Przegląd parametrów bezpieczeństwa SAP

Przegląd parametrów bezpieczeństwa SAP

Infrastruktura w obszarze przedsiębiorstw IT i rosnące zagrożenia cybernetyczne to czynniki, które bezpośrednio wpływają na bezpieczeństwo organizacji. Rosnąca liczba firm przechodzących w ostatnim czasie na pracę w trybie zdalnym lub hybrydowym sprawiła, że coraz większy nacisk kładziony jest na monitorowanie bezpieczeństwa systemów, z których korzystają użytkownicy zlokalizowani w różnych miejscach na świecie. Bezpieczeństwo centralnych systemów ERP, których przykładem jest SAP, powinno być zatem priorytetem dla wszystkich firm korzystających z opcji pracy zdalnej lub hybrydowej. Pełne zrozumienie znaczenia roli jaką odgrywa bezpieczeństwo systemu SAP jest ważne dla optymalizacji oprogramowania i wypełnienia podstawowych zobowiązań dotyczących bezpieczeństwa danych dla każdego z użytkowników.

Powszechnym sposobem na poznanie metodyki bezpieczeństwa SAP jest zapoznanie się z dokumentacją techniczną dostarczoną przez producenta. Jest to jednak często dla wielu osób proces zbyt czasochłonny, zwłaszcza w przypadku bezpośredniej styczności z SAP Security oraz terminologią bezpieczeństwa systemów SAP. Dobrą praktyką dla osób rozpoczynających pracę na systemie SAP jest poznanie najważniejszych aspektów bezpieczeństwa SAP i odpowiedzi na pytania jakie aspekty zapewniają bezpieczeństwo tego rodzaju systemu? Co dokładnie oznacza bezpieczeństwo SAP?

SAP Security & Authorizations to system, który chroni dane i aplikacje SAP przed nieautoryzowanym dostępem i użyciem. W celu zapewnienia ochrony danych, SAP zapewnia szeroki zakres kontroli bezpieczeństwa na wielu poziomach. Systemy SAP przechowują poufne informacje i dane wrażliwe dotyczące klientów oraz samej organizacji. Regularne audyty systemów SAP są niezbędne do zapewnienia integralności i bezpieczeństwa danych. Dotyczy to również procesów i rozdziału obowiązków (ang. Segregation of Duties – SoD).

Jednym z kluczowych elementów SAP Security pozwalających na ocenę aktualnego stanu systemu jest weryfikacja konfiguracji bezpieczeństwa dla obszarów dotyczących szeroko rozumianych parametrów będących składowymi BASIS oraz SAP. Konieczna jest diagnoza poziomu ich bezpieczeństwa oraz identyfikacja i eliminacja ewentualnych niedoskonałości lub wad w konfiguracji systemu. Dzięki wczesnemu wykryciu i wyeliminowaniu wadliwych elementów, każda organizacja jest przygotowana do występujących cyklicznie audytów bezpieczeństwa oraz audytu sprawozdań finansowych mających miejsce w przedsiębiorstwach opartych o system SAP.

Wspomniane wcześniej parametry bezpieczeństwa są elementami składowymi Profili systemu SAP, które odpowiedzialne są za określanie lub identyfikację jak uruchomić instancję i skonfigurować różne zmienne, które definiują sposób działania instancji SAP oraz systemu.

Wyróżnić można dwa rodzaje Profili SAP:

Profil domyślny – składa się z parametrów globalnych dotyczących wszystkich instancji w SAP.

Profil instancji – składa się z danych profilu specyficznych dla konkretnej instancji.

Terminologią oraz problematyką parametrów bezpieczeństwa SAP zajmuje się zespół SAP Security, który publikuje oficjalny dokument SAP o nazwie Security Baseline Template.

Czym tak dokładnie jest Security Baseline? Jest to zbiór dobrych praktyk, określający wymagania wstępne dotyczące bezpieczeństwa, które są zasadniczo wymagane do wszelkiego rodzaju implementacji systemu SAP w organizacji. Dokument ten stanowi punkt odniesienia bezpieczeństwa SAP w organizacji. Termin „Baseline” można zdefiniować jako warunki wstępne, które muszą zostać spełnione przed wdrożeniem systemów SAP. 

Idea stojąca za „Security Baseline” definiuje również wszystkie środki bezpieczeństwa, które są uważane za „niezbędne” bez ich dalszego analizowania wewnątrz przedsiębiorstw.

Ostatnia zaktualizowana wersja pochodzi z 16 listopada 2021 r. Dokumentacja jest regularnie aktualizowana przez autoryzowany zespół, który w określonych odstępach czasu publikuje nowe wersje.

