Sicherheitslücke SAP-Berechtigung

Espresso Tutorials spricht in seinem aktuellen Buchclub mit dem Autor und GRC-Experten Sebastian Mayer über SAP-Berechtigungen im Kontext der Informationssicherheit und die Rolle von SAP Access Control.

Das SAP-Berechtigungswesen ist extrem komplex. Wer darf auf welche Daten im Unternehmen zugreifen bzw. diese ändern? SAP verfügt mittlerweile über mehrere tausend Transaktionen, die zum Teil tiefe Einblicke in sensible Unternehmensdaten bis hin zur Freigabe von Zahlungen ermöglichen und deren Einsatz für jeden Anwender im System geregelt sein muss.
Sebastian Mayer von der Protiviti GmbH erläutert im Buchclub-Video von Espresso Tutorials die grundlegenden Herausforderungen an die Vergabe und Pflege von Berechtigungen im SAP-System. Sie sind der zentrale Einstiegspunkt in Unternehmensabläufe. Daher muss gewährleistet sein, dass Zugriffe nur von berechtigten Personen erfolgen.

An einem aktuellen Beispiel aus seiner Tätigkeit als Technologieberater im Bereich SAP-Informationssicherheit können Zuschauer direkt nachvollziehen, welche Risiken mit falsch vergebenen Berechtigungen verbunden sein können. Der Anwender war in diesem Fall – Gott sei Dank – ohne betrügerische Absicht. Doch das kann ganz anders ausgehen! Wie schon im Buch Schnelleinstieg in SAP GRC – Access Control dargelegt, sind Korruption, Verluste oder Datendiebstähle häufig auf ein mangelhaftes Berechtigungsmanagement zurückzuführen und verursachen weltweit enorme wirtschaftliche Schäden.

Um sich davor zu schützen, hat SAP die GRC-Komponente „Access Control“ eingeführt. Sebastian Mayer gibt im zweiten Teil einen Überblick über die vier Module von Access Control und zeigt beispielhaft die technische Ausgestaltung bei der Neuanlage eines Benutzers sowie der Zuweisung von Rollen im Access Request Management. Hier werden Unternehmen im Berechtigungsmanagement unterstützt, indem u. a. bereits während der Benutzererstellung präventive Analysen unmittelbar auf mögliche Berechtigungsrisiken hinweisen, die mittels mitigierender Kontrollen jedoch gesteuert werden können.

Die beiden Videos zum aktuellen Buchclub können Sie aufrufen unter:

Teil 1: Berechtigungen im SAP-System

Teil 2: SAP GRC Access Control

Nächstes Thema im virtuellen Buchclub von Espresso Tutorials:
Das neue SAP Cash Management
Bleiben Sie informiert!