Säkerhetsrevision av SAP-system

Hur kan man omvandla tankar och planering till konkreta åtgärder som gynnar verksamheten?

Med verktyget SAST upptäckt av potentiella oegentligheter och risker är enkel och snabb
och heltäckande.

Omfattning av SAP:s säkerhetsrevision

I vårt arbete implementerar vi säkerhetsrevisioner av SAP-system baserat på bästa praxis för SAP-säkerhetsprojekt för SAP-system med avseende på ISO 27001. Under revisionen kontrolleras och analyseras alla relevanta systemkomponenter (ABAP-stack, Java-stack, operativsystem, databas) samt SAP-inställningar och användarbehörigheter.
Granskningen utförs med hjälp av SAP-certifierat säkerhetsverktyg SAST.

Undersökningen omfattar mer än 3.000 inspektioner inom följande områden

• Kontroll av systemåtkomst
• Säkerhetstestning på operativsystems- och databasnivå
• Kontroll av standardanvändare och lösenord
• Kontroll av SAP-parametrar och inställningar
• Undersökning av Internetkonfiguration och kryptografiska inställningar
• Bedömning av kritiska SAP-behörigheter baserat på standardinställningar i SAST
• Verifiering av SAP-auktorisationer i förhållande till kritiska auktorisationer och konflikter med ansvarsfördelning

Vi sammanställer alla verifieringar som utförts och de luckor som upptäckts i en efterbesiktningsrapport som är föremål för kundens bedömning och som sedan presenteras och förklaras för kunden under workshopen och utvecklingen av en åtgärdsplan.

Steg i en säkerhetsrevision av SAP

Vilka är de olika stegen i en säkerhetsrevision? Hur lång tid tar allt detta?
Vad behöver vi förbereda oss för?

• Förberedelser inför revisionen börjar med att skapa ett koncept och en plan för verifieringskörningen på systemet. Här arbetar vi tillsammans med kunden och tar hänsyn till de mest kritiska säkerhetsaspekterna i organisationen.
• Sedan teknisk förberedelse av systemet (import av SAST-försändelser).
  Vårt team konfigurerar verktyget och kör kontrollrapporter.
• Vår nästa åtgärd är att analys av rapporter som genereras från de studerade systemen.
• Förberedelse av dokumentation med kontrollresultat och rekommendationer för förändringar tas också fram av vårt säkerhetsteam.
• Diskussion och presentation av resultat med kunden. Den gemensamma utvecklingen av åtgärdsplanen innebär att man kommer överens om resultaten och rekommendationerna med de avdelningar som deltagit i revisionen. Det är möjligt att fastställa tidsfrister för genomförandet av rekommendationer och att övervaka genomförandet av förändringar.

När det gäller tidskrävande för att genomföra den ovan beskrivna revisionen tar det cirka två veckor. Hänsyn bör dock tas till tillgången på egna interna resurser så att
kunna luta sig mot säkerhetsaspekterna på det mest optimala sättet.

Revisionsresultat från SAP:s säkerhetsrevision

Vi tillhandahåller resultatet av revisionen till kunden i elektronisk form (Microsoft Word eller Excel).
Dessutom presenterar vi dem hos kunden i samband med ett uppföljningsmöte i form av en presentation. Det är mycket viktigt, att följande personer närvarar vid sammanträdet processrepresentanter eller arbetsledare på avdelningen, vars processer verifierades som en del av revisionen.

Den dokumentation som produceras innehåller följande information:

• En förteckning över testade komponenter och, vid behov, andra system som ska testas,
  inklusive inspektionsperiod och inspektionsförfaranden
• Kortfattad beskrivning av kontrollresultaten (grad av avvikelse från det rekommenderade scenariot, enligt
  med kundens specifika önskemål eller enligt vad som anges i bästa praxis)
• En detaljerad beskrivning av revisionsresultaten (orsaker och effekter/risker), inklusive en förklaring av avvikelser från uppdragsgivaren, lagstiftning eller god praxis
• Rekommendationer för att åtgärda specifika brister (t.ex. konceptändringar, programvaruuppdateringar, konfigurationsjusteringar).

Efter SAP:s säkerhetsrevision

Efter verifiering utser vårt team en kontaktperson som hjälper dig
vid eventuella frågor. Stödet omfattar en period på flera veckor efter att det skriftliga inspektionsresultatet har överlämnats.

Om du funderar på att undersöka hur ditt SAP-system ser ut i dag när det gäller säkerhet, men problemens omfattning med tanke på storleken på din miljö och komplexiteten i dina processer väcker tvivel - vänta inte längre. Vi hjälper dig, genomför revisionen och presenterar resultaten och en åtgärdsplan på ett tydligt sätt.