امنیت اطلاعات و پروتکل‌های مقابله با حملات سایبری در سیستم‌های ERP سازمانی

سیستم‌های ERP ستون فقرات اطلاعاتی یک سازمان هستند. اطلاعات مالی، فروش، خرید، انبار، منابع انسانی، حقوق و دستمزد، قراردادها، مشتریان، تأمین‌کنندگان و فرایندهای عملیاتی در یک ERP متمرکز می‌شوند. همین تمرکز، ERP  را از یک نرم‌افزار اداری ساده به یک دارایی حیاتی تبدیل می‌کند. اگر امنیت ERP آسیب ببیند، فقط یک سامانه از کار نمی‌افتد؛ بلکه ممکن است زنجیره کامل عملیات سازمان، محرمانگی اطلاعات، اعتماد مشتریان و حتی اعتبار حقوقی شرکت دچار آسیب شود.

در سال‌های اخیر، حملات سایبری از حالت ساده و مستقیم خارج شده‌اند. امروز مهاجمان فقط به دنبال رمز عبور ضعیف نیستند؛ بلکه از فیشینگ هوشمند، سرقت اعتبارنامه‌ها، حملات زنجیره تأمین، آسیب‌پذیری در سرویس‌های ابری، افزونه‌های ناامن، خطای انسانی، تنظیمات اشتباه و حتی دسترسی‌های بیش از حد کاربران داخلی سوءاستفاده می‌کنند. گزارش Verizon DBIR 2025 نشان می‌دهد که نقش عامل انسانی در رخدادهای امنیتی همچنان بسیار پررنگ است و در حدود ۶۰٪ رخدادها دیده می‌شود؛ همچنین سهم رخدادهایی که در آن‌ها شخص یا سرویس ثالث نقش داشته، از ۱۵٪ به ۳۰٪ افزایش یافته است. این موضوع برای ERP اهمیت ویژه دارد، چون ERP معمولاً با بانک‌ها، فروشگاه اینترنتی، سامانه مالیاتی، درگاه پرداخت، نرم‌افزارهای حسابداری، سرویس پیامک، APIهای بیرونی و شرکت‌های پشتیبان در ارتباط است.

چرا امنیت ERP با امنیت یک نرم‌افزار معمولی متفاوت است؟

امنیت نرم افزار ERP فقط به معنی داشتن رمز عبور قوی یا نصب آنتی‌ویروس نیست. ERP ترکیبی از چند لایه امنیتی است:

امنیت کاربران و نقش‌ها، امنیت پایگاه داده، امنیت کدنویسی، امنیت شبکه، امنیت سرور، امنیت APIها، امنیت نسخه پشتیبان، امنیت شرکت ارائه‌دهنده نرم‌افزار، امنیت فرآیندهای داخلی سازمان و امنیت حقوقی و استانداردهای حفاظت از داده.

در یک ERP، یک اشتباه کوچک در سطح دسترسی می‌تواند باعث شود کاربر فروش به اطلاعات حقوق و دستمزد دسترسی پیدا کند، یا یک کاربر انبار بتواند اطلاعات مالی را مشاهده کند. همچنین یک افزونه یا ماژول سفارشی ناامن می‌تواند کل سامانه را در معرض نفوذ قرار دهد. بنابراین امنیت ERP باید با دید ۳۶۰ درجه بررسی شود؛ یعنی هم داخل نرم‌افزار، هم بیرون نرم‌افزار، هم تیم فنی، هم کاربران، هم ارائه‌دهنده، هم زیرساخت و هم قراردادهای پشتیبانی.

مهم‌ترین تهدیدات امنیتی در سیستم‌های ERP

کنترل دسترسی کاربران غیرمجاز

یکی از اصلی‌ترین خطرات ERP، دسترسی اشتباه یا بیش از حد کاربران است. در بسیاری از سازمان‌ها، کاربران به مرور زمان نقش‌های مختلفی می‌گیرند، جابه‌جا می‌شوند، از شرکت خارج می‌شوند یا مسئولیتشان تغییر می‌کند؛ اما دسترسی‌های قبلی آن‌ها حذف نمی‌شود. این موضوع باعث ایجاد خطر جدی می‌شود.

