Webinar: SAP GRC Access Control: Risiken bei Systemzugriffen minimieren

www.ibsolution.de © IBSolution GmbH

Webinar SAP GRC Access Control:

Risiken bei Systemzugriffen minimieren

16. Juli 2012

Natascha Unger, Nils Sibold

IBSolution GmbH

Webinar-Reihe 2012


IBSolution GmbH - Webinar-Reihe 2012

Willkommen zum Webinar „ SAP GRC Access Control“

Die Unterlagen finden Sie nach dem Webinar unter: http://www.slideshare.net/IBSolutionGmbH http://www.youtube.com/IBSolution

Weitere Webinar-Termine:

30.07.2012 // AGIMENDO.vat: Umsatzsteueridentnummern einfach überprüfen

03.09.2012 // Integrierte Unternehmensplanung mit SAP BW IP

Infos und Anmeldung über www.ibsolution.de/veranstaltungen

http://www.slideshare.net/IBSolutionGmbH


http://www.ibsolution.de/veranstaltungen


Ihre Moderatoren

Nils Sibold Chat-Moderatorin: Natascha Unger


IBSolution GmbH: Beratungsschwerpunkte

Business Intelligence

Prozess-optimierung

Technologie Beratung


IBSolution GmbH: Unsere Standorte

Nordrhein-Westfalen

Neuss

Baden-Württemberg

Heilbronn

Bayern

München

Schweiz

Zürich

Bulgarien

Sofia


IBSolution SAP GRC Access Control Expertise

Projekte seit 2007 mit 800 – 100.000 Benutzer, von der Toolauswahl bis zum globalen Rollout und Support

Unsere Kunden erzählen über ihren Erfolg in Success-Stories, Best-Practices, DSAG- und TechEd-Vorträgen

Autorenteam DSAG Best-Practive-Leitfaden GRC, Bücher der SAP Press, SDN Blogs, IT Fachmagazine

Vereinfachtes SAP Rollen Re-Design mit BMON


Chat-Funktion für Fragen / Einstellungen

Teilnehmer sind während der Präsentation stumm geschaltet

Bitte nutzen Sie für Fragen die Chat-Funktion

Zum Ende des Webinars wird gesammelt auf die Fragen eingegangen


AGENDA

1. Begrüßung und Einführung

2. Vorstellung SAP GRC Access Control 10

3. Live-Demo:

Berechtigungsantrag

Superuser

Risikoanalyse

4. Einführungsszenarien mit Compliant Identity Management

5. Diskussion


Vorstellung SAP GRC Access Control 10

16.07.2012 Seite 9

Sicherheit des Unternehmens und seiner Daten

Erfüllung interner und gesetzlicher Vorgaben

Zugriffsrisiken entdecken und minimieren

Effizienzsteigerung und Kostensenkung


Compliant Identity Management


16.07.2012 Seite 10

SAP Single Sign-On

SAP GRC Access Control

SAP Identity Management



16.07.2012 Seite 11

Risikofrei werden Risikofrei bleiben

SAP GRC Access Control

Risikoanalyse und

Bereinigung

Unternehmensweites

Rollenmanagement

Regel- und gesetztes-

konforme Vergabe von

Berechtigungen

Management von

Superuser-Berechtigungen



Risikostrukturen

16.07.2012 Seite 12

Regelwerk A „Global“

Geschäftsprozess „HR & Personalabrechnung“

Geschäftsprozess „Rechnungswesen“

Geschäftsprozess „n“

Risiko H001 Personalabrechnungsstammdaten

ändern und anschließend Personalabrechnung verarbeiten

Risiko B Benutzer kann fiktives Sachkonto anlegen und

Journalaktivitäten erzeugen

Funktion HR03: Mitarbeiterstammdaten (PA)

bearbeiten – 0008 - 0009 (Grundbezüge

und Bank)

Aktionen/Berechtigungen SAP ERP





Funktion PY04: Personalabrechnung

verarbeiten

Funktion 3: Pflege von Sachkonten-

stammsätzen

Funktion 4: Buchen von

Journaleinträgen

Funktion 5: …

Risiko C Benutzer kann …


AGENDA



3. Live-Demo:

Berechtigungsantrag

Superuser

Risikoanalyse


5. Diskussion


Zielsetzung:

Workflowgestützte Berechtigungsvergabe/-änderung unter Einhaltung der Funktionstrennung

Auszug Kernfunktionen:

Workflow zur Vergabe von Berechtigungen

Mehrstufige Freigabeprozesse

Automatische Risikoprüfung mit Hilfe der Risikoanalyse

Provisionierung an SAP Zielsysteme

Automatische Protokollierung / Historisierung

… wenn SAP NetWeaver Identity Management im Einsatz ist, kann dieses alternativ verwendet werden

16.07.2012 Seite 14 IBSolution

Berechtigungsantrag


Berechtigungsantrag

16.07.2012 Seite 15

•Neuer Benutzer für Simone Haag (SHAAG)

•Zugriff auf Rolle HR Personalstamm

bearbeiten

•Analyse für zusätzliche Rolle

Personalabrechnung bearbeiten

•Prüfung und

Genehmigung /

Abschwächung

•Anmeldung mit dem

neuen Benutzer

Szenario

•Mitarbeitereintritt im HR

für Simone Haag (SHAAG)

•Standardrollen aufgrund

org. Einordnung

Antragssteller

Andreas Wagner (AWAGNER)

Erfassung

HR Personalstamm

Kontrolleur Klaus

Schmidt (KSCHMIDT)

Vorgesetzter

Peter Mayer (PMAYER)

