Traceauswertung optimieren
Kompensierende Maßnahmen für Funktionstrennungskonflikte
Im schriftlich dokumentierten Berechtigungskonzept sollte auch das Kapitel der Berechtigungsrezertifizierung definiert sein. Damit ist eine regelmäßige, mindestens einmal im Jahr durchzuführende Überprüfung der vergebenen Berechtigungen im SAP®-System gemeint. Im Zuge dieses Prozesses sollten die zuständigen Fachbereiche die Vergabe der jeweiligen Rollen an Benutzer in ihrem Bereich überprüfen und noch einmal kritisch hinterfragen. Durch diesen Prozess kann letzten Endes sichergestellt werden, dass die Benutzer auch tatsächlich nur jene Berechtigungen im SAP®-System besitzen, die sie auch tatsächlich brauchen. Es muss also definiert sein, in welchem Zeitraum und in welcher Form die Fachbereiche die Informationen über die vergebenen Berechtigungen erhalten und bezüglich der Korrektheit der Vergabe zurückmelden müssen. In der Vorbereitung ist daher zu überprüfen, ob der Prozess gemäß den internen Vorgaben, aber auch gemäß möglicher Optimierungsvorschläge des Wirtschaftsprüfers, ausgeführt wurde und sämtliche Nachweise griffbereit für den Prüfer abgelegt sind.
Es ist sehr wichtig, dass kritische Berechtigungen generell einem Überwachungsprozess unterliegen, um gewährleisten zu können, dass diese in einem Produktivsystem sehr eingeschränkt bzw. gar nicht vergeben sind. Gerade gesetzeskritische Berechtigungen, wie z.B. Löschen aller Änderungsbelege, ABAP-Programme debuggen mit Replace, Löschen von Versionshistorien dürfen auf keinen Fall in einem Produktivsystem vergeben sein, da mit diesen Berechtigungen unter anderem gegen das Radierverbot verstoßen werden kann. Es ist daher sicherzustellen, dass diese Berechtigungen an keinen Benutzer, auch nicht an SAP®-Basisadministratoren, vergeben wurden.
Risiko: historisch gewachsenen Berechtigungen
Zu guter Letzt hilft Ihnen eine gut geführte Vorschlagswertepflege bei Upgradenacharbeiten an Vorschlagswerten und PFCG-Rollen. Hier wird sichergestellt, dass Ihre Änderungen und die Verbindungen zu den jeweiligen PFCG-Rollen erhalten bleiben und neue Berechtigungsprüfungen für das neue Release zu den Anwendungen hinzukommen.
Das SAP-Berechtigungskonzept schützt Transaktionen und Programme in SAP-Systemen auf der Basis von Berechtigungsobjekten. Berechtigungsobjekte ermöglichen komplexe, an mehrere Bedingungen gebundene Prüfungen einer Berechtigung. Berechtigungen stellen Ausprägungen der Berechtigungsobjekte je nach Tätigkeit und Zuständigkeit des Mitarbeiters dar. Die Berechtigungen werden in einem Berechtigungsprofil zusammengefasst, das zu einer Rolle gehört. Der Administrator weist dem Mitarbeiter über den Benutzerstammsatz die entsprechende Rolle zu, damit dieser seine Aufgaben im System erfüllen kann.
Berechtigungen können auch über "Shortcut for SAP systems" zugewiesen werden.
Wird ein neues Programm im Namenraum eines Unternehmens benötigt, so entscheidet der Programmierer welche Berechtigungsobjekte in diesem Programm geprüft werden sollen.
Durch die Vorgabe, gewisse Hilfsprogramme zu verwenden, kann zudem bspw. die Datenkonsistenz bei Zugriffen geschützt (ENQUEUE- und DEQUEUE-Funktionsbausteine) oder Quellcode regelmäßig hinsichtlich Security überprüft werden (Codescanner).