DSAG Prüfleitfaden ECC 6 - Neu
DSAG Prüfleitfaden ECC 6 - Neu
Best-Practice-Empfehlungen des
DSAG-Arbeitskreises Revision u. Risikomanagement
Deutschsprachige SAP-Anwendergruppe e.V.
VERSION 2.0
STAND 4. MAI 2015
VERSION 2.0
STAND 4.MAI 2015
DSAG e.V.
Deutschsprachige SAP-Anwendergruppe
Wir weisen ausdrcklich darauf hin, dass das vorliegende Dokument nicht jeglichenRegelungsbedarfsmtlicher DSAG-Mitgliederin allen Geschftsszenarien antizipieren und abdecken kann.
Insofern mssen die angesprochenen Themen und Anregungen naturgem unvollstndig bleiben.
Die DSAG und die beteiligten Autoren knnenbezglich derVollstndigkeit und Erfolgsgeeignetheit
der Anregungen keine Verantwortung bernehmen.Smtliche berlegungen, Vorgehensweisen
und Manahmen hinsichtlich des Verhaltens gegenber SAP verbleiben in der individuellen Eigenverantwortung jedes DSAG-Mitglieds. Insbesondere kann dieser Leitfaden nur allgemeine Anhaltspunkte zu vertragsrechtlichen Themengeben und keinesfalls eine individuelle Rechtsberatung bei
der Verhandlung und Gestaltung von Vertrgendurch IT-rechtliche Experten ersetzen.
HINWEIS:
Die vorliegende Publikation ist urheberrechtlich geschtzt (Copyright). Alle Rechte liegen, soweit
nicht ausdrcklich anders gekennzeichnet, bei:
DEUTSCHSPRACHIGE SAP ANWENDERGRUPPE E.V.
Altrottstrae 34 a
69190 Walldorf
Deutschland
Fon +49 (0) 6227 358 09 58
Fax +49 (0) 6227 358 09 59
www.dsag.de I [email protected]
Jedwede unerlaubte Verwendung ist nicht gestattet. Dies gilt insbesondere fr die Vervielfltigung, Bearbeitung, Verbreitung, bersetzung oder die Verwendung in elektronischen Systemen/digitalen Medien.
Die Autoren des Prfleitfadens sind fr Kritik, nderungs- und Ergnzungswnsche dankbar
(bitte als Beitrag im DSAGNet unter AK Revision & Risikomanagement www.dsag.de/AK-Revision
melden).
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
INHALTSVERZEICHNIS
EINLEITUNG
1. SAP ERP 6.0
6
8
9
9
10
11
11
11
11
12
15
18
20
25
3.1. Anmeldekontrollen
3.2. Risiken
3.3. Kontrollziele
3.4. Prfprogramm: Systemparameter fr die Anmeldekontrolle
3.5. Tabelle: Vorschlagswerte fr die Systemparameter der Anmeldekontrolle
3.6. Prfprogramm: Gltigkeitszeitraum von Benutzerkennungen
3.7. Prfprogramm: Sichere Konfiguration besonderer Benutzertypen
3.8. Prfprogramm: berwachung der Wirksamkeit des Zugriffsschutzes
4. AUTORISIERUNG (ABAP-STACK)
28
4.1. Berechtigungsvergabe
4.2. Differenzierungsmodelle fr Berechtigungskonzepte
4.3. Risiken
4.4. Kontrollziele
4.5. Prfprogramm: Dokumentiertes Benutzer- und Berechtigungskonzept
4.6. Prfprogramm: Ordnungsgeme Gestaltung von Rollen
4.7. Prfprogramm: Notfallbenutzerkonzept (ABAP-Stack)
4.8. Prfprogramm: Nutzung kritischer SAP-Standardprofile/-rollen
4.9. Prfprogramm: Ersetzen kritischer Vorschlagswerte im Profilgenerator
4.10. Prfprogramm: Ordnungsmige Berechtigungs- und Benutzerorganisation
4.11. Tabellen: Beispielszenarien der Organisation einer Benutzer- und
Berechtigungsverwaltung
4.11.1. Szenario 1: 4-Augen-Prinzip
4.11.2. Szenario 2: 6-Augen-Prinzip
4.11.3. Szenario 3: 6-Augen-Prinzip, dezentrale Benutzerverwaltung im Produktivsystem
4.12. Prfprogramm: Berechtigungen fr die Benutzer- und Berechtigungsverwaltung
4.13. Prfprogramm: Sicherheitsmechanismen zur Aktivierung der Prfung
von Berechtigungen
28
28
29
30
30
39
41
42
44
48
50
67
67
71
71
72
72
72
76
79
83
90
94
95
96
6.1. berblick
6.2. Risiken
6.3. Kontrollziele
6.4. SAP AS Java Systemarchitektur
6.5. Prfprogramm: Sichere Konfiguration des SAP Java-Stack
6.6. Prfprogramm: Sicherheit des ICM
6.7. Prfprogramm: Authentisierung und Autorisierung (Java-Stack)
6.8. Tabelle: Vorschlagswerte fr die Systemparameter der UME-Anmeldekontrolle
6.9. Prfprogramm: SAP-Java-Stack-Softwareverteilung
6.10. SAP Enterprise Portal
6.11. Prfprogramm: SAP-Java-Stack-Softwareverteilung
50
54
58
62
65
INHALTSVERZEICHNIS
7. SYSTEMINTEGRITT AUF DER DATENBANKEBENE
102
102
102
103
103
106
108
110
110
110
111
111
116
10.1. Risiken
10.2. Kontrollziele
10.3. Prfprogramm: Authentisierung und Autorisierung mit SAP HANA
10.4. Prfprogramm: Sichere Konfiguration der Schnittstellen von SAP HANA
10.5. Prfprogramm: Absicherung von SAP HANA unter Linux
10.6. Prfprogramm: Sicheres Datenbankmanagement mit SAP HANA
10.7. Prfprogramm: berwachung von Sicherheitsverletzungen und regelmige
berprfung potenzieller Sicherheitsschwachstellen der SAP-HANA-Server
122
122
123
126
126
126
127
128
129
129
132
135
138
138
141
144
144
144
148
150
152
152
156
159
163
166
167
168
169
179
181
183
185
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
EINLEITUNG
Der vorliegende Prfleitfaden des Arbeitskreises (AK) Revision u. Risikomanagement bezieht sich im
Kern auf den Releasestand SAP ERP 6.0, EHP 7, innerhalb der SAP Business Suite. Ergnzt wurde der
Leitfaden um Prfungshandlungen innerhalb der GRC Suite sowie bei SAP HANA. Der AK Revision
u. Risikomanagement ist Teil der Deutschsprachigen SAP-Anwendergruppe e. V. (DSAG) mit Sitz in
Walldorf.
Zielsetzung des Leitfadens ist es, Best-Practice-Empfehlungen fr die Prfungen von SAP-Anwendungen zu geben. Er aktualisiert und erweitert den im Jahr 2009 in der Version 1.0 herausgegebenen
Prfleitfaden zu SAP ERP 6.0., dessen Teil 2 (Applikationsebene) nach wie vor Gltigkeit besitzt.
Die Prfhinweise in diesem Leitfaden sind als Hinweise fr einen mit SAP vertrauten Prfer gedacht. Sie sind keine verbindliche Richtlinie oder Norm. Jegliche Verantwortung fr Art, Umfang und
Ergebnis externer und interner Prfungen verbleibt beim Prfer selbst. In seiner Verantwortung
liegt auch die Zuordnung der ausgewhlten Prfungsschwerpunkte zu einschlgigen ISO-Normen,
z.B. fr IT-Sicherheit ISO/IEC 27001, zu Rahmenwerken fr die Prfung, z.B. COSO, COBIT oder
zu berufsstndischen Prfungsstandards z.B. des Instituts der Wirtschaftsprfer (IDW).
Voraussetzung ist die Erfahrung mit dem SAP-System, insbesondere mit SAP ERP 6.0, SAP GRC,
SAP HANA, sowie Kenntnisse der gesetzlichen Vorschriften fr die Rechnungslegung. Zur detaillierten Auseinandersetzung mit der SAP-Architektur verweist das Autorenteam auf die SAP-Online-Dokumentation, auf entsprechende Literatur und Schulungskurse.
Die ausgewhlten Prfprogramme vermitteln Handlungen, die dem Prfer die Wahrnehmung der
kritischen kundenspezifischen Ausprgungen, der technischen SAP-Konzepte und -Funktionen
erleichtern sollen. Der notwendige Prfungsumfang muss jeweils individuell den kundenspezifischen organisatorischen Prozessen angepasst werden.
Der Prfleitfaden wird in Versionen fortgeschrieben.
Die Autoren der einzelnen Kapitel des neuen Leitfadens sind Mitglieder des DSAG-Arbeitskreises
Revision u. Risikomanagement. Die Verffentlichung der Kapitel erfolgt jeweils separat in
unregelmiger Folge. Die Verantwortung fr den Inhalt tragen die jeweiligen Autoren.
TITEL
AUTOR
STAND
Einleitung
Siegfried Filla
01.2015
Siegfried Filla
01.2015
Siegfried Filla
01.2015
Ralf Kaib
03.2014
Autorisierung (ABAP-Stack)
02.2015
Ralf Kaib
03.2014
Vojislav Kosanovic
12.2013
Falk Huber
02.2015
Christoph Nickel
03.2015
01.2015
10
Marcus Bhme,
Jan Stlting
03.2015
5.1
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
Nach den Produkten SAP R/1 und SAP R/2 fr die Welt der Mainframes fhrte SAP im Jahr 1992
SAP R/3 fr die neuen Client-Server-Architekturen ein. SAP R/3 umfasste neben spezifischen
Industrielsungen die SAP Basis und die verschiedenen SAP Applikationen, wie z.B. Finanzwesen,
Controlling, Materialwirtschaft und Personalwirtschaft. SAP R/3 wurde in dieser Systemstruktur bis
Release 4.6C ausgeliefert und dann durch das sogenannte SAP R/3 Enterprise Core (R/3 Release
4.70) mit den neuen technischen Mglichkeiten des SAP Web Application Server 6.20 im Jahre 2003
abgelst. Ab 2004 wurde mit "mySAP ERP 2004" und danach mit mySAP ERP 2005 ein ganzes
Bndel funktionaler Erweiterungen zur Untersttzung der Unternehmensprozesse eingefhrt (u.a.
auch die sogenannte Enterprise Central Component "ECC 5.0" sowie ECC 6.0 mit den Kernmodulen
von SAP R/3). Durch die ergnzende Einfhrung von SAP NetWeaver 2004 (aktuell SAP NetWeaver
7.4) konnten jetzt u.a. auch in JAVA programmierte Lsungen eingebunden werden. Darber hinaus
dient SAP NetWeaver zur Integration und Weiterentwicklung heterogener Systemlandschaften mit
dem Ziel, alle auch auerhalb eines SAP-Systems verarbeiteten Daten zu integrieren und so Prozesse systembergreifend zu steuern.
Die nachfolgende Abbildung der SAP vermittelt einen berblick ber die Entwicklung der
ERP-Lsungen bis hin zu SAP ERP 6.0 als Prfungsobjekt dieses neuen Leitfadens.
Seit 2009 ist SAP ERP 6.0 Teil der SAP Business Suite und wird aktuell u.a. auch mit der neuen HANADatenbanklsung der SAP als SAP HANA Live for ERP angeboten. Im Verbund mit den neuen CloudTechnologien und mobilen Applikationen ergeben sich aus Prfersicht komplexere Risikoszenarien als
noch vor einigen Jahren. Soweit mglich, haben wir diesen Entwicklungen im vorliegenden Leitfaden
Rechnung getragen, insbesondere durch das Kapitel SAP HANA aus Revisionssicht.
Aufgrund der Tatsache dass SAP die Wartung fr die Kernapplikationen der SAP Business Suite 7,
nmlich SAP ERP 6.0, SAP Customer Relationship Management (SAP CRM) 7.0, SAP Supply Chain
Management (SAP SCM) 7.0 und SAP Supplier Relationship Management (SAP SRM) 7.0, genauso
wie den Betrieb der SAP Business Suite durch SAP HANA 2013 bis Dezember 2025 verlngert hat,
werden wir uns in den nchsten Jahren sicherlich mit weiteren Prfungsherausforderungen innerhalb von SAP ERP 6.0 beschftigen.
2.
3.
4.
5.
Gibt es ein detailliertes Diagramm der SAP-Systemarchitektur, das die Verbindungen der SAP-Systeme untereinander, zu den SAP Clients und die Netzverbindung
in das Internet darstellt?
6.
Welche Instanzen sind fr den SAP-Betrieb eingerichtet? Es ist wichtig, dass jede
Instanz einer Prfung unterzogen wird.
Welche SAP-Produkte und Module sind implementiert (Bestandsverzeichnis)?
6.
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
2. PRFERROLLE, BESTANDSAUFNAHME
VON SAP-SYSTEMLANDSCHAFT, RICHTLINIEN U. ORGANISATIONSWEISUNGEN
10
NR.
1.
IT-Sicherheitsrichtlinie?
2.
2.1.
2.2.
2.3.
2.4.
3.
Ist die IT-Sicherheit von spezifischen Systemplattformen geregelt und dokumentiert, z.B. fr:
3.1.
3.2.
Netzverbindungen
3.3.
MS-Windows-Server
3.4.
UNIX-Server
3.5.
Datenbank
4.
Projektrichtlinie?
5.
6.
6.1.
Customizing?
6.2.
6.3.
6.4.
Release-Management?
6.5.
6.6.
IT-Sicherheits-Management?
6.7.
7.
Service Level Agreements zwischen den Betreibern der SAP-Systemlandschaft und den
Geschftseinheiten, die die SAP-Anwendungen fr Ihre Geschftsprozesse nutzen?
8.
3.1. ANMELDEKONTROLLEN
Die Identifikation und Authentisierung mittels Benutzerkennung und Kennwort ist ein bliches
und einfaches Verfahren. Das Verhalten des Benutzers bestimmt wesentlich die Wirksamkeit
des Verfahrens. Mgliche Schwachstellen sind z.B. einfache, leicht erratbare oder auch anderen
Benutzern bekannte Kennworte.
Ein weiteres fr den Benutzer komfortables Verfahren ist die Anmeldung mittels Single-Sign-On.
Dabei entfllt die Anmeldung mit Benutzerkennung und Passwort; die Anmeldung erfolgt ber
SAP-Anmeldetickets.
Mit zustzlichen automatisierten Regeln kann Einfluss auf die Wahl des Kennworts und auf
den Umgang mit dem Kennwort genommen werden. SAP bietet eine Reihe solcher mglichen
Regeln ber konfigurierbare Systemparameter an. Das Unternehmen muss diese gem den
eigenen Sicherheitsvorgaben anpassen.
3.2. RISIKEN
Risiken ergeben sich vor allem aus der fehlerhaften Konfiguration der Systemeinstellungen
fr die Anmeldekontrollen des SAP-Systems:
Die Systemparameter fr die Anmeldekontrollen sind nicht entsprechend dem IT-Sicher heitskonzept des Unternehmens ausgeprgt. Sie sind unzureichend oder widersprchlich
gesetzt, sodass die beabsichtigte Wirkung verfehlt wird.
Sicherheitsmechanismen, die SAP zur Untersttzung der Benutzerverwaltung bereitstellt,
sind nicht angemessen umgesetzt, z.B.Vorgabe des Gltigkeitszeitraums, Nutzung von
Sperrkennzeichen oder von besonderen Benutzertypen und die Zuordnung zu Benutzer gruppen.
Die Sonderbenutzer, fr die SAP im Auslieferungsstand der Software bekannte Standard kennworte vorgesehen hat, sind bei der Implementierung nicht sicher konfiguriert worden.
Sicherheitsereignisse, die ein Unterlaufen der gesetzten Anmeldekontrollen bedeuten,
werden nicht erkannt und verfolgt.
3.3. KONTROLLZIELE
Die Systemparameter fr die Anmeldekontrollen sind so gesetzt, dass sie in der Verbundwirkung einen angemessenen Zugriffsschutz gewhrleisten. Die gewnschte Kennwortqualitt wird durch automatisierte Vorgaben sichergestellt. Ein Schutz vor Angriffen auf
Kennworte wird konfiguriert. Mehrfachanmeldungen werden verhindert.
Gltigkeitszeitrume fr Benutzerkennungen sind definiert.
Die Sonderbenutzer sind sicher konfiguriert.
Sicherheitsmechanismen fr die Verwaltung von Benutzergruppen und fr besondere
Benutzertypen sind aktiviert.
Die Wirksamkeit der Anmeldekontrollen wird berwacht.
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
11
12
1.
1.1.
H
1.2.
H
1.3.
H
Die Anzahl Zeichen ist geregelt, in denen sich ein neues Kennwort vom alten
unterscheiden muss, login/ min_password_diff.
Vorschlagswert: 3, d.h. mindestens die Hlfte der vorgeschriebenen Passwortlnge.
SOS: Number of Characters in Which Passwords Have to Differ is Too Low (0128)
1.4.
H
1.5.
NR.
2.
2.1.
H
Die Gltigkeitsdauer eines initialen Kennworts ist geregelt, login/ password_max_ idle_initial.
Dieser Parameter zieht nicht fr die Benutzer vom Typ Service oder System.
Vorschlagswert: Die Gltigkeitsdauer berschreitet nicht drei Arbeitstage.
Hinweis: Dieser Systemparameter ersetzt die Profilparameter login/ password_max_new_valid und login/ password_max_reset_valid aus dem SAP Web Anwendungsserver 6.20 und 6.40.
SOS: Users with Initial Passwords Who Have Never Logged On (0009)
2.2.
H
2.3.
Die Gltigkeitsdauer eines nicht benutzten Kennworts ist geregelt, login/ password_max_
idle_ productive. Dieser Parameter zieht nicht fr die Benutzer vom Typ Service oder
System.
Hinweis: Dieser Parameter gibt die maximale Frist an, in der ein produktives vom Benutzer gewhltes Kennwort gltig bleibt, wenn es nicht benutzt wird. Nachdem diese Frist
abgelaufen ist, kann das Kennwort nicht mehr zur Authentifizierung verwendet werden.
Der Benutzeradministrator kann die Kennwortanmeldung durch Zuweisen eines neuen
Initialkennworts wieder aktivieren.Vorschlagswert: Gltigkeitsdauer eines nicht benutzten
Kennworts hher setzen als die Dauer fr den erzwungenen Wechsel des Kennworts (max.
180 Tage).
SOS: Users with Reset Passwords Who Have Never Logged On (0140)
SOS: Users Who Have Not Logged On for an Extended Period of Time (0010)
2.4.
3.
3.1.
Die maximale Anzahl der Falschanmeldungen bis zum Abbrechen des Anmeldevorgangs
ist definiert, login/ fails_to_session_end.
Vorschlagswert: 3 als maximale Anzahl Passwortfehlversuche bis zum Abbruch des
Vorgangs.
3.2.
H
Die maximale Anzahl der Falschanmeldungen bis zur Sperre der Benutzerkennung ist
bestimmt, login/ fails_to_user_lock.
Vorschlagswert: 5 als maximale Anzahl Passwortfehlversuche bis Sperre des Benutzers.
SOS: Too Many Incorrect Logon Attempts Allowed Before a User is Locked (0133)
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
13
14
NR.
1.5.
4.
4.1.
5.
Kontrollziel: Die unbefugte Nutzung einer offenen SAP-Sitzung durch einen anderen als
den angemeldeten Benutzer wird erschwert.
Risiko: Ein Kollege nutzt die Abwesenheit des Benutzers, um an dessen Frontend einer
geffneten SAP-Sitzung nicht autorisierte Transaktionen durchzufhren.
5.1.
5.2.
PARAMETER
SAPMGLICHE
WERTE
SAPVOREINSTELLUNG
VORSCHLAGSWERT
1.
H
login/ min_password_lng
6-40
6
(statt 3)
6 (Kennwortmindestlnge)
2.
login/ password_charset
0,1,2
1 (abwrtskompatibel)
3.
H
login/ min_password_letters
0-40
4.
H
login/ min_password_digits
0-40
5.
H
login/ min_password_specials
0-40
6.
login/ min_password_lowercase
0-40
optional
7.
login/ min_password_uppercase
0-40
optional
8.
H
login/ min_password_diff
1-40
9.
H
login/ password_history_size
1-100
10.
H
login/ password_max_idle_
initial
0-24.000
(Tage)
Gltigkeitsdauer fr ein
initiales Kennwort berschreitet nicht 3 Arbeitstage.
11.
H
login/ password_expiration_time
0-999
(Tage)
12.
login/ password_max_idle_
productive
0-24.000
(Tage)
13.
login/ password_change_
waittime
1-1000
(Tage)
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
15
16
NR.
PARAMETER
14.
VORSCHLAGSWERT
SAPMGLICHE
WERTE
SAPVOREINSTELLUNG
login/ fails_to_session_end
1-99
3 (maximale Anzahl
Passwortfehlversuche bis
Abbruch des Vorgangs)
15.
H
login/ fails_to_user_lock
1-99
5
(statt 12)
5 (maximale Anzahl
Passwortfehlversuche bis
Sperre des Benutzers)
16
login/ failed_user_auto_unlock
0 oder 1
0
(statt 1)
17.
login/ disable_multi_gui_login
1 (mehrfache Anmeldung
nicht mglich)
18.
login/ multi_login_users
19.
login/ password_compliance_
to_current_policy
Zweck: Wenn ein bereits
vergebenes Kennwort nicht
mehr den inzwischen genderten Kennwortbildungsregeln entspricht, erzwingt das
System eine nderung des
Kennworts bei der Anmeldung.
0 oder 1
20.
login/ password_downwards_
compatibility
Zweck: Dieser Parameter
spezifiziert den Grad der
Abwrtskompatibilitt z.B.
der untersttzten Passwortlngen zu frheren SAP
Releases. Details sind der
technischen Dokumentation
zu entnehmen.
Siehe SAP
Dokumentation
Optional
Optional
NR.
PARAMETER
21.
Tabelle USR40
Beispieleintragungen:
123456, qwertz, (oder andere
Zeichenfolge auf der Tastatur) oder generisch
*Montag*, *Januar*, *Sommer*, *Passwort*, *Firmennamen*
22.
rdisp/ gui_auto_logout
Definiert die maximale Zeit in
Sekunden bei ausbleibender
Ttigkeit des angemeldeten
Benutzers bis zur automatischen Abmeldung. Dies gilt
nur fr SAP-GUI-Verbindungen.
Wenn der Parameter auf den
Standardwert 0 gesetzt ist,
erfolgt keine automatische
Abschaltung.
Jeder
numerische Wert
23.
login/password_logon_usergroup
Eine
Benutzergruppe
24.
login/ticket_expiration_time
StundenMinuten
SAPMGLICHE
WERTE
SAPVOREINSTELLUNG
VORSCHLAGSWERT
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
17
18
1.
1.1.
Welche Benutzer haben sich noch nie angemeldet? Wie lange ist der Benutzer mit Initialkennwort schon angelegt?
AIS: System Audit Benutzer und Berechtigungen Infosystem Benutzerbersicht
Auswertung nach unbenutzt im Feld Letzte Anmeldung
oder Tabelle USR02, Feld letztes Login-Datum mit = LEER auswhlen.
Das entspricht dem Feld TRDAT in der angezeigten Liste.
Alternativ kann die Transaktion SUIM oder SA38 mit dem Report RSUSR200
verwendet werden.
Benutzer mit Initialkennwort mssen nach Ablauf einer Frist von wenigen Arbeitstagen
automatisch gesperrt werden. Dies muss ber den Login-Parameter login/ password_
max_ idle_initial erzwungen sein.
SOS: Users with Initial Passwords Who Have Never Logged On (0009)
SOS: Users with Reset Passwords Who Have Never Logged On (0140)
1.2.
Welche Benutzer haben seit lngerer Zeit ihr Passwort nicht gendert?
