skip to Main Content

Les urgences sont inévitables

Même les meilleurs environnements SAP doivent faire face à des situations d’urgence exigeant une réponse rapide et agile afin de régler les problèmes pouvant survenir à n’importe quel niveau de l’entreprise. Régler un problème de données, de code ou de sécurité, ou encore assurer une assistance pour les petits services ou pour les consultants externes… Ces situations nécessitent de fournir aux utilisateurs des identifiants d’intervention spéciaux afin de leur accorder un accès que leurs fonctions habituelles ne prévoient pas.

Gestion des accès d’urgence – Si simple et si compliquée

La pierre angulaire du plan de Gestion des accès d’urgence (GAU) d’une entreprise est un processus consistant à définir ce qu’est une situation d’urgence et quelles sont les validations requises pour concéder des accès d’urgence lorsqu’un « sinistre » se déclare quelque part. Un plan qui s’inscrit quant à lui dans les activités de Gouvernance, Risque et Conformité (GRC) de SAP. Bien que la GAU puisse sembler simple, il s’agit bien d’un sujet complexe, qui ouvre la porte à des conflits de séparation des tâches (SoD) et à de potentiels problèmes d’audit. Exemple simple : donner à un salarié un accès d’achat temporaire pour approuver et payer des bons de commande, et préserver ainsi les flux de transactions lorsque la personne habituellement chargée des validations est en congé.

Pour bien s’exécuter, un processus de GAU s’inscrivant dans la GRC de SAP devra définir clairement plusieurs types de scénario d’accès. Les différents domaines de l’entreprise nécessiteront différents scénarios d’accès SAP, ce qui accroît la complexité inhérente à l’assignation, au maintien et à la gestion des identifiants d’intervention spéciaux de la GRC de SAP. Ces scénarios devront inclure un accès basé sur les exceptions pour les éléments à fort potentiel d’audit, une assistance d’urgence standard pour les domaines fonctionnels individuels (au niveau des postes) et une assistance d’urgence critique pour les identifiants de super utilisateurs sur l’ensemble du système SAP.

Une fois que les scénarios sont définis, plusieurs attributs devront être évalués, en déterminant par exemple quel utilisateur spécifique au sein de l’entreprise a besoin de l’un des scénarios ci-dessus. Des flux de processus devront être développés pour supporter les scénarios définis lorsque des identifiants pré-validés auront été mis en place ou lorsque l’accès d’urgence nécessite validation. Le développement d’un plan d’audit est une étape essentielle du processus de GAU. Nombreuses sont les entreprises qui cessent de définir leurs processus dès qu’elles ont atteint l’objectif premier en accordant à leurs utilisateurs SAP des autorisations étendues. Il en résulte des déficiences au niveau des audits du fait qu’elles ont négligé des étapes fondamentales lorsqu’elles ont défini leur approche GAU.

Il est impératif de re-confirmer périodiquement les autorisations accordées dans le cadre de votre GAU et de revoir les utilisateurs qui peuvent activer chaque scénario d’accès d’urgence. Les gens changent fréquemment de poste au sein d’une entreprise – ou même la quittent. Il est important d’examiner la liste des propriétaires qui approuvent et revoient les journaux d’accès d’urgence, ainsi que celle des utilisateurs ayant un volume et une fréquence élevés d’utilisation de l’accès d’urgence. Ces examens doivent être réalisés de façon opportune, à une date aussi proche que possible de la génération de l’accès. Plus de temps s’écoulera entre la génération du journal et son examen, plus cela sera susceptible de créer des problèmes de routine et d’audit. Cette complexité fait également peser un poids important sur la sécurité SAP et les ressources Basis d’une entreprise.

