ईआरपी सिस्टम की सुरक्षा में "छेद" के बारे में

हालांकि मैं अपने LiveJournal में उपयोग किए गए नाम को पसंद करता हूं। लेकिन हेबर खुद को एक गंभीर साइट कहता है और नाम उचित होना चाहिए।

डिजिटल सिक्योरिटी ने SAP और Oracle सिस्टम पर ERP सुरक्षा अनुसंधान किया है। उपरोक्त निर्माताओं के लिए अध्ययन के परिणाम निराशाजनक हैं। हालाँकि, डिजिटल सुरक्षा ने केवल हिमशैल के सिरे को पाया, न जाने कैसे यह विवरण में है, उत्पादन में, इसलिए बोलने के लिए। मैं उन कारणों के बारे में बात करना चाहता हूं जिनके कारण उपरोक्त ईआरपी-सिस्टम के ग्राहक लगभग दशकों तक इन समस्याओं के साथ "जीवित" रहते हैं और किसी कारण से उन्हें हल नहीं करते हैं।

सुरक्षा समस्याओं के अस्तित्व के तथ्य ने मुझे बहुत उत्साहित नहीं किया। उनके अस्तित्व में कुछ भी असामान्य नहीं है। एक ही कारण से दुनिया के प्रमुख वाहन निर्माताओं द्वारा सालाना कितनी कारों को वापस बुलाया जाता है? और हम नियमित रूप से कुछ एयरलाइनरों के संचालन के निलंबन के बारे में सुनते हैं। ईआरपी सिस्टम भी लोगों द्वारा बनाए जाते हैं, और, जैसा कि आप जानते हैं, वे गलतियाँ करते हैं। लेकिन अगर कारों में इन समस्याओं को याद और समस्या निवारण की मदद से हल किया जाता है, तो ईआरपी-सिस्टम के साथ सब कुछ बहुत खराब है। क्यों?

लगभग दस साल पहले, मिगी -29 के बारे में एक मजाक था जो भारतीयों ने हमसे खरीदा था। बेचैनी से खरीदा। लीजिए, यह इंजन को चालू करता है। फिर से जुदा और आश्वस्त। स्टीम लोकोमोटिव। हालांकि आप दरार। वे हमारे फोन करते हैं, इसलिए वे कहते हैं, और इसलिए, हम समझ नहीं सकते। और उनसे हमारा - यह भी निर्देश में लिखा गया है "स्टीम लोकोमोटिव को इकट्ठा करने के लिए, और फिर एक फ़ाइल"। इसलिए, यह मजाक एमआईजी की तुलना में ईआरपी-सिस्टम के लिए अधिक उपयुक्त है।

ग्राहक इन समस्याओं से हमेशा "जीवित" क्यों रहते हैं? अध्ययन के लेखकों का तर्क है कि इसका कारण सेटिंग्स की अज्ञानता और उनकी जटिलता है। लेकिन मैं कहता हूं कि नहीं।

ग्राहक साइट पर खुद की कल्पना करें। आप यह सुनिश्चित करने के लिए जानते हैं कि आपको गंभीर सुरक्षा समस्याएं हैं। आप उन्हें हल कर सकते हैं, लेकिन इसके लिए आपको "घने" सिस्टम सेटिंग्स का अध्ययन करना चाहिए। क्या आप उनका पता नहीं लगा सकते? बेशक, आप इसका पता लगा लेंगे। लेकिन, दुर्भाग्य से, यह सेटिंग्स के बारे में बिल्कुल नहीं है। और ईश्वर-रहित पुरानी तकनीकों में, एरप-सिस्टम का उत्पादन और कार्यान्वयन दोनों।

लगभग सभी निर्माता इसी तरह से चलते हैं। ईआरपी सिस्टम नाम की कोई चीज ग्राहकों को जारी और बेची जा रही है। हकीकत में, एक अर्द्ध-तैयार उत्पाद भी नहीं बनता है, लेकिन कुछ भी बदतर है कि "फ़ाइल" के बिना यह सिद्धांत रूप में काम करने में सक्षम नहीं है। फिर यह "कुछ" ग्राहक के क्षेत्र में लाया जाता है और फर्श पर फैल जाता है। फिर डेवलपर्स वहाँ आते हैं और "देखा" शुरू करते हैं।