AIS: System Audit Benutzer und Berechtigungen Infosystem Benutzerbersicht
Seit 180 Tagen Kennwort nicht gendert, ggf. Voreinstellung im Feld Tage seit
Kennwortnderung berschreiben.
Oder Transaktion SUIM oder SA38 mit dem Report RSUSR200. Benutzer mssen
regelmig ihr Kennwort ndern. Dies muss ber den Login-Parameter login/ password_
expiration_time erzwungen sein.
SOS: Users Who Have Not Logged On for an Extended Period of Time (0010)
2.
Kontrollziel: Alle Benutzer sind mit einem Gltigkeitszeitraum versehen, der dem
Zeitraum des notwendigen Zugriffs auf das SAP-System entspricht.
Risiko: Nicht mehr bentigte Benutzerkennungen werden nicht rechtzeitig erkannt und
gesperrt. Sie sind anderen Benutzern bekannt, die unter dieser fremden Benutzerkennung auf das SAP-System zugreifen knnen, wenn ihnen das Kennwort auf welche Weise
auch immer bekannt geworden ist.
2.1.
Fr welche Benutzer ist kein Gltigkeitszeitraum oder ein zu weit gefasster Gltigkeitszeitraum eingetragen?
AIS: System Audit Benutzer und Berechtigungen Infosystem Benutzerbersicht
Benutzer nach Anmeldedatum, Auswertung nach Feld Gltig-Bis.
Oder Transaktion SUIM oder SA38 mit dem Report RSUSR002.
Oder ber die Tabelle USR02 ermitteln, dabei keine Auswahl vornehmen, das Ergebnis
nach dem Feld GLTB, Gltig Bis, auswerten.
Abgleich mit Informationen zu den Mitarbeitern, die die Personalabteilung bereitstellt.
Ist z.B. fr Mitarbeiter, die Auszubildende, temporre oder externe Mitarbeiter sind, ein
solches Gltig-Bis-Datum eingetragen, das dem befristeten Arbeitsverhltnis entspricht?
NR.
3.
Kontrollziel: Besondere Zeitrume von Aktivitt oder Inaktivitt werden durch flexible
Handhabung und unternehmensindividuelle Kennzeichnung der Sperrung einer Benutzerkennung kontrolliert.
Risiko: Nicht aktive Benutzerkennungen sind anderen Benutzern bekannt. Diese greifen
unter dieser fremden Benutzerkennung auf das SAP-System zu, wenn sie das Kennwort
ausprobiert oder ausgekundschaftet haben.
3.1.
4.
4.1.
Welche Benutzer haben sich ber einen lngeren Zeitraum nicht mehr angemeldet?
AIS: System Audit Benutzer und Berechtigungen Infosystem Benutzerbersicht
Benutzer nach Anmeldedatum oder Seit 30 Tagen nicht angemeldet,
Auswertung nach dem Feld Letzte Anmeldung.
Oder Transaktion SUIM oder SA38 mit dem Report RSUSR200.
Oder ber die Tabelle USR02 ermitteln, dabei keine Auswahl vornehmen, das Ergebnis
nach dem Feld TRDAT, letztes Login-Datum, auswerten.
Abgleich mit Informationen zu den Mitarbeitern, die die Personalabteilung bereitstellt.
Benutzerkennungen ausgeschiedener Mitarbeiter sind zu lschen.
SOS: Users Who Have Not Logged On for an Extended Period of Time (0010)
4.2.
4.3.
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
19
20
NR.
5.
5.1.
Welche Benutzerkennungen sind nicht aufgrund des Namens eines Benutzers gebildet
oder folgen nicht der festgelegten Namenskonvention fr Benutzerkennungen?
AIS: System Audit Benutzer und Berechtigungen Infosystem Benutzerbersicht
Benutzer nach Anmeldedatum, Auswertung nach dem Feld Benutzer.
Oder Transaktion SUIM.
Oder ber die Tabelle USR02 ermitteln, dabei keine Auswahl vornehmen, das Ergebnis
nach dem Feld BNAME, Benutzername, auswerten.
Manuelles Durchsuchen der Liste auf Bezeichnungen wie AZUBI, WERK-STUDENT,
LAGER, TEST, TESTUSER, TST.
Benutzerkennungen, die nicht der Namenskonvention folgen, knnen z.B. nicht
autorisierte Sammelbenutzerkennungen sein.
000/001
Benutzer
SAP*
Initiales
Kennwort
Master-Kennwort
wird whrend
der Installation
gesetzt.
Kennwort im
frheren
Release
06071992
Mandant
000/001/alle
neuen Mandanten
Benutzer
SAPCPIC
Initiales
Kennwort
ADMIN
000/001
066
DDIC
EarlyWatch
SAP*
pass
19920706
000
TMSADM
Master-Kennwort wird whrend der Installation gesetzt.
NEUER MANDANT
NR.
1.
H
1.1.
1.2.
1.3.
Ist der Benutzer SAP* in allen Mandanten ohne Berechtigungen angelegt und gesperrt?
AIS: System Audit Benutzer und Berechtigungen Infosystem Benutzer Benutzer
nach komplexen Selektionskriterien, Selektion nach Benutzer SAP*, nach Anzeige des
Ergebnisses im Auswahlmen Rollen oder Profile anklicken.
Oder Transaktion SUIM oder SA38 mit dem Report RSUSR002.
SOS: Not All Profiles Are Removed from User SAP* (0042)
SOS: User SAP* is Neither Locked nor Expired (0043)
1.4.
Sind die Benutzer SAP* und DDIC in allen Mandanten der Benutzergruppe SUPER
zugeordnet?
AIS: System Audit Benutzer und Berechtigungen Infosystem Benutzer Benutzer
nach komplexen Selektionskriterien, Selektion nach Benutzern SAP*, DDIC.
Oder Transaktion SUIM oder SA38 mit dem Report RSUSR002.
SOS: User SAP* is Not Assigned to the Group SUPER (0044)
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
21
22
NR.
1.5.
1.6.
2.
2.1.
2.2.
2.3.
NR.
2.4.
3.
Kontrollziel: Sichere Nutzung des Konzeptes der Benutzer vom Typ Service
Risiko: Benutzerkennungen vom Typ Referenz haben Berechtigungen, die die Prinzipien
der Berechtigungsvergabe verletzen (Forderung nach geringstem Berechtigungsumfang; Einhaltung der Funktionstrennung).
3.1.
3.2.
4.
4.1.
4.2.
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
23
24
NR.
4.3.
4.4.
1.
Kontrollziel: Die Zugriffe auf das SAP-System werden regelmig berwacht. Es ist
definiert, was auffllige Ereignisse sind. Sicherheitsverste werden bei Verdacht auf
Missbrauch untersucht.
Risiko: Sicherheitsereignisse, die aufgrund fehlender oder falsch eingestellter sicherheitsrelevanter Parameter auftreten, werden nicht erkannt. Ein Sicherheitsversto oder
Missbrauch eines Benutzers wird nicht zeitnah erkannt. Bei dem Verdacht auf Missbrauch
kann im Nachhinein nicht mehr auf automatisch erfolgte Systemaufzeichnungen zurckgegriffen werden, die zur Aufklrung des Vorgangs oder zur Verfolgung der Tter dienen
knnen.
Kontrollfragen zum Prozess:
Ist dokumentiert, dass das SAP Security Audit Log aktiviert werden muss und welche
Mindesteinstellungen dabei vorgenommen werden mssen?
Ist definiert, wer fr die Einrichtung und nderung der Einstellungen des SAP Security
Audit Logs und das Lschen der Protokolldateien zustndig ist?
Gibt es einen definierten Prozess fr die Auswertung und berwachung der
Ereignisse, die ber das SAP Security Audit Log aufgezeichnet werden?
Gibt es eine Vorgabe, wie lange die Protokolldateien im System vorgehalten werden
mssen, z.B. um nachtrglich noch Recherchen zu Sicherheitsereignissen durchfhren zu knnen, die erst spter und auf anderem Wege bekannt geworden sind?
1.1.
Ist das SAP Security Audit Log aktiviert? Welche Benutzer, welche Audit-Klassen,
welche Ereignisse werden protokolliert?
AIS: System Audit Systemprotokolle und Statusanzeigen Security Audit Log
oder Transaktion SM19
SOS: Security Critical Events for End Users Are Not Logged in the Security Audit Log
(0136)
Empfehlung 1:
Kritische Ereignisse bei den folgenden Audit-Klassen
Dialog-Anmeldung
RFC-/CPIC-Anmeldung
RFC-Funktionsaufruf
werden fr alle Benutzer in allen Mandanten protokolliert.
Empfehlung 2:
Alle Ereignisse aller Audit-Klassen werden fr alle Notfallbenutzer protokolliert.
Empfehlung 3:
Alle Ereignisse aller Audit-Klassen werden fr alle Dialogbenutzer in der Benutzergruppe SUPER protokolliert.
1.2.
Wer darf das SAP Security Audit Log aktivieren und die Einstellungen dazu ndern?
Report RSUSR002 mit den Eingaben:
S_TCODE = SM19
S_ADMI_FCD (Systemberechtigung) mit Funktion AUDA (Audit Administration)
S_C_FUNCT (direkter Aufruf von C-Kernel-Funktionen aus ABAP) mit Aktivitt 16
Ausfhren und Programmname SAPLSECU und C-Routine AUDIT_SET_INFO.
Diese Berechtigung ist im Produktivsystem nur fr Systemadministratoren zulssig.
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
25
26
NR.
1.3.
Wer darf die Protokolldateien des SAP Security Audit Log auswerten?
S_TCODE = SM20
S_ADMI_FCD (Systemberechtigung) mit Funktion AUDD (Audit Anzeige)
Diese Berechtigung ist im Produktivsystem nur Systemadministratoren und fr die Mitarbeitern zulssig, die fr die Aufgabe der berwachung und Auswertung der Ereignisse
zustndig sind.
1.4.
Wer darf die Protokolldateien des SAP Security Audit Log lschen?
Report RSUSR002 mit den Eingaben:
S_TCODE = SM18 oder SA38 oder SE38 (Report RSAUPURG)
S_ADMI_FCD (Systemberechtigung) mit Funktion AUDA (Audit Administration) und ST0R
(Auswerten von Traces)
S_DATASET (Berechtigung zum Dateizugriff) mit Aktivitt 34 und Programmname
SAPLSTUW und Dateiname (Pfad gem der Angabe zu dem Profilparameter DIR_AUDIT, in dem die Protokolldateien gespeichert sind).
Diese Berechtigung ist im Produktivsystem nur fr Systemadministratoren zulssig.
2.
2.1.
2.2.
Welche Benutzerkennungen, die seit langem inaktiv sind, haben eine Sperre wegen
Falschanmeldung?
AIS: System Audit Benutzer und Berechtigungen Infosystem Benutzerbersicht
Benutzer nach Anmeldedatum, Selektion auf Benutzer mit Falschanmeldungen.
Oder Transaktion SUIM oder SA38 mit dem Report RSUSR200.
2.3.
NR.
2.4.
3.
3.1.
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
27
28
4. AUTORISIERUNG (ABAP-STACK)
4.1. BERECHTIGUNGSVERGABE
Der Zugriff eines Benutzers auf die Funktionen und Daten des SAP-Systems wird ber
Berechtigungen freigeschaltet. Dabei gelten nachfolgende Vergabegrundstze:
Grundstzlich sollen die Berechtigungen eines Benutzers nur diejenigen Sichten und
Funktionen fr die Daten freigeben, die er zur Erfllung der Ttigkeiten an seinem
Arbeitsplatz bentigt. Dies wird als das Prinzip des geringsten Berechtigungsumfangs,
im englischen Sprachgebrauch als least privilege bezeichnet,
sensitive Funktionen (Sensitive Access SA) drfen nur an einzelne, wenige Personen mit
angemessener Erfahrung vergeben werden. Sensitive Funktionen beziehen sich dabei auf
Funktionen, die notwendig, aber sensitiv sind (z.B. ffnen und Schlieen von Buchungsperioden im SAP System),
neben der restriktiven Vergabe ist bei der Berechtigungsvergabe darauf zu achten, dass
angemessene Anforderungen an die Funktionstrennung eingehalten werden. Eine Funktionstrennungsregel besteht dabei jeweils aus mindestens zwei Funktionen in Kombination, die
nicht zusammen vergeben werden drfen. Dieses Prinzip der Funktionstrennung hilft, Fehler
und Missbrauch zu verhindern. Im englischen Sprachgebrauch wird es principle of segregation
of duties, kurz SoD, genannt.
Fr die Unternehmen leiten sich die Vergabegrundstze aus den Anforderungen an ein internes
Kontrollsystem ab. Unternehmen mssen ein internes Kontrollsystem einrichten, warten, berwachen und kontinuierlich optimieren.
immer alle technischen Berechtigungen, die zur Ausfhrung der in der Rolle enthaltenen Aufgaben bentigt werden. Als Beispiel: Rolle Beleg buchen fr Buchungskreis 1. Die entspricht
der Ableitungsfunktion des SAP-Profilgenerators.
Trenn-Rollen-Modelle: in diesen Modellen werden fr die ablauforganisatorische Dimension
einerseits und die aufbauorganisatorische Dimension andererseits eigenstndig getrennte
Rollen eingerichtet. Somit bentigt ein Benutzer fr eine Aufgabe immer zwei Rollen, eine
fr den prozessualen Teil (Prozessrolle) und eine fr den organisatorisch/funktionalen Teil
(Differenzierungsrolle). Als Beispiel: Prozessrolle Beleg buchen und Differenzierungsrolle
Buchungskreis 1.
4.3. RISIKEN
Die Risiken liegen in der mangelhaften Umsetzung des geforderten internen Kontrollsystems, das
unternehmensindividuell und risikoorientiert ber die Vergabe von Berechtigungen zu realisieren
ist. Beispiele fr Risiken sind:
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
29
30
4.4. KONTROLLZIELE
Die Kontrollziele beziehen sich in der Regel auf die effektive und effiziente Gestaltung der
Prozesse der Benutzer- und Berechtigungsverwaltung:
Ein dokumentiertes Berechtigungskonzept liegt vor, das die gesetzlichen und unternehmens internen Anforderungen erfllt.
Die Organisation der Benutzer- und Berechtigungsverwaltung ist auch im SAP-System durch
angemessene Autorisierung der dafr vorgesehenen Mitarbeiter gewhrleistet. Insbesondere
wird die Funktionstrennung im Rahmen der Benutzer- und Berechtigungsverwaltung berck sichtigt.
Universelle SAP-Standardprofile, die nur fr die Implementierung und den Release-Wechsel
bereitgestellt sind, sind nicht vergeben oder durch unternehmensspezifische Berechtigungen
angepasst oder abgelst.
Sensitive/kritische Berechtigungen sind identifiziert und die Restriktionen dokumentiert, unter
denen sie zu vergeben sind. Sicherheitskritische Funktionen werden nur restriktiv und
kontrolliert vergeben.
Das in Einzelfllen notwendige Aufheben der von SAP vorgesehenen Sicherheitseinstellungen
ist autorisiert und dokumentiert (z.B. Konzept fr Notfallbenutzer).
Prozesse zur Ausprgung von Berechtigungsgruppen und zur Prfung von Berechtigungen
in Eigenentwicklungen sind definiert und wirksam.
Die Benutzer- und Berechtigungsverwaltung wird regelmig berwacht und die Prozesse
dazu geprft und optimiert.
1.
Allgemeine Dokumentationsstandards
1.1.
Ist einem sachkundigen Dritten ein angemessener Einstieg in die Dokumentation des
Benutzer- und Berechtigungskonzeptes mglich, indem in der Einleitung die Schilderung des Inhalts und Gegenstands des Dokumentes dargelegt wird?
Prfung der Einleitung darauf hin, ob Struktur und Inhalt der Dokumentation
nachvollziehbar sind.
1.2.
NR.
1.3.
Sind die Adressaten des Dokumentes ausreichend benannt? Dies sollten zumindest die
aus Compliance-Gesichtspunkten relevanten Beteiligten sein.
Prfung des Dokumentes nach einer Erluterung der Adressaten und der mit dem Benutzer- und Berechtigungskonzept direkt oder indirekt befassten Personen. Beurteilung, ob
die genannten Personenkreise mit den aus Compliance-Grnden blicherweise mit dem
Benutzer- und Berechtigungskonzept befassten Personen korrespondieren.
1.4.
Ist die thematische und zeitliche Gltigkeit des Dokumentes definiert? Diese bezieht
sich insbesondere auf die vom Dokument betroffenen Systeme/Mandanten sowie
Module/Prozesse.
Prfung des Dokumentes nach einer Identifizierung des Geltungsbereichs der
Dokumentation.
1.5.
1.6.
Ist im Dokument festgelegt, wer fr die Pflege des Dokumentes verantwortlich ist,
wer das Dokument originr abgenommen hat und wie nderungen am Dokument zu
genehmigen sind? Sind die am Dokument vorgenommenen nderungen sowie deren
Abnahme in einer Dokumentenhistorie festgehalten?
Prfung des Dokumentes auf die Benennung von Dokumentenverantwortlichen und ob
diese tatschlich mit den aktuellen Verantwortlichen bereinstimmen.
1.7.
Ist die aktuelle Version des Dokumentes durch das zustndige Gremium abgenommen? Ist die aktuelle Version an angemessener Stelle publiziert?
Prfung, ob Abnahme fr Dokument vorliegt und ob das Dokument entsprechend publiziert
ist.
2.1.
2.2.
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
31
32
NR.
2.3.
2.4.
2.5.
2.6.
Ist neben der Konvention fr die technischen Namen ebenfalls eine Minimalkonvention
fr die Beschreibung und den Langtext von Rollen vorhanden?
Prfung, ob ebenfalls eine Namenskonvention fr den Text und die Beschreibung von Rollen
vorhanden ist.
d) Ausnahmeregelungen
2.7.
NR.
2.8.
2.9.
Ist jede Rolle (wenn mglich ber die Zuordnung zu einem Prozessbereich und einer
Organisationseinheit) eindeutig einem Datenverantwortlichen zugeordnet? Dieser ist
fr Einrichtung und nderung der Rollen sowie fr die Genehmigung der Vergabe der
Rollen verantwortlich.
Prfung, ob eine eindeutige Zuordnung jeder Rolle zu einem Datenverantwortlichen mglich
ist.
2.10.
Ist jede Rolle (wenn mglich ber die Zuordnung zu einem Prozessbereich und einer
Organisationseinheit) eindeutig einem Keyuser zugeordnet? Dieser untersttzt fachlich
den IT-Bereich und den Datenverantwortlichen in Fragen der Pflege und Vergabe von
Rollen.
Prfung, ob eine eindeutige Zuordnung jeder Rolle zu einem Keyuser mglich ist.
3.1.
Ist eine angemessene Organisationsstruktur vorhanden, die Planstellen, Personalbereiche und Personal eines Unternehmens hierarchisch miteinander verbindet.
Aufnahme der fr das Unternehmen verfgbaren Informationen zur Organisationsstruktur (im Idealfall stammt diese aus dem Organisationsmanagement des SAP).
Beurteilung, ob die Unterlagen eine eindeutige Zuordnung von Vorgesetzten zu
Personalbereichen ermglichen.
3.2.
Sind eindeutige Zusammenhnge zwischen den Personalbereichen und den Prozessbereichen hergestellt? Hierdurch kann die Angemessenheit von Rollen fr Benutzer
beurteilt werden.
Prfung, ob eine Zuordnung von Prozessbereichen und Personalbereichen vorgenommen
wurde. Sofern nicht Prfung, ob die vorhandenen Strukturen fr Prozessbereiche und Personalbereiche geeignet sind, um einen solchen Zusammenhang herzustellen.
b) Benutzertypen
3.3.
Liegt eine strukturierte und vollstndige Definition aller in den SAP-Systemen eines
Unternehmens relevanten Benutzertypen vor?
Prfung, ob alle typischerweise vorkommenden Benutzertypen vollstndig und zutreffend
definiert sind (Dialogbenutzer, Systembenutzer etc.).
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
33
34
NR.
3.4.
3.5.
Verfgt jeder Benutzer ber eine eindeutige Benutzer-ID? Eine Person sollte soweit
mglich dieselbe Benutzer-ID in allen Systemen haben.
Prfung, ob geeignete Konventionen fr die Benutzer-ID von Personen dokumentiert sind.
Benutzer-IDs zu Benutzern knnen ber den Report RSUSR002 eingesehen werden.
3.6.
Sind angemessene Mindestinformationen fr die Pflege des Benutzerstamms festgelegt? Wird systemseitig die Eingabe der Mindestinformationen erzwungen? Mindestinformationen stellen der Personalbereich zur Ableitung des Vorgesetzten sowie
die Benutzergruppe dar. Sind neben den Mindestinformationen auch Festlegungen zu
optionalen Informationen getroffen?
Prfung, ob eine angemessene Vorgabe fr Mindestbenutzerinformationen dokumentiert ist.
Mindestinformationen zu Benutzern knnen ber den Report RSUSR002 eingesehen werden.
d) Verantwortlichkeiten
3.7.
3.8.
3.9.
Sind geeignete Regelungen fr Notfallbenutzer und ihre Berechtigungen (Passwortschutz, Freigabeverfahren, Protokollierung, Nachkontrolle) getroffen?
Prfung, ob die notwendigen Regelungen fr die Berechtigungen, den Schutz, ein Verfahren
zur Freigabe, die Protokollierung der Aktivitten sowie fr die Nachkontrolle der Aktivitten
eines Notfallbenutzers getroffen worden sind (weiterfhrende Prfungshinweise siehe Kapitel 4.7 Prfprogramm: Notfallbenutzerkonzept (ABAP-Stack)).
NR.
3.10.
3.11.
4.1.
Sind die Prozesse des Unternehmens nach den ihnen innewohnenden Risiken in Bezug
auf den Jahresabschluss, aber auch ggf. auf operative Risiken bewertet? Hierzu kann
auf bereits etablierte Verfahren des Risikomanagements zurckgegriffen werden. Soweit
in Prozessbereichen Risiken fr den Jahresabschluss identifiziert wurden, sollte beurteilt sein, ob Funktionstrennungen und die Handhabung sensitiver Funktionen zur Minderung der Risiken im Rahmen des internen Kontrollsystems genutzt werden mssen.
Ist dies der Fall, sind Prozesse zur berwachung von sensitiven Funktionen und
Funktionstrennungen im Unternehmen fr die betrachteten Systeme und Prozesse zu
etablieren.
Prfung, ob Prozesse und Konventionen fr die berwachung sensitiver Funktionen und
Funktionstrennungen etabliert sind.
b) Sensitive Funktionen
4.2.
Sind Funktionen, die einen erkennbaren Einfluss auf die Integritt der Jahresabschlussinformationen (insbesondere auf deren Vollstndigkeit und Richtigkeit) haben und in den
SAP-Systemen gepflegt werden, im Rahmen eines Regelwerks fr Sensitive Funktionen
erfasst? Ist innerhalb des Regelwerkes zustzlich definiert, welche Berechtigungen
(Transaktionscodes und Berechtigungsobjekte) im betrachteten System zur Ausfhrung
der Funktion erforderlich sind?
Prfung, ob fr die als risikorelevant eingestuften Prozessbereiche Regeln fr sensitive
Funktionen definiert sind.
Prfung, ob die in den Prozessbereichen definierten Regeln vollstndig alle relevanten
Funktionen abdecken.
Prfung, ob pro Funktion die dafr bentigten Berechtigungen aufgefhrt sind.
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
35
36
NR.
4.3.
Ist in Abhngigkeit des Einflusses der sensitiven Funktionen auf die Datenintegritt
(Risiko der Funktionen) eine Risikoeinstufung der Funktionen erfolgt?
Prfung, ob fr die definierten sensitiven Funktionen eine Beurteilung des hiermit verbundenen Risikos vorliegt. Sinnvoll ist hierbei zumindest eine Einteilung in kritische Funktionen, die im jeweils beurteilten System aufgrund Ihres Risikos fr die Integritt von Daten
oder System berhaupt nicht vergeben werden sollten und restriktive Funktionen, die zwar
grundstzlich vergeben werden knnen, jedoch lediglich an einen mehr oder weniger eingeschrnkten Personenkreis. Hier kann zur Verfeinerung eine Differenzierung in hoch, mittel
und gering erfolgen.
c) Funktionstrennung
4.4.
