Berechtigungskonzept – Rezertifizierungsprozess
SAP Code Vulnerability Analyzer verwenden
Sehr häufig stellt sich dann die Frage, muss etwas für die Prüfung vorbereitet werden? In der Regel sollten sämtliche eigene Notizen aus den Vorjahren wieder hervorgeholt und auf Informationen durchforstet werden, die damals bei den Gesprächen mit dem IT-Prüfer notiert wurden. Essenziell sind insbesondere Feststellungen und Bemerkungen des IT-Prüfers, die Verbesserungspotentiale bei IT relevanten Prozessen oder Systemeinstellungen aufzeigen. Des Weiteren sind auch etwaige Berichte des Wirtschaftsprüfers aus dem Vorjahr zu beachten, in denen damals festgestellte Mängel aufgezeigt wurden.
SOS-Berichte können sehr umfangreich werden. Insbesondere, wenn die Whitelists noch nicht gepflegt sind, sind Berichtsumfänge von bis zu 200 Seiten nicht unüblich. Lassen Sie sich in solch einem Fall nicht entmutigen, sondern starten Sie mit der Bereinigung einer handhabbaren Menge kritischer SOS-Ergebnisse. Die weiteren Ergebnisse können Sie dann in mehreren Runden bearbeiten. Der AGS spricht Empfehlungen dazu aus, welche kritischen SOS-Ergebnisse Sie zuerst betrachten sollten; diese finden Sie im Foliensatz AGS Security Services Master in der Media Library des SAP Service Marketplace.
Rollenzuordnung auf der Benutzerebene konsolidieren
Um Tabellenberechtigungen in der Transaktion PFCG zu definieren, reicht es nicht zwingend aus, wenn Sie im Rollenmenü die generischen Tabellenanzeigewerkzeuge, wie z. B. die Transaktionen SE16 oder SM30, angeben. Die Vorschlagswerte für diese Transaktionen sind sehr allgemein und sehen nur vor, die Berechtigungsobjekte S_TABU_DIS oder S_TABU_CLI zu verwenden. Explizite Werte müssen Sie in Abhängigkeit von den von Ihnen zur Berechtigung ausgewählten Tabellen eintragen. Möchten Sie den Zugriff auf die Tabellen explizit über das Berechtigungsobjekt S_TABU_NAM gewähren, können Sie für jeden Tabellenzugriff eine Parametertransaktion erstellen. Mithilfe einer Parametertransaktion kann man Tabellen z. B. über die Transaktion SE16 aufrufen, ohne den Tabellennamen im Selektionsbildschirm angeben zu müssen, da dieser übersprungen wird. Für die erstellte Parametertransaktion können Sie anschließend Vorschlagswerte pflegen.
Haben Sie eigene Anwendungen erstellt, empfehlen wir Ihnen, dafür immer eine eigene Berechtigungsprüfung zu implementieren und sich nicht nur auf die Anwendungsstartberechtigungen wie S_TCODE, S_START, S_SERVICE und S_RFC zu verlassen. Möchten Sie Standardanwendungen um eigene Prüfungen erweitern, müssen Sie dafür erst die geeignete Stelle zur Implementierung der Prüfung finden. Um modifikationsfrei zu entwickeln, bietet SAP für solche Fälle User-Exits oder Business Add-ins (BAdIs). Einige SAP-Anwendungen haben außerdem eigene Frameworks im Einsatz, die ein modifikationsfreies Implementieren von eigenen Berechtigungsprüfungen erlauben, wie z. B. die Access Control Engine (ACE) in SAP CRM.
Die Möglichkeit der Zuweisung von Berechtigungen im Go-Live kann durch den Einsatz von "Shortcut for SAP systems" zusätzlich abgesichert werden.
Hier können Sie prüfen, ob es für eine bestimmte Tabelle bzw. für einen bestimmten View Parameter- oder Variantentransaktionen gibt, für die Sie Berechtigungen einrichten können, anstatt den Zugriff auf die Tabelle über Werkzeuge für den generischen Tabellenzugriff zu erlauben.
Bei Selektionskriterien außerhalb des gültigen Zeitraums erscheint die Meldung »Keine Berechtigung zur Anzeige von Daten aus diesem Zeitraum«.