Automatiser la GAU – Choisir la bonne solution

Bien que complexe, la GAU peut être automatisée en utilisant la solution d’une tierce partie. Le bon outil d’automatisation peut réduire la probabilité d’erreur humaine et, à terme, libérer des ressources de sécurité SAP et des ressources Basis pour réaliser des activités à plus forte valeur au sein de l’entreprise. Un outil d’automatisation de la GAU bien conçu devra être rapide à installer et convivial, offrir un niveau élevé de flexibilité et être auditable.

ControlPanelGRC® de Symmetry offre une solution de GAU qui gère de façon économique la complexité inhérente aux scénarios d’accès d’urgence tout en apportant des avantages considérables au sein d’une entreprise. La GAU a été intégrée à Access Controls Suite, la suite de contrôle d’accès primée de ControlPanelGRC®. Elle permet d’effectuer un suivi de toutes les activités d’alerte sinistre SAP des utilisateurs et d’assurer un état de « préparation permanente aux audits » en enregistrant et en suivant la moindre activité réalisée par chaque utilisateur lors d’une session d’alerte sinistre.

La solution GAU de ControlPanelGRC® peut être déployée en moins d’une journée. Ses fonctionnalités offrent aux auditeurs la tranquillité d’esprit requise ainsi que la flexibilité nécessaire pour permettre aux entreprises dynamiques et à croissance rapide de faire face en toute sécurité aux scénarios d’accès d’urgence de la GRC de SAP.

ControlPanelGRC® offre aux utilisateurs plusieurs options pour les autorisations de pré-approbation et les autorisations nécessitant une approbation. Elle réduit également les risques grâce à un flux de travail qui surveille les changements effectués pour chaque utilisateur plutôt qu’au niveau des connexions génériques. Chaque session d’alerte sinistre fait l’objet d’un suivi scrupuleux. Il est demandé aux utilisateurs de fournir des descriptions détaillées des raisons qui les amènent à activer une session d’alerte sinistre, puis la GAU capturera automatiquement dans ces descriptions les différentes actions qu’ils auront effectuées. Cette documentation détaillée est automatiquement envoyée à un responsable pour examen.

Valeur ajoutée et considérables avantages de l’automatisation

Le module de GAU de ControlPanelGRC® permet de résoudre les conflits de SoD en octroyant un accès d’urgence aux utilisateurs pré-validés et en enregistrant chaque action de la session par utilisateur. Il élimine également les procédures de sécurité manuelles permettant de délivrer les autorisations dans SAP, telles que l’ajout ou la suppression de rôles ou profils. L’option de pré-approbation des utilisateurs peut être automatiquement fournie avec un accès temporaire. Le module GAU de ControlPanelGRC® permet également de réduire les délais et les coûts de préparation des audits. Un journal d’audit facile d’accès permet aux entreprises de se maintenir dans un état de préparation permanente face aux audits. Grâce à la documentation détaillée, chaque session d’alerte sinistre SAP fait l’objet d’un suivi et d’un examen immédiatement après l’événement.

La différence avec Symmetry

La plupart des entreprises utilisant SAP en tant qu’application fondamentale auront besoin de disposer d’une certaine forme d’accès d’urgence. Le fait d’avoir un processus de GAU qui réponde aux besoins opérationnels, qui soit conforme et facilement auditable, apporte à la fois flexibilité et valeur ajoutée à l’environnement complexe dans lequel évoluent aujourd’hui les entreprises.

La solution GAU ControlPanelGRC® de Symmetry permet de s’assurer que l’accès d’urgence devient un actif avantageux pour l’entreprise. Vos auditeurs comme vos équipes de Sécurité SAP et Basis peuvent avoir l’esprit tranquille sachant que cette fonction vitale travaille jour après jour pour assurer à votre entreprise la sécurité et la flexibilité dont elle a besoin afin de répondre à n’importe quel scénario d’accès d’urgence à SAP.

Pour en savoir plus sur le module GAU de ControlPanelGRC®, n’hésitez pas à contacter Symmetry. Nous avons l’expérience et l’expertise pour simplifier à la fois votre GAU et tous vos besoins en GRC.

 

Symmetry