4.5.
4.6.
Sind geeignete kompensierende Kontrollen etabliert, soweit aufgrund geringer Kapazitten, Urlaubsregelungen oder hnlichem eine Funktionstrennung oder restriktive
Handhabung sensitiver Funktionen nicht mglich ist? Diese mssen geeignet gestaltet
sein, um Risiken von Funktionen zu kompensieren. Sind fr die kompensierenden Kontrollen definiert, fr welche sensitiven Funktionen und in welchem Umfang diese eine
kompensierende Wirkung entfalten?
Prfung, ob das Unternehmen ein Standardvorgehen fr die Behandlung von Funktionstrennungskonflikten festgelegt hat und ob in Ausnahmefllen Funktionstrennungsverletzungen
als zulssig gelten, wenn diese kompensiert werden.
Prfung, ob in diesem Fall geeignete Vorgaben existieren, wie kompensierende Kontrollen zu
definieren und anzuwenden sind.
Prfung, ob Kataloge von Kontrollen als Vorschlagswerte fr die Prozessbereiche vorhanden
sind, in denen diese als Lsung fr Risiken aus Regelverletzungen akzeptiert werden.
4.7.
NR.
4.8.
Kann jede Regel und Kontrolle ber die Zuordnung zu einem Prozessbereich eindeutig
einem Datenverantwortlichen zugeordnet werden? Dieser ist fr Einrichtung und
nderung der Regeln und Kontrollen sowie fr die Auswertung der Regelauswertungen
und die Ableitung von Manahmen verantwortlich.
Prfung, ob eine eindeutige Zuordnung jeder Regel und Kontrolle zu einem
Datenverantwortlichen mglich ist.
5.1.
5.2.
Werden nderungen an Berechtigungen mittels eines Standardformulars vom zustndigen Datenverantwortlichen genehmigt? Der Datenverantwortliche ist hierbei fr die
Beurteilung der Notwendigkeit verantwortlich. Wird, sofern ein Rollenantrag nderungen enthlt, die nicht mit dem Prozessbereich oder der Organisationseinheit einer Rolle
korrespondieren, die Genehmigung des Dateneigners dieses rollenfremden Datenbereichs eingeholt?
Durchsicht der Dokumente, ob die Funktion eines Datenverantwortlichen benannt und fr
alle vorhandenen Prozessbereiche eindeutige Datenverantwortliche identifiziert sind.
Die Einhaltung des Verfahrens kann per Aufruf Report RSSCD100_PFCG geprft werden,
indem in Stichproben nderungsbelege von Rollen auf Vorhandensein entsprechender Freigaben durch den Datenverantwortlichen geprft werden.
5.3.
Werden nderungen im Entwicklungssystem von den zustndigen Berechtigungsadministratoren implementiert? Wird dabei ein Standardtransportverfahren genutzt? Ist
eine eindeutige Zuordnung zwischen Transport und Antrag durch eine gegenseitige
Referenzierung mglich?
Werden nderungen vor dem Transport in das Produktivsystem im Testsystem von
qualifizierten Keyusern der antragstellenden Fachabteilung getestet?
Erfolgt eine Freigabe der Transportauftrge zum Transport in das Produktivsystem
durch die verantwortlichen Transportadministratoren? Erfolgt vor der Freigabe durch die
Administratoren die Prfung, ob alle erforderlichen Dokumentationen, Freigaben und
Tests vorhanden sind?
Durchsicht Dokumente, ob das Verfahren die o.g. Punkte bercksichtigt.
Die Umsetzung des Verfahrens im SAP-System kann anhand des Tabelle E070
nachvollzogen werden.
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
37
38
NR.
5.4.
Ist das Verfahren fr Benutzernderungen (User Lifecycle Management) angemessen dokumentiert, in Kraft gesetzt und publiziert worden? Ist fr die Beantragung von
nderungen an Benutzern und der Zuordnung und Entziehung von Berechtigungen ein
Standardformular oder ein geeignetes Verfahren (Papier, Excel-Liste oder E-Mail) mit
Minimalinformationen definiert worden?
Prfung, ob im Rahmen der Dokumentationen von Benutzernderungen ein geeignetes
Antragsformular mit vorgegebenen Minimalinformationen definiert ist.
5.5.
Schliet das Verfahren fr Benutzernderungen eine Genehmigung durch den Personalverantwortlichen (disziplinarischen Vorgesetzten) bzw. durch den Benutzerverantwortlichen (bei nicht personalisierten Benutzern) ein? Die Genehmigung schliet die
Beurteilung ein, dass der Mitarbeiter die Berechtigungen bentigt und fr deren Anwendung qualifiziert ist. Werden fr einen Benutzer Berechtigungen beantragt, fr die nicht
der disziplinarische Vorgesetzte der Dateneigner ist, sollte das Beantragungsverfahren
die Einbindung des zustndigen Datenverantwortlichen sicherstellen.
Prfung, ob das Verfahren eine Genehmigung durch einen Personal- bzw. einen Benutzerverantwortlichen vorsieht und im SAP-System eingehalten wurde.
Die Einhaltung des Verfahrens kann per Aufruf Report RSUSR100 geprft werden (von
Datum und bis Datum Entsprechendes bei Auswertungszeitraum eingeben, Selektion
Angelegte Benutzer unter Selektionskriterien zu genderten Rechten, Auswahl von
Benutzern als Stichprobe, Einsichtnahme in die Dokumentationen und Freigaben zu den
angelegten Benutzern bzw. vergebenen Berechtigungen).
5.6.
Sind fr die Sperrung, das Ungltigsetzen und die Lschung von Benutzern spezifische
Regelungen getroffen worden? Muss der Vorgesetzte diesen Vorgngen immer zustimmen? Dies kann bei Sperrungen jedoch auch nachgelagert erfolgen, wenn die Sperrung
durch automatisierte Verfahren z.B. aufgrund von Triggern aus dem HR-System oder
aufgrund von Automatismen bei Fehlanmeldungen resultiert.
Prfung, ob die speziellen Anforderungen an die Sperrung und Lschung von Benutzern
gesondert geregelt sind.
Selektion von Entsperrungen, bei denen eine manuelle Sperrung oder eine Sperrung aufgrund von Fehlanmeldungen erfolgt ist und Prfung, ob fr die Entsperrung eine Genehmigung durch den Vorgesetzten vorliegt.
Die Einhaltung des Verfahrens kann per Aufruf Report RSUSR100 geprft werden.
5.7.
NR.
6
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
39
40
NR.
1
1.1.
2
5.6.
Rollentransparenz
Werden die Anforderungen der Rollentransparenz eingehalten?
Allgemeines Transparenzgebot (Nachvollziehbarkeit): Sind die im System ausgeprgten Rollen fr einen sachkundigen Dritten innerhalb angemessener Zeit nachvollziehbar? Je weniger der Zusammenhang einer Sammelrolle mit einer Einzelrolle
und der Einzelrolle mit den enthaltenen Berechtigungen erkennbar ist, desto weniger
nachvollziehbar ist das Rollenkonzept.
Nachhaltigkeit: Ist die Gruppierung von Berechtigungen in Rollen so gestaltet, dass
bei prozessualen Reorganisationsmanahmen keine erhhten Anpassungen am
Rollenkonzept notwendig werden? Dies setzt voraus, dass auf Ebene von Einzelrollen
mglichst Aufgaben (Kreditorenstammdaten ndern) und keine Arbeitspltze
(Kreditorenbuchhalter) abgebildet werden.
Die im SAP-System vorhandenen Rollen knnen ber die Tabelle AGR_Define eingesehen
werden.
3
3.1.
Rollenkongruenz
Entsprechen die technischen Berechtigungen der Rollen deren technischen Namen
bzw. dem Beschreibungstext?
Die im SAP-System vorhandenen Rollen knnen samt den pro Rolle verwendeten Transaktionen und ausgeprgten Aktivitten ber die Tabelle AGR_1251 eingesehen werden.
4
4.1.
Regelkonformitt
Werden bei der Gestaltung (mandantenspezifische) Regelwerke fr Funktionstrennungskonflikte und sensitive Funktionen beachtet? Sind Einzelrollen frei von
inhrenten Regelversten?
Prfung, ob entsprechende Regelwerke vorliegen und diese ggf. in das SAP-System
integriert sind.
Die im SAP-System hinterlegten Regelwerke zu kritischen Kombinationen von
Berechtigungen knnen ber den Report RSUSR008_009_NEW eingesehen werden.
NOTFALLBENUTZERKONZEPT
Kontrollziel: Absicherung des Notfallbenutzers
Risiko:
Es gibt keinen Notfallbenutzer: Systemadministratoren arbeiten im Normalbetrieb
unter dem Standardbenutzer SAP* oder zwar unter einem eigens eingerichteten
Benutzer, aber mit der universalen Superuser-Berechtigung SAP_ALL.
Es gibt einen eigenen Notfallbenutzer mit der universalen Superuser-Berechtigung
SAP_ALL, den sich die Systemadministratoren teilen und der jederzeit unkontrolliert
eingesetzt werden kann.
1.1.
1.2.
Werden Aktionen unter dem Notfallbenutzer dokumentiert, dann mindestens unter Angabe
des Grundes
des Zeitraums
der darunter ttigen Personen
der Ttigkeiten, die damit durchgefhrt wurden.
1.3.
Werden fr einen Notfallbenutzer ber das SAP Security Audit Log alle Ereignisse aller
Audit-Klassen zwangsprotokolliert?
1.4.
1.5.
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
41
42
1.1.
NR.
1.2.
1.3.
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
43
44
1.1.
1.2.
Soll jeder Benutzer die kritische Systemberechtigung zum Auswerten des Syslogs
erhalten?
S_ADMI_FCD (Systemberechtigungen) mit Aktivitt SM21 berechtigt, den Systemlog
auszuwerten.
Dieses Berechtigungsobjekt darf mit der Aktivitt SM21 im Produktivsystem nicht fr
alle Benutzer freigeschaltet werden.
1.3.
1.4.
1.5.
NR.
2.
2.1.
2.2.
3.
3.1.
3.2.
Welcher Zugriff auf IDOCs kann allen Benutzern eingerumt werden, die eine Kontrollfunktion ber IDOCs bentigen?
S_IDOCMONI (Zugriff auf IDOC-Monitoring) mit Aktivitt 03 und Richtung der IDOCbertragung 1 und 2 und Nachrichtentyp CCLONE und USERCLONE und PARTNERNUMMER * und PARTNERART LS und TRANSAKTIONSCODE: * ist applikationsabhngig mglich.
Risiko: Die Aktivitt muss 03 Anzeigen sein. Sonst knnen IDOCs, die auch
nderungsbelege sind, gendert oder gelscht werden.
Hinweis: Die Angabe des Transaktionscodes ist dann unkritisch, wenn die anderen
Felder des Berechtigungsobjekts wie oben gepflegt sind.
4.
4.1.
Welche Administratoren sollen Benutzer und ihre Berechtigungen auf welche Weise
verwalten drfen?
S_USER_AGR (Berechtigungswesen: Prfer fr Rollen)
mit Aktivitt * und Name der Rolle * ist kritisch.
Dieses Berechtigungsobjekt zur Benutzer- und Berechtigungsverwaltung darf im Produktivsystem nur restriktiv gem dem organisatorischen Konzept der Benutzer- und
Berechtigungsadministration belegt werden.
Risiko: Wenn diese von SAP vordefinierten, uneingeschrnkten Freigaben (*) bestehen
bleiben, kann jeder alle Aktivitten durchfhren. Insbesondere kann jeder jede Rolle
anlegen. Das kann nicht gewnscht sein.
Hinweis: Zur Einhaltung des Vieraugenprinzips mssen bei den Feldern Aktivitt und
Name der Rolle die 4 Funktionen Anlegen, ndern, Aktivieren und Zuordnen
entsprechend bercksichtigt werden.
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
45
46
NR.
4.2.
Welche Administratoren sollen Benutzer und ihre Berechtigungen auf welche Weise
verwalten drfen?
S_USER_AUT (Benutzerstammpflege: Berechtigungen) mit Aktivitt * und Berechtigungsname in Benutzerstamm * und Berechtigungsobjekt * ist kritisch.
Dieses Berechtigungsobjekt zur Benutzer- und Berechtigungsverwaltung darf im Produktivsystem nur restriktiv gem dem organisatorischen Konzept der Benutzer- und
Berechtigungsadministration belegt werden.
Risiko: Wenn diese von SAP vordefinierten, uneingeschrnkten Freigaben (*) bestehen
bleiben, kann jeder alle Aktivitten durchfhren. Insbesondere kann jeder jede Rolle
anlegen. Das kann nicht gewnscht sein.
Hinweis: Zur Einhaltung des Vieraugenprinzips mssen bei den Feldern Aktivitt und
Name der Rolle die 4 Funktionen Anlegen, ndern, Aktivieren und Zuordnen
entsprechend bercksichtigt werden.
Dabei sind auch die Modulverantwortlichen sofern vorgesehen unter den Benutzerund Berechtigungsadministratoren zu bercksichtigen.
4.3.
Welche Administratoren sollen Benutzer und ihre Berechtigungen auf welche Weise
verwalten drfen?
S_HIERARCH (Berechtigungsprfungen der Hierarchiepflege) mit Aktivitt * und Paket
* und Strukturtyp * ist kritisch.
Dieses Berechtigungsobjekt zur Benutzer- und Berechtigungsverwaltung darf im
Produktivsystem nur restriktiv gem dem organisatorischen Konzept der Benutzerund Berechtigungsadministration belegt werden.
Die Mglichkeit der Einschrnkung auf die verwendete Struktur zur Berechtigungsverwaltung muss genutzt werden.
Dieses Berechtigungsobjekt ermglicht das Arbeiten mit dem allgemeinen Hierarchiepflegetool oder den darauf basierenden Transaktionen. Die Berechtigung muss eingeschrnkt werden ber den Typ der zu bearbeitenden Struktur und ber deren Paket.
4.4.
Welche Administratoren sollen Benutzer und ihre Berechtigungen auf welche Weise
verwalten drfen?
S_USR_GRP (Benutzerstammpflege: Benutzergruppen)
mit Aktivitt * und Benutzergruppe in Benutzerstamm * ist kritisch.
Dieses Berechtigungsobjekt zur Benutzer- und Berechtigungsverwaltung darf im
Produktivsystem nur restriktiv gem dem organisatorischen Konzept der Benutzerund Berechtigungsadministration belegt werden.
Risiko: Wenn diese uneingeschrnkten Freigaben (*) bestehen bleiben, kann jeder
alle Aktivitten durchfhren. Dann kann jeder jede Benutzergruppe pflegen, auch sich
selbst. Das kann nicht gewnscht sein.
Hinweis: Zur Einhaltung des 4-Augen-Prinzips mssen bei der Aktivitt und Name der
Benutzergruppe die 4 Funktionen Anlegen, ndern, Aktivieren und Zuordnen
entsprechend bercksichtigt werden.
NR.
4.5.
Welche Administratoren sollen Benutzer und ihre Berechtigungen auf welche Weise
verwalten drfen?
S_USR_PRO (Benutzerstammpflege: Berechtigungsprofil)
Mit Aktivitt * und Berechtigungsprofil im Benutzerstamm * ist kritisch.
Dieses Berechtigungsobjekt zur Benutzer- und Berechtigungsverwaltung darf im
Produktivsystem nur restriktiv gem dem organisatorischen Konzept der Benutzerund Berechtigungsadministration belegt werden.
Risiko: Wenn diese uneingeschrnkten Freigaben (*) bestehen bleiben, kann jeder
alle Aktivitten durchfhren. Dann kann jeder jedes Benutzerprofil pflegen. Das kann
nicht gewnscht sein.
Hinweis: Zur Einhaltung des 4-Augen-Prinzips mssen bei der Aktivitt und Name
des Berechtigungsprofils die 4 Funktionen Anlegen, ndern, Aktivieren und
Zuordnen entsprechend bercksichtigt werden.
4.6.
Welche Administratoren sollen Benutzer und ihre Berechtigungen auf welche Weise
verwalten drfen?
S_USER_SAS (Benutzerstammpflege: Systemspezifische Zuordnungen) mit Aktivitt *,
Name der Rolle *, Benutzergruppe *, Berechtigungsprofil im Benutzerstamm und
Empfngersystem ZBV ist kritisch.
Dieses Berechtigungsobjekt zur Benutzer- und Berechtigungsverwaltung darf im
Produktivsystem nur restriktiv gem dem organisatorischen Konzept der Benutzerund Berechtigungsadministration belegt werden.
Risiko: Bei Vollausprgung kann jeder jede Benutzerausprgung und jede Rolle in
jedem System zuweisen.
Hinweis: Das neue Berechtigungsobjekt S_USER_SAS wird ber den Eintrag mit der
Id CHECK_S_USER_SAS und dem Wert YES in der Tabelle PRGN_CUST aktiviert
(OSS-Hinweis 536101) und ersetzt die Berechtigungsobjekte S_USER_GRP, S_USER_
AGR, S_USER_PRO und S_USER_SYS bezglich der Zuordnung von Rollen oder Profilen
zu Benutzern.
Die Verwendung der erweiterten Berechtigungsprfung ist unabhngig vom Einsatz der
zentralen Benutzerverwaltung.
4.7.
Welche Administratoren sollen Benutzer und ihre Berechtigungen auf welche Weise
verwalten drfen?
S_USR_SYS (Benutzerstammpflege: System fr zentrale Benutzerpflege) spezifisches
Objekt) mit Aktivitt * und Empfngersystem ZBV ist kritisch.
Dieses Berechtigungsobjekt zur Benutzer- und Berechtigungsverwaltung darf im
Produktivsystem nur restriktiv gem dem organisatorischen Konzept der Benutzerund Berechtigungsadministration belegt werden.
Risiko: Bei Vollausprgung kann jeder in allen Systemen Rollen zuweisen.
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
47
48
NR.
4.8.
Welche Administratoren sollen Benutzer und ihre Berechtigungen auf welche Weise
verwalten drfen?
S_USER_TCD (Berechtigungswesen: Transaktionen in Rollen) mit Transaktionscode *
ist kritisch.
Dieses Berechtigungsobjekt zur Benutzer- und Berechtigungsverwaltung darf im Produktivsystem nur restriktiv gem dem organisatorischen Konzept der Benutzer- und
Berechtigungsadministration belegt werden.
Risiko: Bei Vollausprgung knnen modul- und basisbergreifend alle Berechtigungsobjekte in Rollen aufgenommen werden.
4.9.
Welche Administratoren sollen Benutzer und ihre Berechtigungen auf welche Weise
verwalten drfen?
S_USER_VAL (Berechtigungswesen: Feldwerte in Rollen)
mit Feldname * und Berechtigungswert * und Berechtigungsobjekt * ist kritisch.
Dieses Berechtigungsobjekt zur Benutzer- und Berechtigungsverwaltung darf im
Produktivsystem nur restriktiv gem dem organisatorischen Konzept der Benutzerund Berechtigungsadministration belegt werden.
Risiko: Bei Vollausprgung knnen modul- und basisbergreifend alle Berechtigungsobjekte in Rollen aufgenommen werden.
1.
1.1.
Sind die Mglichkeiten der Funktionstrennung bezogen auf die Ressourcen und
die Sicherheitsanforderungen des Unternehmens umgesetzt?
Beispiele fr die Realisierung eines 4-Augen-Prinzips und eines 6-Augen-Prinzips
sind in den folgenden bersichten aufgefhrt.
NR.
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
49
50
ENTWICKLUNG
PRODUKTIV
Benutzeradministrator
Berechtigungsdaten- und
Berechtigungsprofilverwalter
Benutzerverwalter
ACTVT
03, 08
CLASS
ACTVT
03, 22
03, 22
ACT_GROUP
Szenario 1
S_USER_GRP
S_USER_AGR
S_USER_TCD
TCD
S_USER_VAL
OBJECT
AUTH_FIELD
AUTH_VALUE
ENTWICKLUNG
PRODUKTIV
Benutzeradministrator
Berechtigungsdaten- und
Berechtigungsprofilverwalter
Benutzerverwalter
ACTVT
03, 08, 22
03, 08, 22
PROFILE
ACTVT
03, 08
03, 08
OBJECT
AUTH
Szenario 1
S_USER_PRO
S_USER_AUT
03, 78
03, 78
SUBSYSTEM
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
51
52
ENTWICKLUNG
Szenario 1
Benutzeradministrator
PRODUKTIV
Berechtigungsdaten- und
Berechtigungsprofilverwalter
Benutzerverwalter
S_USER_GRP
ACTVT
03, 08
CLASS
S_USER_AGR
ACTVT
ACT_GROUP
S_USER_TCD
TCD
S_USER_VAL
OBJECT
AUTH_FIELD
AUTH_VALUE
S_USER_PRO
ACTVT
PROFILE
S_USER_AUT
ACTVT
03, 08
03, 08
OBJECT
AUTH
ENTWICKLUNG
Szenario 1
Benutzeradministrator
PRODUKTIV
Berechtigungsdaten- und
Berechtigungsprofilverwalter
Benutzerverwalter
22
22
CLASS
SUBSYSTEM
ACT_GROUP
PROFILE
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
53
54
ENTWICKLUNG
PRODUKTIV
Benutzeradministrator
Berechtigungsdatenverwalter
Berechtigungsprofilverwalter
FIBenutzerverwalter
MMBenutzerverwalter
ACTVT
03, 08
03, 22
CLASS
FI_USER
MM_USER
ACTVT
03, 22
03, 64
03, 22
03, 22
ACT_GROUP
Szenario 2
S_USER_GRP
S_USER_AGR
S_USER_TCD
TCD
S_USER_VAL
OBJECT
AUTH_FIELD
AUTH_VALUE
S_USER_PRO
ENTWICKLUNG
Szenario 2
Benutzeradministrator
ACTVT
PROFILE
PRODUKTIV
Berechtigungsdatenverwalter
Berechtigungsprofilverwalter
FIBenutzerverwalter
MMBenutzerverwalter
03, 08, 22
03, 07, 08
03, 08, 22
03, 08, 22
FI*
MM*
ACTVT
03, 08
03, 07, 08
03, 08
03, 08
OBJECT
AUTH
ACTVT
03, 78
03, 78
03, 78
SUBSYSTEM
S_USER_AUT
Bei aktiver
ZBV
S_USER_SYS
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
55
56
ENTWICKLUNG
Berechtigungsdatenverwalter
Berechtigungsprofilverwalter
ACTVT
03, 08
03, 08
CLASS
ACTVT
03, 64
ACT_GROUP
Szenario 2
Benutzeradministrator
PRODUKTIV
FIBenutzerverwalter
MMBenutzerverwalter
S_USER_GRP
S_USER_AGR
S_USER_TCD
TCD
S_USER_VAL
OBJECT
AUTH_FIELD
AUTH_VALUE
S_USER_PRO
ACTVT
03, 07, 08
PROFILE
S_USER_AUT
ACTVT
03, 08
03, 07, 08
03, 08
03, 08
OBJECT
AUTH
ENTWICKLUNG
Szenario 2
Benutzeradministrator
PRODUKTIV
Berechtigungsdatenverwalter
Berechtigungsprofilverwalter
FIBenutzerverwalter
MMBenutzerverwalter
Bei aktiver
ZBV wird zustzlich das
Berechtigungsfeld
SUBSYSTEM
gepflegt
S_USER_SAS
ACTVT
22
22
22
CLASS
FI_USER
MM_USER
SUBSYSTEM
ACT_GROUP
FI*
MM*
PROFILE
FI*
MM*
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
57
58
ENTWICKLUNG
PRODUKTIV
Benutzeradministrator
Berechtigungsdatenverwalter
Berechtigungsprofilverwalter
ACTVT
03, 08
CLASS
ACTVT
ACT_GROUP
Szenario 3
FIBenutzerverwalter
MMBenutzerverwalter
Zentraler
Benutzerverwalter
03, 08
02, 03,
05, 22
02, 03,
05, 22
FI_USER
MM_
USER
03, 22
03, 64
03, 22
03, 22
S_USER_GRP
S_USER_AGR
S_USER_TCD
TCD
S_USER_VAL
OBJECT
AUTH_FIELD
ENTWICKLUNG
Szenario 3
Benutzeradministrator
AUTH_VALUE
Berechtigungsdatenverwalter
PRODUKTIV
Berechtigungsprofilverwalter
FIBenutzerverwalter
MMBenutzerverwalter
Zentraler
Benutzerverwalter
S_USER_PRO
ACTVT
03, 08, 22
03, 07, 08
03, 08, 22
03, 08, 22
03, 08
PROFILE
FI*
MM*
ACTVT
03, 08
03, 07, 08
03, 08
03, 08
03, 08
OBJECT
AUTH
S_USER_AUT
Bei aktiver
ZBV
S_USER_SYS
ACTVT
03, 78
03, 78
03, 78
03, 78
SUBSYSTEM
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
59
60
ENTWICKLUNG
Berechtigungsdatenverwalter
Berechtigungsprofilverwalter
ACTVT
03, 08
03, 08
CLASS
ACTVT
03, 64
ACT_GROUP
Szenario 3
Benutzeradministrator
PRODUKTIV
FIBenutzerverwalter
MMBenutzerverwalter
Zentraler
Benutzerverwalter
S_USER_GRP
S_USER_AGR
S_USER_TCD
TCD
S_USER_VAL
OBJECT
AUTH_FIELD
AUTH_VALUE
S_USER_PRO
ACTVT
03, 07, 08
PROFILE
S_USER_AUT
ACTVT
03, 08
03, 07, 08
03, 08
03, 08
03, 08
OBJECT
AUTH
ENTWICKLUNG
Szenario 3
Benutzeradministrator
Berechtigungsdatenverwalter
PRODUKTIV
Berechtigungsprofilverwalter
FIBenutzerverwalter
MMBenutzerverwalter
Zentraler
Benutzerverwalter
Bei aktiver
ZBV wird
zustzlich
das Berechtigungsfeld
SUBSYSTEM
gepflegt
S_USER_SAS
ACTVT
22
22
22
22
CLASS
FI_USER
MM_
USER
SUBSYSTEM
ACT_GROUP
FI*
MM*
PROFILE
FI*
MM*
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
61
62
BERECHTIGUNGSVERWALTUNG: BENUTZER
1.
