Anwendungssuche in der Transaktion SAIS_SEARCH_APPL verwenden
Rollen und Berechtigungen in SAP SuccessFactors wachsen oft organisch und werden unübersichtlich
SAP_NEW stellt ein spezifisches Berechtigungsprofil dar, in dem die konkreten Berechtigungsänderungen zwischen zwei SAP-Releaseständen zusammengefasst sind. Zu unterscheiden ist dabei zwischen der Auslieferung des SAP_NEW-Profils durch SAP und der Generierung einer SAP_NEW-Rolle mit einem dazugehörigen Profil durch Sie als SAP-Kunden (siehe auch den SAPHinweis 1711620). Abhängig von der Vorgehensweise zur Berechtigungsnachpflege kann die Berechtigung SAP_NEW jedem Benutzer in einem Entwicklungs- und Qualitätssicherungssystem unmittelbar nach dem technischen Systemupgrade zugewiesen werden. Ziel ist es jedoch, in der Produktionsumgebung jedem Benutzer möglichst nur Berechtigungen zuzuweisen, die er für seine Geschäftsvorfälle benötigt. Im Umfeld von Upgrades müssen die hierzu korrekten Berechtigungen ermittelt und in entsprechende Berechtigungsrollen integriert werden.
Noch kritischer ist die Vergabe des umfassenden SAP®-Standardprofil SAP_ALL, welches nahezu alle Rechte im System beinhaltet. Deshalb sollte es maximal an einen sogenannten Notfallbenutzer zugewiesen werden. Der Umgang mit dem Notfallbenutzer ist auch im schriftlich dokumentierten Berechtigungskonzept vorzugeben. In jedem Fall sollten die Aktivitäten des Notfallbenutzers protokolliert und regelmäßig kontrolliert werden. Deshalb ist es essenziell in der Vorbereitung auf die Jahresabschlussprüfung, die aktuellen, aber auch die historischen Zuweisungen, von SAP_ALL zu überprüfen. Es ist also nicht ausreichend, im Vorfeld der Jahresabschlussprüfung einfach schnell den Benutzern das Profil SAP_ALL zu entziehen. Es muss auch nachgewiesen werden, dass über den Prüfzeitraum das Profil SAP_ALL nicht kurzfristig für ein paar wenige Tage vergeben wurde. Sollte es doch zu Zuweisungen von SAP_ALL gekommen sein, wurde diese im Idealfall bereits dokumentiert und kontrolliert. Sollte dies nicht der Fall sein, ist unbedingt eine nicht veränderbare Dokumentation anzulegen, in welcher nachgewiesen wird, warum die Zuweisung notwendig war und dass der User darüber hinaus keine kritischen Aktionen durchgeführt hat (Ablage und Review der Protokollierung).
Benutzerpuffer analysieren SU56
Sperren und Gültigkeiten des Benutzerkontos erfolgen über den Benutzeradministrator und sind auch für andere Authentifizierungsverfahren gültig. Das heißt, dass eine Anmeldung über SSO für einen ungültigen Benutzer oder einen Benutzer mit Administratorsperre nicht möglich ist. Wir empfehlen Ihnen daher immer, den Zugang zum System über das Setzen der Gültigkeit von Benutzern zu verhindern. Das Setzen von Gültigkeiten bei zugeordneten Rollen verhindert zwar ebenfalls, dass der Benutzer noch Aktionen im System durchführen kann, unterbindet aber nicht generell deren Anmeldung.
Der Prozess der Benutzerverwaltung, also Benutzeranlage, -änderung und -deaktivierung sollte einerseits in schriftlich dokumentierter Form, entweder als eigenes Dokument oder als Teil des schriftlich dokumentierten Berechtigungskonzepts, vorliegen und andererseits auch gemäß der Dokumentation durchgeführt werden. Daher ist ein Abgleich auf zwei Ebenen vorzunehmen, einerseits sollte sichergestellt werden, dass die Dokumentation aktuell ist und andererseits sollte überprüft werden, ob der Prozess im zu prüfenden Wirtschaftsjahr auch eingehalten wurde. Mögliche Abweichungen sollten bereits argumentativ vorbereitet werden, es können immer Sonderfälle auftreten, die vom eigentlichen Prozess abweichen. Diese sind jedoch nachvollziehbar zu dokumentieren, damit ein externer Prüfer, wie es eben der IT-Prüfer des Wirtschaftsprüfers ist, verplausibilisieren kann. Sämtliche Dokumentationen sollten mit den wesentlichen Informationen (Ersteller, Datum, Version, etc.) versehen werden und in einem nicht veränderbaren Format (in der Regel PDF) vorliegen. Weitere Unterlagen können auch aus dem Ticket-System ausgegeben werden, sofern der Prozess durchgängig über das Ticketsystem dokumentiert ist.
Sichern Sie Ihren Go-Live mit "Shortcut for SAP systems" zusätzlich ab. Notwendige SAP Berechtigungen können Sie schnell und unkompliziert direkt im System zuweisen.
Sie sehen diese Flags in den Tabellen USOBT_C und USOBX_C.
Wir zeigen Ihnen im Folgenden, wie Sie das Änderungsbelegmanagement der Benutzer- und Berechtigungsverwaltung optimieren können.