راهکار اصولی این است که ERP بر اساس اصل «حداقل دسترسی لازم» تنظیم شود. یعنی هر کاربر فقط به همان بخش‌هایی دسترسی داشته باشد که برای انجام وظیفه خود نیاز دارد. دسترسی‌ها باید نقش‌محور باشند، نه شخص‌محور. برای مثال، کاربر فروش فقط به سفارش‌های فروش، مشتریان مرتبط و گزارش‌های لازم دسترسی داشته باشد؛ اما به تنظیمات حسابداری، حقوق و دستمزد، دیتابیس یا تنظیمات فنی دسترسی نداشته باشد.

همچنین استفاده از احراز هویت چندمرحله‌ای، کنترل ورود از IPهای مجاز، محدودیت تلاش‌های ناموفق ورود، ثبت لاگ ورود و خروج، و بازبینی دوره‌ای کاربران غیرفعال یا پرخطر از الزامات امنیتی ERP است. در اسناد امنیتی  سیستم‌های ERP بزرگ مثل نرم افزار Odoo نیز به استفاده از فایروال، سیستم‌های جلوگیری از نفوذ، مقابله با brute-force، امکان rate limiting، cooldown و CAPTCHA برای کاهش حملات ورود خودکار اشاره شده است.

تهدیدات داخلی و خطای انسانی

همه تهدیدات از بیرون سازمان نمی‌آیند. کارمند ناراضی، کاربر آموزش‌ندیده، مدیر دارای دسترسی بیش از حد، پیمانکار بیرونی یا حتی یک اشتباه ساده می‌تواند باعث نشت اطلاعات شود. برای مثال، ارسال خروجی اکسل اطلاعات مشتریان به فرد اشتباه، نصب افزونه نامعتبر، کلیک روی لینک فیشینگ، استفاده از رمز عبور تکراری یا نگهداری رمز عبور در فایل‌های غیرامن، همگی نمونه‌هایی از تهدیدات انسانی هستند.

راهکار مقابله با این خطر، فقط فنی نیست. سازمان باید آموزش امنیتی منظم داشته باشد، دسترسی‌ها را تفکیک کند، فرآیند تأیید دو مرحله‌ای برای عملیات حساس تعریف کند، گزارش فعالیت کاربران را نگهداری کند و برای عملیات‌های مهم مثل حذف سند، تغییر شماره حساب، تغییر قیمت، تغییر حقوق یا تأیید پرداخت، سطح دسترسی و کنترل مدیریتی جداگانه در نظر بگیرد.

حملات خارجی و نفوذ سایبری

ERP های تحت وب و ابری همیشه در معرض حملات اینترنتی هستند. مهم‌ترین حملات خارجی عبارت‌اند از:

حملات brute-force برای حدس زدن رمز عبور، فیشینگ برای سرقت اطلاعات ورود، تزریق کد یا SQL Injection، XSS، سوءاستفاده از API های ناامن، استفاده از آسیب‌پذیری کتابخانه‌های قدیمی، حملات ransomware، حملات به سرور، حملات به افزونه‌های جانبی و حملات زنجیره تأمین.

OWASP Top 10 یکی از مهم‌ترین مراجع جهانی برای شناسایی خطرات امنیتی برنامه‌های تحت وب است و نسخه فعلی معرفی‌شده توسط OWASP، Top 10 2025 است. OWASP این فهرست را یک سند آگاهی‌بخشی استاندارد برای توسعه‌دهندگان و سازمان‌ها می‌داند که بر مهم‌ترین ریسک‌های امنیتی وب تمرکز دارد.

برای ERP، آمادگی در برابر OWASP Top 10 یعنی سیستم باید در برابر دسترسی شکسته‌شده، ضعف رمزنگاری، تزریق کد، طراحی ناامن، تنظیمات اشتباه، کامپوننت‌های قدیمی، ضعف احراز هویت، نقص در یکپارچگی نرم‌افزار و داده، ضعف لاگ‌برداری و SSRF مقاوم‌سازی شود.