Das Objekt Benutzerstammpflege, Benutzergruppen S_USER_GRP, legt die Benutzergruppen und die zulssigen Aktivitten fest, fr die ein Benutzerverwalter berechtigt
ist. Damit knnen Benutzer angelegt, gepflegt, ge- und entsperrt werden, insbesondere
auch das Kennwort eines Benutzers gendert werden.
Es kann benutzt werden, um bei einer dezentralisierten Verwaltung einem Benutzeradministrator nur die Verwaltung einer bestimmten Benutzergruppe zu ermglichen.
1.1.
1.2.
1.3.
2.
1.5.
NR.
BERECHTIGUNGSVERWALTUNG: ROLLEN
3.
Das Objekt Berechtigungswesen, Prfung fr Rollen S_USR_AGR legt die Rollennamen und die zulssigen Aktivitten fest, fr die ein Berechtigungsverwalter berechtigt
ist. Damit knnen Rollen angelegt und gepflegt werden.
Es kann benutzt werden, um bei einer dezentralisierten Administration einem Berechtigungsverwalter nur Zugriff auf bestimmte Rollen zugeben, z.B. fr ein Modul oder eine
Organisationseinheit.
3.1.
NR.
BERECHTIGUNGSVERWALTUNG: ROLLEN
3.2.
4.
4.1.
Wer ist fr S_USER_AGR berechtigt und kann Transaktionen anlegen (ohne Berechtigungswerte)?
Report RSUSR002 mit den Eingaben:
S_TCODE = PFCG
S_USER_AGR (Rollen verwalten) mit Aktivitt * oder 01 (Anlegen) oder 02 (ndern) und
Rolle = * oder = Rollennamen.
S_USER_TCD (Transaktionen in Rollen) mit Transaktionscode * oder = Transaktionsname.
5.
5.1.
NR.
6.
6.1.
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
63
64
NR.
6.2.
7.
Das Objekt Benutzerstammpflege, Berechtigungen S_USR_AUT legt die Berechtigungsobjektnamen und die Berechtigungsnamen sowie die zulssigen Aktivitten
fest, fr die ein Berechtigungsverwalter berechtigt ist.
Es kann benutzt werden, um bei einer dezentralisierten Benutzerverwaltung einem
Berechtigungsverwalter nur die Erstellung bestimmter Berechtigungen in Profilen zu
erlauben und damit die Erstellung kritischer Berechtigungen in Profilen zu verhindern.
NR.
8.1.
8.2.
8.3.
1.2.
1.3.
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
65
66
1.4.
1.5.
1.
1.1.
1.2.
1.3.
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
67
68
NR.
1.4.
1.5.
1.6.
1.7.
1.8.
1.9.
1.A
NR.
2.
2.1.
2.2.
2.3.1.
2.3.2.
2.4.1.
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
69
70
NR.
2.4.2.
2.4.3.
SAP GUI
Browser
(ABAP-)Dispatcher
WP
WP
ABAP
VM
ABAP
VM
ABAP
VM
Java
VM
Java
VM
Java
VM
Gateway
WP
Java-Dispatcher
AS
ABAP
SAP Datenbank-Schema
JCo
MessageServer
EnqueueServer
Central
Services
Java
SP
Java
SP
Java
VM
Java
VM
SDM
AS
Java
SAP Datenbank-Schema
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
71
72
6.2. RISIKEN
Die Sicherheitsanforderungen der Java-Architektur sind nicht bekannt, ermittelt und
umgesetzt.
Schwchen in der Konfiguration ermglichen den unautorisierten Zugriff auf Daten.
Unsichere Passwrter von Standardbenutzern gefhrden die Sicherheit und Integritt
von Daten.
Ein geregeltes Softwarenderungs- und Einsatzverfahren ist nicht umgesetzt. Es besteht
das Risiko, dass schwachstellenbehaftete und nicht autorisierte Java-Anwendungen
betrieben werden. Die Vertraulichkeit, Integritt und Verfgbarkeit von Daten kann nicht
gewhrleistet werden.
6.3. KONTROLLZIELE
Die Sicherheitsempfehlungen von SAP zur sicheren Konfiguration der Java-Architektur sind
umgesetzt.
Standardbenutzer verfgen ber sichere Passwrter. UME-Rollen sind gem IKS Anforderungen eingerichtet.
Die Anforderungen an ein geregeltes Softwarenderungs- und Einsatzverfahren sind
mit den Mitteln von SAP untersttzt (SDM, SPML und CMS).
Portaldienste und Anwendungen sind ausreichend vor Webrisiken abgesichert.
Untrusted
DMZ 1
Server Network
Admin LAN
Visual / Shell
Administrator
SDM Client
P4
SSL
Userpersistant storage
SAP AS JAVA
Cluster
HTTP
SSL
Application
Level Gateway
or Reverse
Proxy
Configtool
ASP GUI
SAP DIAG
SNC
JDBC
SSL
J2EE Dispatcher
ICM
WebBrowser
J2EE-Kernel
LDAP
SSL
SDM Dienst
RFC
SNC
ASP GUI
RFC
SNC
Database
LDAP
SAP Web
AS-ABAP
HTTP
SSL
SAP Web AS
Systems
Webappl.
(SAP, non SAP)
Backend Systems
Die einzelnen Komponenten und AS-Java-Tools werden in den beiden folgenden Tabellen kurz
vorgestellt.
TABELLE 1: SAP-PROGRAMMBESCHREIBUNGEN
PROGRAMM
BESCHREIBUNG
User Management
Engine (UME )
Der Internet Communication Manager gewhrleistet die Kommunikation zwischen dem SAP-System (SAP Web Application
Server) mit der Auenwelt ber die Protokolle HTTP, HTTPS und
SMTP. In der Serverrolle kann er Anfragen aus dem Internet
bearbeiten, die mit URLs mit der Server/Port-Kombination, auf
die der ICM hrt, ankommen. Abhngig von der URL ruft der ICM
dann den entsprechenden lokalen Handler auf.
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
73
74
PROGRAMM
BESCHREIBUNG
Der SAP Web Dispatcher steht zwischen dem Internet und dem
SAP-System (SAP Web AS). Er ist der Einstiegspunkt fr HTTP(S)-Request. Als Software-Web-Switch kann er Verbindungen
abweisen oder annehmen und nimmt dann die Request-Verteilung fr eine gleichmige Serverauslastung vor (Lastausgleich).
AS ABAP
ABAP-Anwendungsprogrammewerden in der Programmiersprache ABAP erstellt und laufen in derABAP-Anwendungsschichtdes SAP NetWeaverApplicationServer ABAP.
Service Provisioning
Markup Language
(SPML)
PROGRAMM
BESCHREIBUNG
PORT
SAP NetWeaver
Administrator (NWA)
5
Java_
instance_
number
00
Pfad: http://Host:port/irj/nwapi
PROGRAMM
BESCHREIBUNG
PORT
SAP Enterprise
Config Tool
Visual Administrator
Der Visual Admin dient als GUI, mit dem alle Cluster-Elemente und alle Module des J2EE Engine
administriert werden knnen. Es kann allgemeine
Informationen ber Services, Manager, Schnittstellen und Libraries des Java-Systems abrufen
sowie Einstellungen und administrative Aufgaben
an den Services, Managern und Schnittstellen
vornehmen. Ebenfalls sind nderungen von globalen Einstellungen des Java Servers mglich.
5
J2EE
instance_
number
04
SAP Management
Console (SAP MC)
5
J2EE
instance_
number
13
Pfad: http://Application-server-of-the-SAP-instance:port
5
Shell Administrator
(Telnet)
SDM Client
50008
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
75
76
1.
1.1.
1.2.
Sind nicht bentigte Dienste abgeschaltet? Ist der folgende SAP-Hinweis bekannt und
umgesetzt worden?
SAP-Hinweis: 871 394, Dispensable functions with impact on security.
1.3.
1.4.
1.5.
NR.
1.6.
1.7.
1.8.
2.
Kontrollziel: Sichere Einstellung von Security Logs von UME und ICM
Risiko: Die Security Logs vom UME und ICM bieten bei einer unzureichenden
Konfiguration keine ausreichenden Nachweise bei unautorisierten nderungen
oder Zugriffen. Logdateien knnen durch eine nicht revisionssichere Speicherung
unauthorisiert gelscht oder manipuliert werden.
Hinweis: Da die Protokolldateien wichtige Systeminformationen und persnliche Daten
enthalten knnen, muss der Zugriff auf diese Protokolldateien eingeschrnkt werden.
Nur berechtige Benutzer sollten daher Zugriff auf die Dateien erhalten. Eine Auslagerung der Protokolldateien auf einen dedizierten Log-Host kann die Sicherheit erhhen.
Im ICM Security Log werden Incidents aus der Netzwerkkommunikation aufgezeichnet.
Sofern der Zugriffsschutz im UME vom Java-Stack eingerichtet ist, werden sicherheitsrelevante Ereignisse im UME-Security Log aufgezeichnet. Der Zugriff durch die Administratoren sollte daher restriktiv vergeben werden.
2.1.
2.2.
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
77
78
NR.
2.4.
Sind die Sicherheitslogs von ICM und SAP Web Dispatcher konfiguriert?
Hinweis 1: Parameter icm/security_log kontrolliert die Ausgabe von ICM und SAMP
Web Dispatcher und hat folgenden Einstellungen:
LOGFILE=dev_icm_sec,LEVEL=2, MAXSIZEKB=500
Hinweis 2: Der Trace-Level sollte auf produktiven Systemen nicht den Wert 3 besitzen
und Traces, die fr administrative Zwecke angelegt wurden, mssen nach der Ttigkeit
vom produktiven System entfernt werden.
2.5.
1.
ClienT
(Web Browser)
Message
Server
GUI
Internet
SAP Web AS
for Java
Internet
Communication
Manager
SAP Web AS
for ABAP
Dispatcher
DB
Task Handler
J2EE
Engine
Java
Methods
SAP Java
Connector
(JCo)
RFC
ABAP
Work
Processes
Ausnahmen sollten dokumentiert und nur in Abstimmung mit dem Sicherheitsmanagement eingerichtet werden.
1.1.
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
79
80
NR.
1.2.
1.3.
1.4.
1.5.
1.6.
1.7.
Ist die Kommunikation des ICM mit der J2EE Engine festgelegt und ist eine
Verschlsselung eingerichtet?
Hinweis: Parameter icm/HTTP/j2ee_xx sollte geprft werden.
Mit diesem Parameter wird die Kommunikation des ICM mit der J2EE Engine
festgelegt.
Syntax: icm/HTTP/j2ee_xx = PREFIX=uri-prefix, [HOST=host,] PORT=port,
CONN=Anzahl Verbindungen [, SSLENC=n>, TYPE=t, CRED=file, SPORT=
HTTPS-port
icm/HTTP/j2ee_0 = PREFIX=/, CONN=0-10, PORT=50000,SPORT=50003, SSLENC=1,
TYPE=2,CRED=Credential.pse
1.8.
NR.
1.9.
1.10.
Ist HTTPS fr den Zugriff auf den Web Dispatcher im Standard eingerichtet?
Hinweis: Der Parameter icm/ssl_config_xx ist nur relevant fr HTTPS-Konfigurationen von ICM bzw. Web Dispatcher (Kommunikation ber HTTPS). Insbesondere beim
Web Dispatcher spielt HTTPS eine groe Rolle, da dieser in der DMZ steht und als
Einstiegspunkt fr Anfragen aus dem Internet dient.
1.11.
1.12.
1.13.
1.14.
1.15.
1.16.
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
81
82
NR.
2.
2.1.
Sind die Pfade, welche Informationen ber die Infrastruktur und Konfiguration liefern,
gesetzt?
Hinweis 1: Verwenden Sie den Web Dispatcher als URL-Filter mit Whitelists. Folgende
URLs liefern Informationen ber die Infrastruktur und Konfiguration und sollen auf
Parameter wdisp\permission_table = ptabfile gesetzt werden:
D /sap/public/icman/*
D /sap/public/ping
D /sap/public/icf_info/*
Hinweis 2: Den Zugriff auf die interne Infoseite sollte durch folgenden Eintrag in der
URI-Permission-Tabelle gesperrt werden:
D /sap/wdisp/info
2.2.
Ist die Standardprofildatei bei SAP Netweaver 7.1 und hher (siehe Security Note
1616058) konfiguriert?
Hinweis: Der Modification-Handler wird im Standardprofil DEFAULT.PFL festgelegt.
Folgende Parameter mssen gepflegt werden:
icm/HTTP/mod_0 = PREFIX=/,FILE=$(DIR_GLOBAL)/security/data/icm_filter_rules.txt
Filterregeln knnen entsprechend eingesehen und ausgewertet werden.
3.
NR.
3.1.
Port Nummer
5NN00
5NN01
5NN02
5NN03
5NN04
5NN05
5NN06
5NN07
5NN08
5NN10
5NN20 + x 5
5NN21 + x 5
Standard
50000
50001
50002
50003
50004
50005
50006
50007
50008
50010
50020
50021
Range
5000059900
5000159901
5000259902
5000359903
5000459904
5000559905
5000659906
5000759907
5000859908
5001059910
5002059995
50021-59996
1.
1.1.
1.2.
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
83
84
NR.
1.3.
1.4.
Werden sowohl der J2EE Java Authentication und Authorization Service (JAAS) als
auch die SAP-spezifische User Management Engine (UME) zur Administration von
Benutzern und Berechtigungen eingesetzt?
Risiko: Benutzer- und Berechtigungsadministration erfolgt ber zwei unterschiedliche
Anwendungen, auch wenn UME softwaretechnisch auf JAAS aufgesetzt ist. Nicht
autorisierte oder konkurrierende Einrichtung von Benutzern und deren Berechtigungen
werden dadurch begnstigt.
1.5.
1.6.
Ist eine verschlsselte bertragung zwischen der UME im Java-Stack und dem
ABAP-System eingerichtet?
Hinweis: Diese Kontrolle betrifft nur die Java-Installationen, die ihre Benutzerverwaltung weitestgehend im ABAP-Stack betreiben. In diesen Fllen kann eine
sichere bertragung von Passwrtern nur mittels SNC erfolgen. Hierbei mssen
folgende Parameter gesetzt werden:
ume.r3.connection.adapterID.snc_mode = 1
ume.r3.connection.adapterID.snc_qop = 3
2.
NR.
2.1.
Beschreibung
Betriebssystembenutzer SAP
OS-Benutzer SAP
Local J2EE database user
DB-Benutzer J2EE (intern)
Administrator UME/LDAP
Administrator fr den Zugriff
auf das SDM
Visual Administrator
Technischer Benutzer
Schnittstellenbenutzer
J2EE - ABAP
Standardkommunikationsuser
fr den Zugriff auf das SLD
Zustndigkeit
Betriebssystem Betrieb
Betriebssystem Betrieb
DBA
DBA
SAP Basis
SAP Basis
SAP Basis
SAP Basis
SAP Basis
SAP Basis
Sind Regelungen zum Umgang mit den Passwrtern im Berechtigungskonzept hinterlegt? Sind angemessene Kontrollen, z.B. 4-Augen-Prinzip, bercksichtigt worden?
User Management Engine (UME) Anmeldekontrollen
3.
3.1.
3.2.
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
85
86
NR.
6.
6.1.
6.2.
6.3.
NR.
7.
Super
Administrators
User
Groups
Manage_All
Read_All
UME
Roles
Business Users
Company-Specific
Profile-Specific
Manage_All_Companies
Manage_All_User_
Passwords
Manage_Users
Manage_User_Passwords
Manage_My_Profile
Read_My_Profile
Manage_My_Password
Manage_Groups
Manage_Roles
Specific
Functions
PortalSpecific
Administrators
All
Manage_All
AclSuperUser
Self-Registration
Selfregister_User
Manage_Role_
Assignments
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
87
88
NR.
7.2.
7.3.
7.4.
NR.
7.5.
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
89
90
PARAMETER
BESCHREIBUNG
ume.logon.security_policy.
auto_unlock_time
ume.logon.security_policy.
enforce_policy_at_logon
ume.logon.security_policy.
lock_after_invalid_
attempts
ume.logon.security_policy.
oldpass_in_newpass_allowed
FALSE
ume.logon.security_policy.
password_alpha_numeric_required
ume.logon.security_policy.
password_change_allowed
ume.logon.security_policy.
password_expire_days
35
ume.logon.security_policy.
password_history
Die UME kann die Hash-Werte alter Passwrter speichern. Dieses verhindert, das Benutzer
alte Passwrter wiederverwenden.
10
TRUE
ume.logon.security_policy.
password_last_change_
date_default
Gem den
Eintrgen aus
der USR40
anzupassen.
VORSCHLAGSWERT
PARAMETER
BESCHREIBUNG
ume.logon.security_policy.
password_max_idle_time
ume.logon.security_policy.
password_max_length
Maximale Passwortlnge
ume.logon.security_policy.
password_min_length
Minimale Passwortlnge
ume.logon.security_policy.
password_mix_case_required
ume.logon.security_policy.
password_special_char_
required
ume.r3.connection.adapterID.snc_mode
ume.r3.connection.adapterID.snc_qop
ume.superadmin.activated
FALSE
ume.superadmin.password
ume.logon.security_policy.
userid_digits
ume.logon.security_policy.
userid_in_password_
allowed
FALSE
35
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
91
92
PARAMETER
BESCHREIBUNG
ume.logon.security_policy.
userid_special_char_required
ume.logon.security_policy.
useridmaxlength
VORSCHLAGSWERT
0
Default
Wenn eine Datenbank als Quelle fr Benutzerdaten verwendet wird, muss dieser Wert
kleiner bzw. gleich 200 sein.
ume.logon.security_policy.
useridminlength
login/ min_password_lng
Minimale Passwortlnge
login/ password_charset
login/ min_password_
letters,
login / min_password_
digits und login
min_password_specials,
login
min_password_lowercase
und login
min_password_uppercase
login/ min_password_diff
login/ password_history_
size
15
PARAMETER
BESCHREIBUNG
login/ password_max_
idle_initial.
VORSCHLAGSWERT
3
90
login/ password_max_
idle_ productive
login/ password_change_waittime.
Standard:
einmal am Tag
login/ fails_to_session_
end
login/ fails_to_user_lock
login/ failed_user_auto_
unlock
1( = Freischaltung ber
Nacht)
login/ disable_multi_
gui_login
1 ( = mehrfache
Anmeldung ist
nicht mglich)
rdisp/gui_auto_logout
Zeitspanne in Sekunden bei keiner Benutzeraktion bis zum automatischen Abmelden des
Benutzers. Bei o erfolgt kein automatischer
Logout.
Gltigkeitsdauer eines
nicht benutzten
Kennworts
hher setzen als
die Dauer fr
den erzwungenen Wechsel
des Kennworts
(max. 90 Tage).
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
93
94
1.
1.1.
Gibt es ein Konzept fr die SAP-Softwareverteilung, das auf die SAP-Java-StackUmgebung zugeschnitten ist?
1.2.
Sind die getrennten Zustndigkeiten in den Phasen der Entwicklung, des Testens
und der Abnahme geregelt?
1.3.
1.4.
Wie ist der Software Deployment Manager SDM-Dienst (Software Deployment Manager)
Dienst konfiguriert?
Ist das Standardkennwort des SDM-Administrators bei der Installation gendert
worden?
Ist das neue Kennwort nach restriktiven Passwortregeln vergeben worden?
Wie vielen Benutzern ist das neue Kennwort zur Erfllung ihrer Aufgaben
mitgeteilt worden?
Wird der Dienst nur whrend des Deployments aktiviert?
Wird das Passwort in Start- und Stop-Skripten gespeichert?
Risiko: Die Rolle der SDM-Administration kann nicht vergeben werden. Nur der SDMAdministrator selbst kann verwendet werden. Ein Zurckverfolgen, wer diesen
Benutzer fr welche Aktivitt genutzt hat, ist erschwert, wenn nicht unmglich.
Nach einem Patch-Upgrade wird systemseitig keine nderung des Kennworts
des SDM-Administrators erzwungen.
1.5.
H
Jedes Build verfgt ber eine Konfigurationsdatei, die vom Java-Container gelesen und fr den
Betrieb des Java-Programms genutzt wird. In SAP-Portalanwendungen knnen Inhalte aus
diversen SAP-Quellen integriert werden. Selbst aus dem ABAP stammende Webkomponenten
(z.B. SAP GUI oder Web Dynpro) knnen ber das Enterprise Portal beliebig zusammengefasst
und dargestellt werden (siehe Abbildung 4). Die hier eingesetzten Komponenten basieren auf
Web-Technologien, die im produktiven Einsatz eine ausreichende Systemhrtung sicherstellen
mssen. Schwachstellen in der Konfiguration knnen die Sicherheit der Anwendung erheblich
beeintrchtigen und alle betriebenen Anwendungen gefhrden. Die in diesem Abschnitt beschriebenen Manahmen sind zwingend umzusetzen, um eine Grundlage fr einen sicheren Betrieb und
die Wirksamkeit eines IKS-Systems fr Java-Anwendungen zu schaffen.
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
95
96
1.
1.1.
H
1.2.
H
2.
2.1.
2.2.
2.3.
NR.
3.
3.1.
H
3.2.
3.3.
H
3.4.
H
Sind alle selbst entwickelten Anwendungen mit einer ausreichenden Security Zone
ausgestattet?