इसलिए ग्राहकों को इन अर्ध-तैयार उत्पादों को "देखा" और "योजना" करने के लिए मजबूर किया जाता है, उन्हें काम करने के लिए मजबूर किया जाता है। व्यवहार में, इसका मतलब है कि मूल उत्पादों के डेटा योजना और स्रोत कोड में आमूल-चूल परिवर्तन इन उत्पादों में किए गए हैं। नतीजतन, प्रत्येक क्लाइंट के पास पूरी तरह से व्यक्तिगत सॉफ़्टवेयर होता है, जिसका अन्य क्लाइंट के समान सॉफ़्टवेयर से कोई संबंध नहीं होता है। और निर्माता से केंद्रीकृत समर्थन पूरी तरह से असंभव हो जाता है, क्योंकि निर्माता का ग्राहकों के साथ स्थिति पर बिल्कुल नियंत्रण नहीं है और यह नहीं जानता कि क्या बदलाव किए गए हैं। निर्माता द्वारा जारी किए गए सभी पैच और संस्करण अपने अधिकांश ग्राहकों के लिए पूरी तरह से बेकार हो जाते हैं, क्योंकि उनकी स्थापना केवल असंभव है, क्योंकि ग्राहकों के पास पूरी तरह से अलग उत्पाद हैं। यह सही कारण है कि ग्राहक सुरक्षा समस्याओं को हल नहीं कर सकते हैं। और न केवल सुरक्षा के साथ।

किसी को मुझ पर आपत्ति हो सकती है - फिर ग्राहक स्वयं इन समस्याओं का समाधान क्यों नहीं करते हैं, अगर वे अभी भी मूल रूप से उत्पाद को बदलते हैं, तो यह काम करता है। लेकिन मुझे माफ करना, फिर हमें ईआरपी-सिस्टम के ऐसे निर्माताओं की आवश्यकता क्यों है, जिनके लिए अपने स्वयं के ग्राहकों को सभी "बग" को साफ करना चाहिए? हां, और यह असंभव है, क्योंकि ईआरपी-सिस्टम के सभी भाग परिवर्तन के लिए खुले नहीं हैं और हर चीज से बहुत दूर तक बदला जा सकता है।

ईआरपी सिस्टम के निर्माता आमतौर पर अपने स्वयं के ग्राहकों से तलाकशुदा होते हैं। क्योंकि वे सीधे ग्राहकों के साथ काम नहीं करते हैं, लेकिन केवल भागीदारों के माध्यम से। निर्माता के लिए ईआरपी-सिस्टम की वास्तविक आवश्यकताएं और व्यावहारिक, महत्वपूर्ण समस्याएं बस अज्ञात हैं। वे अपने ग्राहकों को नहीं सुनते हैं क्योंकि उन्हें साझेदारों की दीवार से हटा दिया जाता है। मैं यह नहीं कह रहा हूं कि भागीदारों के माध्यम से काम करना बुरा है। बिलकुल नहीं। मैं केवल एक तथ्य बता रहा हूं।

इसके अलावा, बहुत सारे उदाहरण हैं जब कोई कंपनी ईआरपी सिस्टम बेचती है जो इसका उपयोग नहीं करती है। कई ईआरपी सिस्टम एक साथ बेचने और लागू करने वाली कंपनियां हैं। इस स्थिति में उनका समर्थन कैसे किया जाता है, ग्राहकों से खुद पूछना बेहतर है।

दूसरे शब्दों में, सभी समस्याएं उत्पादन प्रौद्योगिकियों और ईआरपी-सिस्टम के कार्यान्वयन से बढ़ती हैं, जो सुरक्षा की तरह, 10 साल पहले के स्तर पर हैं, जब ईआरपी-सिस्टम अनिवार्य रूप से ग्राहक के क्षेत्र में विकसित किए गए थे और सख्ती से व्यक्तिगत रूप से।

निर्माता अक्सर अपने निर्णयों की प्रतिकृति के बारे में लिखते हैं। लेकिन फिर मैं इन निर्माताओं को याद दिलाऊंगा कि प्रतिकृति उत्पाद वह है जिसमें ग्राहक के क्षेत्र पर स्रोत कोड और डेटा योजना नहीं बदलती है। वर्ड और एक्सेल प्रतिकृति उत्पाद हैं।

एक ही मोटर वाहन उद्योग में, सुरक्षा मुद्दों को हल करना ज्यादातर संगठनात्मक मुद्दों से संबंधित है, तकनीकी लोगों से नहीं। ऑटो डीलरों को निर्देश देने की आवश्यकता है, बजट सुनिश्चित करना आदि। क्योंकि कार ग्राहकों के लिए समान हैं और निर्माता को यह पता है कि प्रत्येक मालिक के लिए समस्या को कैसे ठीक किया जाए।

पिछड़ी कार्यान्वयन तकनीकों को सही ठहराने के लिए, वे मानक रूप से मुझ पर आपत्ति जताएंगे और कहेंगे कि सभी कंपनियां अलग हैं, सभी की अलग-अलग व्यावसायिक प्रक्रियाएं हैं, इसलिए कोड और डेटा योजनाओं में गंभीर बदलाव से बचना संभव नहीं होगा। क्लासिक "बहाना", जो संयोगवश, क्लाइंट से डोपिलिवान्या और डोस्ट्रुगिवान्या "अनुकूलन" के लिए अधिक धन निकालने के लिए उपयोग किया जाता है।

मैं जवाब देता हूं। यदि मैं अपनी कंपनी में प्रतिकृति तकनीकों को लागू नहीं करता तो मैं यह सामग्री नहीं लिखता।