Kritikalität
Manuelle Berechtigungen
Wir empfehlen Ihnen, alle Sicherheitshinweise der Priorität very high (1) und high (2) direkt zu implementieren. Sicherheitshinweise der Priorität medium (3) und low (4) implementieren Sie hingegen über Support Packages, die Sie ebenfalls regelmäßig einspielen sollten. Können Sie aktuell kein Support Package einspielen, stellt Ihnen SAP die Sicherheitshinweise der Priorität 3 und 4 ebenfalls zur Verfügung. Für die Auswertung der Sicherheitshinweise sollten Sie einen monatlichen Security-Patch-Prozess definieren.
Bei der Tabellenprotokollierung muss sichergestellt sein, dass der SAP®-Hinweis 112388 (protokollierungspflichtige Tabellen) vollständig umgesetzt ist und zusätzlich alle Tabellen, welche finanzrelevante Daten beinhalten, von der Protokollierung umfasst werden. Das gilt selbstverständlich auch für alle Z-Tabellen! Als letzten Punkt der wichtigen Parametereinstellungen sind jene für die Definition der Kennworteinstellungen. Hier sollte sichergestellt werden, dass die Parameter ebenfalls gemäß der Unternehmensvorgaben eingerichtet sind. Die Überprüfung sollte allerdings nicht nur auf die globalen, für alle Benutzer gültigen, Einstellungen liegen, sondern auch all jene Benutzer umfassen, welche eigene Sicherheitsrichtlinien zugewiesen wurden. Gerade für diese muss eine entsprechende Begründung schriftlich vorliegen.
Organisatorische Zuordnung
Der Berechtigungstrace ist jedoch ein Langzeittrace, den Sie über den dynamischen Profilparameter auth/authorization_trace einschalten können. Dieser Trace ist benutzer- und mandentenunabhängig. Der Trace ergänzt in Tabelle USOB_AUTHVALTRC die Berechtigungsprüfungen, die vor dem Ausführen der Anwendung noch nicht erfasst worden sind. Diese Funktion kann auch für kundeneigene Entwicklungen verwendet werden. Wechseln Sie nun in die Transaktion RZ11 (Pflege der Profilparameter), tragen Sie den Parameternamen auth/authorization_trace in das Selektionsfeld ein, und klicken Sie auf Anzeigen. Sie gelangen nun zur Detailansicht des Profilparameters mit sämtlichen Eigenschaften und der Verlinkung zu einer Dokumentation. Um den Trace einzuschalten, klicken Sie auf Wert ändern, und es öffnet sich ein Pop-up-Fenster. Tragen Sie hier im Feld Neuer Wert »Y« oder »F« für Filter ein, falls Sie einen Filter definieren möchten (siehe Tipp 38, »Die Transaktionen SU22 und SU24 richtig verwenden«), und speichern Sie Ihre Eingabe. Es erscheint nun eine Warnung mit der Information, dass der Parameterwert beim Durchstarten des Anwendungsservers wieder zurückgesetzt würde.
Wie in anderen Systemen auch, ist die Benutzerpflege und Rollen-/Profilzuordnung auf den Kreis der Benutzeradministratoren einzugrenzen. Im Gegensatz zu den Vorsystemen werden hier jedoch die Rollen und Profile gepflegt, so dass entsprechende Rechte an die Rollen-/Profiladministratoren zu vergeben sind.
Für die Zuweisung vorhandener Rollen erfordern die regulären Berechtigungs-Workflows ein gewisses Minimum an Durchlaufzeiten, und nicht jeder Genehmiger steht zu jeder Zeit bei jedem Go-Live zur Verfügung. Mit "Shortcut for SAP systems" stehen Ihnen Möglichkeiten zur Verfügung, dringend benötigte Berechtigungen dennoch zuzuweisen und Ihren Go-Live zusätzlich abzusichern.
Die Webseite www.sap-corner.de bietet viele nützliche Informationen zum Thema SAP Berechtigungen.
In diese Tabelle können Sie sowohl konkrete Passwörter (z. B. den Namen Ihres Unternehmens) als auch Muster für Passwörter (z. B. 1234*) eintragen.
Jedes GRC-System ermöglicht die Implementierung von Kontrollen in Form von Regeln auf Rollen- bzw. Benutzerebene, um sicherzustellen, dass das technische Berechtigungskonzept korrekt eingebunden ist.