SAP S/4HANAへの移行の保護：組織が取り組むべき4つの主な課題

従来のSAP ERPプラットフォームに対する標準サポートは2027年12月31日に終了します。それ以降、SAP ECC 6.0 (およびそれ以前のERPバージョン)は、定期的なパッチやアップデートを受けられなくなることでリスクが高まり、さらに「延長サポート：2030年12月31日まで(SAP ECC EHP 6～8向けに追加料金で利用可能)」によるメンテナンス費用も増加します。これは「IT部門の周辺プロジェクト」ではなく、財務会計と管理会計(FICO)、販売流通(SD)、購買管理(MM)、人材管理(HCM)、生産計画(PP)、設備保守(PM)、品質管理(QM)などのビジネスを支えるECCの中核機能に影響します。先進的な組織はこのリスクを負わず、RISE with SAPプログラムを通じてSAP ERPの近代化にすでに着手しています(または、まもなく着手する予定です)。

SAP S/4HANAの複雑なハイブリッド インフラ

S/4HANAへの移行は通常、数年にわたります。この期間中、SAP ECCやSAP BWはオンプレミス環境に残されたまま、S/4HANAが並行して導入されることが一般的です。すべてのシステムは相互運用可能でなければならず、オンプレミス環境とクラウド環境間でデータや業務プロセスを共有する必要があります。同時に、接続要件は爆発的に増加します。S/4HANAは、インターネットやSaaS、外部ビジネス パートナー、工場や製造現場のプリンターと接続されます。その結果、高度に相互接続された複雑なハイブリッド インフラが構築されるのです。

^{図1: SAP S/4HANAのハイブリッド インフラを特徴とするリファレンス アーキテクチャー}

SAP S/4HANAへの移行における4つの主なセキュリティ課題

インターネット、SaaSプラットフォーム、サードパーティー パートナーとの広範な接続は、攻撃対象領域を大幅に拡大させます。その結果、より多くの侵入口が生まれ、侵害が発生した場合には潜在的な影響範囲が急速に広がります。ファイアウォールやVPNに依存する従来のセキュリティ アーキテクチャーは、ハイブリッド環境では拡張が難しく、ポリシーの乱立や制御の不整合を招きます。一方、クラウド環境とオンプレミス環境間の安全性が低い状態でのデータ移行は、機密データの漏洩リスクを高めます。

その結果、多くの組織はSAP ERPへの移行と並行してセキュリティ アーキテクチャーも近代化する必要性を見落としているため、重大な課題に直面しています。組織が直面する4つの主な課題について見ていきましょう。

課題1: S/4HANAを露出させることなくパートナーへの安全なアクセスを提供

外部のビジネス パートナー(サプライヤー、ベンダー、顧客、物流業者など)にSAP S/4HANAへのアクセスを提供することは重要です。なぜなら、これによりB2Bのやり取りが、手作業による分断されたプロセスから、リアルタイムで協調的かつ自動化されたデジタル ワークフローに移行するためです。サプライ チェーンの可視性が向上し、トランザクション処理が迅速化され、業務効率が向上します。

多くの組織は、ビジネス パートナーとのこうした接続を直接管理しています。SAP S/4HANAへのアクセスは専用のプライベート ネットワーク経由で提供され、両端にはファイアウォールが設置されています。しかし、このアプローチでは、いずれかのファイアウォールが侵害された場合にS/4HANAが露出してしまうリスクが高まります。組織は、S/4HANAをパブリックにアクセス可能なIPアドレスの背後に置いたり、パートナーがルーティングするネットワークやフラットな信頼ゾーンに接続することなく、さらに新たに複雑なファイアウォールの例外設定を作り出すこともなく、安全なパートナー接続を実現することが求められています。

^{図2:ビジネス パートナーとSAP S/4HANA間の安全でない接続}

課題2: SAP S/4HANA移行中のデータ漏洩防止

SAP S/4HANAへの移行では、機密データ(財務データ、人事データ、顧客記録、IPなど)がオンプレミス環境とクラウド環境間で大量に移動します。これらの環境ではセキュリティ対策が異なっており、さらに検査が大規模な運用を想定して設計されていない場合、暗号化によって可視性が低下する可能性があります。このタイミングでは、特にデータ漏洩のリスクが急増します。原因としては、アカウント侵害、不正な管理ツール、誤った転送経路、または管理されていないエンドポイントが挙げられ、これらは検知されないまま機密データを密かに持ち出す可能性があります。組織には移行フロー全体にわたって、一貫性のあるインライン型の制御が求められます。

