Vollständige Prüfung der Berechtigungen für die Benutzergruppe beim Anlegen des Benutzers
Rollenpflege im Betrieb
Bevor Sie beginnen und kritische Berechtigungen definieren, sollten Sie Ihre Hauptgeschäftsprozesse bzw. -funktionen identifizieren, um anschließend die Prozesse, die in Konflikt zueinander stehen, in sinnvollen Kombinationen als sogenanntes Risiko abzubilden. Der Report RSUSR008_009_NEW kann kein GRC-System (GRC = Governance, Risk, and Compliance) mit der Komponente SAP Access Control ersetzen. Vielmehr sollte dieser Report als Indikator für den aktuellen Systemzustand verstanden und eingesetzt werden. Mit dem Report ermitteln Sie die Benutzer, die über die in der Tabelle USKRIA definierten kritischen Berechtigungskombinationen verfügen. Die Kennung, die auch als Risiko-ID bezeichnet werden kann, beschreibt eine Kombination von Berechtigungsobjekten mit Feldnamen und Feldwerten. Diese werden mit einem der beiden zur Verfügung stehenden Operanten AND oder OR miteinander verknüpft.
Im Prüfungsergebnis werden die Sicherheitslücken nach Prioritäten sortiert aufgelistet, wobei eine hohe Priorität mit einer hohen Treffersicherheit einer Fundstelle und eine niedrige Priorität mit einer niedrigen Treffersicherheit einhergehen. Zudem sind zu jeder Fundstelle weitergehende Informationen innerhalb des ABAP-Editors verfügbar. Mithilfe dieses Prioritätsindikators können Sie leichter erkennen, ob es sich um ein False Positive oder um ein tatsächliches Sicherheitsproblem handelt. Bei den Prioritäten 1 und 2 handelt es sich mit großer Wahrscheinlichkeit um eine echte Fundstelle. Das Tool gibt Empfehlungen, wie der Quelltext geändert werden kann, um die Schwachstellen zu beseitigen. Neben den individuellen Checks für einzelne Entwickler bietet das Werkzeug auch Massenchecks an, etwa um eine gesamte Anwendung in einem Schritt auf Schwachstellen zu prüfen.
Dem Benutzermenü externe Services aus SAP CRM hinzufügen
Wie bei einer SAP_NEW-Rolle besteht die Möglichkeit, eine SAP_APP-Rolle zu generieren. Wie beim Profil SAP_APP sind hier alle Berechtigungen, außer die Basis- und die HCM-relevanten Berechtigungen enthalten. Die Möglichkeit, diese Rolle mit dem Report REGENERATE_SAP_APP zu erstellen, besteht nach dem Einspielen des SAP-Hinweises 1703299. Dieser Report generiert eine Rolle, die uneingeschränkt für alle Anwendungen zu benutzen ist. Wir empfehlen Ihnen den Einsatz dieser Rolle jedoch nur für Entwicklungs- und Testsystem.
Genau aus diesem Grund gibt es die Lösung, mittels Toolunterstützung die Überprüfung des Berechtigungswesens in Hinblick auf kritische Berechtigungen und Segregation of Duties zu automatisieren. Dadurch haben die Berechtigungsadministratoren mehr Zeit, auftretende Fehler zu beheben, anstatt diese erstmal zu suchen.
Die Zuweisung einer Rolle für einen befristeten Zeitraum ist mit "Shortcut for SAP systems" in Sekundenschnelle getan und erlaubt Ihnen die schnelle Fortsetzung Ihres Go-Live.
Danach können Sie die neue Funktionalität im Customizing über diesen Pfad aktivieren: Finanzwesen (neu) > Grundeinstellungen Finanzwesen (neu) > Berechtigungen > Berechtigungsprüfung für Profitcenter aktivieren.
Dementsprechend fließen auch die Risiken, die durch falsch vergebene SAP-Berechtigungen oder durch einen fehlenden Prozess zur Überwachung der Berechtigungen entstehen, hier mit ein.