SAP Security Blog

Aglea s.r.l.

• Editore: Youcanprint
• Anno: 2020
• ISBN:
  9791220311144
• Argomento: Didattica
• Categoria: Tecnologia nella didattica

Abbiamo deciso di raccogliere quanto fatto in più di un anno di lavoro sul nostro blog aziendale organizzando i contenuti, rivedendoli in alcuni casi e aggiungendo parti inedite. Che cosa accadrebbe se i nuovi assunti in tempo zero fossero abilitati a lavorare su tutti gli applicativi aziendali? Che cosa accadrebbe se il tempo che oggi passiamo a "lottare" contro qualcosa che non funziona o contro i processi non strutturati non fosse più così? Questo libro è pensato per coloro che vogliono capire quali sono le leve aziendali per fare accadere quanto sopra. Non è un libro per tutti, ma IT manager, auditor e direttori IT possono provare ad applicare alla loro realtà molti dei suggerimenti che sono frutto della nostra esperienza sulla tematica in diversi anni di lavoro. Il libro è organizzato in sezioni. Siamo partiti parlando degli aspetti di sicurezza applicativa e infrastrutturale, passando per i servizi gestiti in ambito SAP e le considerazioni dello sviluppo sicuro del codice nel contesto SAP, inoltre abbiamo affrontato il tema delle nuove tecnologie, ovvero HANA, S/4HANA, FIORI e anche gli aspetti di Robotic Process Automation e Cloud per quanto riguarda la sicurezza. Approfondisci su https://www.aglea.com/

 

 

1.1 SAP SECURITY DA
DOVE INIZIARE?

 

S pesso con questo termine si fa riferimento alla sola parte di sicurezza applicativa. Non è così. Ci sono moltissimi aspetti che non vengono solitamente considerati, vediamoli assieme e capiamo da dove conviene partire.

Ci sono molti significati dietro la parola SAP Security. Sono infatti tantissime le possibili attività riguardo a questo argomento. Ma da dove conviene iniziare per evitare di non raggiungere la vetta? Qual è la vetta da raggiungere?

Ricordati che per chi scala una montagna, raggiungere la vetta è solo il 50% del viaggio. Bisogna anche saper ritornare. Solo allora è possibile dire di aver compiuto tutto quanto il viaggio. Quando progetti il tuo sistema di gestione della sicurezza in SAP, non pensare solo alla partenza e all’arrivo ma contempla anche la continuità nel tempo delle azioni.

 

 

1.1.1 Cosa significa SAP Security?

Potremmo ipotizzare almeno tre grandi aree:

• sicurezza applicativa.

• Sicurezza infrastrutturale.

• Sicurezza degli sviluppi.

1.1.2Sicurezza applicativa

Riguarda tutti gli aspetti di sicurezza all’interno del prodotto SAP, la gestione delle utenze e dei ruoli autorizzativi al loro interno, ovvero quello che viene chiamato “Authorization Concept”, il concetto autorizzativo definito in SAP. Poniamoci delle domande.

• Come hai costruito il tuo concetto autorizzativo? Si basa sulla figura professionale?

• Hai rimosso tutti gli utenti con profili SAP_ALL?

• Hai definito un documento di linee guida Security SAP?

• Hai definito una matrice di Separazione dei compiti (SoD)?

• Hai attivato tutti i log standard che SAP mette a disposizione?

1.1.3Sicurezza infrastrutturale

Ovvero tutte quelle azioni che servono a rendere più sicura la comunicazione dei dati tra i sistemi, la crittografia dei dati (database o log per esempio). In aggiunta la fase di autenticazione ai sistemi.

• Hai un database HANA, hai attivato la crittografia?

• Gli utenti si autentificano e scambiano i dati in maniera sicura con SAP?

• Hai il controllo di tutti i servizi attivi che vengono richiamati da sistemi terzi per leggere o esportare dati da SAP?

• Hai collegato il tuo SIEM al/ai sistemi SAP?

• Applichi periodicamente le patch security SAP ai tuoi sistemi?

1.1.4Sicurezza degli sviluppi

La sicurezza applicativa si basa su quanto viene scritto nei programmi. Esistono infatti delle bestpractice di programmazione sicura che permettono di avere un concetto autorizzativo completo.

Quanto sopra può essere vero se queste linee guida di programmazione sicura sono applicate, altrimenti in alcuni casi potrebbero vanificare tutti gli aspetti di sicurezza applicativa.