^{図3:データ移行中のオンプレミスとクラウド間の安全でない接続}

課題3: S/4HANAと製造現場間の接続の保護

SAP S/4HANAは、高度な事業計画と、製造現場でのリアルタイムの実行との間のギャップを埋めるために、製造現場との接続を必要とします。このハイブリッド アプローチにより、組織はクラウドのスピードとイノベーションを活用しながら、機密性の高いリアルタイムの生産データに対する管理を維持できます。

この接続を保護するためにプライベート ネットワークやサイト間VPN、ファイアウォールに依存すると、侵害されたデバイスからSAPに接続されたサービスへの脅威のラテラル ムーブメントが可能となります。組織は生産を妨げることなく、1対1の最小特権接続を施行する必要があります。

たとえば、工場内のネットワーク接続されたプリンターなど一見無害に見えるデバイスが招くリスクについて考えてみましょう。これらのデバイスは、リアルタイムでの生産ラベル貼付やレポート作成を可能にするためにSAP S/4HANAとの接続を必要としますが、多くの場合はパッチ未適用の脆弱性や脆弱なセキュリティ対策を抱えていることで知られています。従来のサイト間VPNやファイアウォールを介して接続する場合、プリンターは通常、信頼されたネットワーク セグメントに配置されます。攻撃者がこのプリンターを侵害した場合、VPNによって提供される広範なネットワークレベルのアクセスが開かれた通路として機能します。これにより、攻撃者は製造現場からSAPの中核環境に直接水平移動できてしまいます。この脆弱性は、組織が「フラット」なネットワーク接続に依存できなくなった理由を示しています。代わりに、エッジでの侵害によって重要な事業運営が危険にさらされないよう、1対1のアプリケーションレベルによる最小特権アクセスを施行する必要があります。

^{図4: SAP S/4HANAと製造現場間の不安定な接続}

課題4:露出させることなくS/4HANAからSaaSへのアウトバウンド トラフィックを保護

S/4HANAは単独で動作するのではなく、セキュリティ パッチのダウンロード、分析、人事エコシステム、コラボレーションのために、インターネット経由でSaaSと接続する機会が増えています。データ漏洩が発生するのは、アウトバウンド接続時です。具体的には、アップロード、APIコール、ファイル同期、ユーザーによるエクスポートなどが挙げられます。アウトバウンド トラフィックが定期的な検査を回避してしまうと、特に暗号化されたトラフィックの場合、死角が拡大します。同時に、アウトバウンド トラフィックを「バックホール方式」でルーティングすると、遅延や複雑さが増す可能性があります。組織にはネットワークへの露出を再び増やすことなく、インターネット/SaaS向けの安全で拡張性の高い検査とデータ制御が求められます。

^{図5: SaaSへのアウトバウンド トラフィックの可視性の欠如}

Zscaler Zero Trust Cloudによる移行の保護

Zscaler Zero Trust Cloudは、ZIAやZPAを含むZscaler Zero Trust Exchangeを活用しており、ネットワーク中心のアクセスをアイデンティティーとポリシーベースのきめ細かな制御に置き換えます。これは、S/4HANAを検出不可能な状態にし、検証済みの最小特権アクセス経由でのみ利用可能にすることで、クラウドファースト環境におけるSAPを保護します。これにより、ビジネス パートナーは安全にアクセスでき、移行プロセス全体を通じてSAPの転送中データを保護します。また、印刷ジョブ環境を含む製造現場とSAPとの統合も保護します。

^{図6: Zscaler Zero Trust CloudによるSAP S/4HANAへの移行の保護}

次のステップ

次回のブログでは、Zscaler Zero Trust Cloudを活用したゼロトラスト アプローチにより、ビジネス パートナーに安全なアクセスを提供する方法について詳しく解説します。日本語版の公開まで今しばらくお待ちください。