We wcześniej wspomnianym artykule SAP Security Baseline Template, parametry sklasyfikowane zostały na 3 poziomy standardów bezpieczeństwa:

• Krytyczne
• Standardowe
• Rozszerzone

Wszystkie parametry konfiguracyjne zaproponowane w publikacji to zalecenia oparte na najlepszych praktykach, nie będących jednocześnie wiążącymi ustawieniami systemu. W zależności od indywidualnych potrzeb można dowolnie zmieniać, dodawać lub usuwać wymagania dot. parametrów bezpieczeństwa według własnego uznania. Ważnym natomiast jest, aby podejmować świadome decyzje i być uważnym na możliwość wystąpienia ryzyka i poziomu bezpieczeństwa, który może wyniknąć przy własnej interpretacji wersji „Security Baseline”. 

Warto zwrócić uwagę w szczególności na zaproponowane regulacje, które oznaczone są jako „Rozszerzone”. Wymagają one szerszego przeglądu i analizy poprawności. Wykraczają one poza wymagania krytyczne i standardowe oraz rozszerzają standardy bezpieczeństwa na wyższe poziomy ochrony lub dalsze obszary. Z tego względu mogą one nie pasować do każdego środowiska i powinny być dostosowane do wewnętrznych zasad i organizacji, ogólnego krajobrazu IT oraz potrzeb w zakresie bezpieczeństwa.

Najlepszą praktyką rekomendowaną przez zespół SAP Security jest rozpoczęcie od ustalonego, ale ograniczonego zestawu kluczowych wymagań i podnosić poziom bezpieczeństwa SAP sukcesywnie w czasie. Poczynając od wymagań krytycznych i standardowych, natomiast te rozszerzone wdrażać stopniowo w przyszłości.

Parametry bezpieczeństwa i ich wartości dotyczą różnych platform lub technologii używanych przy konfiguracji systemów SAP w przedsiębiorstwie. Jednymi z najczęściej występujących są ABAP, Java oraz HANA. Można też wyróżnić takie rozwiązania jak Web Dispatcher czy RFC Gateway.

Poniższe tabele przedstawiają zestawienie większości wspomnianych wcześniej parametrów bezpieczeństwa SAP ujętych w dokumentacji SAP Security Baseline Template (wersji 2.3).

Poszeregowane zostały ze względu na priorytet, zaczynając od krytycznych, następnie standardowych oraz rozszerzonych.

Kolumny opisują kolejno: nazwę parametru, opis parametru, poziom ryzyka, platformę/technologię, wartość domyślną oraz wartość rekomendowaną przez Security Baseline Template (SBT).

Tabela 1. Parametry krytyczne

Tabela 2. Parametry standardowe

 Tabela 3. Parametry rozszerzone

Należy pamiętać, że szeroko rozumianych parametrów w środowisku SAPa jest zdecydowanie dużo więcej i wykraczają one poza zakres omawianego materiału Security Baseline. W tym artykule skupiliśmy się głównie na tych odpowiedzialnych za szeroko rozumiane spectrum dotyczące „security” systemu.

Podsumowując, ogólna świadomość terminologii parametrów bezpieczeństwa SAP i związanych z nią podstawowych informacji jest ważnym warunkiem osiągnięcia oczekiwanego poziomu bezpieczeństwa systemu. Oczywiście, nie każdy musi być ekspertem ds. bezpieczeństwa i posiadać niezbędą z tego zakresu wiedzę, ale warto zaangażować się w procesy i śledzić na bieżąco tematy związane z SAP Security. Pozwoli to na identyfikację zagrożeń oraz ocenę, kiedy pomoc ekspertów przy weryfikacji ustawień bezpieczeństwa może być niezbędna. Ignorowanie, unikanie czy nawet próby obejścia mechanizmów bezpieczeństwa może stanowić zagrożenie dla całego środowiska SAP. Przejrzystość oraz prostota są kluczem do pomyślnego wdrożenia parametrów bezpieczeństwa.

Warto również pamiętać, że bezpieczeństwo SAP nie jest jednorazowym podejściem, a ciągłym procesem doskonalenia.

Firma SAP dostarcza również dedykowane narzędzia, które pozwalają monitorować parametry bezpieczeństwa takie jak SAP Focused Run, Enterprise Threat Detection, czy SAP Access Control. Jeżeli jesteście Państwo zainteresowani ich działaniem zapraszamy na naszą stronę www.grcadvisory.com oraz do śledzenia naszego bloga grc.ninja