حملات باج‌افزاری و توقف عملیات سازمان

حمله ransomware یکی از خطرناک‌ترین تهدیدها برای ERP است، چون هدف آن فقط سرقت اطلاعات نیست؛ بلکه از کار انداختن عملیات سازمان است. اگر دیتابیس ERP، فایل‌های پیوست، نسخه‌های پشتیبان یا سرور اصلی رمزگذاری شوند، فروش، خرید، انبار، صدور فاکتور، پرداخت حقوق، ثبت سفارش و خدمات مشتریان متوقف می‌شود.

CISA در راهنمای StopRansomware روی اقداماتی مانند محافظت در برابر فیشینگ، استفاده از MFA، پشتیبان‌گیری امن، به‌روزرسانی سیستم‌ها و آمادگی پاسخ به حادثه تأکید می‌کند.

برای ERP، نسخه پشتیبان باید فقط روی همان سرور نگهداری نشود. بکاپ باید رمزنگاری‌شده، زمان‌بندی‌شده، قابل بازیابی، و ترجیحاً دارای یک نسخه آفلاین یا خارج از دسترس مستقیم مهاجم باشد. داشتن بکاپ بدون تست بازیابی کافی نیست؛ سازمان باید به‌صورت دوره‌ای بازیابی ERP را تست کند.

امنیت ERPهای ابری، هیبریدی و On-Premise

ERP ابری

در نرم افزار ERP ابری، بخش مهمی از امنیت زیرساخت بر عهده ارائه‌دهنده است. دیتاسنتر، فایروال، مانیتورینگ، به‌روزرسانی زیرساخت، High Availability و بخشی از پشتیبان‌گیری معمولاً توسط شرکت ارائه‌دهنده مدیریت می‌شود. مزیت ERP ابری این است که سازمان نیاز کمتری به تیم زیرساخت داخلی دارد و به‌روزرسانی‌ها معمولاً سریع‌تر انجام می‌شوند.

اما ERP ابری نیز بدون خطر نیست. ریسک‌های مهم آن شامل وابستگی به ارائه‌دهنده، دسترسی از اینترنت، حملات به حساب‌های کاربری، پیکربندی اشتباه، ضعف در قرارداد SLA، وابستگی به APIهای بیرونی، و ریسک‌های مربوط به موقعیت جغرافیایی داده‌ها است. در مدل ابری، سازمان باید بداند داده‌ها کجا نگهداری می‌شوند، چه کسی به آن‌ها دسترسی دارد، بکاپ‌ها چگونه مدیریت می‌شوند، و در صورت حادثه چه تعهدی از طرف ارائه‌دهنده وجود دارد.

ERP هیبریدی

ERP هیبریدی ترکیبی از سیستم داخلی و سرویس‌های ابری است. مثلاً دیتابیس اصلی در سازمان باشد، اما بخشی از گزارش‌ها، فروشگاه اینترنتی، موبایل اپلیکیشن، سرویس پیامک، هوش تجاری یا پشتیبان‌گیری در فضای ابری انجام شود.

مزیت مدل هیبریدی انعطاف‌پذیری است؛ اما پیچیدگی امنیتی آن بیشتر است. چون باید امنیت ارتباط بین محیط داخلی و فضای ابری، APIها، VPN، کلیدهای دسترسی، توکن‌ها، کاربران مشترک و همگام‌سازی داده‌ها به‌درستی مدیریت شود. در مدل هیبریدی، ضعف در یک سرویس جانبی می‌تواند به سیستم اصلی آسیب بزند.

ERP On-Premise

در نرم افزار  ERP On-Premise ، سرور و دیتابیس داخل سازمان یا دیتاسنتر اختصاصی سازمان نصب می‌شود. مزیت آن کنترل بیشتر بر داده، امکان سفارشی‌سازی عمیق‌تر، استقلال بیشتر از ارائه‌دهنده ابری و مناسب بودن برای سازمان‌هایی است که سیاست داخلی سخت‌گیرانه درباره نگهداری داده دارند.

اما خطر اصلی On-Premise این است که مسئولیت امنیت تقریباً به‌طور کامل بر عهده خود سازمان است. اگر سرور به‌روزرسانی نشود، فایروال درست تنظیم نشود، پورت‌ها باز باشند، بکاپ امن نباشد، رمزها ضعیف باشند، یا تیم فنی مانیتورینگ نداشته باشد، خطر نفوذ بسیار جدی می‌شود.

