Trivoie › Risque de sécurité SAP BusinessObjects 4.3 : le point pour un RSSI
Risque de sécurité SAP BusinessObjects 4.3 : le point pour un RSSI
Une plateforme décisionnelle donne souvent accès à des données sensibles : finance, ressources humaines, clients. Voici comment inscrire la fin de maintenance de SAP BusinessObjects 4.3 dans un registre des risques.
Ce qui est corrigé, et ce qui ne l'est plus
| Période | Failles corrigées | Failles qui restent ouvertes |
|---|---|---|
| Jusqu'au 31/12/2026 | Cycle de correctifs standard. | Selon le cycle de SAP. |
| 2027 | Gravité élevée ou critique (score CVSS de 7 ou plus), selon les informations publiées. | Gravité moyenne et faible. |
| 2028 | Aucune, selon les informations publiées. | Toutes les nouvelles failles. |
Source : notes SAP 3486924 et 3763590, résumées par C. Vosloo. Analyse des notes SAP 3486924 et 3763590, recoupée avec InfoSol et NTT DATA.
Le score CVSS (Common Vulnerability Scoring System) note la gravité d'une faille de 0 à 10. Un score de 7 à 8,9 est qualifié d'élevé, de 9 à 10 de critique.
Comment l'écrire dans un registre des risques
- Actif concerné : la plateforme SAP BusinessObjects 4.3 et les données qu'elle expose.
- Événement : exploitation d'une faille non corrigée (moyenne ou faible en 2027, toute faille en 2028, si les informations publiées se confirment).
- Facteurs aggravants : plateforme accessible depuis internet ou par de nombreux comptes, données sensibles, comptes inactifs jamais supprimés.
- Échéance de décision : avant le 31 décembre 2026 pour choisir la voie, avant fin 2027 au plus tard pour ne pas entrer en 2028 sans correctif, si les informations publiées se confirment.
Mesures compensatoires à examiner
- Limiter l'accès réseau à la plateforme (pas d'exposition directe à internet si ce n'est pas nécessaire).
- Supprimer les comptes inactifs et revoir les droits : moins de comptes, moins de surface.
- Maintenir à jour le système d'exploitation, la base de données du référentiel et les composants tiers, qui ne dépendent pas de la maintenance BusinessObjects.
- Superviser les connexions et activer l'audit de la plateforme.
- Documenter la décision de rester, sa durée et son responsable.
Ces mesures réduisent l'exposition mais ne remplacent pas les correctifs : elles servent à tenir une année, pas plusieurs.
Les chiffres à fournir au RSSI
Nombre de comptes (dont actifs sur 12 mois), nombre de documents et d'univers, contenus obsolètes, connexions à des sources sensibles. Les requêtes Query Builder les donnent en lecture seule, et le scan gratuit les transforme en niveau de risque.
Questions fréquentes
Quel score CVSS est encore corrigé en 2027 ?
Seuls les correctifs de sécurité dont le score CVSS est de 7 ou plus sont livrés en 2027, pendant les 12 premiers mois de la maintenance spécifique client (notes SAP 3486924 et 3763590, analysées par C. Vosloo).
Que se passe-t-il pour la sécurité en 2028 ?
À partir de 2028, plus aucun correctif n'est livré pour SAP BusinessObjects BI 4.3. Toute nouvelle faille reste alors ouverte.
Les mesures compensatoires suffisent-elles ?
Elles réduisent l'exposition à court terme mais ne remplacent pas les correctifs. Elles servent à tenir le temps d'une migration, pas à prolonger la plateforme durablement.
Sources
- notes SAP 3486924 et 3763590, résumées par C. Vosloo
- dates de fin de maintenance SAP BI (Wiiisdom)
- SAP BusinessObjects BI 2025 : composants et univers (Wiiisdom)
- notes SAP 2801797 et 2914654 (Dallas Marks)
- Product Availability Matrix SAP
Les dates et règles de maintenance peuvent évoluer. Vérifiez-les dans le portail SAP (Product Availability Matrix et notes citées) avant toute décision.