Testen der Berechtigung
Prüfung des SAP-Berechtigungskonzepts
Als zweite Möglichkeit zur Automatisierung der Massenpflege von Rollenableitungen haben wir die Nutzung des Business Role Managements angesprochen. Auf dem Markt werden verschiedene Lösungen angeboten, die diese Funktionalität in gleicher bzw. ähnlicher Form anbieten. Manche dieser Lösungen nutzen das Ableitungskonzept nicht; dies hat den Vorteil, dass die Organisationsmatrix nicht nur auf Organisationsfelder beschränkt ist. Nachteilig ist bei dieser Variante aber die größere Abweichung von den Standardfunktionalitäten der PFCG-Rolle.
Bevor Sie beginnen und kritische Berechtigungen definieren, sollten Sie Ihre Hauptgeschäftsprozesse bzw. -funktionen identifizieren, um anschließend die Prozesse, die in Konflikt zueinander stehen, in sinnvollen Kombinationen als sogenanntes Risiko abzubilden. Der Report RSUSR008_009_NEW kann kein GRC-System (GRC = Governance, Risk, and Compliance) mit der Komponente SAP Access Control ersetzen. Vielmehr sollte dieser Report als Indikator für den aktuellen Systemzustand verstanden und eingesetzt werden. Mit dem Report ermitteln Sie die Benutzer, die über die in der Tabelle USKRIA definierten kritischen Berechtigungskombinationen verfügen. Die Kennung, die auch als Risiko-ID bezeichnet werden kann, beschreibt eine Kombination von Berechtigungsobjekten mit Feldnamen und Feldwerten. Diese werden mit einem der beiden zur Verfügung stehenden Operanten AND oder OR miteinander verknüpft.
Berechtigungsobjekte für die Tabellenbearbeitung verwenden
Wenn Sie die Konfigurationsvalidierung nutzen, empfehlen wir Ihnen trotzdem die gelegentliche Nutzung der AGS Security Services, wie des EarlyWatch Alerts und des SAP Security Optimization Services, die wir in Tipp 93 »AGS Security Services nutzen«, beschreiben. SAP hält die Vorgaben und Empfehlungen in den AGS Security Services aktuell und passt sie an neue Angriffsmethoden und Sicherheitsvorgaben an. Haben Sie im Rahmen eines Security Services neue Sicherheitsaspekte erkannt, können Sie Ihre Zielsysteme entsprechend einstellen und diese Aspekte künftig ebenfalls überwachen.
Transaktionen: Transaktionen in der Auditstruktur starten die für das Audit erforderlichen Auswertungen. Sie erkennen Transaktionen an dem Uhrensymbol ( ). Durch einen Doppelklick auf das Symbol wird die betreffende Transaktion in einem neuen Fenster geöffnet, und Sie können die Auswertung starten. Außerdem werden im oberen rechten Bereich der Anzeige in der Transaktion SAIS die Protokolleinträge zu dieser Prüfungsaktivität angezeigt. Diese beinhalten das aktuelle Ausführungsdatum, die Benutzer-ID des Prüfers, einen Prüfstatus, den Sie selbst vergeben, eine Wichtung sowie eine Begründung für den Prüfungsstatus, die Sie ebenfalls selbst in ein Textfeld eingeben. Darunter finden Sie eine Übersicht der bisher durchgeführten Prüfungsaktivitäten, ebenfalls mit einem Zeitstempel, der Benutzer-ID des Prüfers, der Wichtung dem Status der Prüfungsaktivität und einer Begründung. Damit die Prüfungsaktivitäten nicht manipuliert werden können, ist es nicht möglich, einmal gespeicherte Daten zu ändern.
Für die Zuweisung vorhandener Rollen erfordern die regulären Berechtigungs-Workflows ein gewisses Minimum an Durchlaufzeiten, und nicht jeder Genehmiger steht zu jeder Zeit bei jedem Go-Live zur Verfügung. Mit "Shortcut for SAP systems" stehen Ihnen Möglichkeiten zur Verfügung, dringend benötigte Berechtigungen dennoch zuzuweisen und Ihren Go-Live zusätzlich abzusichern.
Der komplette Beleg kann immer validiert werden, stehen Ihnen nur die Informationen aus Belegkopf (Zeitpunkt 1) oder Belegposition (Zeitpunkt 2) zur Verfügung, kann dies abhängig vom Szenario auch ausreichend sein.
Das unternehmerische Risiko lässt sich damit auf ein Mindestmaß reduzieren.