fbpx
Überspringen zu Hauptinhalt

SAP GRC EAMUm 02:00 Uhr erhalten Sie einen Anruf, der Sie darüber informiert, dass Ihr SAP-ERP-System aufgrund von ungeklärten Softwarekonflikten ausgefallen ist. Eine Entwicklerin ist verfügbar, um das Problem zu untersuchen, wenn Sie ihr den Notfallzugriff auf das Produktionssystem gewähren. Sollten Sie den Zugang gewähren oder nicht? Ja. Das ist ein einfacher Anruf. Es gibt sogar einen Standardprozess, der SAP Emergency Access Management (SAP EAM) genannt wird. Wenn Sie einem Entwickler jedoch Zugriff auf ein Produktionssystem gewähren, sind Sie potenziell Risiken in Bezug auf Sicherheit und Compliance ausgesetzt. Zur Lösung des Problems müssen Sie SAP EAM innerhalb des Bereichs Ihrer Programme zu Governance, Risk und Compliance (GRC) platzieren. Wir nennen das SAP GRC EAM.

Was ist SAP GRC EAM?

Um die potenziellen Risiken von SAP EAM im Kontext von GRC zu verstehen, ist es zunächst erforderlich, ein grundlegendes Verständnis für die Funktionsweise von EAM zu erlangen. SAP EAM bezeichnet eine Reihe von Funktionen, die hauptsächlich SAP Access Controls umfassen und es Endbenutzern ermöglichen, ihre regulären Rollen zu verlassen, um Aufgaben auszuführen, die zur Behebung einer Notfallsituation erforderlich sind. SAP EAM wurde entwickelt, um den Notfallzugriff in einem kontrollierten und überprüfbaren Prozess zuzuweisen. Beispielsweise protokolliert SAP EAM alle Aktivitäten, die der Benutzer ausführt, während ihm die temporäre ID zugewiesen wird. Aus dem Prozess der Rollenzuweisung und -verfolgung ergibt sich eine Reihe von Workflows und Funktionen.

SAP GRC EAM T-Code

Es gibt zwei grundlegende Möglichkeiten, um einen Notfallzugriff zuzuweisen, die auch als SAP-„Firefighter“-Sitzung bezeichnet werden. Eine davon ist die Benutzer-ID, mit der eine sogenannte Firefighter-ID oder FFID erstellt wird. Die andere ist eine Firefighter-Rolle oder FFRole. Aus unserer Sicht sind Sie mit dem FFID-Ansatz einem höheren Risiko ausgesetzt. Dies liegt daran, dass FFIDs mit bestimmten Rollen verknüpft sind, denen jeweils eigene T-Codes zugewiesen sind. Wenn ein Benutzer die Rolle missbrauchen möchte (d. h. Betrug begeht), kann er T-Codes aus seiner eigenen Benutzer-ID ausführen und dann aus der FFID. Nur eine äußerst gründliche Überwachung würde diese Person ergreifen. Im Gegensatz dazu wird beim Erstellen einer FFRole mit denselben T-Codes ein Szenario erstellt, in dem alle vom Benutzer ausgeführten Aktionen mit ihrer Benutzer-ID angezeigt werden. Dies erleichtert das Erkennen eines Missbrauchs von Notfallzugangsdaten.

SAP-GRC-Firefighter-Workflow

Es ist erforderlich, einen Workflow zum Zuweisen von Firefighter-Anmeldeinformationen einzurichten. Jemand muss als EAM-Eigentümer in der IT-Organisation fungieren. Diese Person, die eine vertrauenswürdige Person sein sollte, empfängt EAM-Anfragen. In einem typischen Workflow ist der EAM-Eigentümer der erste von zwei Genehmigenden der EAM-Anfrage. Wenn er oder sie die EAM-Anfrage ablehnt, ist dies das Ende des Workflows. Wenn der EAM-Eigentümer die Anfrage jedoch genehmigt, sollte sie an einen Sicherheitsgenehmiger weitergeleitet werden. Diese Person kann die Anfrage auch genehmigen oder ablehnen.

SAP-GRC-Firefighter-Protokollbericht

SAP EAM generiert ein Protokoll der Notfallzugriffsaktivität, das als SAP-GRC-Firefighter-Controller-Protokoll bezeichnet wird. Es ist in SAP Access Controls vorhanden. Das Protokoll enthält Informationen zu EAM-Anforderungen und Genehmigungen sowie zu Firefighter-Sitzungen. Es besteht aus separaten Protokollen für Transaktionen (STAD), Änderungs-, Debug- und Ersetzungsaktivitäten, Betriebssystembefehlen und einem Sicherheitsüberwachungsprotokoll. Das System erstellt einen SAP-GRC-Firefighter-Protokollbericht. Das Problem (eines von mehreren) ist, dass jemand den Bericht analysieren muss, um zu verstehen, was gerade vor sich geht.

