Fehlendes Knowhow
Allgemeine Betrachtungen
Sie möchten interne Systemrevisionen und das Berechtigungs-Monitoring dokumentieren? Das neue Cockpit des Audit Information Systems bietet Ihnen hierzu einige praktische Funktionen. Es gibt verschiedene rechtliche Anforderungen, die ein regelmäßiges Prüfen und Bewerten (Audit) Ihres SAP-Systems erfordern. In der Regel gibt es interne und externe Revisoren, die solche Audits durchführen. Zusätzlich kann die Benutzer- und Berechtigungsverwaltung ein eigenes Monitoring der Berechtigungen einführen, um unangenehme Überraschungen während der Audits zu vermeiden. Die Dokumentation der Audits erfolgt bei den externen Auditoren oft standardisiert; für die interne Revision oder Ihr eigenes Monitoring fehlt aber in vielen Fällen eine passende Dokumentation. Häufig fordern auch externe Revisoren trotz automatisierter Auswertungen eine Aktivierung des Audit Information Systems (AIS). Wir zeigen Ihnen daher wie Sie das AIS aktivieren und die Vorteile des neuen AIS Cockpits nutzen.
Wie alle anderen Security-Themen auch müssen die SAP-Berechtigungen ins genutzte Framework integriert werden. Die Risiken durch falsch vergebene Berechtigungen sind als sehr hoch einzustufen. Die Definition eines ganzheitlichen Governance-, Risk- und Compliance-Management Systems ist erforderlich. Dieses stellt sicher, dass Risiken frühzeitig erfasst, analysiert, bewertet, koordiniert und innerhalb des Unternehmens weitergeleitet werden. Dementsprechend fließen auch die Risiken, die durch falsch vergebene SAP-Berechtigungen oder durch einen fehlenden Prozess zur Überwachung der Berechtigungen entstehen, hier mit ein.
Löschen von Versionen
Sie können die Übersetzung der Texte automatisieren, indem Sie die Transaktion LSMW zu Hilfe nehmen. Diese Transaktion ist eigentlich für Migrationsaufgaben gedacht, eignet sich aber ebenfalls sehr gut, um eine bestimmte Transaktion wiederholt und automatisiert durchlaufen zu lassen. Sie zeichnen dabei die Ausführung einer Transaktion auf und erhalten so die Variablen der Textbausteine (technischer Rollenname, Rollenbeschreibung usw.). Diese Variablen können Sie pro Durchlaufschleife mit Werten aus einer Importdatei auf der Basis von Microsoft Excel neu belegen. So beinhaltet z. B. die Excel-Datei eine Tabelle mit den Spalten Technischer Rollenname, Beschreibung deutsch, Beschreibung englisch. Das LSMW-Skript arbeitet die Importdatei Zeile für Zeile und somit Rolle für Rolle durch.
Wir empfehlen Ihnen, alle Sicherheitshinweise der Priorität very high (1) und high (2) direkt zu implementieren. Sicherheitshinweise der Priorität medium (3) und low (4) implementieren Sie hingegen über Support Packages, die Sie ebenfalls regelmäßig einspielen sollten. Können Sie aktuell kein Support Package einspielen, stellt Ihnen SAP die Sicherheitshinweise der Priorität 3 und 4 ebenfalls zur Verfügung. Für die Auswertung der Sicherheitshinweise sollten Sie einen monatlichen Security-Patch-Prozess definieren.
Die Zuweisung einer Rolle für einen befristeten Zeitraum ist mit "Shortcut for SAP systems" in Sekundenschnelle getan und erlaubt Ihnen die schnelle Fortsetzung Ihres Go-Live.
Dazu müssen Sie einen Berechtigungstrace einschalten, der dies übernimmt.
Das Objekt S_PROGRAM prüft seit SAP Release 2.x auf das Feld TRDIR-SECU also die Berechtigungsgruppe des Programms.