Access Manager(CAM)审批,并遵循最小化权限原则。

运维账号强制使用多因素认证,确保访问安全。运维行为都要经过特定的安全堡垒机,并与 SAP 企业网络隔离,运维活动会留下完整的访问操作日志。独立于运维团队之外的专职安全审计团队,对运维行为开展独立的审计检查,以确保运维安全合规。

SAP 内部安全团队定期对系统进行漏洞扫描,同时 SAP 还聘请了第三方安全团队,定期进行渗透测试,排除安全隐患。SAP 制定了严谨的安全补丁管理流程,并在实施补丁前和客户进一步沟通确认,保证系统安全可控。



微信图片_20211129093615.jpg


安全体系和安全架构是基础,持续专业的安全运维和监控是云安全的重要保障。

SAP 拥有专职的安全监控团队,7*24小时不间断运行。SAP 搭建了统一的中央安全日志系统,该系统可以实时收集各类系统日志,安全日志,以及运维人员的管理活动日志。安全监控系统具备预设的模式匹配和识别能力,并基于历史数据进行持续不断的机器学习,能够关联分析不同系统的安全日志,并自动化的识别攻击场景,一旦确认攻击场景,立即发出警报。

对于一些系统不能自动判断的可疑行为,将会执行人工扩展分析,以识别一些特别复杂的攻击场景。收到报警之后,监控团队通过评估和分析,按需触发相应的安全任务,例如通知安全运维团队,对攻击行为采取针对性的防护措施,比如说冻结受攻击的账号,临时停止部分服务等措施,从而保障系统安全。



5、合规审计



微信图片_20211129093619.jpg


在 SAP,我们根据行业标准以及合规性监管要求建立安全体系,从而紧跟不断增长的安全需求。SAP S/4HANA Cloud, Private Edition(私有云版本)通过了多项安全认证, 您可以访问 SAP 信任中心网站,了解我们最新的安全认证和报告。



6、总结


SAP S/4HANA Cloud, Private Edition(私有云版本)为客户提供单租户环境,具备高度的扩展性和灵活性。由 SAP 负责安全架构,在机密性、完整性和安全性方面保护客户核心信息资产。SAP 一站式服务确保了系统端到端的可用性。

SAP 负责各层级的补丁及技术升级,确保了版本持续升级迭代,使得客户能够快速享受版本更新带来的创新成果。许多安全任务,例如,安全监控、安全事件管理、独立的第三方安全审计、24×7网络防护等,都交给了专业的 SAP 运营管理人员。从而使客户能更专注于他们的核心业务流程,更快速的支持业务创新,在转型为“智慧企业”的同时,降低总拥有成本。



相关资源推荐

新美光:数智赋能,创芯未来|SAP 携手新美光启动 SAP S/4HANA 项目

icon 成功案例

薛记炒货:云端寻味 | 薛记炒货携手 SAP 深耕细作走向世界

icon 成功案例

SAP S4HANA Cloud Private Edition

icon 解决方案

SAP S/4HANA Cloud 助力行业转型升级

icon 解决方案

专精特新,云端护航

icon 趋势观点

源于“增”、兴于“智”|供应链金融的SAP数智化之道

icon 趋势观点

大咖推荐阅读

新美光:数智赋能,创芯未来|SAP 携手新美光启动 SAP S/4HANA 项目

icon 成功案例

薛记炒货:云端寻味 | 薛记炒货携手 SAP 深耕细作走向世界

icon 成功案例

SAP S4HANA Cloud Private Edition

icon 解决方案

SAP S/4HANA Cloud 助力行业转型升级

icon 解决方案

专精特新,云端护航

icon 趋势观点

源于“增”、兴于“智”|供应链金融的SAP数智化之道

icon 趋势观点