Risiko: Verfgen Anwendungen ber die Security Zone No Safety, lassen sie sich direkt
ber die URL aufrufen, z.B. ber /irj/servlet/prt/portal/prtroot/iView_ID.
Je nach Applikation kann unter Umstnden auf vertrauliche Daten zugegriffen werden.
Hinweis: Bewerten Sie Applikationen mit der Security Zone No Safety im Hinblick auf
den Schutzbedarf.
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
97
98
NR.
3.5.
3.6.
H
Wenn alle HTTP-Methoden, die nicht bentigt werden, deaktiviert werden, wie unterbindet man dann kritische Handlungen im System?
Risiko 1: Wenn die Methode HEAD erlaubt ist, kann mittels HTTP Verb Tampering
eine Schwachstelle ausgenutzt werden, um zugriffsgeschtzte Funktionen im Portal
ohne Anmeldung auszufhren. Dies kann u.a. zum Anlegen von Benutzern oder zur
Erweiterung von Berechtigungen ausgenutzt werden.
Risiko 2: Die Methode TRACE kann potenzielle Cross-Site-Scripting-Angriffe
begnstigen.
Hinweis 1: Alle HTTP-Methoden, die nicht bentigt werden, sollten in der WEB.XML
explizit deaktiviert werden (lschen aller http-method Eintrge). Zugriff auf kritische
Anwendungen sollte nur mit gltiger Authentifizierung mglich sein (security-constraint).
Hinweis 2: SAP Notes 1503579,1616259,1589525 und 1624450 sollten implementiert sein.
3.7.
H
Wurde die WEB.XML von allen lokalen Invoker Servlet Aktivierungen bereinigt?
Hinweis: Alle paramInvokerServletLocallyEnabled/param mssen aus der WEB.
XML gelscht werden, um ein lokales Aktivieren des Invoker Servlets zu verhindern.
3.8.
3.9.
NR.
3.10.
3.11.
H
3.12.
H
3.13.
H
Wurden die Filter im Knowledge Management aktiviert, um das Hochladen bsartiger Dateien zu verhindern?
Hinweis:
Prfen Sie die Dateierweiterungen in File Extension und Dateigren Filter unter
System Administration > System Configuration > Content Management >
Repository > Filters > Show Advanced Options > File Extension and Size Filter
Prfen Sie die Filter in Malicious Script Filter unter System Administration
> System Configuration > Content Management Repository > Filters > Show
Advanced Options > Malicious Script Filter
Ist der Parameter Forbidden Scripts aktiviert?
Ist die Option Send E-Mail to Administrator aktiviert?
3.14.
H
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
99
100
NR.
4.
Zuordnung in
der UME-Konsole
Zuordnung
durch Entwickler
in der Datei actions.xml
Erlaubnis 1
Aktion 1
UME-Rolle 1
Benutzer
Erlaubnis 2
Aktion 2
UME-Rolle 2
Erlaubnis 3
Aktion 3
UME-Rolle 3
Gruppe
Die ABAP-Rollen erscheinen in der UME als UME-Gruppen. Im ABAP-System erhlt der
Nutzer seine Berechtigungen aus dem zur Rolle gehrenden Profil. Seine Java-Berechtigungen bekommt er aus der UME-Rolle, die der UME-Gruppe zugeordnet wird.
4.1.
Existiert ein Regelprozess fr die Prfung der actions.xml bei der Einfhrung oder
nderung von Portalanwendungen?
4.2.
NR.
4.3.
5.
5.1.
5.2.
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
101
102
7.2. RISIKEN
Risiken knnen sich zum einen daraus ergeben, dass die Sicherheitsempfehlungen von SAP
nicht umgesetzt sind, zum anderen, dass die Datenbank konkurrierend zur Nutzung durch
SAP genutzt wird:
Die SAP-Systembenutzer, der Datenbank-Systembenutzer oder zustzlich eingerichtete
Administratoren nutzen noch das Initialkennwort des Auslieferungsstandes der Software.
Dies ermglicht auch nicht autorisierten Dritten das unbefugte Anmelden an die Datenbank.
Benutzer aus der Fachabteilung knnen sich an die Datenbank anmelden und sind berech tigt, mit den Funktionen der Datenbank nderungen in den Datenbanktabellen durchzu fhren, die konkurrierend auch von SAP-Benutzern gendert werden.
Angreifer knnen ber nicht bentigte Datenbankbenutzer eine Sicherheitsschwachstelle
im Datenbanksystem nutzen, um privilegierten Zugriff auf die Datenbank zu erlangen.
Die Datenbank lsst beliebige Anmeldeversuche ber das Netz zu.
Anmeldungen an die Datenbank werden nicht protokolliert und berwacht.
Die Daten in der Datenbank sind nicht verschlsselt und werden auch nicht verschlsselt
bertragen.
Sicherheitsempfehlungen des Herstellers der Datenbank sind nicht umgesetzt.
7.3. KONTROLLZIELE
Die Sicherheitsempfehlungen von SAP zur sicheren Konfiguration und zum ordnungsmigen
Betrieb der Datenbank sind umgesetzt.
Eine zur SAP-Anwendung konkurrierende Nutzung der Datenbank ist nicht implementiert,
die nderungen an den gleichen Datenbanktabellen zulsst, die schon SAP verwaltet.
Anmeldungen von beliebigen Clients aus nicht vertrauenswrdigen Netzwerksegmenten an
der Datenbank sind verhindert.
Die technischen Mglichkeiten, dass ein Benutzer sich von seinem Client aus direkt an der
Datenbank anmelden kann, sind entweder ausgeschlossen oder auf den notwendigen Umfang
eingeschrnkt und gegen unbefugte Nutzung abgesichert (ODBC-Zugriff).
Nicht bentigte Datenbankbenutzer sind gesperrt oder gelscht.
Die Funktionen zur Anmeldekontrolle werden genutzt, die das proprietre Datenbanksystem
bereitstellt. Insbesondere werden Fehlversuche bei der Anmeldung protokolliert und
berwacht.
Die Daten in der Datenbank werden entsprechend ihrem Schutzbedarf verschlsselt
gespeichert und bertragen.
Zustzliche Sicherheitsempfehlungen des Herstellers der Datenbank sind umgesetzt.
1.
1.1.
1.2.
H
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
103
104
NR.
1.3.
H
1.4.
2.
2.1.
2.2.
2.3.
3.
Kontrollziel: Zugriff auf die Datenbank ist exklusiv fr SAP-Anwendungen und gem
den Vorgaben von SAP installiert.
Risiko: Konkurrierende Datenbanknderungen durch weitere Datenbankanwendungen auf den SAP-Tabellen fhren zur Dateninkonsistenz.
3.1.
NR.
3.2.
Nutzt exklusiv das SAP-System die Datenbank oder werden auch andere
Anwendungen auf der Datenbank betrieben?
Auf der Datenbank fr das SAP-System drfen keine anderen Anwendungen ablaufen,
insbesondere drfen keine Verknpfungen zwischen den Tabellen des SAP-Systems
und anderen Datenbanken eingerichtet sein.
3.3.
3.4.
Sind weitere Nutzer in der OS-Gruppe dba auer sidadm und personalisierten
Administratoren?
3.5.
NR.
4.
4.1.
H
4.2.
4.3.
4.4.
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
105
106
1.
1.1.
1.2.
1.3.
H
1.4.
H
1.5.
2.
2.1.
NR.
2.2.
2.3.
NR.
3.
Kontrollziel: Zugriff auf die Datenbank ist exklusiv fr SAP-Anwendungen und gem
den Vorgaben von SAP installiert.
Risiko: Konkurrierende Datenbanknderungen durch weitere Datenbankanwendungen auf den SAP-Tabellen fhren zur Dateninkonsistenz.
3.1.
3.2.
ORACLE VERZEICHNISSE
ZUGRIFFSRECHT
%ORACLE_HOME%
Full Control
SYSTEM, Administrators,
SAP_SAPSID_GlobalAdmin
(domain installation),
SAP_SAPSID_LocalAdmin
(local installation)
drive:\oracle\dbsid
Full Control
SYSTEM, Administrators,
SAP_SAPSID_GlobalAdmin
(domain installation),
SAP_SAPSID_LocalAdmin
(local installation)
Nutzt exklusiv das SAP-System die Datenbank oder werden auch andere
Anwendungen auf der Datenbank betrieben?
Auf der Datenbank fr das SAP-System drfen keine anderen Anwendungen ablaufen,
insbesondere drfen keine Verknpfungen zwischen den Tabellen des SAP-Systems
und anderen Datenbanken eingerichtet sein.
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
107
108
NR.
3.3.
H
3.4.
NR.
4.
4.1.
H
4.2.
4.3.
4.4.
DATENBANKMANAGEMENT
1.
1.1.
1.2.
1.3.
Wurden anhand der fehlenden Umsetzung von Sicherheitsvorgaben und den erfassten
Risiken Manahmen dokumentiert, priorisiert und mit Umsetzungsterminen versehen?
1.4.
NR.
DATENBANKMANAGEMENT
1.5.
2.
2.1.
2.2.
Wie ist sichergestellt, dass keine Daten verloren gehen bzw. unvollstndige Datensicherungen erkannt werden?
2.3.
2.4.
3.
3.1.
H
Befindet sich die eingesetzte Produktversion in der Premier Support- oder Extended
Support-Phase? Wird die Version also weiterhin mit Sicherheitspatches beliefert?
3.2.
Wird die Datenbank mit von SAP freigegebenen Sicherheits-Patches (CPU critical
patch updates) auf dem neusten Stand gehalten?
3.3.
Gibt es einen geregelten und dokumentierten Prozess zur Freigabe und Installation von
Patches?
4.
Kontrollziel: Wahrung der Vertraulichkeit und Integritt der Daten durch Verschlsselung
Risiko: Sensible Daten knnen aus der Kommunikation mitgelesen und manipuliert
werden. Daten knnen von Systemadministratoren ausgelesen werden.
4.1.
4.2.
4.3.
4.4.
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
109
110
8.2. RISIKEN
Risiken knnen sich daraus ergeben, dass die Sicherheitsempfehlungen von SAP oder andere
sicherheitsrelevante Einstellungen des Betriebssystems gem den Hinweisen des Herstellers
des Betriebssystems nicht umgesetzt sind:
Die Kennwrter der SAP-Systembenutzer, der Standard-Betriebssystembenutzer oder zustz lich eingerichteter Administratoren sind noch auf dem Standard der Auslieferung oder lassen
sich leicht erraten und ermglichen das unautorisierte Anmelden an das Betriebssystem.
Der Zugriff auf der Ebene des Betriebssystems durch Benutzer oder ber fr sie eigens
eingerichtete Benutzerfunktionen, z.B. File Transfer, ist schlecht konfiguriert und unzu reichend abgesichert.
Aufgrund von unzureichend gesetzten Zugriffsprivilegien knnen beliebige Anwender auf ein
Verzeichnis mit streng vertraulichen Informationen oder ausfhrbaren SAP-Programmen zu greifen, das ber das Netz nur fr eine bestimmte Benutzergruppe bereitgestellt sein soll.
Anmeldungen an das Betriebssystem werden nicht protokolliert und berwacht.
Das Betriebssystem hat eine bekannte Sicherheitsschwachstelle, die ein Angreifer ber
das Netz erkennen und ausnutzen kann. Dieses kann zur Offenlegung von sensiblen Daten
oder der Kompromittierung des Systems fhren.
Eine nicht autorisierte Dritt-Anwendung ist eingerichtet, die einen ungeschtzten Zugriff auf
Dateien und Anwendungen erlaubt.
Die Manipulation eines SAP-Programms oder von systemrelevanten Dateien wird nicht erkannt.
8.3. KONTROLLZIELE
Die Sicherheitsempfehlungen von SAP zur sicheren Konfiguration des Betriebssystems sind
umgesetzt.
Zustzliche Sicherheitsempfehlungen des Herstellers des Betriebssystems sind umgesetzt.
Das Betriebssystem verfgt ber alle aktuellen Sicherheitsaktualisierungen.
Die physische Sicherheit des Systems ist gewhrleistet.
Der Zugriff ber das Netz auf das Betriebssystem ist restriktiv gesetzt und sicher konfiguriert.
Network Shares sind mit restriktiven Zugriffsrechten nur fr die zugelassene Benutzergruppe
gesetzt. Sie werden auf fehlerhafte Zugriffsvergaben (Windows: EVERYONE, UNIX: weltweites
Lese- oder Schreibrecht) berwacht.
Die Funktionen zur Anmeldekontrolle, die das Betriebssystem bereitstellt, werden genutzt.
Insbesondere werden Fehlversuche bei der Anmeldung protokolliert und berwacht.
Nicht autorisierte Anwendungen und Systemdienste wurden entweder deaktiviert oder vom
System entfernt.
Die SAP-Programme und -Dateien unterliegen einem Integrittscheck.
PHYSISCHER SCHUTZ
1.
1.1.
Welche Personen haben physischen Zugang zu dem System? Sind diese Personen fr
den Zugang zu den Rechnerrumen oder Rechenzentren autorisiert?
1.2.
1.3.
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
111
112
NR.
2.
2.1.
2.2.
Welche Benutzer sind auf dem System eingerichtet? Sind neben den Standardsystembenutzern auch personenbezogene Benutzer vergeben? Welche Aufgaben haben diese
eingerichteten personenbezogenen Benutzer?
Die Benutzer root, sidadm und dbsid sollten neben wenigen Spezialsystembenutzern die einzigen Benutzer auf den Anwendungsservern und der Hauptinstanz sein.
Nach der Installation kann dbsid auf den Anwendungsservern gesperrt werden.
Hinweis: Die Standardbenutzer sind in der Systemdokumentation des Herstellers und
von SAP aufgefhrt.
2.3.
Bietet das UNIX/Linux-Betriebssystem eine shadow-Datei, in der die gehashten Passwrter gespeichert sind und auf die nur der Superuser root Zugriff hat? Ist innerhalb
der /etc/passwd bei allen Benutzern im Passwort Feld ein x eingetragen?
Fr die Speicherung der gehashten Passwrter sollte immer die separate shadow-Datei
(/etc/shadow) verwendet werden, da die Datei /etc/passwd fr alle Benutzer lesbar sein
muss. Ein x innerhalb des Passwort-Feldes der Datei /etc/passwd zeigt an, dass das
gehashte Passwort in der /etc/shadow Datei hinterlegt ist.
2.4.
2.5.
Welche Gruppen sind auf dem System eingerichtet? Sind neben den Standardgruppen
auch unternehmensspezifische Gruppennamen vergeben? Welche Benutzer sind den
unternehmensspezifischen Gruppen zugeordnet? Welche Rechte wurden den jeweiligen
Gruppen zugeordnet?
Hinweis: Die Standardgruppen sind in der Systemdokumentation des Herstellers aufgefhrt.
NR.
2.6.
2.7.
2.8.
Sind die Zugriffsprivilegien auf die SAP-Datei- und Systemverzeichnisse so gesetzt, wie
es von SAP vorgesehen ist und bei der Installation standardmig durchgefhrt wird?
Hinweis: Folgende Zugriffsprivilegien werden bei der Installation automatisch gesetzt:
2.9.
Zugriffsrecht
Besitzer
Gruppe
/sapmnt/SAPSID/exe
755
sapsidadm
sapsys
/sapmnt/SAPSID/exe/saposcol
4755
root
sapsys
/sapmnt/SAPSID/global
700
sapsidadm
sapsys
/sapmnt/SAPSID/profile
755
/usr/sap/SAPSID
751
/usr/sap/SAPSID/Instance ID
755
/usr/sap/SAPSID/Instance ID/*
750
sapsidadm
sapsys
/usr/sap/SAPSID/Instance ID/sec
700
sapsidadm
sapsys
/usr/sap/SAPSID/SYS
755
sapsidadm
sapsys
/usr/sap/SAPSID/SYS/*
755
sapsidadm
sapsys
/usr/sap/trans
775
sapsidadm
sapsys
/usr/sap/trans/*
770
sapsidadm
sapsys
/usr/sap/trans/.sapconf
755
sapsidadm
sapsys
700
sapsidadm
sapsys
700
sapsidadm
sapsys
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
113
114
NR.
2.10.
Werden SUID/SGID-Dateien berwacht, insbesondere bei der Installation neuer zustzlicher Software auf dem Betriebssystem?
Hinweis: Dateien, bei denen das SUID oder SGID Bit gesetzt ist, werden mit den Rechten
des Benutzers bzw. der Gruppe ausgefhrt, der diese Datei gehrt. Normalerweise werden
diese Bits bei Dateien verwendet, die als Superuser root ausgefhrt werden mssen, um
auf Systemressourcen, die erweiterte Berechtigungen bentigen, zuzugreifen.
Risiko: Diese Dateien sind beliebte Ziele von Angreifern, um erweiterte Privilegien,
z.B. des Superusers, zu erhalten.
NR.
3.
3.1.
3.2.
3.3.
Wird eine Firewall oder eine Paketfilterung eingesetzt, die nur autorisierten Netzwerkverkehr zulsst?
Hinweis: Eine Liste von Ports, die durch SAP-Software genutzt werden, wird von SAP
bereitgestellt. Eine zentrale, netzwerkbasierte Paketfilterung erhht die Sicherheit der
gesamten SAP-Landschaft und erleichtert die Verwaltung und Wartung der Regelwerke. SAP bietet Zertifizierungen fr Sicherheitslsungen an; eine Liste von zertifizierten
Herstellern knnen im SAP-Portal frei eingesehen werden.
3.4.
Werden zur Wartung des Systems Remote-Werkzeuge eingesetzt? Sind diese sicher
konfiguriert?
Es sollte vermieden werden, Programme/Protokolle wie ftp, telnet oder rlogin/rsh zu
verwenden, da diese die Daten unverschlsselt bertragen und somit ein Abfangen der
Daten ermglichen. Daher wird der Einsatz von sicheren Alternativen wie ssh, scp oder
sftp empfohlen.
Hinweis: Die sicherere Konfiguration des jeweiligen Dienstes kann entsprechenden
Sicherheitshandbchern entnommen werden.
3.5.
Ist das Network Information System (NIS) restriktiv und kontrolliert eingesetzt?
Risiko: NIS erlaubt es jedem UNIX-System, in einem lokalen Netzwerk mit dem Befehl
ypcat passwd die mittels NIS zentral gehaltene Passwortdatei zu lesen und zu
verwenden.
Alternative: Dieser Service wird nur innerhalb eines abgesicherten lokalen Netzwerkes eingesetzt.
NR.
3.6.
3.7.
Ist der X-Windows Service im Einsatz? Wird er tatschlich bentigt? Ist er gem den
Sicherheitsempfehlungen des UNIX/Linux-Herstellers installiert?
3.8.
NR.
4.
4.1.
Wird das System z.B. durch einen Syslog-Dienst durchgngig berwacht? Ist der
Zugriff auf die Log-Dateien restriktiv vergeben und werden die Log-Dateien revisionssicher auf einem zentralen Loghost gespeichert? Werden regelmige Auswertungen
auf verdchtige Aktivitten durchgefhrt?
Damit die durchgngige Systemfunktionalitt sichergestellt werden kann, muss das
System berwacht und bestimmte Ereignisse protokolliert werden. Da die Protokolldateien wichtige Systeminformationen und persnliche Daten enthalten knnen, muss der
Zugriff auf diese Protokolldateien eingeschrnkt werden. Nur berechtige Benutzer sollten daher Zugriff auf die Dateien erhalten. Eine Auslagerung der Protokolldateien auf
einen dedizierten Log-Server kann die Sicherheit erhhen. Betriebspersonal hat keinen
Zugriff auf die zentralen Log-Dateien. In der Praxis knnen sogenannte SIEM-Systeme
(Security Incident & Event Management Systeme) klassische Log-Hosts ersetzen. Intelligente Abfragen untersttzen dabei die Analyse von verdchtigen Vorgngen.
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
115
116
NR.
4.2.
Wird ein Back-up des Systems auf einem dedizierten Medium (separater Back-up
Server) durchgefhrt?
Ein Back-up kann einerseits dabei helfen, gelschte oder beschdigte Daten wieder
herzustellen. Andererseits kann es auch dem Abgleich mit vorhandenen Daten dienen,
um so kompromittierte Daten ausfindig zu machen. Es muss jedoch darauf geachtet
werden, dass das Back-up-Medium in einer sicheren Umgebung aufbewahrt wird,
sodass dass es gegen Manipulation geschtzt ist.
4.3.
4.4.
Gibt es eine Richtlinie, wie Daten auf stillgelegten Systemen oder von nicht mehr
verwendeten Datenmedien gelscht werden?
Werden Systeme stillgelegt bzw. Datenmedien nicht mehr verwendet, mssen die darauf
enthaltenen sensiblen Daten so gelscht werden, dass diese nicht wieder hergestellt
werden knnen. Um dieses zu erreichen, knnen sogenannte Wipe Tools eingesetzt
werden.
PHYSISCHER SCHUTZ
1.
1.1.
Welche Personen haben physischen Zugang zu dem System? Sind diese Personen fr
den Zugang zu den Rechnerrumen oder Rechenzentren autorisiert?
1.2.
Welche Manahmen wurden gegen eine physische Sabotage oder Manipulation ergriffen?
1.3.
NR.
2.
2.1.
2.2.
Werden insbesondere bei groen Systemlandschaften die SAP Systeme durch eine
separate Domne von den Unternehmensdaten getrennt?
SAP empfiehlt, zwei getrennte Domnen fr die SAP-Systeme anzulegen.
In der Unternehmens-Domne sind die Domnenbenutzer, einschlielich der
SAP-Systembenutzer, und der Unternehmens-Domnenadministrator eingerichtet.
In der davon getrennten SAP-Domne sind die SAP-System-Server, Dienste und
Administratoren eingerichtet. Dazu zhlen:
SAP-System-Anwendungsserver und -Datenbankserver
SAP-System- oder Datenbank-Dienste
SAP-Systemadministratoren
Windows-Administratoren
Administratoren der SAP-Domne
2.3.
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
117
118
NR.
2.4.
Welche Gruppen sind auf den SAP-Servern registriert (Windows-Domne)? Sind neben den Standardgruppen auch unternehmensspezifische Gruppennamen vergeben?
Welche Benutzer sind den unternehmensspezifischen Gruppen zugeordnet? Welche
Rechte wurden den jeweiligen Gruppen zugeordnet?
Es sollten keine anderen Gruppen als die Windows-Standardgruppen und die SAPSystem- und Datenbankgruppen definiert sein.
Hinweis 1: Globale Benutzergruppen sind innerhalb einer Windows-Domne gltig,
nicht nur auf einem Server.
SAP empfiehlt, die Domnenbenutzer nach Aufgaben in verschiedenen Aktivittsgruppen
zu bndeln. Der Domnenadministrator kann die Aktivittsgruppen in andere Domnen
exportieren, sodass der entsprechende Benutzer auf alle zur Verwaltung des SAPSystems erforderlichen Ressourcen zugreifen kann.
Hinweis 2: Standardmig ist die globale Gruppe fr SAP-Administratoren als
SAP_SID_GlobalAdmin definiert.
2.5.
Welche Gruppen sind auf den SAP-Servern registriert (lokaler SAP-Server)? Sind neben
den Standardgruppen auch unternehmensspezifische Gruppennamen vergeben? Welche
Benutzer sind den unternehmensspezifischen Gruppen zugeordnet? Welche Rechte
wurden den jeweiligen Gruppen zugeordnet?
Hinweis 1: Lokale Benutzergruppen (und lokale Benutzer) liegen lokal auf einem Server
vor. Bei der Installation werden Benutzerrechte lokalen Benutzern anstelle von Gruppen
zugeordnet. Z.B. erhlt der Benutzer <SID>ADM das Benutzerrecht Logon on as a service.
SAP empfiehlt, um die Benutzerverwaltung zu vereinfachen, Serverressourcen lokalen
Gruppen anstelle von einzelnen Benutzern zuzuordnen. Entsprechende globale Benutzer
und globale Gruppen knnen dann der lokalen Gruppe zugeordnet werden. Dadurch kann
besser kontrolliert werden, wer zu welcher Gruppe gehrt und welche Aufgaben er besitzt.