Anwender

Simone Haag (SHAAG)


Berechtigungsantrag

Demo

16.07.2012 Seite 16


AGENDA



3. Live-Demo:

Berechtigungsantrag

Superuser

Risikoanalyse


5. Diskussion


Zielsetzung:

Kontrollierter, temporärer Zugriff für Notfalluser mit erweiterten Berechtigungen


Kritische Berechtigungen werden dem Notfalluser zugeordnet

Automatische Benachrichtigung und Protokollierung bei Verwendung des Notfallusers

… kritische Berechtigungen werden vom Standarduser auf den Notfalluser übertragen


Superuser


Superuser

16.07.2012 Seite 33

• Antrag Superuser

für HR

Personalabrechnung

•Freischaltung des

Superusers

Szenario

• Nutzung des

Superusers auf HR

System

Antragssteller

Timo Donner (TDONNER)

•Prüfung und

Genehmigung

Vorgesetzter

Peter Mayer (PMAYER)



Kontrolleur Klaus

Schmidt (KSCHMIDT)

•Prüfung des Protokolls

• …


Superuser

Demo

16.07.2012 Seite 34


AGENDA



3. Live-Demo:

Berechtigungsantrag

Superuser

Risikoanalyse


5. Diskussion


Zielsetzung:

Analyse und Managen von Funktionstrennungskonflikten bei Berechtigungen und Benutzern


Verwaltung der Prüfungsregeln / SoD Matrix (Segregation of Duties)

Durchführung von Prüfungen

Erstellen von Berichten über Prüfverletzungen für verschiedene Zielgruppen (Management, IT, Audit, …)

Definition von Kompensationsmechanismen (Mitigation)

Alarmfunktion / Trigger beim Aufruf kritischer Transaktionen / Kombinationen


Risikoanalyse


Risikoanalyse

16.07.2012 Seite 46

•Sicherheitsberichte: Aktionsverwendung

•Zugriffs-Dashboard: Risikoüberschreitungen

nach Benutzern / Rollen

• …

Szenario

•Antragsprozesse

(Zuweisungen, Superuser,

Rollen, …)

•Angepasste Risikomatrix

(Risiken zu Funktonen und

Aktionen)

• Mitigationen

• …

SAP HCM / ERP / …

Kontrolleur

Klaus Schmidt (KSCHMIDT)

SAP GRC Access

Control

•Verwendung von kritischen

Aktionen

• Verwendung von

Superusern

• Benutzer mit

Rollenzuordnungen

• …


Risikoanalyse

16.07.2012 Seite 47

Geschäftsprozess „ HR & Personalabrechnung“

Risiko H001 Personalabrechnungsstammdaten

ändern und anschließend Personalabrechnung verarbeiten

Funktion HR03: Mitarbeiterstammdaten (PA)

bearbeiten – 0008 - 0009 (Grundbezüge

und Bank)



Funktion PY04: Personalabrechnung

verarbeiten


Risikoanalyse

Demo

16.07.2012 Seite 48


AGENDA



3. Live-Demo:

Berechtigungsantrag

Superuser

Risikoanalyse


5. Diskussion


Einführungsszenarien mit Compliant Identity Management

16.07.2012 Seite 60

• Beantragung Benutzer

und Rollenzuweisungen für

SAP & Non-SAP Systeme

Szenario

Antragssteller

Andreas Zickner (AZICKNER)

•Einholung von

Genehmigungen

Vorgesetzter / Rollenowner / …

• Abschwächung von

Risiken

Compliance Beauftragter



SAP Identity Management im IBSolution Layout:

16.07.2012 Seite 61



16.07.2012 Seite 62

Exemplarische Analyse

„Tuning“ Entscheidung Anpassungs-

bedarf

Ermittlung

Anpassungsbedarf

Risikofrei

werden

Grundlegendes Redesign

… oder …

Risikofrei

bleiben

Firefighter

Benutzerantrag

&

Identity Management Integration

… oder …

Rollenmanagement

&

Risikofrei



IBSolution Pakete

16.07.2012 Seite 63

Installation SAP BO Access Control für Risikoanalyse

Techn. Integration

SAP NetWeaver IdM

Erstellung exemplarischer,

integrierter Workflows (IdM / GRC)

Schulung und

Dokumentation

Extrakt eines

SAP ERP Systems für SAP BO Access Control

Risikoanalyse mit

Überblick der Risiken

Handlungsempfehlungen

CIM

GetClean

Workshop

CIM Basic

CIM Supportpakete Betriebsunterstützung, Remote-Support, Abrufkontingente, ...

Workshop zur Konzeption der Firefighter Workflows

Installation SAP BO Access

Control für Superuser

Einrichtung von 3 Firefighter Prozessen für SAP Systeme

Schulung und

Dokumentation

CIM

Firefighter


AGENDA



3. Live-Demo:

Berechtigungsantrag

Superuser

Risikoanalyse


5. Diskussion


IBSolution GmbH - Webinar-Reihe 2012

Vielen Dank für Ihre Teilnahme!

Die Unterlagen finden Sie nach dem Webinar unter: http://www.slideshare.net/IBSolutionGmbH http://www.youtube.com/IBSolution

Weitere Webinar-Termine:

30.07.2012 // AGIMENDO.vat: Umsatzsteueridentnummern einfach überprüfen

03.09.2012 // Integrierte Unternehmensplanung mit SAP BW IP

Infos und Anmeldung über www.ibsolution.de/veranstaltungen



http://www.ibsolution.de/veranstaltungen


IBSolution GmbH

Im Zukunftspark 8 D - 74076 Heilbronn

www.ibsolution.de