Controlli che sviluppatori esterni rispettino le linee guida security SAP?

Controlli che ogni sviluppo interno rispetti le linee guida sulla sicurezza SAP?

Ciò non è affatto semplice da fare, anche se hai relativamente pochi sviluppi SAP. Ti serve un personale specializzato e con una notevole disponibilità di tempo er leggere e capire tutti i programmi a analizzare. Sicuramente tausilio di uno strumento che automatizza questi controlli può essere utile.

SAP ha creato un sistema chiamato SAP CVA Code Vulnerability Analysis per analizzare tutti gli sviluppi.

1.1.5Da dove partire?

Sono davvero moltissimi gli aspetti da controllare. Parti con un audit per avere una fotografia dello stato di salute del tuo sistema. Alcune attività possono essere sistemate facilmente, altre probabilmente richiedono uno specifico progetto.

1.2 SAP SECURITY AWARNESS, FAI SENTIRE LA TUA VOCE!

I dati sono il nuovo petrolio? È molto probabile che sia proprio così. Diventa quindi fondamentale individuare dove risiedano e la loro criticità. Una volta applicati tutti i meccanismi di protezione “standard”, ovvero l’infrastruttura e gli aspetti applicativi, risulta strategico occuparsi dell’anello più debole della catena. L’aspetto umano. Come gestire il livello 8 del modello ISO/OSI?

1.2.1 La sensibilizzazione del personale aziendale

La formazione aziendale sulle tematiche di sicurezza dei dati, spesso richiesta da alcune certificazioni ISO, non viene sempre attuata. Ci si concentra molto sugli aspetti tecnologici sottovalutando l’utente aziendale. Non parliamo di corsi tecnici per professionisti del settore, ma di corsi di “largo consumo” all’interno dell’azienda, sulla sensibilizzazione alle tematiche di sicurezza dei dati.

1.2.2 Ma quali dati sono rilevanti?

Spesso i dati sensibili, anche se largamente presenti all’interno dei sistemi informativi, non sono così facili da individuare, per esempio:

• dati relativi al personale, nel caso in cui sia presente un sistema SAP HR/HCM.

• Protezione dei documenti sensibili SAP DMS Document Management System. Per esempio, disegni tecnici (CAD) _ o allegati di documenti transazionali.

• Scontistiche clienti.

• Distinte base.

• Elenco clienti o fornitori o dipendenti.

Anche i dati personali devono essere gestiti nel modo adeguato, vedi GDPR. Approfondisci le tematiche GDPR per SAP qui sotto:

1.2.3 Come intervenire?

Sono diversi i modi per promuovere queste iniziative all’interno dell’azienda, ne citiamo alcuni:

• pubblicazione messaggi su intranet aziendale/social aziendali.

• Materiale e-learning.

• Poster o cartellonistica presente in azienda.

1.2.4 In quale momento è utile intervenire?

Nella nostra esperienza il primo momento dove conviene effettuare una sensibilizzazione alle tematiche di sicurezza è subito dopo l’assunzione, tramite un periodo di formazione specifico, ma anche durante il ciclo di vita del personale è importante tenere alta l’attenzione sull’argomento. Delle indagini survey o quiz mirati possono essere utili per capire dove ci ...