راهکارهای اقتصادی و به‌صرفه برای ERPهای On-Premise عبارت‌اند از:

استفاده از فایروال نرم‌افزاری و سخت‌افزاری مناسب، محدود کردن دسترسی ERP از اینترنت، استفاده از VPN برای دسترسی مدیران، فعال‌سازی HTTPS معتبر، بستن پورت‌های غیرضروری، جداسازی سرور دیتابیس از سرور وب، بکاپ روزانه و هفتگی، نگهداری بکاپ خارج از سرور اصلی، به‌روزرسانی منظم سیستم‌عامل و ERP، استفاده از رمزهای قوی و MFA، مانیتورینگ لاگ‌ها، تعریف نقش‌های محدود برای کاربران، و اجرای تست نفوذ دوره‌ای حتی در سطح پایه.

برای بسیاری از شرکت‌ها، همین اقدامات کم‌هزینه می‌تواند سطح امنیت ERP On-Premise را به شکل قابل توجهی افزایش دهد.

نقش شرکت ارائه‌دهنده ERP در امنیت اطلاعات

امنیت ERP فقط مسئولیت مشتری نیست. شرکت ارائه‌دهنده نرم‌افزار باید در چند سطح تضمین ایجاد کند:

اول، نرم‌افزار باید با اصول Secure Coding توسعه داده شود. یعنی توسعه‌دهنده‌ها از ابتدا خطراتی مثل Injection، XSS، ضعف کنترل دسترسی، دستکاری درخواست‌ها، ذخیره ناامن رمزها و خطاهای افشاکننده اطلاعات را در نظر بگیرند.

دوم، ارائه‌دهنده باید به‌روزرسانی امنیتی منظم منتشر کند. هر نرم‌افزاری ممکن است در طول زمان آسیب‌پذیری پیدا کند. مهم این است که شرکت ارائه‌دهنده فرآیند مشخصی برای شناسایی، اصلاح، تست و انتشار Patch داشته باشد.

سوم، ارائه‌دهنده باید شفافیت قراردادی داشته باشد. مشتری باید بداند SLA چیست، مسئولیت پشتیبان‌گیری با کیست، در صورت حادثه چه زمانی پاسخ داده می‌شود، داده‌ها چگونه محافظت می‌شوند، و چه استانداردهایی رعایت شده‌اند.

چهارم، ارائه‌دهنده باید امنیت عملیاتی داشته باشد؛ یعنی تیم پشتیبانی نیز نباید دسترسی نامحدود و بدون لاگ به اطلاعات مشتریان داشته باشد. دسترسی پشتیبانی باید محدود، ثبت‌شده، زمان‌دار و قابل پیگیری باشد.

امنیت اطلاعات در ستکا به عنوان یک ERP مطرح

SATKA یکی از ERPهای شناخته‌شده در ایران است که به دلیل معماری ماژولار، متن‌باز بودن، توسعه‌پذیری بالا، و پوشش ماژول‌هایی مثل فروش، خرید، انبار، حسابداری، تولید، وب‌سایت، CRM، منابع انسانی و 30 ماژول دیگر مورد استفاده گسترده قرار می‌گیرد. امنیت ستکا  را باید از دو زاویه بررسی کرد: امنیت هسته نرم‌افزار و امنیت پیاده‌سازی/سفارشی‌سازی.

کنترل سطح دسترسی

ستکا ساختار امنیتی چندلایه دارد. در سطح اول، Access Rights مشخص می‌کند هر گروه کاربری روی هر مدل چه مجوزهایی دارد: خواندن، نوشتن، ایجاد و حذف.

در سطح دوم، Record Rules قرار دارد. Record Rule مشخص می‌کند کاربر دقیقاً به کدام رکوردها دسترسی داشته باشد. مثلاً یک کاربر فروش فقط سفارش‌های تیم خودش را ببیند، یا یک کارمند فقط اطلاعات مربوط به خودش را مشاهده کند. در مستندات توسعه ستکا  تأکید شده که Record Rules رکورد به رکورد بررسی می‌شوند و پس از Access Rights اعمال می‌گردند. نکته بسیار مهم این است که Record Rules در ستکا  در حالت نبود Rule مناسب می‌توانند default-allow باشند؛ یعنی اگر Access Right اجازه دهد و هیچ Rule محدودکننده‌ای وجود نداشته باشد، دسترسی ممکن است مجاز شود. بنابراین تنظیم دقیق Ruleها در ستکا  بسیار حیاتی است.