Hinweis 2: Standardmig ist die lokale Gruppe fr SAP-Administratoren als
SAP_SID_LocalAdmin definiert. Diese lokale Gruppe enthlt die Domnen-Gruppe
SAP_SID_GlobalAdmin.
2.6.
Welche Benutzer sind auf dem System eingerichtet? Sind neben den Standardsystembenutzern auch personenbezogene Benutzer vergeben? Welche Aufgaben haben diese
eingerichteten personenbezogenen Benutzer?
Hinweis: Die Standardbenutzer sind in der Systemdokumentation des Herstellers und
von SAP aufgefhrt.
2.7.
NR.
2.8.
2.9.
2.10.
2.11.
2.12.
2.13.
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
119
120
NR.
2.14.
2.15.
Sind die Zugriffsprivilegien auf die SAP Datei- und Systemverzeichnisse so gesetzt, wie
es von SAP vorgesehen ist und bei der Installation standardmig durchgefhrt wird?
2.16.
2.17.
NR.
3.
3.1.
Sind die Sicherheitshinweise von Microsoft zum Hrten des Systems, z.B. Hinweise
zum Deaktivieren nicht bentigter Dienste, bekannt und umgesetzt?
Hinweis: Als Referenz knnen hier die von Microsoft bereitgestellten Dokumente
Security Guide for SAP on SQL Server 2012 oder SAP Hardening and
PatchManagement Guide for Windows Server dienen.
3.2.
Wird das Betriebssystem mit den von Microsoft freigegebenen Sicherheits-Patches auf
dem neusten Stand gehalten?
3.3.
Wird eine Firewall oder eine Paketfilterung eingesetzt, die nur autorisierten Netzwerkverkehr zulsst?
Hinweis: Eine Liste von Ports, die durch SAP-Software genutzt werden, wird von SAP
bereitgestellt. Eine zentrale, netzwerkbasierte Paketfilterung erhht die Sicherheit der
gesamten SAP-Landschaft und erleichtert die Verwaltung und Wartung der Regelwerke. SAP bietet Zertifizierungen fr Sicherheitslsungen an; eine Liste von zertifizierten
Herstellern knnen im SAP-Portal frei eingesehen werden.
NR.
3.4.
3.5.
Administrative Fernzugriffe auf das Betriebssystem sind durch sichere Verfahren abzusichern, d.h., sind die Standardkennwrter durch komplexe Kennwrter ersetzt, wird
eine sichere Verschlsselung genutzt und sind Hrtungsmanahmen fr Web-Schnittstelle getroffen worden? Werden alternative Zugriffsmglichkeiten, wie z.B. Terminalserver, genutzt?
NR.
4.
4.1.
Wird das System z.B. durch einen Eventlog-Dienst durchgngig berwacht? Ist der
Zugriff auf die Log-Dateien restriktiv vergeben und werden die Log-Dateien revisionssicher auf einem zentralen Loghost gespeichert? Werden regelmige Auswertungen
auf verdchtige Aktivitten durchgefhrt?
Damit die durchgngige Systemfunktionalitt sichergestellt werden kann, muss das
System berwacht und bestimmte Ereignisse protokolliert werden. Da die Protokolldateien wichtige Systeminformationen und persnliche Daten enthalten knnen, muss der
Zugriff auf diese Protokolldateien eingeschrnkt werden. Nur berechtige Benutzer sollten daher Zugriff auf die Dateien erhalten. Eine Auslagerung der Protokolldateien auf
einen dedizierten Log-Server kann die Sicherheit erhhen. Betriebspersonal hat keinen
Zugriff auf die zentralen Log-Dateien. In der Praxis knnen sogenannte SIEM-Systeme
(Security Incident & Event Management Systeme) klassische Log-Hosts ersetzen. Intelligente Abfragen untersttzen dabei die Analyse von verdchtigen Vorgngen.
4.2.
Wird ein Backup des Systems auf einem dedizierten Medium (separater Back-upServer, Tape) durchgefhrt?
Ein Back-up kann einerseits dabei helfen, gelschte oder beschdigte Daten wieder
herzustellen. Andererseits kann es auch dem Abgleich mit vorhandenen Daten dienen,
um so kompromittierte Daten ausfindig zu machen. Es muss jedoch darauf geachtet werden, dass das Back-up-Medium in einer sicheren Umgebung aufbewahrt wird,
sodass es gegen Manipulation geschtzt ist.
4.3.
4.4.
Gibt es eine Richtlinie, wie Daten auf stillgelegten Systemen oder von nicht mehr
verwendeten Datenmedien gelscht werden?
Werden Systeme stillgelegt bzw. Datenmedien nicht mehr verwendet, mssen die darauf
enthaltenen sensiblen Daten so gelscht werden, dass diese nicht wieder hergestellt
werden knnen. Um dieses zu erreichen, knnen sogenannte Wipe Tools eingesetzt
werden.
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
121
122
9.1. ACCESS-MANAGEMENT-PROZESSE
Um ein einheitliches Verstndnis ber IT-Prozesse zu erhalten, die durch den Einsatz von SAP GRC
Access Control 10.X untersttzt werden, soll dies mit der Hilfe folgender Darstellung beschrieben
werden.
UAR
SoDR
R
E
V
I
E
W
BRM
ARA
UAM
EAM
RRec
UAR
SoDR
Role Rec
Benutzerverwaltung (UAM)
Rollenverwaltung (BRM)
Notfallbenutzerprozesse (EAM)
WF-Untersttzung
SoD Compliance
Genehmigungspflicht
Revisionshistorie
RReaf
Rep
Abbildung 1: Access-Management-Prozesse
Im Kontext des IT-Audits hat die Einfhrung von SAP GRC oder hnlichen Tools Auswirkung auf
die Benutzerverwaltung, die Rollenverwaltung und die Notfallbenutzerprozesse (Primrprozesse).
Diese knnen vollstndig ber das GRC-Tool untersttzt werden. Darber hinaus knnen diese
durch Reviewprozesse (Sekundrprozesse) untersttzt werden und gewhrleisten somit ein
Continuous Control im Access-Management. Diese Sekundrprozesse substituieren weniger,
sondern kompensieren primr die Compliance-Prozesse und sollten bei der Gesamtbeurteilung
des IKS bercksichtigt werden. Durch den vollstndigen Einsatz und der adquaten Ausprgung
der Funktionen knnen die Prozesse durch die Workflow-Untersttzung, die SoD Compliance,
die Genehmigungspflichten und Revisionshistorien wesentlich zur IKS-Optimierung beisteuern.
Relevante Komponenten/Funktionen des SAP GRC Access Control 10.X:
User Access Management (UAM)
Business Role Management (BRM)
Emergency Access Management (EAM)
Access Risk Analysis (ARA)
User Access Review (UAR)
SoD Review (SoDR)
Role Recertification (RRec)
Role Reaffirm (RReaf)
Access Risk Reporting (Rep)
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
123
124
ANFORDERUNG FR PRFUNGSHANDLUNGEN
EINFLUSSFELDER
SAP-GRC-FUNKTIONEN
Konsolidierung/
Zentralisierung von
Kontrollaktivitten
Automatisierung
von kritischen
Genehmigungs-WF
Automatische
Ermittlung von
adquaten
Genehmigern
ANFORDERUNG FR PRFUNGSHANDLUNGEN
EINFLUSSFELDER
SAP-GRC-FUNKTIONEN
Prventive
Vermeidung von
kritischen Zugriffen
(Risikoanalyse)
Zentrale
Verwaltung von
kritischen ITProzessen/Stammdaten
SAP-GRC-Komponenten
ermglichen und erfordern
eine zentrale Pflege von
Stammdaten, die Einfluss
auf die umgesetzten AccessManagement-Prozesse haben.
Hierbei geht es sowohl um die
Bereitstellung von Funktionen
(EAM-Administration) als auch
um die Aussteuerung dieser
(Workflowkonfiguration). Bei
SAP GRC ist zu beachten,
dass Einstellungen sowohl im
Netweaver Business Client als
auch im SAP Customizing (IMG)
umgesetzt werden. Whrend
das Customizing transportierbar ist, mssen Stammdaten
im NWBC pro System gepflegt
werden.
Sicherstellung
einer lckenlosen
Dokumentation
Smtliche nderungen an
Stammdaten in der NWBCUmgebung knnen systemseitig und revisionssicher protokolliert werden. Zudem knnen
teilweise auch Applikationskontrollen in Form von Pflichtfeldern hinterlegt werden, um
die Vollstndigkeit der Dokumentation zu untersttzen.
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
125
126
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
127
128
1.1
GRC
Komponente
Emergency
Access
Management
Risikoart
User Access
Management
2
Business Role
Management
3
Access Risk
Analysis
1.2
1.3
Prozess
Design
Kritische
Parameter
Kritische
Zugriffe
Teilprozess
1
Parameter
Gruppe 1
Stammdaten
Teilprozess
2
Parameter
Gruppe 2
Customizing
Teilprozess
3
Parameter
Gruppe N
Kritische
Profile
Teilbereich
4
Abbildung 2: Aufbau des GRC-Prfprogramms - risikoorientierter Prfungsansatz
1.
1.1.
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
129
130
NR.
2.
2.1.
3.
3.1.
4.
4.1.
NR.
4.2.
4.3.
5.
5.1.
EAM kann systemseitig so konfiguriert werden, dass die Kontrolleure ad hoc beim FFEinsatz per E-Mail informiert werden und zeitnah das Log zum Review erhalten. Hierfr
sind Parameter in den Konfigurationseinstellungen adquat zu setzen. Ebenfalls wird
die Funktionstrennung im EAM-Prozess systemseitig untersttzt. Siehe Konfigurationseinstellungen in Kapitel 2.4.1.2.
Hinweis: Der Versand der Logfiles zur Review durch den Kontrolleur erfolgt in
Abhngigkeit der Taktung des Batchjobs GRAC_SPM_LOG_SYNC_UPDATE. Dieser
sollte 1h nicht bersteigen.
Hinweis: Der Versand von E-Mails ist von weiteren basisrelevanten Einstellungen
abhngig, insbesondere von der SCOT-Verwaltung. Diese sollten ebenfalls beachtet
werden, sind aber unabhngig vom Workflow im GRC zu sehen.
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
131
132
PARAMETER-ID
BESCHREIBUNG
1113
Access Control
E-Mail-Absender
4000
Anwendungsart
4001
StandardFirefighterGltigkeitszeitraum
(Tage)
STANDARDWERT
BESTPRACTICEEMPFEHLUNG
KOMMENTAR
WF-BATCH
kundenspezifisch
auszuprgen
Dieser technische
Benutzer verwaltet die
GRC-Workflows und
muss entsprechend
ausreichende Berechtigungen haben.
blank
PARAMETER-ID
BESCHREIBUNG
STANDARDWERT
BESTPRACTICEEMPFEHLUNG
KOMMENTAR
4002
E-Mail sofort
senden
JA
JA
Ad hoc Benachrichtigung
des FF-Kontrolleurs,
dass betroffene FFID im
Einsatz ist.
4003
nderungsprotokoll abrufen
JA
JA
4004
Systemprotokoll
abrufen
JA
JA
4005
Revisionsprotokoll
abrufen
JA
JA
4006
BS-Befehlsprotokoll abrufen
JA
JA
4007
Benachrichtigung
fr Protokollberichtausfhrung
sofort senden
JA
JA
4008
FirefighterBenutzeranmeldebenachrichtigung
senden
JA
JA
Ad hoc Benachrichtigung
des FF-Kontrolleurs,
dass betroffene FFID im
Einsatz ist.
4009
ProtokollberichtausfhrungsBenachrichtigung
JA
JA
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
133
134
PARAMETER-ID
BESCHREIBUNG
STANDARDWERT
BESTPRACTICEEMPFEHLUNG
SAP_
GRAC_
SMP_FFID
kundenspezifisch
auszuprgen
KOMMENTAR
4010
Firefighter-IDRollenname
4012
Standardbenutzer
fr das Weiterleiten
des Revisionsprotokoll-Workflows
4013
Firefighter-ID-Verantwortlicher kann
Anforderung fr
seine FirefighterID senden
JA
NO
Sicherstellung, dass
eine Funktionstrennung im EAMProzess gewhrleistet
ist.
4014
Firefighter-ID-Verantwortlicher kann
Anforderung fr
kontrollierte Firefighter-ID senden
JA
NO
Sicherstellung, dass
eine Funktionstrennung im EAMProzess gewhrleistet
ist.
4015
NO
kundenspezifisch
auszuprgen
BERECHTIGUNGSOBJEKT
GRAC_
ASIGN
GRAC_
FFOBJ
FELDWERT
BESCHREIBUNG
MAPPING ZU RISIKO
ACTVT - 01
ACTVT - 02
ACTVT - 06
ACTVT - 70
GRAC_OWN_T FFCR
GRAC_OWN_T FFCU
GRAC_OWN_T FFID
GRAC_OWN_T FFRO
Nr. 2:
Gibt es Prozesse zur
Neuaufnahme von neuen
FFIDs und die Nominierung von adquaten Eignern (Owner/Controller)?"
ACTVT - 01
ACTVT - 02
ACTVT - 06
Nr. 4:
Welche Verantwortlichen
werden in den Nominierungsprozess mit eingebunden? Gibt es eine Plausibilitt hinter der Genehmigerermittlung?
berprfung, welcher
Mitarbeiter ber die
Rechte zur Ernennung
von FF-Ownern und
FF-Kontrolleuren verfgt,
bspw. ber die Transaktion SUIM oder via
GRC-Regelwerk.
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
135
136
BERECHTIGUNGSOBJEKT
GRAC_
FFOWN
FELDWERT
ACTVT - 01
ACTVT - 02
ACTVT - 06
ACTVT - 70
BESCHREIBUNG
Das Objekt erlaubt
die Zuordnung
Verantwortlicher zu
Firefighter-IDs.
MAPPING ZU RISIKO
Nr. 4:
Welche Verantwortlichen werden
in den Nominierungsprozess
mit eingebunden? Gibt es eine
Plausibilitt hinter der Genehmigerermittlung?
Risiko EAM_03: Wie erfolgt die
Nominierung und Benutzeranlage
der FF-Owner?
Nach der Ernennung von Mitarbeitern zu Firefighter-Verantwortlichen erfolgt die konkrete
Zuordnung derer zu Firefighter-IDs mit dieser Berechtigung.
Nur eine stark eingeschrnkte
Gruppe von Mitarbeitern darf ber
das Recht der FFID-Owner-Zuordnung verfgen, um die inadquate
Ernennung von Firefighter-Verantwortlichen zu verhindern.
Prfung, welcher Mitarbeiter ber
die Rechte zur Zuordnung von
FF-Ownern verfgt.
GRAC_
OWNER
ACTVT - 01
ACTVT - 02
ACTVT - 06
ACTVT - 70
ACTVT - 78
Nr. 4:
Welche Verantwortlichen werden
in den Nominierungsprozess
miteingebunden? Gibt es eine
Plausibilitt hinter der Genehmigerermittlung?
Nach der Ernennung von Mitarbeitern zu Firefighter-Kontrolleuren
erfolgt die konkrete Zuordnung
derer zu Firefighter-IDs mit
dieser Berechtigung. Nur eine
stark eingeschrnkte Gruppe von
Mitarbeitern darf ber das Recht
der FFID-Kontrolleur-Zuordnung
verfgen, um die inadquate
Ernennung von FirefighterKontrolleuren zu verhindern.
Prfung, welcher Mitarbeiter ber
die Rechte zur Zuordnung von
FF-Ownern verfgt.
BERECHTIGUNGSOBJEKT
S_TCODE
FELDWERT
S_TCODE
GRAC_SPM
BESCHREIBUNG
MAPPING ZU RISIKO
Die Berechtigung
erlaubt den Zugriff auf
die Firefighter-Startseite. Von hieraus
erfolgt der Absprung
mittels FFIDs auf die
angebundenen Systeme (zentralisiertes
Firefighting), sofern
der Zugriff auf die
FFID genehmigt wurde
(workflowgesteuerter
Prozess) oder die
FFID dem Benutzer
zugeordnet wurde
(manueller Prozess).
Nr. 3:
Ist der Benutzerkreis fr die
Beantragung von FFIDs entsprechend der Kritikalitt
eingeschrnkt?
Es ist eine Erhebung darber
vorzunehmen, welche Mitarbeiter
den Zugriff auf die Startseite des
Firefighter-Absprungs erhalten
haben (zentralisiertes Firefighting). Da in EAM kritische Berechtigungen vergeben werden, ist
eine beschrnkte Zuordnung des
Zugriffs sicherzustellen.
Hinweis: Allein die Berechtigung
fr die Transaktion GRAC_SPM
erlaubt noch nicht den Absprung
via Firefighter-ID, fungiert jedoch
als Indiz fr den Charakter der
Firefighter-ID-Vergabe im Unternehmen. Erhlt ein groer Anteil
der Mitarbeiter das Recht fr die
Transaktion GRAC_SPM, sind die
EAM-Prozesse im Unternehmen
zu hinterfragen.
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
137
138
6.
Beantragungsprozess
Kontrollziel: Der Zugang auf kritische Systeme oder die Auswahl der Berechtigungen
ist eingeschrnkt auf geeignetes Personal. Alternativ ist jede zu beantragende
Berechtigung systemseitig genehmigungspflichtig, um unberechtigten Zugriff zu
vermeiden.
Risiko: Unberechtigtes Personal erhlt Zugang auf kritischen Systemen, mglicherweise ber die automatische Zuordnung von Standardrollen.
6.1.
6.2.
Welche Mglichkeiten gibt es generell, Benutzer (auch technische) auf der Produktion
anzulegen? Welche Ausnahmen gibt es? Grundstzlich sollten keine Dialog-, sondern
nur noch vom GRC-System verwendete RFC-System-Benutzer evtl. noch Notfallbenutzer diese Berechtigung haben. Ausnahmen sollten dokumentiert und nachvollziehbar sein.
Prfen Sie fr das jeweilige Zielsystem (ggf. auch ber GRC mglich), welche Benutzer die
Berechtigung zur Benutzeranlage haben:
Check: Tcode SUIM > Benutzer > Benutzer nach komplexen Selektionskriterien > Benutzer
nach komplexen Selektionskriterien > S_Tcode = SU01
Hinweis: Weitere Spezifizierung der Abfrage im Falle von vorhandenen Ausnahmen
erforderlich.
NR.
7.
Kontrollziel: Der Zugang auf kritische Systeme oder die Auswahl der Berechtigungen ist
eingeschrnkt auf geeignetes Personal. Alternativ ist jede zu beantragende Berechtigung
systemseitig genehmigungspflichtig, um unberechtigten Zugriff zu vermeiden
Risiko: Unberechtigtes Personal erhlt Zugang auf das GRC-System und kann Rollen
ohne Genehmiger oder fehlerhaft beantragen.
7.1.
Wer darf Rollen fr Zielsysteme via SAP GRC beantragen? Wie ist der Zugang auf das
NWBC-Portal eingeschrnkt? Wird das Portal als Selfservice verwendet?
Check: SPRO > GRC > Access Control > Benutzererstellung > Benutzeranmeldung aktivieren.
berprfen und besprechen Sie mit dem zustndigen Administrator, ob das Selfservice fr
das GRC-Beantragungsportal aktiviert ist.
Die Einschrnkung der Antragssteller (Requester) auf geeignetes Personal reduziert die
fehlerhafte Beantragung von Rollen. Grundstzlich muss die Beantragung jedoch nicht
eingeschrnkt sein, sofern sichergestellt ist, dass jeder Antrag genehmigungspflichtig ist.
Bitte beachten Sie auch die Konfigurationsparameter fr UAM 2033. Alle Rollen fr
Anforderer zulassen. Hier kann die Rollenauswahl zustzlich eingeschrnkt werden.
8.
Berechtigungsvergabeprozess
Kontrollziel: Es ist sichergestellt, dass Benutzer ausschlielich ber ein ordnungsgemes Verfahren bereitgestellt werden. Ausnahmeprozesse sind nachvollziehbar
dokumentiert und unterliegen der Genehmigungspflicht.
Risiko: Der Zugriff auf sensible Daten ist nicht angemessen geschtzt. Die Zuordnung von
Berechtigungen an Benutzer erfolgt nicht kontrolliert und durchgehend nachvollziehbar.
8.1.
Wie ist der Genehmigungsprozess zur Rollenvergabe ber SAP GRC? Validieren Sie
Verfahrensbeschreibungen zum Provisionierungsprozess und berprfen Sie die
entsprechende Umsetzung im System.
Check: SPRO > GRC > Access Control > Workflow fr Access Control > MSMP-Workflows
bearbeiten, prfen Sie die Ausprgung der relevanten Prozess-ID (Standard: SAP_GRAC_
ACCESS_REQUEST). Achten Sie dabei auf folgende Ausprgungen:
- Schritt 1: Betroffene Regel-ID: bildet das Mapping zur zugehrigen Regel BRF+.
- Schritt 5: Pfade bearbeiten: bildet die Genehmigungsstufen und -agenten pro Pfad-ID ab.
- Aufgabeneinstellungen: Generelle Einstellungen wie die obligatorische Risikoanalyse,
Kommentierung oder Eskalation sind pro Pfad hinterlegt.
8.2.
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
139
140
NR.
9.
Genehmigungsprozess
Kontrollziel: Benutzerantrge werden durch geeignetes Personal angemessen
genehmigt. Die Genehmigungspflicht wird systemseitig sichergestellt (erzwungen).
Ausnahmen sind nachvollziehbar dokumentiert.
Risiko: Der Zugriff auf sensible Daten ist nicht angemessen geschtzt. Die Zuordnung
von Berechtigungen an Benutzer erfolgt nicht kontrolliert und durchgehend nachvollziehbar.
9.1.
9.2.
Bitte beachten Sie auch die Auswegsbedingungen (Escape Path) und den dafr hinterlegten Pfad. Dies ist insbesondere wichtig, falls Genehmiger nicht gefunden werden,
bspw. im Falle von fehlenden Rolleninhabern. Hier sollte keine automatische Provisionierung erfolgen!
Check: SPRO > GRC > Access Control > Workflow fr Access Control > MSMP-Workflows
bearbeiten, Schritt 1, Auswegsbedingungen
Beachten Sie bitte auch den Konfigurationsparameter 2038 Rollen ohne Genehmigende
automatisch genehmigen. Falls der Parameter auf Ja gesetzt ist, sollte berprft
werden, wie die Ermittlung von Genehmigern, bspw. Rolleneigner, sichergestellt wird.
Siehe auch Prfungshandlung 2.4.3.1 fr BRM.
PARAMETER-ID
BESCHREIBUNG
STANDARDWERT
BESTPRACTICEEMPFEHLUNG
KOMMENTAR
1071
Risikoanalyse fr
Formularabgabe
aktivieren
NO
JA
1072
Minderung von
kritischem Risiko
vor Genehmigung
von Anforderung
erforderlich
NO
JA
(kundenspezifisch auszuprgen)
2031
Alle Rollen fr
Genehmigenden
zulassen
JA
JA
2032
Rolleneinschrnkungsattribut des
Genehmigenden
empty
empty
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
141
142
PARAMETER ID
BESCHREIBUNG
STANDARDWERT
BESTPRACTICEEMPFEHLUNG
KOMMENTAR
2033
JA
kundenspezifisch
auszuprgen
2034
Rolleneinschrnkungsattribut des
Anforderers
empty
kundenspezifisch
auszuprgen
2038
Rollen ohne
Genehmigende
automatisch
genehmigen
JA
JA
2040
Zuordnungskommentare
bei Ablehnung
obligatorisch
NO
JA
PARAMETER-ID
BESCHREIBUNG
STANDARDWERT
BESTPRACTICEEMPFEHLUNG
KOMMENTAR
2043
BOTH
kundenspezifisch
auszuprgen
5021
Prfe Manager-ID
fr die spezifische
User-ID
JA
JA
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
143
144
FELDWERT
ACTVT 01
ACTVT 02
BESCHREIBUNG
Das Berechtigungsobjekt gewhrt mit
dieser Ausprgung auf
Aktivittsebene einem
Benutzer das Recht,
um Zugriffsantrge
zu stellen.
