Pruebe con la segregación de funciones , SailPoint o la revisión del acceso a Oracle ERP Cloud.
SafePaaS gestiona la segregación de funciones, el acceso privilegiado y los cambios de configuración dentro de SAP ECC y S/4HANA, leyendo sus roles, perfiles, objetos de autorización y códigos de transacción, y probando la política en función de ellos.
Dentro de SAP ECC y S/4HANA, no al margen: se aplican las mismas reglas que rigen todos los demás sistemas que usted utiliza.
| Área | Lee | Controla | Monitores |
|---|---|---|---|
| Acceso y segregación de funciones | Roles, roles compuestos, perfiles, objetos de autorización, valores de campo, códigos de transacción y asignaciones de usuario. | Reglas SoD a nivel de objeto y código de transacción; prevención en tiempo de solicitud; simulación de roles antes de aplicar un cambio; ID de bombero para acceso de emergencia | Nuevos conflictos introducidos por un cambio de rol, asignaciones caducadas y privilegios permanentes como SAP_ALL. |
| Transacción y configuración | Documentos contabilizados, documentos de cambio (CDHDR / CDPOS), datos maestros de proveedores y clientes, grupos de tolerancia y estrategias de liberación. | Política sobre la configuración que controla el dinero: condiciones de pago, grupos de tolerancia, configuración del código de la empresa. | Pagos duplicados, división de umbrales, cambio de datos bancarios seguido de una ejecución de pagos y desviación de la configuración respecto a la línea base. |
| Auditoría, riesgo y cumplimiento | Resultados de las pruebas de control, excepciones, aprobaciones y el conjunto de reglas SAP versionadas | Un control SAP mapeado a SOX, ITGC y política interna; excepciones con un propietario y una fecha de vencimiento. | Estado de las pruebas con respecto a cada control SAP y excepciones próximas a caducar. |
| Identidad 360: Seguro Nacional de Salud e IA | Usuarios de diálogo, servicio, sistema, comunicación y RFC, además de los agentes que actúan en nombre de un usuario. | La misma política de separación de funciones se aplicó a las identidades no humanas y a los agentes de IA que a las personas. | Autorización permanente que poseen las integraciones no supervisadas y lo que cada identidad no humana puede hacer realmente. |
SafePaaS interpreta el modelo de seguridad de SAP tal como lo define SAP. A cada usuario se le asignan roles; cada rol incluye perfiles; cada perfil otorga objetos de autorización; cada objeto se califica mediante valores de campo que incluyen la actividad y el nivel organizativo. Los códigos de transacción se verifican con los mismos objetos mediante S_TCODE.
Solo las dos últimas capas indican qué puede hacer un usuario y dónde. Todo lo que está por encima de ellas es un contenedor.
Los datos de autorización de un rol se pueden editar en PFCG y su perfil se puede regenerar mientras que la capa 2 conserva su nombre y la capa 5 difiere con cada asignación. Por eso, SafePaaS prueba la instantánea en lugar de la lista de roles.
Cada una de estas combinaciones no se revela en el nombre del rol, razón por la cual sobrevive a una revisión de acceso y aparece en una auditoría.
Un usuario que puede registrar un asiento contable y aprobar la ejecución del pago en el mismo código de empresa.
Las actividades F_BKPF_BUK 01 y F_REGU_BUK 21, otorgadas a través de dos roles diferentes, entran en conflicto en el código de empresa 1000. Ninguno de los nombres de los roles lo sugiere.
Los datos bancarios de un proveedor fueron modificados y luego pagados por la misma persona.
El cambio de datos maestros se encuentra en CDHDR y el pago en el documento contabilizado. Ninguna regla de acceso ve la secuencia; solo la monitorización de transacciones lo hace.
Un conflicto subsanado reintroducido por un cambio de rol
El rol conserva su nombre mientras se amplían sus datos de autorización en PFCG y se regenera su perfil. Enterprise Roles Manager simula el cambio antes de implementarlo.
Un usuario RFC o de lote que posee SAP_ALL que ningún proceso de incorporación, traslado o salida revisa jamás.
Permanecer con privilegios en una cuenta sin propietario, funcionando sin supervisión entre sistemas, invisible para una revisión de acceso basada en personas.
SafePaaS Enterprise Access Monitor prueba las reglas de segregación de funciones (SoD) comparándolas con una instantánea ERP de su modelo de seguridad SAP (roles, perfiles, objetos de autorización y códigos de transacción), y Enterprise iAccess evita la siguiente infracción en el momento de la solicitud.
Módulos Monitor de acceso empresarial iAccess empresarial Administrador de roles empresarialesSafePaaS MonitorPaaS supervisa lo que realmente sucedió en SAP (el documento publicado, los datos bancarios del proveedor modificados, la tolerancia alterada) en lugar de solo quién pudo haberlo hecho.
Módulos MonitorearPaaSSafePaaS y ARCPaaS transforman la actividad de control de SAP en la evidencia que solicita un auditor (la regla, la prueba, el resultado, la excepción y su aprobación) sin que nadie tenga que elaborar una hoja de cálculo.
Módulos ARCPaaSSafePaaS Identity 360 — SafeInsight y SafeIQ — abarca todas las identidades con acceso a SAP, incluidos los usuarios RFC, las cuentas por lotes, los usuarios de interfaz y los agentes de IA que tienen autorización permanente y nunca aparecen en un proceso de incorporación, traslado y baja.
Módulos SafeInsight SafeIQUn único complemento SafePaaS se integra en la pila SAP ABAP. Recopila el modelo de seguridad y los datos de transacción dentro de SAP y los envía a través de DataProbe.
Dado que cada módulo de gobernanza prueba la instantánea en lugar del sistema en funcionamiento, el mismo conjunto de reglas se aplica a SAP ECC, S/4HANA y a cualquier sistema que no sea de SAP en el mismo proceso.
No, y ese es precisamente el objetivo de la gobernanza de identidades federadas. Lo que su plataforma de identidades no puede ver es qué permisos otorga un rol una vez que el usuario está dentro de SAP, porque el objeto de autorización no es un concepto de identidad.
Por lo tanto, una certificación en su IGA refleja el derecho en lugar del nombre del rol, y una solicitud de acceso se verifica para detectar la segregación de funciones antes de ser aprobada.
SafePaaS puede reemplazar SAP GRC Access Control o funcionar en paralelo. La diferencia radica en el alcance: SAP GRC gestiona SAP, mientras que SafePaaS aplica un único conjunto de reglas a SAP y a los sistemas que no son de SAP en el mismo proceso. De esta forma, se detecta un conflicto entre una tarea de Ariba y una de SAP ECC, en lugar de que este conflicto quede entre dos herramientas.
Una demostración práctica en un entorno de demostración, con un especialista de SAP que podrá relacionar lo que usted ve con las funciones, la estructura organizativa y la presión de auditoría a la que se enfrenta realmente.
