SAP Berechtigungen – Überblick HCM Berechtigungskonzepte
WARUM ACCESS CONTROL
Der Prozess der Benutzerverwaltung, also Benutzeranlage, -änderung und -deaktivierung sollte einerseits in schriftlich dokumentierter Form, entweder als eigenes Dokument oder als Teil des schriftlich dokumentierten Berechtigungskonzepts, vorliegen und andererseits auch gemäß der Dokumentation durchgeführt werden. Daher ist ein Abgleich auf zwei Ebenen vorzunehmen, einerseits sollte sichergestellt werden, dass die Dokumentation aktuell ist und andererseits sollte überprüft werden, ob der Prozess im zu prüfenden Wirtschaftsjahr auch eingehalten wurde. Mögliche Abweichungen sollten bereits argumentativ vorbereitet werden, es können immer Sonderfälle auftreten, die vom eigentlichen Prozess abweichen. Diese sind jedoch nachvollziehbar zu dokumentieren, damit ein externer Prüfer, wie es eben der IT-Prüfer des Wirtschaftsprüfers ist, verplausibilisieren kann. Sämtliche Dokumentationen sollten mit den wesentlichen Informationen (Ersteller, Datum, Version, etc.) versehen werden und in einem nicht veränderbaren Format (in der Regel PDF) vorliegen. Weitere Unterlagen können auch aus dem Ticket-System ausgegeben werden, sofern der Prozess durchgängig über das Ticketsystem dokumentiert ist.
Nun ist das SAP-System grundsätzlich dazu in der Lage, E-Mails zu verschlüsseln. Allerdings fehlt dem System noch der Public Key des Empfängers. Die erforderlichen Public-Key-Informationen verwalten Sie im Adressbuch des Trust Managers. Sie finden das Adressbuch im Menü der Transaktion STRUST unter Zertifikat > Adressbuch. Hier können Sie einzelnen Zertifikate importieren, indem Sie unter Zertifikat > Zertifikat importieren das entsprechende Zertifikat selektieren. Um nun die Zertifikate für alle relevanten Benutzer über einen Massenimport in dieses Adressbuch hineinzubekommen, nutzen Sie am besten das im SAP-Hinweis 1750161 angehängte Beispielprogramm Z_IMPORT_CERTIFICATES als Vorlage für ein kundeneigenes Programm.
Aktivitätslevel
So können Sie nach der Auswertung alle SAP-Hinweise mit dem Status zu implementieren selektieren und direkt in den Note Assistant (Transaktion SNOTE) des angeschlossenen Systems laden. Dies ist nur für ein Entwicklungssystem möglich und wenn der SAP Solution Manager eine entsprechende RFC-Verbindung zum angeschlossenen System nutzen kann. Auch sollten Sie die Sicherheitshinweise berücksichtigen, die Anwendungen betreffen, die zwar auf Ihrem System installiert sind, die Sie aber nicht produktiv nutzen. Denn auch diese Sicherheitslücken können für einen Angriff genutzt werden.
Ebenso können neben einer gesetzlichen Veröffentlichung der Bilanz und GuV (Gewinn- und Verlustrechnung) auch interne Auswertungen erstellt werden. SAP FI verfügt über direkte Schnittstellen zu anderen Modulen, wie z.B. HR oder SD. Für die Internetfreigabe von Reports ist es nötig, dass für den jeweiligen Report eine Berechtigungsgruppe gepflegt wurde.
Für die Zuweisung vorhandener Rollen erfordern die regulären Berechtigungs-Workflows ein gewisses Minimum an Durchlaufzeiten, und nicht jeder Genehmiger steht zu jeder Zeit bei jedem Go-Live zur Verfügung. Mit "Shortcut for SAP systems" stehen Ihnen Möglichkeiten zur Verfügung, dringend benötigte Berechtigungen dennoch zuzuweisen und Ihren Go-Live zusätzlich abzusichern.
Es werden alle Objektfelder und deren Werte aufgezeichnet während der Prüfung der Berechtigungsobjekten.
Das Setzen des Modifikationsflags, das zur Bestimmung der abzugleichenden Vorschlagswerte verwendet wird, ist ungenau.