Migration zu S/4HANA - Herausforderungen bei Sicherheit und Autorisierung

Es wird geschätzt, dass bis 2020 etwa 30% Unternehmen weltweit S4/HANA in der Produktion einsetzen werden (2018 nutzten nur 2% aller Unternehmen S4). Ich werde zwei Bereiche erörtern, die angegangen werden sollten, wenn wir das Sicherheitsniveau des Zielsystems anheben (oder hoch halten) wollen - Berechtigungen und technische Ebene.

Berechtigungsschicht

Aufgrund der Tatsache, dass S/4HANA ist eine neue Lösung aus der SAP-Familie (und nicht nur eine Weiterentwicklung von SAP ERP) - die Übertragung von Berechtigungen in eine neue Umgebung kann nicht ohne entsprechende Anpassung realisiert werden (z.B. sind einige Berechtigungen nicht in S/4).

Welche Maßnahmen sollten zur Umwandlung von Genehmigungen ergriffen werden?

Zu Beginn muss eine Entscheidung darüber getroffen werden, ob es für die Zielumgebung ausreicht, die derzeitigen Rollen (mit entsprechenden Anpassungen) zu übertragen (Brown-Field-Ansatz) oder mit der Arbeit an einem neuen Satz von Rollen zu beginnen (Green-Field-Ansatz). Beide Ansätze haben ihre Vor- und Nachteile. In erster Linie hängt alles davon ab, wie weit die gegebenen Genehmigungen derzeit genutzt werden. Aus Erfahrung wissen wir, dass der durchschnittliche Wert der Nutzung von unverfallbaren Rechten für eine durchschnittliche Organisation (die seit mindestens einigen Jahren über SAP verfügt) sind Werte zwischen 10-15%. Und das kann bedeuten, dass die erteilten Rollengenehmigungen nicht optimal sind - daher muss die Wahl des Ansatzes berechnet werden (oft ist bei solchen Nutzungsstatistiken die grüne Wiese der beste Ansatz).

Für den Ansatz Industriebrache wir verwenden SAST-Werkzeuge, die die Umwandlung von Genehmigungen in S/4HANA (etwas manuelle Arbeit ist erforderlich). Für das Testen neuer Rollen - wir implementieren ein Tool, das die Produktionsbereitstellung von Rollen erleichtert (mehr dazu in Kürze).

Bei Annäherung Greenfield arbeiten wir an einer Methodik zur Erstellung von Risiken und Rollen (basierend auf konfliktfreien Rollenvorlagen speziell für S/4HANA). Hier unterstützen wir auch Produktionstests von Rollen.

Außerdem ist es erforderlich, dass Überprüfung des kritischen Zugangs in Rollen und Autoritätskonflikten, und Update SU24. Generell gilt: Ohne eine Umgestaltung des Zulassungskonzepts ist eine Migration nicht möglich.

Sichere Einführung von Rollen auf dem Produktionssystem - Testen

Bei jeder Projektarbeit, an der Testbenutzer beteiligt sind, besteht die Gefahr von Versäumnissen. Die Erstellung neuer Rollen und das Testen dieser Rollen vor dem Produktionseinsatz ist für die Implementierung von Geschäftsprozessen von entscheidender Bedeutung. Wenn neue Rollen nicht ausreichend getestet werden, besteht die Gefahr, dass sie ihre Aufgaben nicht erfüllen können. Daher haben wir für diese Phase eine Unterstützung eingeführt, indem wir den Testprozess automatisiert haben (Erteilung, Erstellung von Testbenutzern) und die Möglichkeit eines Rückgriffs auf die alten Berechtigungen (Rückgriffsbenutzer) implementiert haben.

In der Praxis sieht das so aus:

1 - Die erstellten (und vorab getesteten) Rollen werden den Benutzern zugewiesen (und ersetzen die alten Rollen),

2 - für den Fall, dass der Benutzer nicht in der Lage ist, eine Aktion auszuführen (arbeitsunfähig) - kehrt im Notfall zum alten Rollensatz zurück (dies geschieht automatisch, die Aktion dauert 1-2 Minuten),

3 - der Administrator erhält Informationen über die Aktivitäten des Benutzers, die sich von den neuen Rollen unterscheiden - auf dieser Grundlage wird entschieden, ob neue Rollen für den Benutzer hinzugefügt werden sollen oder nicht.