MAPPING ZU RISIKO
Nr. 7:
Wer darf Rollen fr Zielsysteme
via SAP GRC beantragen?
Die Beantragung von Rollen wird
durch das Berechtigungsobjekt
GRAC_REQ gesteuert.
Je nach Ausprgung
des Workflows fr
den Access Request
(SAP_GRAC_ACCESS_REQUEST) ist
die Berechtigung als
kritisch oder unkritisch
zu bewerten.
NR.
10.
10.1.
Wie ist der Gesamtprozess von der Beantragung bis zur produktiven Realisierung zur
Erstellung und nderungen von Rollen definiert. Welche Rollenpflegemglichkeiten gibt
es? Wie sind diese Mglichkeiten eingeschrnkt bzw. welche Ausnahmen gibt es hierzu?
Hinweis: Der Prozess zur Beantragung von Berechtigungen zur Rollenpflege (nicht zur
Rollenzuordnung!) erfolgt standardmig auerhalb der BRM-Komponente. Der Einsatz
von BRM beginnt mit der Rollendefinition und anschlieender technischer Ausprgung.
Im Standard kann ein Genehmigungsworkflow integriert werden, allerdings ist die Rolle
dann bereits im Backend angelegt!
Welche Zielsysteme (Rollenpflegemandanten) sind im Anwendungsbereich fr BRM
hinterlegt?
Check: SPRO > GRC > Gemeinsame Komponenteneinstellungen > Integration Framework >
Verbindungseinstellungen bearbeiten, berprfen Sie, welche Zielsysteme (Target Connector) fr das Integration Scenario Role Management ROLMG hinterlegt sind.
berprfen Sie auch die Kennzeichnung der Standard-Mandanten pro Konnektorgruppe.
Der Absprung aus BRM ist nur auf Standard-Konnektoren systemseitig mglich.
SPRO > GRC > Access Control > Zuordnung fr Aktionen und Konnektorgruppen
bearbeiten. Prfen Sie ber Standardkonnektor der Konnektorgruppe zuordnen,
welche Standardkonnektoren pro Produktionslinie definiert sind.
Welche Einstiegspunkte gibt es zur BRM-Komponente fr die Rollenerstellung (Portal/
NWBC) und wer hat darauf Zugriff? -> Verweis auf kritische Berechtigungen fr die
Rollenpflege plus Hinweis fr PFCG-Berechtigung im SAP-Backend.
berprfen Sie den Parameter 3009 und 3012, dass diese adquat gesetzt sind, sodass
Transportwege nicht umgangen werden knnen.
11.
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
145
146
NR.
11.1.
12.
NR.
12.1.
Wie ist der Genehmigungsprozesse in die Rollenpflege integriert (soweit dies ber
BRM abgebildet wird)?
berprfen Sie die Varianten der Rollenmethodologien. Grundstzlich sollte der
Genehmigungsschritt integriert sein. Prfen Sie hierfr die Methodikprozesse und
-schritte ber folgenden Pfad:
Check: SPRO > GRC > Access Control > Rollenverwaltung > Methodikprozesse und Schritte
definieren. Prfen Sie auch hier die Regel BRF+, wie oben beschrieben.
berprfen Sie den Rollengenehmigungsprozess in MSMP und entsprechende Regel BRF+
(sofern dies verwendet wird), welche Genehmigungsstufen vorhanden sind.
Check: SPRO > GRC > Access Control > Workflow fr Access Control > MSMP-Workflows
bearbeiten, prfen Sie die Prozess ID SAP_GRAC_ROLE_APPR (im Standard) oder kundeneigenen Rollengenehmigungsprozess unter Schritt 5 Pfade bearbeiten, welche Pfade,
Genehmigungsstufen und Bearbeiter hinterlegt sind. Im Standard sollte ein einstufiger
Genehmigungsprozess ber den Rolleneigner (Role Content Approver) umgesetzt sein.
Prfen Sie ebenfalls die dazugehrige Regel BRF+, sofern dies verwendet wird.
Sofern der Standard verwendet wird, prfen Sie, welche Rolleneigner im NWBC (Portal)
hinterlegt sind.
Check1: NWBC > Einrichtung > Zugriffsverantwortliche > Access-Control-Verantwortliche,
prfen Sie im ersten Schritt, welche Benutzer grundstzlich als Rollenverantwortliche
hinterlegt sind.
Check2: NWBC > Einrichtung > Zugriffsverantwortliche > Rollenverantwortliche, wie das
Mapping der Bedingungsgruppen aus BRF+ zu den Rolleneignern umgesetzt ist.
Die Genehmigerermittlung muss lckenlos und adquat sein. Voraussetzung fr die
Durchfhrung von Genehmigeraktionen ist neben der Rolleneignerpflege im NWBC
auch die Zuordnung entsprechender Rollen im GRC-Backend.
13.
13.1.
Wie werden Risiken in der Rollenpflege aufgedeckt? Ist die Risikoanalyse in die BRM
Methodik integriert? Wird systemseitig ausgeschlossen, dass risikobehaftete Rollen
fr die Benutzerzuordnung bereitstehen?
Check: SPRO > GRC > Access Control > Rollenverwaltung > Methodikprozesse und Schritte
definieren. Prfen Sie, ob es eine BRM Methodik gibt, die die Risikoanalyse nicht enthlt. Zu
beachten sind auch die Steuerungselemente ber BRF+, sofern es Methoden ohne Risikoanalysen gibt.
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
147
148
NR.
13.2.
BESCHREIBUNG
STANDARDWERT
BESTPRACTICEEMPFEHLUNG
Nein
Nein
3005
3009
JA
Nein
3010
JA
JA
3011
Risikoanalyse vor
Rollenerzeugung
ausfhren
JA
JA
3012
Rollenerzeugung fr
mehrere Systeme
zulassen
Nein
Nein
KOMMENTAR
PARAMETERID
BESCHREIBUNG
STANDARDWERT
BESTPRACTICEEMPFEHLUNG
3013
Nein
JA
3014
Rollenerzeugung mit
Berechtigungsebenenberschreitungen
zulassen
Nein
Nein
3015
Rollenerzeugung mit
kritischen Berechtigungsberschreitungen zulassen
Nein
JA
3016
Rollenerzeugung bei
Verletzung der Aktionsebene zulassen
Nein
Nein
3017
Rollenerzeugung bei
Verletzung der kritischen Aktion zulassen
Nein
JA
3018
Rollenerzeugung bei
Verletzung kritischer
Rollen/Profile
zulassen
Nein
Nein
3019
Risikoanalyseergebnis
einer Einzelrolle bei
Massenrisikoanalyse
berschreiben
Nein
JA
3020
Erinnerungsbenachrichtigung zu Rollenzertifizierung
10
kundenspezifisch
auszuprgen
KOMMENTAR
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
149
150
GRAC_
RLMM
FELDWERT
BESCHREIBUNG
MAPPING ZU RISIKO
ACTVT - 01
ACTVT - 02
ACTVT - 06
ACTVT - 70
GRAC_OWN_T
- ROLE
Nr. 10:
Wie ist der Gesamtprozess
von der Beantragung bis zur
produktiven Realisierung zur
Erstellung und nderungen
von Rollen definiert.
Nr. 11:
Welche Ausnahmeprozesse
gibt es zur Bereitstellung von
Rollen fr die Provisionierung?
Wie wird die Rollenimportfunktion verwendet? Prfen Sie
auch den Parameter 3005, ob
die Methodologie nach einem
Import/Update erzwingen wird.
ACTVT - 38
GRAC_RLMMT
- 01 (Massenrollenimport)
GRAC_RLMMT
- 02
(Massenrollenaktualisierung)
GRAC_RLMMT
- 03
(Massenrollenableitung)
GRAC_RLMMT
- 04
(Massenaktualisierung
abgeleiteter
Rollen)
GRAC_RLMMT
- 06
(Massenrollengenerierung)
BERECHTIGUNGSOBJEKT
GRAC_
ROLED
FELDWERT
BESCHREIBUNG
MAPPING ZU RISIKO
GRAC_ROLE - *
GRAC_ACTRD
- 01 (Anlage)
GRAC_ACTRD
- 02
(nderung)
GRAC_ACTRD
- 06
(Lschung)
GRAC_ACTRD
- 64
(Generieren)
GRAC_ACTRD
- V7
(Besttigen)
Das Berechtigungsobjekt
steuert die Rollenadministration im Front-End. Wird BRM
genutzt, erlaubt die Vergabe
der Feldwerte in GRAC_ACTRD
je nach Ausprgung sowohl die
Anlage als auch das Generieren
von Rollen.
Nr. 10:
Wie ist der Gesamtprozess
von der Beantragung bis
zur produktiven Realisierung zur Erstellung und
nderungen von Rollen
definiert.
GRAC_
RLMM
ACTVT - 01
(Anlegen)
ACTVT - 02
(ndern)
ACTVT - 06
(Lschen)
ACTVT - 78
(Zuordnen)
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
151
152
Damit ist ARA integraler Bestandteile der drei im Vorhinein vorgestellten Funktionen und Prozesse
der Emergency Access Managements, des User Access Managements und des Business Role
Managements. Die in den Vorkapiteln vorgestellten Prfungshandlungen beziehen damit ARA
bereits im Teil mit ein.
Die im Folgenden speziell fr ARA vorgestellten Prfungshandlungen sind technisch geprgt
und beziehen sich insbesondere auf die Prozesse der Definition, Erstellung und Verwaltung jener
Risiken, Regeln und Kontrollen, die integral fr die Benutzer- und Rollenverwaltung sind.
NR.
14.
14.1.
Jeder Mitarbeiter im GRC, der Inhaber der Rolle zur Funktionsgenehmigung ist (im
Standard: SAP_GRAC_FUNCTION_APPROVER), kann nderungen von Funktionen des
Regelwerks genehmigen. Eine solche Genehmigung hat direkte Auswirkung sowohl auf
den Rollenbau-, den Provisionierungs- als auch den Mitigierungsprozess.
Ist der Prozess des Funktionsbaus aktiviert?
Falls ja:
Wer verfgt ber die Berechtigung zur Genehmigung von Funktionsnderungen (Zuweisung einer Einzelrolle, Auflistung im Rollenkonzept)? Wer genehmigt die nderung welcher
Funktion? berprfung der Funktionsnderungsauftrge in der GRC-Anforderungsbersicht,
Prozess-ID Workflow zur Funktionsgenehmigung. Stichprobenartige berprfung der
konkreten nderungen in der nderungshistorie der Funktion selbst.
Falls nein:
Gibt es ein systemunabhngiges Verfahren fr die Beantragung von Funktionsnderungen?
Wie werden Genehmigungen nachgehalten? berprfung der Vernderungen anhand der
nderungshistorie und Abgleich mit dem systemunabhngigen Papierverfahren zur
Funktionsnderung.
Hinweis: Da es im Standard nicht mglich ist, die Funktionen einzelnen fachlichen
Experten zuzuweisen, sollte die Genehmigungsstufe bei einer zentralen ComplianceInstanz liegen. Die inhaltliche Beurteilung und Freigabe einer etwaigen Funktionsnderung muss auf anderem Wege bspw. in einem Gremium aus Fachbereich, IT und
Compliance erfolgen.
15.
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
153
154
NR.
15.1.
16.
16.1.
NR.
17.
17.1.
Jeder Mitarbeiter im GRC, der Zugriff auf die Funktion zum Download des Regelwerks
hat, kann die empfindlichen Informationen beziehen.
Erstellung einer bersicht der Mitarbeiter mit Zugriff auf die Transaktion GRAC_DOWNLOAD_RULES.
18.
18.1.
Ist der Workflow der Risiko-Mitigation aktiviert (also der Zuordnung von Mitigierenden
Kontrollen zu Risiken)?
Falls ja: Wie werden die Mitigations-Verantwortlichen ernannt (berprfung der
Kontroll-Zuordnungsauftrge in der GRC-Anforderungsbersicht, Prozess-ID Workflow
fr Kontrollzuordnungsgenehmigung, Export einer bersicht der aktuellen MitigationsVerantwortlichen)? Wie erfolgen Anlage, nderung und Review der Kontrollen bzw. Kontrollinhalte. Finden die Prfaktivitten mit einer geeigneten Frequenz statt (Registerkarte
Berichte innerhalb der Mitigierenden Kontrolle und hierin das Feld Hufigkeit in Tagen.
Der Feldwert 2 bedeutet als Beispiel, dass die Kontrolle alle 2 Tage stattfindet)?
Falls nein: Wie erfolgt die Dokumentation und Beschreibung von Mitigations-Aktivitten?
Wie erfolgt die Ernennung der Verantwortlichen? Mit welcher Frequenz werden die
Kontrollaktivitten durchgefhrt?
19.
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
155
156
NR.
19.1.
PARAMETER-ID
BESCHREIBUNG
STANDARDWERT
BESTPRACTICEEMPFEHLUNG
1001
Funktionsnderungsprotokoll aktivieren
JA
JA
1002
Risikonderungsprotokoll aktivieren
JA
JA
1003
Organisationsregelprotokoll aktivieren
JA
JA
1004
Zusatzregelprotokoll
aktivieren
JA
JA
1005
Protokoll fr kritische
Rolle aktivieren
JA
JA
1006
Protokoll fr kritisches
Profil aktivieren
JA
JA
1007
Regelwerk-nderungsprotokoll aktivieren
JA
JA
1008
Rollennderungsprotokoll aktivieren
JA
JA
KOMMENTAR
PARAMETER-ID
BESCHREIBUNG
STANDARD WERT
BESTPRACTICEEMPFEHLUNG
1011
Standardablaufzeit
fr Zuordnungen
zu mindernden
Kontrollen
(in Tagen)
365
Kundenspezifisch
auszuprgen
1012
Regel-ID auch fr
Minderungszuordnung bercksichtigen
Nein
JA
1013
System fr Minderungszuordnung
bercksichtigen
Nein
JA
1021
Organisationsregeln fr andere
Anwendungen
bercksichtigen
Nein
JA
1023
Standardberichtsart fr Risikoanalyse
1-4
1024
Standardrisikostufe
fr Risikoanalyse
Alle (*)
1025
Standardregelwerk
fr Risikoanalyse
blank
Kundenspezifisch auszuprgen
1026
Standardbenutzertyp fr Risikoanalyse
1027
Offline-Risikoanalyse aktivieren
Nein
Nein
1028
Nein
Nein
KOMMENTAR
Die Standard-Anzahl an
Tagen bis zum Ablauf
einer Risikomitigation.
Diese Anzahl kann bei
der Zuordnung berschrieben werden.
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
157
158
PARAMETER-ID
BESCHREIBUNG
STANDARD WERT
BESTPRACTICEEMPFEHLUNG
KOMMENTAR
1029
Gesperrte Benutzer
einschlieen
Nein
Nein
1030
Geminderte Risiken
einschlieen
Nein
Nein
1031
JA
JA
1032
Bei Benutzeranalyse
Referenzbenutzer
einschlieen
JA
JA
1033
Rolle/Profil-mindernde Kontrollen
in Risikoanalyse
einschlieen
JA
JA
1035
E-Mail-Benachrichtigung an berwacher
der aktualisierten
Risikominderung auf
Objektebene senden
JA
JA
1036
Alle Objekte in
der Risikoanalyse
anzeigen
Nein
JA
Diese Einstellung
bezieht sich auf die
SoD-Batch-RiskAnalyse. Zudem
werden bei der Ad-hocAnalyse alle geprften
Objekte mit angezeigt,
unabhngig vom
Ergebnis.
1037
Funktionstrennungsergnzungstabelle
fr die Analyse
verwenden.
JA
JA
1038
FF-Zuordnungen
in Risikoanalyse
bercksichtigen
JA
Nein
Mitigierte Rollen in
der Benutzeranalyse
FELDWERT
ACTVT - 16
GRAC_REP
- GRAC_SOD_
MIT_CTL_REP
BESCHREIBUNG
Die Berechtigung erlaubt das
Ausfhren des Berichts zu
SoD-Bereinigungen mittels
Mitigierenden Kontrollen im
NWBC.
Der Bericht stellt detaillierte
Informationen zur Prflogik im
Hinblick auf die Mitigation zur
Verfgung.
MAPPING ZU RISIKO
Nr. 17:
Da der Bericht sensible
Informationen darber
enthlt, welche kritischen
Berechtigungen mitigiert
werden, erlaubt der Inhalt
die Ableitung doloser Handlungen, die nicht durch
Kontrollen begleitet werden.
Der Bericht stellt detaillierte Informationen zur
Prflogik im Hinblick auf die
Mitigation zur Verfgung.
Der Zugriff auf diesen
Bericht ist entsprechend
eingeschrnkt zu vergeben.
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
159
160
BERECHTIGUNGSOBJEKT
S_TCODE
FELDWERT
GRAC_
UPLOAD_
RULES
BESCHREIBUNG
Die Berechtigung erlaubt den
Upload des Regelwerks inklusive
aller Risiken, Funktionen, Bewertungen und Feldwerte.
Fr die Pflege des Regelwerks in
Produktion gibt es grundstzlich
zwei Mglichkeiten. Entweder
erfolgt die Bearbeitung in der
Entwicklung mit anschlieendem
Transport bis in die Produktion,
oder aber die nderungen erfolgen
in der Produktion direkt durch
Nutzung des NWBCs und ggf. der
Upload-Funktion in der SPRO.
MAPPING ZU RISIKO
Nr. 16:
Mit Zugriff auf diese
Transaktion erhlt der
Mitarbeiter die Mglichkeit, den gesamten Regel-Bestand der Produktion per Knopfdruck zu
ndern oder zu lschen.
Temporr stehen hierauf
keine Regelverprobungen
zur Verfgung.
Prfung, welcher Mitarbeiter ber die Rechte
zum Zugriff auf die
Upload-Funktion verfgt.
ACTVT - 01
ACTVT - 02
ACTVT - 06
ACTVT - 16
ACTVT - 78
Nr. 14:
Mit der Berechtigung auf
die angefhrten Aktivitten zum Berechtigungsobjekt GRAC_FUNC
wird die Neuanlage und
nderung von Funktionen ermglicht. Damit
kann auf Detailebene
die Prflogik verndert
werden. Der Zugriff auf
diese Berechtigung ist
entsprechend einzuschrnken.
BERECHTIGUNGSOBJEKT
GRAC_
RISK
FELDWERT
ACTVT - 01
ACTVT - 02
ACTVT - 06
ACTVT - 16
ACTVT - 78
BESCHREIBUNG
Die Berechtigung erlaubt die Anlage und Bearbeitung von Regelwerks-Risiken im NWBC sowie die
Ernennung des Risiko-Verantwortlichen.
Ist der Workflow zur genehmigungspflichtigen nderung von Risiken
(SAP_GRAC_RISK_APPR) deaktiviert, knnen mit dieser Berechtigung Risiken in ihrer Kritikalitt, in
ihrer Zuordnung zu Regelwerken
und in ihrer Zusammensetzung aus
SoD-Funktionen verndert werden.
Bewusste Vernderungen der
Risiko-Inhalte, knnen zu Lasten
der Compliance im Hinblick auf
die implementierte Prflogik der
Provisionierungs- oder Rollenpflegeprozesse erfolgen.
GRAC_
MITC
ACTVT - 01
ACTVT - 02
ACTVT - 06
ACTVT - 16
ACTVT - 78
MAPPING ZU RISIKO
Nr. 15:
Mit der Berechtigung auf
die angefhrten Aktivitten
zum Berechtigungsobjekt
GRAC_RISK wird die Neuanlage und nderung von
Risiken ermglicht. Damit
kann auf bergeordneter
Risiko-Ebene die Prflogik
verndert werden, indem
bspw. relevante Funktionen aus einem definierten SoD-Risiko entfernt
werden. Darber hinaus
ist es mglich, alternative
Risiko-Verantwortliche
zu ernennen, unabhngig
von einem Genehmigungsprozess, sobald der
Risiko-nderungs-Workflow deaktiviert wurde. Der
Zugriff auf diese Berechtigung ist entsprechend
einzuschrnken.
Nr. 18;
Nr. 19:
Die Berechtigung fr das
Objekt GRAC_MITC erlaubt
den bearbeitenden Zugriff
auf Mitigierende Kontrollen. Sind die Workflows
fr Bearbeitung und Zuordnung von Mitigierenden
Kontrollen aktiviert, gengt
die Berechtigung zur
Durchfhrung von Anlage
und nderungen und ist im
Prozess freizugeben. Sind
die Workflows deaktiviert,
kann mit dieser Berechtigung direkt und ungeprft
die nderung der Kontrollen erfolgen.
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
161
162
BERECHTIGUNGSOBJEKT
GRAC_
ASIGN
FELDWERT
BESCHREIBUNG
ACTVT - 01
ACTVT - 02
ACTVT - 06
ACTVT - 70
GRAC_OWN_T
- MIAP
GRAC_OWN_T
- MIMO
GRAC_OWN_T
- RISK
Im NWBC knnen mit der Funktion Access Control Verantwortliche Mitarbeiter fr die Ausfhrung von Genehmigungsstufen
und Kontrollen im ARA-Umfeld
ernannt werden. Diese Ernennung
ist verpflichtend, um Mitarbeiter
als Verantwortliche den Mitigierenden Kontrollen zuzuordnen
(GRAC_OWN_T-MIAP), sie als Prfungsdurchfhrende Mitigierender
Kontrollen (GRAC_OWN_T-MIMO)
oder als Risikoverantwortliche
(GRAC_OWN_T-RISK) zuordnen zu
knnen.
MAPPING ZU RISIKO
Nr. 18:
Wie werden die Mitigations-Verantwortlichen
ernannt?
Das Berechtigungsobjekt
wird im Prozess der Zuweisung von Mitarbeitern
zur Kontrolldurchfhrung
bentigt.
FUNKTION
INHALTE
BERECHTIGUNGSOBJEKTE
ARA_1
ARA_2
GRAC_MITC
GRAC_ASIGN
BRM_1
GRAC_ROLED
BRM_2
Administrationsaufgaben, Rollenimport,
Rollenvergleich, Kontrollzuordnung
GRAC_RLMM
GRAC_MITC
GRAC_ASIGN
EAM_1
GRAC_FFOBJ
GRAC_ASIGN
GRAC_FFOWN
GRAC_OWNER
GRAC_REP
EAM_2
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
163
164
Die drei Kern-Komponenten BRM, ARA und EAM sind aus Sicht der Berechtigungsvergabe und der
Vermeidung von Funktionstrennungskonflikten inhaltlich in je zwei Funktionen zu unterscheiden.
Jedes der nun aufgefhrten Risiken ist jedoch dezidiert vor dem Hintergrund der organisatorischen
Ausgestaltung und der Verwendung der Konfigurationsparameter zu betrachten. Je nach Aussteuerung kann die Kombination dieser Funktionen zu den in nachfolgender Abbildung dargestellten
Risiken fhren:
SOD MATRIX GRC REGELWERK
ARA_1
ARA_2
BRM_2
EAM_1
Mittel
Hoch
Mittel
Hoch
Hoch
EAM_2: Administration:
Zuordnung von FF-Ownern
und Kontrolleuren, Ausfhren
der Berichts- zu SoD-Bereinigungen mittels Mitigierenden
Kontrollen
EAM_2
Hoch
BRM_1
Mittel
Mittel
Die vier wesentlichen Risiken sind auch im Hinblick auf ihr Kritikalittslevel spezifisch im Kontext
des Unternehmens zu betrachten.
NR.
LEVEL
TITEL
BESCHREIBUNG
01
Hoch
ARA-Administration
und Rollenpflege
Die direkte Bearbeitung des definierten Regelwerks und gleichzeitige Vergabe der Berechtigung zur operativen Rollenadministration erlaubt
die Manipulation der Prfroutinen zugunsten der
Implementierung mglicherweise unzulssiger
Rolleninhalte.
