Continuando con los pasos que se habían detallado previamente, seguimos con los puntos a verificar en una auditoría:
6- Verificar que los permisos para trabajar con órdenes de transporte, tareas, y pasajes entre ambientes, estén asignados a las personas que deben cumplir los respectivos roles y que se cumpla la segregación de funciones. Verificar el objeto S_TRANSPRT, y los permisos a las transacciones SE09, SE10, STMS, etc (Ver este link sobre el sistema de transporte, y detalles sobre los objetos de autorización en este link)
7- Verificar que los programas Z (customizados) posean los authority check que requiramos. Esta búsqueda se puede realizar facilmente a través del programa RSABAPSC ejecutado desde la transacción SA38.
8- Revisar los parámetros definidos en el perfil de instancia (a través del reporte RSPARAM (SA38), o la transacción RZ11. (Más info)
9- Verificar todos los usuarios que posean permisos para desarrollar en ambientes productivos (Objeto S_DEVELOP con actividades 01, 02 o 06), y que también dispongan de la transacción SE38
10- Verificar que los permisos de debug con modificación de variables no estén asignados en un ambiente productivo (S_DEVELOP, actividade 02 y tipo de objeto DEBUG) (Más info…)
11- Ejecución de Querys, verificarlo revisando qué usuarios pueden ejecutar la transacción SQ01 y el objeto S_QUERY con 02 o 23.
En un próximo post seguiremos profundizando con el programa de auditoría que venimos elaborando en este blog.
Tags: auditoría., Control, SAP, Seguridad
Muy útil esto de la auditoria de sistemas SAP.
Además encontré mucha información en este blog de interes para mí que soy un novato en esto del mudo SAP
grax!!!
Excelente información yo tambien soy junior y me encanto este blog de verdad
mil gracias =)
y felicidades por saber tanto
Excelente esta nota, muy bueno así como toda la Info que encontré en el mismo.
Muchas gracias
Buen material, esperamos mas !!
La información existente es muy util, tienes un listado o esquema de las transacciones que por control interno no deberia tener un mismo usuario asignado.
Estoy recorriendio websites con artículos varios de SAP, y este me pareció excelente. Les dejo otro sitio donde poestean cosas muy buenas:
http://www.teknodatips.com.ar
Buen dia, gracias por la información, en realidad muy util para nosotros, queria hacer una consulta por si alguién me pueda ayudar, estamos teniendo unas observaciones en nuestra auditoria y quiseira compartir con uds para ver donde tengo que modificar los roles:
1) Existen usuarios con acceso a Workflow administrativo, estos acceso deben ser restringidos solo a administradores.
2) Existen usuarios con acceso a ejecutar comandos a la base de datos a través del comando “RSDD_EXEC_SQL”.
3) Existen usuarios con accesos a funciones remotas “RFC”, con lo existe la posibilidad de que un usuario no autorizado pueda acceder a información del ERP
Agradecido desde ya por leer esto y tratar de ayudarme.