Práctica recomendada 7.1: comprenda sus categorías de usuario de SAP y los mecanismos de acceso
Los tipos de usuarios que acceden a su sistema SAP determinarán los controles de seguridad que debe aplicar. Al examinar cada caso de uso, puede desarrollar una estrategia. Esto debe incluir cómo administra las identidades, la autenticación, las herramientas y los mecanismos para respaldar esos requisitos.
Sugerencia 7.1.1: comprenda los permisos de acceso a los datos y las acciones permitidas
Los sistemas SAP a menudo contienen datos empresariales altamente confidenciales. A medida que define los tipos de usuarios, comprenda los permisos de acceso a los datos. (Por ejemplo, un usuario de una base de datos administrativa no tiene los controles pormenorizados de un usuario de la aplicación y, por lo tanto, puede ser más crítico). Consulte también [seguridad] Práctica recomendada 5.2: clasifique los datos dentro de las cargas de trabajo de SAP.
Considere las siguientes preguntas en relación con su acceso al sistema SAP:
-
¿Las medidas que toma un usuario administrativo o de servicio deben poder rastrearse hasta un individuo identificable de manera única?
-
¿En qué capa de la aplicación se otorgará el acceso?
-
¿Puede restringir el acceso a un subconjunto de funcionalidades con ayuda de permisos?
-
¿Puede restringir el acceso a un subconjunto de funcionalidades a través de otros controles, por ejemplo, exponiendo solo ciertos servicios?
-
¿Existe un requisito para auditar las medidas tomadas?
Sugerencia 7.1.2: comprenda la red o la ubicación desde la cual los usuarios accederán a los sistemas SAP
La red o la ubicación a menudo contribuyen al perfil de riesgo de seguridad y pueden determinar si el usuario se considera de confianza o no. Por lo general, esto se combina con los controles para evitar el acceso no autorizado (consulte Práctica recomendada 6.1: asegúrese de que la seguridad y la auditoría estén integradas en el diseño de la red de SAP ).
Esto puede repercutir en su diseño. Por ejemplo, un usuario o dispositivo de Internet que no sean de confianza pueden requerir factores de autenticación adicionales para acceder a su carga de trabajo de SAP, en comparación con un usuario de confianza de su red corporativa.