02
Mittel
ARA-Kontrollpflege
und Rollenpflege
Die Funktion zur Zuordnung Mitigierender Kontrollen steht neben der Benutzeradministration
auch der Rollenpflege zur Verfgung. Durch die
Zuordnung von Kontrollen werden damit Risiken
aus dem Rollenbau kompensiert. Die gemeinsame Vergabe der Berechtigungen zur Bearbeitung
und Zuordnung solcher Kontrollen einerseits und
der operativen Rollenadministration andererseits
ist eine unzulssige Funktionsberschreitung.
03
Hoch
BRM-Administration
und Rollenadministration
04
Mittel
EAM-Administration
und FirefighterEndanwender
Die gemeinsame Vergabe von Berechtigungen dieser Funktionen ist damit kritisch zu bewerten,
zu hinterfragen und in die Prfprozesse des GRCs mit einzubeziehen.
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
165
166
SAP HANA
Die zweite wesentliche architektonische nderung ist, dass die architektonische Trennung
zwischen Datenbank- und Anwendungsschicht (teilweise) aufgelst wird. Die Verarbeitung
und damit auch die Entwicklung wird zunehmend von der Anwendungs- in die DatenbankEbene verlagert, insbesondere um die Geschwindigkeitsvorteile der In-Memory-Technologie
zu nutzen. Im Rahmen des Einsatzes von HANA XS wird die Trennung nahezu komplett aufgehoben, da Anwendungs- und Datenbankserver auf einer HANA-Plattform integriert sind.
Die architektonischen nderungen haben auch entsprechende Implikationen auf die Sicherheit
der Plattform. Wie der Abbildung zuvor zu entnehmen ist, gibt es deutlich mehr Schnittstellen und
Kommunikationswege gegenber einer klassischen SAP-Datenbank. Zudem erfolgt die Entwicklung und Modellierung zunehmend direkt auf der HANA-Plattform. Gleichzeitig greifen neben den
bisher administrativ ttigen Benutzern abhngig vom Anwendungsszenario auch Entwickler oder
Anwender der Fachbereiche, also in der Summe deutlich mehr Anwender, auf die Plattform zu.
Beispielsweise ist es mglich, dass Anwender das ERP-Schema aus HANA in Excel einbinden und
mit den Daten in der lokalen Anwendung arbeiten. Um eine entsprechende Zugriffskontrolle auf
die Daten zu implementieren und bspw. zu verhindern, dass Gehaltsdaten gelesen werden knnen,
muss ein Zugriffsschutz fr die Anwender direkt in SAP HANA implementiert werden. Insgesamt
gelten in einem solchen Szenario dieselben Sicherheitsanforderungen, die bisher eher auf SAPAnwendungsebene gestellt wurden, analog fr SAP HANA. Dies betrifft insbesondere die Zugriffskontrollen, die Transportkette (Entwicklungs-, Qualittssicherungs- und Produktiv-Datenbankserver) sowie das Change-Management-Verfahren von Programmnderungen und Entwicklungen. Es
ist dringend zu empfehlen, zunchst ein Verstndnis ber Zweck und Nutzungsszenarien von SAP
HANA sowie deren Einbettung in die IT-Landschaft zu erlangen, um die beschriebenen Implikationen auf Sicherheit und Compliance zu verstehen, potenzielle Risiken zu identifizieren und daraus
den Prfungsfokus ableiten zu knnen.
10.1. RISIKEN
Standard-Datenbankbenutzer haben noch das Initialkennwort des Auslieferungsstandes des
SAP HANA Hardware Providers. Dies ermglicht auch nicht autorisierten Dritten das unbefugte
Anmelden an der Datenbank mit den bekannten Passwrtern.
Schwachstellen der Anmeldekontrolle ermglichen das unbefugte Anmelden an der Datenbank.
Bei der Rollenkonzeption werden Funktionstrennungskonflikte nicht bercksichtigt.
Endanwender erhalten unautorisierten Zugriff auf Unternehmensinformationen in SAP HANA.
Benutzer besitzen Berechtigungen fr nderungen in der Produktion.
Die Vergabe kritischer Berechtigungen erlaubt es, das interne Kontrollsystem zu umgehen.
Das Berechtigungskonzept gengt nicht den gesetzlichen und unternehmensinternen
Anforderungen.
Technische Schnittstellen-Benutzer sind unzureichend abgesichert und ermglichen
unautorisierte Zugriffe auf SAP HANA.
Die Kommunikation mit SAP HANA ist unzureichend abgesichert und erlaubt das unautorisierte
Lesen oder Manipulieren von Daten im Transfer.
Schwachstellen in der Betriebssystemkonfiguration ermglichen unautorisierte Zugriffe auf die
SAP-HANA-Server.
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
167
168
10.2. KONTROLLZIELE
Die Standard-Datenbankbenutzer sind angemessen abgesichert.
Die Funktionen zur Anmeldekontrolle sind sicher implementiert und werden regelmig
kontrolliert.
Es liegt ein formales und freigegebenes Berechtigungskonzept vor, das gesetzliche und
unternehmensinterne Vorgaben angemessen bercksichtigt.
Die Vergabe von Berechtigungen erfolgt rollen- und aufgabenspezifisch, dabei werden
wesentliche Prinzipien der Funktionstrennung und der minimalen Rechtevergabe beachtet.
Fr Anwender der Fachbereiche sind angemessene Zugriffskontrollen in SAP HANA definiert.
Benutzer haben keine Entwicklungsrechte in der Produktion. Rechte zum ndern der produktiven
Tabellen der SAP-Applikation sollten restriktiv und ausschlielich fr Performancetuning- und
Wartungszwecke vergeben werden.
Die Nutzung kritischer Berechtigungen erfolgt eingeschrnkt und angemessen.
Die Kommunikation mit SAP HANA ist verschlsselt und die Nutzung von Hashverfahren sichert
die Integritt der Daten im Transfer.
Die Schnittstellen-Benutzer sind angemessen abgesichert.
Der Zugriff auf das Betriebssystem ist sicher implementiert.
Es besteht ein ordnungsmiges und sicher implementiertes Software-nderungs- und
Entwicklungs-Verfahren.
Es besteht ein funktionierendes Datenbanksicherungs- und Disaster-Recovery-Konzept.
Es besteht ein funktionsfhiger Patch-Management-Prozess.
Sicherheitsrelevante Ereignisse werden protokolliert und berwacht. Kritische Sicherheitsverste
werden nachverfolgt.
Regelmige Sicherheits-Prfungen der Plattform identifizieren Sicherheitsschwachstellen und
leiten kompensierende Manahmen ein.
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
169
170
NR.
1.
1.1.
1.2.
Gibt es eine Verfahrensanweisung, die den Umgang mit dem SYSTEM-Benutzer regelt?
2.
2.1.
Gibt es Benutzer, die sich parallel mit unterschiedlichen Authentifizierungsmechanismen an der Datenbank anmelden knnen?
SQL> SELECT * FROM "SYS"."USERS"
WHERE LENGTH(IS_PASSWORD_ENABLED\\
IS_KERBEROS_ENABLED \\ IS_SAML_ENABLED\\IS_X509_ENABLED)<19;
Klren, wieso verschiedene Mechanismen genutzt werden.
2.2.
2.3.
Sind Kontrollen implementiert, die eine Mehrfachzuweisung der External ID fr unterschiedliche Benutzer verhindern oder zumindest erkennen?
NR.
3.
3.1.
3.2.
3.3.
4.
4.1.
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
171
172
NR.
4.2.
4.3.
4.4.
Der Benutzer muss warten, bis er sein Kennwort wieder ndern kann
(minimum_password_lifetime).
Vorschlagswert: 1, d.h. der Benutzer muss einen Tag warten, bis das Kennwort
wieder durch den Benutzer gendert werden darf.
SQL> SELECT PROPERTY, VALUE FROM M_PASSWORD_POLICY WHERE
LOWER(PROPERTY) = 'minimum_password_lifetime' AND VALUE <'1';
(Das SQL-Statement zeigt einen Versto gegen den Vorschlagswert an.)
5.
5.1.
Die maximale Anzahl der Falschanmeldungen bis zur Sperre der Benutzer ist definiert
(maximum_invalid_connect_attempts).
Vorschlagswert: Maximal 3 Passwortfehlversuche bis zur Sperre des Benutzers.
SQL> SELECT PROPERTY, VALUE FROM M_PASSWORD_POLICY WHERE
LOWER(PROPERTY) = 'maximum_invalid_connect_attempts' AND VALUE > '3';
(Das SQL-Statement zeigt einen Versto gegen den Vorschlagswert an.)
NR.
5.2.
Die automatische Freischaltung der Benutzerkennungen ist definiert und fhrt zu einer
automatischen Sperrung des Benutzers (password_lock_time).
Vorschlagswert: maximum_unused_productive_password_lifetime * 1440 Minuten
(erzwingt die faktische Sperrung des Benutzers. Entsprechend der Empfehlung in
4.3 ergibt sich ein Wert von 180*1440 = 259200 Minuten; Vorschlagswert der SAP ist
1440 Minuten, d.h., der Benutzer wird nach einem Tag entsperrt.)
SQL> SELECT PROPERTY, VALUE FROM M_PASSWORD_POLICY WHERE
LOWER(PROPERTY) = 'password_lock_time' AND VALUE > '259200';
(Das SQL-Statement zeigt einen Versto gegen den Vorschlagswert an.)
Hinweis: Aus betrieblichen Grnden kann es eine Notwendigkeit geben, den Wert
runter oder auf 0 zu setzen, um technische Benutzerverbindung im Angriffsfall nicht
zu sperren. Fehlversuche sollten ber kompensierende Kontrollen identifiziert werden.
6.
6.1.
Liegt ein formales Berechtigungskonzept fr SAP HANA oder ein Konzept, welches
SAP HANA bercksichtigt, vor?
6.2.
6.3.
6.4.
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
173
174
NR.
7.
7.1.
7.2.
Wie erfolgt der Zugriff von Benutzern auf Schema, Tabellen und Daten?
Hinweis 1: Erfolgt ein direkter Zugriff der Anwender auf die Datenbank, entstehen erweiterte Sicherheitsanforderungen. So ist sicherzustellen, dass Zugriffskontrollen definiert
sind, die den Zugriff der Anwender auf die Datenbank steuern (siehe Einfhrung Kapitel
11.4).
Hinweis 2: Endanwender sollten keine administrativen Berechtigungen (SYSTEM PRIVILEGES) und keine Berechtigung zur nderung an SAP-Anwendungsobjekten haben. Fr
den lesenden Zugriff sind in der Regel analytische Privilegien auf Views, Privilegien auf
_SYS_BI und _SYS_BIC (enthalten Metadaten und Daten ber Views) sowie grundstzliche Rechte fr das Repository notwendig.
7.3.
Wie wird der Zugriff von Administratoren auf die Datenbank gesteuert?
Hinweis: SYSTEM-Privilegien (die in der Regel mit ADMIN enden) sind Berechtigungen
fr den administrativen Zugriff auf die Datenbank. INIFILE ADMIN erlaubt beispielsweise die nderungen der wesentlichen Systemkonfigurationen. Einen generellen
lesenden Zugriff auf die Administrationskonsole ist mit der Berechtigung CATALOG
READ mglich.
NR.
7.4.
Wie erfolgt die Zugriffsteuerung fr Entwicklung, Test, Freigabe und den Transport
von nderungen in die Produktion?
Hinweis 1: Der Transport von Entwicklungsobjekten wird ber Transportartefakte
(Delivery Units) sichergestellt. Diese Objekte mssen zur Nutzung in einer Umgebung
manuell ber das HANA Studio importiert oder ber CTS+ transportiert werden. In der
Regel ist der Import auch gleichzeitig mit einer Aktivierung und damit einer Freigabe fr
die Nutzung der Objekte in der Umgebung verbunden. Zum Zeitpunkt der Erstellung des
Leitfadens hat SAP den SAP HANA Application Lifecycle Manager (HALM) fr den Transport von Entwicklungsobjekten eingefhrt. Mit Hilfe dieses Tools soll der automatische
Import der Transportartefakte zwischen zwei HANA-Systemen mglich sein. Dadurch
sollten auch die bis dato fr die Produktion notwendigen Import (REPO.IMPORT, CREATE SCENARIO) und separaten Aktivierungsrechte (REPO.ACTIVATE_IMPORTED_OBJECTS, REPO.ACTIVATE_NATIVE_OBJECTS) fr das Repository obsolet werden, da das
HALM implizit in den SYS_REPO-Benutzer wechselt und die nderungen vornimmt.
Ein ndernder Zugriff auf das Repository der produktiven Umgebung sollte somit fr
den normalen Betrieb nicht notwendig sein, wodurch sich gleichzeitig das Risiko von
unautorisierten nderungen weiter reduziert. Insofern ist zu vermuten, dass der Einsatz
des HALMs empfehlenswert ist. Inwiefern das Tool ein sicheres und ordnungsmiges
Transportwesen untersttzt, konnte jedoch zum Zeitpunkt der Erstellung des Leitfadens
nicht geprft werden.
Hinweis 2: Wesentliche Entwicklungsberechtigungen sind DEVELOPMENT (vordefinierte
SAP HANA Rolle) oder REPO.EDIT_IMPORTED_OBJECTS, REPO.EDIT_NATIVE_OBJECTS,
REPO.MAINTAIN_IMPORTED_PACKAGES und REPO.MAINTAIN_NATIVE_PACKAGES
sowie Lese-Berechtigungen in den bentigten Schemas. Benutzer zum Import und
Freigabe von Entwicklungsobjekten mssen in allen nachgelagerten Systemen angelegt
sein (auer beim Einsatz des HALM, siehe Hinweis 1). Wesentliche Berechtigungen sind
REPO.IMPORT, CREATE SCENARIO und mglicherweise noch REPO.ACTIVATE_IMPORTED_OBJECTS und REPO.ACTIVATE_NATIVE_OBJECTS fr die nachtrgliche Aktivierung
von Entwicklungsobjekten.
Hinweis 3: In SAP HANA SP8 ist es nicht mglich, den Entwickler auf dedizierte
Repository-Objekte einzuschrnken. So kann dieser sowohl Rollen als auch Schemas
anlegen, ohne ROLE ADMIN und SCHEMA ADMIN Berechtigungen zu besitzen. Entwickler sollten, damit sie sich nicht eigene Rollen erweitern knnen, auf diese keine
REPO.EDIT_*_OBJECTS und auch REPO.ACTIVATE_*_OBJECTS haben.
8.
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
175
176
NR.
8.1.
8.2.
NR.
8.3.
8.4.
8.5.
Ist die Berechtigung DEBUG und ATTACH DEBUGGER an Benutzer in der Produktion
vergeben?
Hinweis: Die Debug-Funktion sollte in der Regel nicht in der Produktion vergeben
werden. Eine zeitlich beschrnkte Verwendung von DEBUG im Produktivsystem sollte
zwingend durch den Einsatz des SAP HANA Auditing protokolliert werden.
8.6.
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
177
178
NR.
8.7.
9.
9.1.
9.2.
9.3.
Werden fr einen Notfallbenutzer ber das SAP HANA Auditing alle Ereignisse aller
Audit-Klassen zwangsprotokolliert?
9.4.
10.4. PRFPROGRAMM: SICHERE KONFIGURATION DER SCHNITT STELLEN VON SAP HANA
NR.
1.
Kontrollziel: Die Kommunikation mit den SAP-HANA-Servern ist verschlsselt und die
Nutzung von Hashverfahren sichert die Integritt der Daten im Transfer.
Risiko: Die Datenbertragung erfolgt unverschlsselt. Ein Angreifer (Man-in-theMiddle) kann die Kommunikation abhren und Passwrter abfangen und/oder
Geschftsdaten lesen und manipulieren.
1.1.
Erfolgt die Kommunikation mit unterschiedlichen Systemen (z.B. SAP HANA Studio,
Replikationsserver, Solution Manager, Business Suite, SAP BI etc.) und der SAP-HANADatenbank sowie innerhalb von HANA-Servern bspw. im Scale-Out-Szenario oder fr
HANA-Disaster-Recovery-Server verschlsselt?
Generelle Einstellung zur verschlsselten Kommunikation.
SQL> SELECT * FROM M_INIFILE_CONTENTS WHERE SECTION=communication AND
FILE_NAME=global.ini
Der Cryptoprovider kann ber den Parameter (KEY) sslcryptoprovider abgeleitet werden,
sslkeystore und ssltrustore geben den Dateinamen und Pfad fr den trust store und key
store auf der HANA appliance an. Ist der Parameter sslenforce (KEY) mit TRUE (VALUE)
gesetzt, akzeptiert SAP HANA ausschlielich verschlsselte Datenbankverbindungen.
Stichprobenprfung der Verbindungseinstellungen von Benutzern im HANA Studio und/
oder mittels einer Abfrage auf die View SYS.M_CONNECTIONS. Diese View fhrt alle
aktiven und ruhenden Verbindungen zum HANA-Server auf.
SQL> SELECT CONNECTION_TYPE, IS_ENCRYPTED, COUNT(*)
FROM "SYS"."M_CONNECTIONS"
GROUP BY CONNECTION_TYPE, IS_ENCRYPTED
ORDER BY IS_ENCRYPTED DESC
Das Ergebnis zeigt, ob und wie viele verschlsselte und unverschlsselte Verbindungen
(aktiv und ruhend) existierten.
Hinweis 1: Jegliche Verbindungen zur Datenbank und XS-Engine lassen sich beispielsweise mittels der Nutzung von OpenSSL oder CommonCrypto (TLS 1.0) verschlsseln.
Insbesondere sollten Verbindungen aus nicht vertrauenswrdigen Netzsegmenten
verschlsselt werden und solche, bei denen die Daten ein hohes Schutzniveau besitzen.
Hinweis 2: Da laut SAP ab Rev74 nur noch die CommonCrypto untersttzt wird, sollte
eine Implementierung entsprechend mit Hilfe dieser von SAP entwickelten Bibliothek
erfolgen.
1.2.
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
179
180
NR.
2.
2.1.
Unterliegt der SAPSID Benutzer, die fr die Kommunikation und den Zugriff von SAP
Anwendungen auf SAP HANA notwendig sind, Passwortkomplexittsregeln?
Hinweis: Der SAPSID Benutzer ist der technische Benutzer zum Zugriff von SAP
Anwendungen wie SAP ECC, SAP BW etc. auf die Datenbank. Die Applikationsebene
implementiert dabei die Zugriffskontrollen auf Applikationsebene. Nichtsdestotrotz
muss der SAPSID Benutzer separat in SAP HANA berechtigt werden. Eine direkte
Anmeldung mit dem Benutzer ist derzeit technisch mglich und kann nicht unterbunden werden (SAP HANA SP7).
2.2.
Erfolgt die Berechtigungsvergabe an den SAPSID Benutzer nach dem Prinzip der
minimalen Rechtevergabe?
2.3.
Welche weiteren technischen Benutzer sind zur Kommunikation mit anderen Systemen in HANA eingerichtet und welche Berechtigungen besitzen diese Benutzer?
Hinweis: Fr die Kommunikation mit anderen Systemen wie etwa dem Solution
Manager oder dem DBA Cockpit liefert SAP Standard-Rollen aus (in diesem Fall die
Rolle DBA-COCKPIT). Deren Angemessenheit sollte jedoch kritisch geprft werden, da
bspw. die Rolle DBACOCKPIT die Konfiguration der Datenbank erlaubt (INIFILE ADMIN).
Es ist mglich, eigene Rollen fr die Benutzer zu definieren. Dies gilt im brigen auch
fr den SAP-OSS-Benutzer. Eine direkte Anmeldung mit diesen Benutzern an der
Datenbank ist mglich. Seit SPS 8 steht ein neuer User Typ Restricted User, der sich
nicht direkt an der Datenbank anmelden kann, sondern nur ber HANA XS, wenn die
entsprechende XS-basierte Applikation ihm entsprechende Rollen zugewiesen hat.
Eine Prfung der Wirksamkeit dieses Mechanismus war im Rahmen der Erstellung
des Leitfadens leider nicht mglich.
1.
1.1.
1.2.
1.3.
Ist die direkte Nutzung von root und <SID>adm per ssh deaktiviert?
1.4.
Ist der Zugriff auf das HOME-Verzeichnis sowie die Dateien eingeschrnkt?
1.5.
Werden Benutzer-Kennwrter in Skripten zur automatisierten Durchfhrung administrativer Ttigkeiten im Klartext gespeichert oder wird durchgehend auf die Mechanismen
des hdbuserstore zugegriffen?
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
181
182
NR.
1.6.
1.7.
Die SAP HANA Server sind im Standard gehrtet und garantieren ein quivalentes
Schutzniveau zu den Empfehlungen von SUSE Linux (siehe Link https://www.suse.com/
documentation/sles11/singlehtml/book_hardening/book_hardening.html) bzw. den
unternehmensspezifischen Unternehmen Hrtungsregeln fr SUSE Linux?
DATENBANKMANAGEMENT
1.
1.1.
Wird die Datenbank mit von SAP freigebenden Revisionen regelmig auf dem neuesten
Stand gehalten?
1.2.
1.3.
1.4.
1.4.
Wie ist sichergestellt, dass die nderungsobjekte fr die Produktion getestet und
freigeben sind?
1.5.
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
183
184
NR.
DATENBANKMANAGEMENT
2.
2.1.
2.2.
Wie ist sichergestellt, dass keine Daten verloren gehen bzw. unvollstndige
Datensicherungen erkannt werden?
2.3.
2.4.
Werden die SAP-Mechanismen zur Datenreplikation eingesetzt, um Disaster-RecoveryFunktionalitten fr SAP HANA bereitzustellen? Sind bei der Nutzung der asynchronen
Replikation kompensierende Manahmen definiert, die die konsistente Datenbertragung sicherstellen?
Hinweis: SAP HANA untersttzt unterschiedliche Replikationsmechanismen zur Datenbertragung, die insbesondere fr den Einsatz von Disaster-Recovery-Funktionalitten
eingesetzt werden. Bei der synchronen Replikation wartet die primre Datenbank mit
der Verarbeitung auf die Verarbeitungsbesttigung der sekundren Datenbank. Im
Rahmen der asynchronen Replikation wartet die primre Datenbank nicht auf die
Verarbeitung in der sekundren Datenbank. Insofern steigt das Risiko des Datenverlustes. Dementsprechend sollten kompensierende Manahmen zur berwachung der
Replikation definiert und wirksam sein.
2.5.
2.6.
2.7.
NR.
DATENBANKMANAGEMENT
3.
3.1.
3.2.
Gibt es einen geregelten und dokumentierten Prozess zur Freigabe und Installation von
Patches?
3.3.
Gibt es einen gemeinsam geregelten und dokumentierten Prozess zur Freigabe und
Installation von Patches fr das Betriebssystem und Betriebsystem-Diensten/-Programmen zwischen dem Provider der Appliance und dem Unternehmen?
10.7. PRFPROGRAMM: BERWACHUNG VON SICHERHEITSVER LETZUNGEN UND REGELMSSIGE BERPRFUNG POTENZIELLER
SICHERHEITSSCHWACHSTELLEN DER SAP-HANA-SERVER
NR.
1.
1.1.
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
185
186
NR.
1.2.
1.3.
1.4.
1.5.
1.6.
Ist definiert und dokumentiert, was eine Sicherheitsverletzungen darstellt und wie
werden diese identifiziert?
1.7.
2.
2.1.
2.2.
Gibt es einen Prozess der regelmig die Datenbank-Server auf SicherheitsSchwachstellen und Einhaltung auf Konfigurationsvorgaben prft?
2.3.
Gibt es einen geregelten Prozess, zur Einleitung von Gegenmanahmen bei der
Identifikation von Schwachstellen oder Fehlkonfigurationen?
DSAG-PRFLEITFADEN SAP ERP 6.0 VERSION 2.0, 4. MAI 2015 DSAG e.V.
187
DSAG e.V.