 امنیت از نظر کدنویسی

در ستکا، سفارشی‌سازی زیاد انجام می‌شود؛ از ماژول‌های Python گرفته تا QWeb، XML، JavaScript، Controllerها، APIها و افزونه‌های وب‌سایت. همین توسعه‌پذیری بالا، اگر کنترل نشود، می‌تواند تبدیل به خطر شود.

در توسعه این سیستم  باید به موارد زیر توجه شود:

کدهای Controller نباید بدون بررسی سطح دسترسی داده‌ها را نمایش دهند. استفاده نادرست از sudo() می‌تواند محدودیت‌های امنیتی را دور بزند. فیلدهای حساس نباید در Portal یا Website بدون کنترل منتشر شوند. ورودی‌های کاربر باید اعتبارسنجی شوند. گزارش‌های QWeb نباید اطلاعاتی را نمایش دهند که کاربر مجوز دیدن آن را ندارد. APIهای سفارشی باید احراز هویت و محدودیت دسترسی داشته باشند. ماژول‌های Third-party باید قبل از نصب بررسی شوند. همچنین خطاهای سیستم نباید اطلاعات فنی حساس مثل مسیر فایل، نام دیتابیس، ساختار مدل‌ها یا Traceback کامل را به کاربران عمومی نمایش دهند.

امنیت در محیط ابری و تحت وب

ستکا در محیط ابری از مکانیزم‌هایی مانند فایروال، سیستم جلوگیری از نفوذ، مقابله با brute-force و قابلیت‌هایی مانند rate limiting و CAPTCHA برای کاهش حملات ورود خودکار استفاده می‌کند. 

اما در پروژه‌های عملی satka، امنیت فقط به سرویس‌دهنده مربوط نیست. اگر  پیاده‌سازی ستکا  دارای ماژول سفارشی ناامن، دسترسی‌های اشتباه، رمزهای ضعیف، بکاپ نامطمئن، یا سرور بدون به‌روزرسانی باشد، حتی هسته امن ستکا هم نمی‌تواند از کل سیستم محافظت کند.

گارانتی‌ها و تعهدات امنیتی ERP ستکا

بر اساس اطلاعات ارائه‌شده، نرم‌افزار ERP ستکا دارای گارانتی‌ها و تعهدات امنیتی زیر است. این موارد اگر به‌درستی در قرارداد، فرآیند اجرایی و مستندات فنی پشتیبانی شوند، می‌توانند اعتماد مشتریان را نسبت به امنیت و پایداری سامانه افزایش دهند.

گارانتی SLA 99.99%

SLA یا Service Level Agreement به معنی توافق‌نامه سطح خدمات است. وقتی گفته می‌شود SLA 99.99%، یعنی ارائه‌دهنده متعهد است سامانه در سطح بسیار بالایی در دسترس باشد و قطعی سرویس به حداقل برسد. این موضوع برای ERP بسیار مهم است، چون ERP معمولاً سامانه عملیاتی روزانه سازمان است. اگر ERP از دسترس خارج شود، فروش، انبار، حسابداری و فرآیندهای اصلی شرکت مختل می‌شود.

SLA فقط یک عدد تبلیغاتی نیست؛ باید مشخص کند در صورت قطعی، زمان پاسخ‌گویی چقدر است، زمان بازیابی چقدر است، مسئولیت اطلاع‌رسانی با کیست، بکاپ چگونه فعال می‌شود و در صورت نقض SLA چه تعهدی وجود دارد.

GDPR

GDPR مقررات عمومی حفاظت از داده در اتحادیه اروپا است و هدف آن حفاظت از داده‌های شخصی افراد و تنظیم جریان آزاد داده‌های شخصی در اروپا است.