Probleme mit der Verwendung der integrierten EAM-Funktionen von SAP

Die Verwendung von nativem SAP EAM ist problematisch, weil:

  • Der Workflow der Firefighter-Zuweisung erfolgt manuell. Das ist ineffizient.
  • Die Mitarbeiter müssen Entscheidungen treffen, vielleicht ohne all die Informationen, die sie brauchen.
  • Es ist zeitaufwändig. Die Mitarbeiter müssen Protokollanalysen durchführen, um potenzielle Sicherheitsprobleme zu erkennen.
  • Sicherheitsrisiken können unentdeckt bleiben, wenn die Mitarbeiter der Vorgang nicht sorgfältig überwachen.
  • Der Prozess kann versehentlich Verstöße gegen die SoD- (Segregation of Duties) Kontrollen hervorrufen, die zur Einhaltung von Vorschriften wie Sarbanes Oxley (SOX) erforderlich sind.

Im Allgemeinen haben Unternehmen die SOX-SoD-Anforderungen eingehalten, indem sie den Zugang zu Produktionssystemen eingeschränkt haben. Dies steht im Widerspruch zu den Anforderungen für den Notfallzugriff. Die Verwendung des manuellen SAP-EAM-Prozesses bedeutet, dass der Benutzer, der die Rolle des Firefighter innehatte, sich an die Sicherheitsabteilung wenden und seine Rolle entfernen muss, nachdem alle erforderlichen Aufgaben ausgeführt wurden. Dies führt zu einer Belastung für das Sicherheitspersonal und einer hohen Wahrscheinlichkeit, dass dies überhaupt nicht auftritt, was zur Folge hat, dass temporäre Zugriffe dauerhaft geöffnet bleiben und zu Missbrauch führen können.

Der Wert der Automatisierung von SAP GRC EAM

Die Automatisierung bietet eine Möglichkeit, die Anforderungen an den Notfallzugriff mit den Sicherheits- und Compliance-Richtlinien in Einklang zu bringen. Unser ControlPanelGRC Emergency Access Manager ist ein Beispiel für diesen Anwendungsfall. Er stellt automatisch einen vorab genehmigten Notfallzugriff bereit und verringert so das Risiko durch einen Workflow, der Benutzeraktivitäten verfolgt und dokumentiert.

Der automatisierte Prozess eliminiert auch manuelle Sicherheits-Workflows für die Ausstellung von Zugangsdaten für Notfälle. Dies befreit das Sicherheitspersonal von dieser zeitaufwändigen Verpflichtung. Durch die sofortigen Berechtigungen ausgewählter Benutzer ist es möglich, Zugriff zu gewähren, der innerhalb der SoD-Steuerelemente bleibt.

Die Lösung protokolliert und verfolgt automatisch alle Aktivitäten, die der Benutzer während einer SAP-Firecall-Sitzung durchführt. Sie erstellt einen leicht zugänglichen Audit-Trail und eine detaillierte Dokumentation nach der Notfallsitzung. Auf diese Weise versetzt Emergency Access Manager Ihr Unternehmen in einen Zustand kontinuierlicher Audit-Bereitschaft. Er reduziert die Audit-Vorbereitungsarbeiten.

Wenn Sie mehr über Notfall Access Manager lernen und erfahren möchten, wir er Ihnen bei der Vorbereitung auf einen Notfallzugriff ohne Abstriche bei der Sicherheit oder Compliance helfen kann, wenden Sie sich noch heute an unsere Experten.

Jon Perry, Sr. SAP Security Consultant

Jon Perry is a Senior SAP Security/GRC Consultant focused on the SAP Security and Controls Practice at Symmetry. With 25+ years of hands-on SAP Security Administration experience, he has focused on implementing and supporting GRC solutions for over 15 years. Starting out as a functional user of SAP, Jon has working knowledge of Material Management, Procurement, Distribution, Human Resources, and Finance and has supported all modules and platforms of SAP including the latest versions of HANA and Fiori (as well as many Java-based SAP solutions). Jon is results driven and always striving to implement the best solutions for clients, meeting deadlines and requirements with a focus on automation and risk reductions.