Pflege der Berechtigungsobjekte (Transaktion SU21)
Lösungsansätze für effiziente Berechtigungen
Im Rahmen des Erkennens von Berechtigungsproblemen sollte dokumentiert werden, was die Gefahren sind, wenn die aktuelle Situation beibehalten wird. Oftmals wollen Verantwortliche im Unternehmen keine Korrektur vornehmen, weil diese Kosten und Arbeit verursacht. Wenn das aktuelle Konzept funktioniert und Sicherheitslücken abstrakt sind, scheuen sich viele Verantwortliche, etwas zu ändern. Aus diesen Gründen sollte zunächst dokumentiert werden, welche Probleme und Gefahren lauern, wenn das aktuelle Konzept nicht korrigiert wird: Zunächst erhöht sich die Gefahr von Betrug, Diebstahl sowie Datenschutz- und Sicherheitsverstößen. Die Dokumentation kann helfen zu erkennen, wo Gefahren liegen. Es besteht grundsätzlich das Problem, dass dem Unternehmen ein finanzieller Schaden entsteht, wenn nicht gehandelt wird. Eine weitere Gefahr besteht darin, dass Anwender mit ihren Berechtigungen experimentieren und Schaden verursachen, der sich durch eine saubere Berechtigungsstruktur vermeiden lässt. Ebenfalls ein Problem ist der erhöhte Administrationsaufwand der Berechtigungsvergabe und -Verwaltung. Der Aufwand steigt an, wenn die aktuelle Rollenzuordnungen nicht transparent und optimal strukturiert sind.
Solange die entsprechenden Tests sowohl im Entwicklungs- als auch im Qualitätssicherungssystem nicht abgeschlossen sind, wird den Testern zusätzlich zu ihren bisherigen Rollen das Profil SAP_NEW zugewiesen. Auf diese Weise wird gewährleistet, dass die Geschäftsvorfälle ohne Berechtigungsfehler durchlaufen werden können. Mit parallel aktivierten Berechtigungstraces (Transaktionen ST01 oder STAUTHTRACE) können die benötigten Berechtigungen ermittelt und dem Benutzer über die entsprechenden Rollen zugewiesen werden.
Berechtigungskonzept – Benutzerverwaltungsprozess
Bei der Tabellenprotokollierung muss sichergestellt sein, dass der SAP®-Hinweis 112388 (protokollierungspflichtige Tabellen) vollständig umgesetzt ist und zusätzlich alle Tabellen, welche finanzrelevante Daten beinhalten, von der Protokollierung umfasst werden. Das gilt selbstverständlich auch für alle Z-Tabellen! Als letzten Punkt der wichtigen Parametereinstellungen sind jene für die Definition der Kennworteinstellungen. Hier sollte sichergestellt werden, dass die Parameter ebenfalls gemäß der Unternehmensvorgaben eingerichtet sind. Die Überprüfung sollte allerdings nicht nur auf die globalen, für alle Benutzer gültigen, Einstellungen liegen, sondern auch all jene Benutzer umfassen, welche eigene Sicherheitsrichtlinien zugewiesen wurden. Gerade für diese muss eine entsprechende Begründung schriftlich vorliegen.
Wenn Sie so ermittelt haben, welche Organisationsmerkmale zu beachten sind, prüfen Sie, ob Sie die bereits vorhandenen Rollen umgestalten können, sodass die Organisationsmerkmale eindeutig je Verwendungsbereich gepflegt werden können. So gelangen Sie schließlich zu einem Konzept, in dem funktionale und organisatorische Trennung einfach möglich sind. Allerdings wird es mit einer größeren Menge an Rollen enden: buchende/anlegende Rollen, ändernde Rollen, lesende Rollen. Ein solches Konzept ist frei von Funktionstrennungskonflikten und so granular, dass die Organisationsmerkmale je Verwendungsbereich ausgeprägt werden können.
Wenn aber Ihr Identity Management System gerade nicht verfügbar oder der Genehmigungsweg unterbrochen ist, können Sie mit "Shortcut for SAP systems" dringend benötigte Berechtigungen dennoch zuweisen.
Hinter diesen verbirgt sich ein Prüfmechanismus, der auf so genannten Berechtigungsobjekten aufsetzt, durch welche die Objekte bzw. Transaktionen geschützt sind.
Sie können entweder den Namen der CRM-Business-Rolle (Benutzerrolle) oder den Namen der zugewiesenen PFCG-Rolle angeben.