Kompensierende Maßnahmen für Funktionstrennungskonflikte
Berechtigungskonzept des AS ABAP
Unternehmen bekämpfen historisch gewachsenen Wildwuchs bei den Berechtigungen am besten dadurch, dass dieser verhindert wird. Hier hilft eine Analyse, ob das aktuelle Berechtigungskonzept für das Unternehmen ausreichend ist.
Eine vollumfängliche SAP-Sicherheitsüberprüfung ist hier jedoch noch nicht zu Ende. Zusätzlich untersucht der Auditor, ob die vier wichtigen Konzepte der SAP Security, namentlich das Dateneigentümer-, das Eigenentwicklungen-, das Berechtigungs- und das Notfalluserkonzept, den Anforderungen genügen. Jedes von ihnen sollte ein ausformuliertes Schriftstück darstellen, das zum einen alle Soll-Vorgaben zum jeweiligen Thema enthält und zum anderen mit dem vorgefundenen Ist-Zustand der Prüfung übereinstimmt.
Anmeldesperren sicher einrichten
Durch das Einschalten des Parameters auth/authorization_trace werden externe Services in die Tabelle USOBHASH geschrieben sowie durchgeführte Berechtigungsprüfungen in der Tabelle USOB_AUTHVALTRC protokolliert. Den Inhalt dieser Tabelle können Sie nun dazu verwenden, in der Transaktion SU24 die geprüften Objekte und Werte aus dem Trace in die Vorschlagswerte zu übernehmen. Da es sich um einen dynamischen Profilparameter handelt, wird dieser beim Durchstarten des Anwendungsservers wieder zurückgesetzt. Öffnen Sie nun die Transaktion SU24, und Sie werden dort Ihre eigene UIKomponente als externen Service wiederfinden. Per Doppelklick auf diesen Service werden Sie feststellen, dass dort keine Vorschlagswerte gepflegt worden sind. Sie können diese Vorschlagswerte aus Tabelle USOB_AUTHVALTRC übernehmen. Hier sollten Sie mindestens das Berechtigungsobjekt UIU_COMP pflegen, damit diese Informationen in die PFCG-Rolle geladen werden, sobald Sie den externen Service in Ihr Rollenmenü aufnehmen.
Benutzertrace - Transaktion: STUSERTRACE - Mit der Transaktion STUSERTRACE ruft man den Benutzertrace auf. Im Grunde genommen ist das der Berechtigungstrace (Transaktion STUSOBTRACE), der auf einzelne Benutzer filtert. Man kann also genau den Berechtigungstrace aufrufen und den Filter auf einen Benutzer einstellen. Wie beim Berechtigungstrace muss der Profilparameter “auth/authorization_trace” in der Parameterverwaltung (Transaktion RZ10) entsprechend gesetzt werden.
Berechtigungen können auch über "Shortcut for SAP systems" zugewiesen werden.
In solchen Erweiterungen oder eigenen Programmen müssen Sie Berechtigungsprüfungen implementieren und unter Umständen auch eigene Berechtigungsobjekte anlegen.
Weiterhin sind die Statistikdaten anderer Benutzer (Benutzeraktivitäten, wie z.B. ausgeführte Reports und Transaktionen) als sensibel einzuordnen, da über diese Daten evtl. Rückschlüsse auf das Arbeitsverhalten gezogen werden können.