Na konferencji poświęconej SAP Security – wskazówki dla bezpieczeństwa dzieliłam się z Państwem wiedzą zdobytą podczas zarówno projektów reorganizacji SoD i uprawnień jak i codziennych zadań w ramach Managed Services. Dla tych z Państwa, którzy nie mogli uczestniczyć w konferencji przygotowałam krótkie podsumowanie.

SAP jest bezpieczny sam w sobie. Jednak to od działań Klienta zależy w jaki sposób zadbamy o kwestie bezpieczeństwa danych. W tym konkretnie kontekście nie sposób zignorować dobrodziejstw inwentarzy, jakimi są dedykowane narzędzia do SAP Security.

Kopie zapasowe (ang. Backup) są dokładną kopią najważniejszych danych naszej organizacji. Takie kopie zapasowe powinny być przechowywane poza systemem, którego dotyczą – tak aby potencjalna awaria lub atak nie pozbawiły nas dostępu do wszystkich naszych danych.

Być może już wiesz, że od wersji SAP 7.40 SP8 możesz używać zasad bezpieczeństwa (SECPOL) SAP do definiowania parametrów bezpieczeństwa specyficznych dla użytkownika, w przeciwieństwie do wartości profilu systemowego.

SAP HANA to koncepcja szybkiego dostępu do danych in-memory. Pozwala ona na analizę dużej, często niezagregowanej, ilości danych, w sposób o wiele szybszy niż w pozostałych bazach danych. Obsługa danych w SAP HANA różni się znacznie od tej, którą znamy z SAP NetWeaver. Posiada swój własny system do zarządzania użytkownikami i autoryzacjami.

Biznes nie lubi chaosu i nie znosi niepewności

Role, uprawnienia i autoryzacje w SAP to temat rzeka, który poruszaliśmy już kilkukrotnie.
Pisaliśmy o zagrożeniach, które wynikają z braku koncepcji uprawnień, źle prowadzonych procach ich nadawania oraz ryzykach z tym związanych dla organizacji. Dzisiaj, w tej nowej dla wielu przedsiębiorstw rzeczywistości temat jest tym bardziej “gorący”.

Warto zauważyć, iż w przypadku reorganizacji uprawnień można też zastosować tzw. „projekt pełzający” czyli naprawiamy i uszczelniamy system krok po kroku.  Jest to dobra opcja, gdy mamy mało zasobów ludzkich, czasu i pieniędzy na wielki projekt reorganizacyjny.

SAL zapewni bezpieczeństwo systemu tylko wtedy, jeśli będzie poprawnie skonfigurowany (SM19/RSAU_CONFIG) ORAZ doglądany (SM20/RSAU_READ_LOG), a także, gdy dostęp do niego będzie ściśle ograniczony i kontrolowany. Zarówno dział Basis jak i użytkownicy kluczowi ds. bezpieczeństwa (audytorzy) mają przy konfiguracji co nieco do powiedzenia.

Czym są noty SAP? Uogólniając można powiedzieć, że są małymi aktualizacjami oprogramowania – zawierają korekty kodu, zawierają przy tym opis problemu, itd. Drugą ich rolą jest wsparcie, które nie zawiera korekt/aktualizacji lecz dokumentuje konkretny problem, często w szerokim zakresie.

Jak się do niego przygotować z SAST i jakie przynosi korzyści dla organizacji? Każda myśl dotycząca zwiększenia bezpieczeństwa w organizacji, która przybiera formę planu lub chociażby dyskusji jest godna uwagi.

Moduł Super User Management w SAST oferuje funkcję, która umożliwia użytkownikom pracę bez uprawnień SAP_ALL lub innych krytycznych autoryzacji w systemie produkcyjnym.

Szacuje się, że do 2020 roku około 30% firm globalnie zacznie używać produkcyjnie S4/HANA (w 2018 zaledwie 2% wszystkich firm używało S4). Omówię dwa obszary, które powinny zostać zaadresowane, jeśli mamy na uwadze podniesienie (bądź utrzymanie wysokiego) poziomu bezpieczeństwa docelowego systemu – autoryzacje oraz poziom techniczny.