Mit Fallback - Aktivitäten auf dem Produktionssystem haben keine Ausfallzeiten, selbst bei Fehlern bei der Erstellung/Testung von Berechtigungen.

Technische Ebene

Neue Anlagen S4 weisen bereits in der Standardkonfiguration eine Reihe von Risiken auf (der Kunde erhält daher eine Reihe von Parametern, die er anpassen kann, um das Sicherheitsniveau zu erhöhen). Risiken in der Zielinfrastruktur S/4HANA fallen im Allgemeinen in zwei Bereiche: unsichere Systemkonfiguration und Schwachstellen in Client-Lösungen ABAP.

Wir führen eine ganze Reihe von Sicherheitsaudits und Penetrationstests durch. Die bei solchen Projekten gesammelten Erfahrungen bestätigen, dass die Hauptgründe für SAP-Sicherheitsprobleme folgende sind:

- mangelnde Umsetzung von Sicherheitsrichtlinien (oder fehlende Patches),

- mangelnde Trennung im Netz,

- Fehlen von Überwachungsinstrumenten.

Vorgehensmodell für die sichere Migration zu SAP HANA

Überprüfung der Sicherheitsstufe

1 - Überprüfung des Sicherheitsniveaus des Zielsystems (bewährte Praktiken des SAP-Sicherheitsmarktes sind nützlich, um die dringendsten Probleme zu identifizieren),

2 - Zusammenstellung der gefundenen Risiken in einem Bericht mit Informationen über Abhilfemaßnahmen,

3 - Schaffung von Prioritäten für Risiken zur Verbesserung der Sicherheit.

Erhöhung des Sicherheitsniveaus

Beginnen Sie auf der Grundlage des Berichts, der Risiken und Prioritäten mit der Abdichtung der Umgebung. Denken Sie daran, dass die Schichten unterhalb der SAP-Anwendungsschicht (Betriebssystem/Netz/Datenbank) und die Client-ABAP-Erweiterungen (die kritische Funktionen und Aufrufe enthalten können oder keine Berechtigungsobjekte enthalten) ebenfalls wichtig sind.

Es ist wichtig, dass die für den Bereich verantwortlichen Personen in die Arbeit einbezogen werden, um zu bestätigen, dass die Änderungen keine Auswirkungen auf bestehende Prozesse haben. Eine Herausforderung sind zweifelsohne die ABAP-Programme der Kunden. Die Unternehmen verfügen selten über detaillierte Beschreibungen aller Programme und ebenso selten über Kenntnisse über die Programme, die besonders häufig verwendet werden. Dies äußert sich darin, dass in einem Cluster von mehreren Tausend Zetas nur einige Dutzend/einige Hundert die Programme sind, die in der täglichen Arbeit verwendet werden. Es ist daher notwendig, relevante Informationen über die Nutzung der Programme zu sammeln. Wir identifizieren die Programme, die nicht genutzt werden, und minimieren das Risiko mit einer „Soft-Cleaning”-Methode. Mit diesem Ansatz sind wir in der Lage, die Migrationskosten zu senken, und das Element der Codebereinigung selbst ist 80% schneller (und billiger) als der Standardansatz.

Überwachung der Sicherheit

Sobald die Umgebung versiegelt ist, sollten Sie damit beginnen, sie zu überwachen. Jede kritische Änderung der Einstellungen sollte sofort erkannt werden. Und auch hier gilt, dass dies für die Schichten gilt, die aus SAP-Sicht wichtig sind.

Zusammenfassung

Unabhängig von der Größe der Umgebung und ihrem Umfang - im Rahmen der Migration auf S/4HANA empfehlen wir, das Sicherheitsniveau der Zielplattform zu prüfen. Letztendlich gilt: Je früher Sicherheitsprobleme erkannt werden, desto geringer sind die Kosten, die mit ihrer Behebung verbunden sind. Die Entscheidung über die notwendigen Schritte und die Risikominderung liegt bei der Organisation. Wir sind in der Lage, Sie in jeder Phase der Sicherung Ihres SAP-Systems zu unterstützen.