Демо за 15 минут
← Все статьи
Кейсы

SafeERP 4.9.12: практический разбор обновлений для защиты SAP и 1С в ритейле

11.11.2026 · 6 мин чтения

Компания «Газинформсервис» выпустила обновление своего продукта SafeERP до версии 4.9.12, направленное на усиление защиты и контроля ERP-систем, в первую очередь SAP и 1С. По данным Computerra, ключевыми нововведениями стали инструменты для соответствия требованиям ФСТЭК, углубленный анализ кода и хранилищ, а также улучшения в процессах управления уязвимостями, что напрямую затрагивает задачи ИТ-руководителей в российском ритейле.

Что произошло

Релиз SafeERP 4.9.12 представляет собой эволюционное развитие платформы, сфокусированное на практической применимости результатов аудита. Основные технические изменения затрагивают несколько направлений:

Разработчики подчеркивают, что основной фокус был сделан на том, чтобы отчеты сканера были не просто набором технических логов, а готовыми инструкциями для разработчиков и администраторов.

Почему это важно

Для российского ритейла, где SAP часто управляет логистикой и HR, а 1С является ядром для бухгалтерии, WMS и кассовых операций (ККТ), безопасность ERP — это вопрос непрерывности бизнеса. Уязвимость в одной из этих систем может привести к остановке отгрузок, утечке данных клиентов и, как следствие, к многомиллионным штрафам по 152-ФЗ.

1. Снижение нагрузки на ИБ и разработку. Ранее отчеты сканеров безопасности требовали долгой ручной интерпретации. Безопасник находил уязвимость, а затем часами объяснял ABAP-разработчику или специалисту по 1С, что именно нужно исправить. SafeERP 4.9.12 генерирует рекомендации, близкие к языку разработчика. Например, вместо «небезопасное обращение к БД» система укажет: «В отчете ZMM_STOCK_CHECK, строка 145, использовать FOR ALL ENTRIES с предварительной проверкой на пустой внутренний табице». Это сокращает цикл «обнаружение-исправление» с недель до дней.

2. Комплаенс и импортозамещение. С учетом ухода SAP из России многие компании находятся в состоянии «заморозки» или миграции. В этот период системы становятся еще более уязвимыми из-за отсутствия официальных патчей. Автоматизированная проверка на соответствие требованиям ФСТЭК (включая приказы №17, №21) позволяет поддерживать приемлемый уровень риска. Для компаний, использующих 1С в связке с отечественными ОС (Astra Linux, РЕД ОС) и рассматривающих мобильные рабочие места на Авроре, централизованный контроль через SafeERP становится критически важным. Это позволяет выстроить единую политику безопасности, охватывающую и серверную часть, и мобильные клиенты, о чем подробнее можно узнать в документации по /docs/aurora.

3. Риски кастомизации. Ритейл — это всегда большое количество доработок в 1С и SAP. Каждый новый отчет для анализа KPI или скрипт для интеграции с маркетплейсом — это потенциальная точка входа для злоумышленника. Углубленный SAST-анализ в новом релизе позволяет выявлять проблемы в этих кастомизациях еще на этапе тестирования, до выкатки в продуктив.

Связка с мобильными устройствами также очевидна: уязвимость в SAP-системе может быть эксплуатирована через скомпрометированное ТСД (терминал сбора данных) на Android, если на нем не настроены строгие политики. Комплексная безопасность — это защита и серверной ERP, и конечных точек, которыми управляет /docs/policies.

Что делать

Для ИТ-руководителя в ритейле выход этого релиза — повод провести ревизию текущих процессов ИБ. Практические шаги по интеграции новых возможностей SafeERP 4.9.12 выглядят следующим образом:

1. Актуализация профиля проверок. Необходимо немедленно обновить политики аудита в SafeERP. Следует включить новые шаблоны, основанные на методических рекомендациях ФСТЭК для SAP NetWeaver и платформы 1С:Предприятие 8.3/8.5. Особое внимание уделить проверкам, связанным с разграничением прав доступа (SoD - Segregation of Duties) для кассовых операций и работы с поставщиками.

2. Внедрение SAST в цикл разработки (1С и ABAP).

3. Автоматизация Service Desk. Настройте коннектор SafeERP к вашей системе управления задачами. Для каждой найденной критической уязвимости (например, наличие стандартного пароля SAP* в клиенте 066 или избыточные полномочия SAP_ALL у сервисного пользователя) система должна создавать тикет.

        POST /rest/api/2/issue
        {
          "fields": {
            "project": { "key": "SEC" },
            "summary": "Уязвимость в SAP: неактивный юзер с паролем в клиенте 000",
            "description": "SafeERP обнаружил пользователя DDIC в клиенте 000 со стандартным паролем. Требуется немедленное изменение. Детали проверки: ID-SCAN-7782.",
            "issuetype": { "name": "Bug" }
          }
        }

4. Анализ хранилищ 1С. Запустите разовую полную проверку всех серверов, где хранятся бэкапы (dt) и обновления (cfu). Убедитесь, что к каталогам с этими файлами нет доступа у стандартных пользователей терминальных серверов или кассиров. SafeERP должен проверить ACL (списки контроля доступа) на уровне файловой системы Windows или *NIX.

5. Синхронизация с IAM/IdP. Убедитесь, что список пользователей в SafeERP актуален. Для автоматизации этого процесса рекомендуется использовать SCIM-протокол для синхронизации учетных записей из вашего каталога (Active Directory, Keycloak) с SafeERP. Это исключит ситуацию, когда отчет показывает риски для учетных записей уже уволенных сотрудников. Настройка подробно описана в /docs/scim.

Источник: https://www.computerra.ru/374133/rekomendatsii-fstek-dlya-sap-analiz-hranilishh-1s-i-uluchshenie-proverok-vyshla-novaya-versiya-safeerp/

#1с#saferp#sap#sast#vulnerability-management#газинформсервис#ритейл#фстэк
← Вернуться ко всем статьям