Indice dei contenuti

• Cover
• Indice
• Frontespizio
• Copyright
• 1. SAP SECURITY
• 2. SAP Security awarness, Fai sentire la tua voce!
• 3. 10KBLAZE SAP Exploit Vulnerability cosa significa?
• 4. Autorizzazioni SAP, dieci cose da non fare!
• 5. Cyber Security SAP ERP
• 6. Documentazione SAP Security
• 7. La protezione dei dati in SAP
• 8. SAP Security Patch, cosa sono e come applicarle?
• 9. Utenze di sistema con SAP_ALL, no grazie!
• 10. Data Scientist e SAP security cosa serve e come fare?
• 11. Gestione delle risorse umane e sicurezza IT
• 2. SAP AUTHORIZATION
• 2. Tre consigli pronti all’uso per ridurre i costi di gestione SAP Security!
• 3. Tre suggerimenti sulla sicurezza delle stampanti in SAP
• 4. Come superare il limite dei 312 profili di SAP
• 5. Consulenti con accesso in produzione? Cinque azioni da ricordare! ..
• 6. Cinque domande ricorrenti nei progetti di SAP Security Governance
• 7. SAP Mail, in SAP tutti leggono le mail di chiunque?
• 8. PFCG SAP: cinque cose che non conosci su questa transazione
• 9. S_TABU_NAM S_TABU_DIS in SAP
• 10. SAP_ALL in sola visualizzazione esiste?
• 11. SAP Dynamic Authorization Management
• 12. SAP Userid naming convention
• 13. Tabelle, Ruoli, Profili e Autorizzazioni SAP
• 14. Transazioni ruoli SAP (e Security Manager)
• 15. SAP Security Authorization per progetti? No grazie!
• 16. Dieci suggerimenti per il ticket management system!
• 17. SU53 In azienda? Cos’è e come farla utilizzare?
• 18. SAP AMS come prepararsi?
• 3. SVILUPPO SICURO DEL CODICE
• 1. Tre azioni da fare senza costi per lo sviluppo sicuro del codice
• 2. Secure coding ABAP: dieci regole per lo sviluppo sicuro in SAP
• 3. Sviluppatore SAP, come controllare la sicurezza del codice ABAP?...
• 4. Sviluppatori SAP: meglio un team di sviluppo interno o esterno?
• 4. SAP HANA
• 1. SAP HANA Security: quattro suggerimenti operativi
• 2. Cosa sono i SAP HANA Roles?
• 5. SAP FIORI AUTHORIZATION
• 1. Stai utilizzando o devi implementare il sistema SAP FIORI?
• 6. SAP S/4HANA
• 1. SAP HANA Security, HANA o S/4HANA, migrazione o installazione?
• 2. SAP Business Roles: cosa sono?
• 7. SAP RPA
• 1. RPA Robotic Process Automation - RPA SAP Security
• 2. SAP Cloud Identity Access Governance
• 3. SAP Cloud Security
• 8. SAP IDENTITY MANAGEMENT SYTEM
• 1. Perché scegliere un sistema di Identity Management?
• 2. Come scegliere un Identity and Access Management
• 9. SAP AUDIT
• 1. Cosa fare dopo un audit o vulnerabiliy assessment?
• 2. Audit dei sistemi (sicurezza del mandante SAP)
• 3. SAP Audit: tabella TVARV
• 10. SAP GRC
• 1. Documentazione SAP GRC, dove e quale?
• 2. Sei suggerimenti prima di installare SAP GRC Access Control
• 3. Dieci cose da NON fare se hai SAP GRC
• 4. Dieci suggerimenti dopo aver installato SAP GRC
• 5. SAP GRC 12, upgrade
• 6. SAP GRC mail, cosa fare?
• 7. Matrice SoD GRC Ruleset
• 8. Rischio e violazione nella gestione della SoD sono sinonimi?
• 9. Per gestire una super user in SAP serve SAP GRC?
• 10. SAP Emergency Access Management - Audit, cosa guardare?
• 11. Quanti e quali workflow definire in SAP GRC Access Control?
• 12. SAP GRC Access Control Tables
• 11. SAP COMPLIANCE
• 1. Cinque motivi (SAP Security) per avere un sistema di test aggiornato
• 2. SAP Data Scrambling
• 3. Come esportare dati da SAP?
• 4. SAP Field Masking
• 5. SAP Data Loss Prevention, cosa fare?
• 6. SAP Query Security
• 7. Corso GDPR - General Data Protection Regulation
• 8. Sei controlli che il Data Protection Officer deve fare in SAP
• 9. Come la Segregation of Duties ti aiuta a proteggere i dati aziendali?.
• 10. Come definire una matrice SOD?
• 11. Quali sono gli owner nell’area Governance e Security?
• 12. Password SAP, quali sono le nuove direttive?
• 13. SAP Password Policy
• 14. SAP User Management: password, cinque spunti di riflessione
• 15. SAP Internal Audit, le transazioni da avere!
• 16. SAP Security Guidelines
• 17. Licenze SAP, come ottimizzare i costi?
• 18. SAP Security Gamification
• 19. SAP Activate cosa significa?
• 20. Sondaggi SAP Security e Auditing, ne hai mai fatti?
• 12. PROGETTARE PER CONTROLLARE
• 1. Cosa puoi fare ora
• Chi sono gli autori?
• Chi è Aglea e cosa può fare per le aziende?