¿Estás tranquilo con el informe de la seguridad SAP que sus Auditores Externos le entregan?

Es habitual que las decisiones de inversión y de desarrollo de proyectos de mejora en la seguridad del Sistema SAP se fundamenten con la severidad en las observaciones que entregan los Auditores Externos en sus revisiones.

A lo anterior se una la general subvaloración del nivel ejecutivo a las observaciones de los auditores, por lo que es de alta probabilidad que la inacción sobre la seguridad se la misma de siempre.

El trabajo de campo de los auditores es realizado por profesionales de nivel junior o trainee, con una escasa supervisión del nivel senior. Los auditores siguen sus plantillas de trabajo, sin tener muchas veces real conocimiento y experiencia para detectar los riesgos presentes.

Independiente del juicio anterior, cito a modo de ejemplo, algunos problemas graves que los auditores desconocen y escasamente podrían identificar:

• Detección de perfiles zombies, que corresponde a roles que, ya no estando asignados a un usuario, los perfiles siguen entregando accesos, que muchas veces son usados por el usuario en forma desautorizada.
• Detección Roles con transacciones genéricas y uso de éstas
• Roles de nomenclatura de visualización, sin embargo, con privilegios de creación y/o de modificación.
• Transacciones críticas usadas desde distintos terminales, por usuarios que comparten cuentas.
• Cuentas no usadas por períodos prolongados (usuarios con licencia, en vacaciones, por ejemplo), sin embargo, tiene usos esporádicos no autorizados.

Ciertamente que son situaciones complejas. Pero casos complejos requieren de soluciones que sean capaces de enfrentarlas.

Nuestra experiencia de más de 25 años en el sistema SAP y en su seguridad, nos permiten entregar soluciones basadas en nuestro producto de software CentinelBox y servicios profesionales, que junto con la detección de riesgos como los indicados, cuenta con once procesos para la remediación automática de roles.