در ERP، رعایت اصول GDPR یعنی اطلاعات شخصی مشتریان، کارمندان، تأمین‌کنندگان و کاربران باید با هدف مشخص، دسترسی محدود، نگهداری کنترل‌شده، امکان پیگیری، و سطح مناسبی از امنیت پردازش شود. برای مثال، اطلاعات پرسنلی، شماره تماس مشتریان، اطلاعات مالی، سوابق خرید و اطلاعات هویتی نباید بدون مجوز و بدون هدف مشخص در اختیار افراد مختلف قرار گیرد.

ISO/IEC 27001

عبارت صحیح این استاندارد معمولاً ISO/IEC 27001 است. این استاندارد شناخته‌شده‌ترین چارچوب جهانی برای سیستم مدیریت امنیت اطلاعات یا ISMS محسوب می‌شود. طبق توضیح ISO، این استاندارد الزامات ایجاد، پیاده‌سازی، نگهداری و بهبود مستمر سیستم مدیریت امنیت اطلاعات را مشخص می‌کند و به سازمان‌ها کمک می‌کند ریسک‌های امنیت داده را مدیریت کنند. 

برای ERP ستکا، اشاره به ISO/IEC 27001 یعنی امنیت فقط به چند ابزار فنی محدود نیست؛ بلکه باید شامل سیاست امنیتی، مدیریت ریسک، کنترل دسترسی، مدیریت دارایی‌های اطلاعاتی، آموزش، پاسخ به حادثه، مدیریت تأمین‌کنندگان و بهبود مستمر باشد.

OWASP Top 10 Prepared

OWASP Top 10 Prepared یعنی نرم‌افزار از نظر مهم‌ترین ریسک‌های امنیتی برنامه‌های تحت وب بررسی و آماده‌سازی شده است. OWASP Top 10 یک مرجع جهانی برای ریسک‌های مهم امنیت وب است و سازمان‌ها از آن برای بهبود فرهنگ توسعه امن استفاده می‌کنند.

برای یک ERP تحت وب، این موضوع اهمیت زیادی دارد. چون ERP معمولاً از طریق مرورگر، API، پنل مدیریتی، پورتال مشتریان و گاهی اپلیکیشن موبایل در دسترس است. آماده بودن در برابر OWASP Top 10 یعنی نرم‌افزار باید در برابر ضعف کنترل دسترسی، تزریق کد، پیکربندی اشتباه، احراز هویت ضعیف، کامپوننت‌های آسیب‌پذیر و سایر ریسک‌های رایج وب مقاوم‌سازی شده باشد.

اعتبار سازمانی ERP ستکا

 نرم‌افزار ERP ستکا عضو نظام صنفی رایانه‌ای و پارک علم و فناوری دانشگاه فردوسی است و توسط شرکت‌های بزرگ متعددی تأیید شده است. این موارد از نظر اعتمادسازی تجاری و اعتبارسنجی اهمیت دارند؛ زیرا نشان می‌دهند نرم‌افزار صرفاً یک محصول فردی یا غیررسمی نیست، بلکه در یک بستر سازمانی، صنفی و فناورانه فعالیت می‌کند.

البته در حوزه امنیت، اعتبار سازمانی باید همراه با مستندات فنی، قرارداد پشتیبانی، SLA، فرآیند پاسخ به حادثه، سیاست حفاظت از داده، تست امنیتی دوره‌ای و گزارش شفاف به مشتری باشد. ترکیب اعتبار حقوقی، تجربه اجرایی و تعهدات فنی است که می‌تواند یک ERP را برای سازمان‌ها قابل اتکا کند.

جمع‌بندی

امنیت ERP یک موضوع تک‌بعدی نیست. سازمان باید هم به امنیت داخل نرم‌افزار توجه کند، هم به امنیت زیرساخت، هم کاربران، هم شرکت ارائه‌دهنده، هم کدنویسی، هم استانداردها، هم بکاپ و هم فرآیندهای عملیاتی. تهدیدات امروز ERP شامل حملات خارجی، باج‌افزار، سرقت رمز عبور، خطای انسانی، دسترسی‌های اشتباه، آسیب‌پذیری افزونه‌ها، حملات زنجیره تأمین و ضعف تنظیمات امنیتی است.