SAP系统企业内部安全审计介绍

引言

 SAP ERP系统安全审计，对于企业来说，主要分为内部审计和外部审计两部分。而SAP内部审计分为用户安全审计和系统安全两大类，本文主要就SAP内部安全的审计方法给予浅析。

关键字：SAP 安全、SAP 日志、SAP 监控、SAP 权限审计

一、用户权限

 SAP系统主要通过ROLE，PROFILE两种方式来进行权限的管理控制，其中系统在安装初始阶段就已经包括了一些已经被系统定义好的重要的角色与参数文件，这些角色与参数文件一旦被分配，所持有者就可以对系统内部作出相应的管理操作，当然就会对整个系统产生非常大危险性，所以我们一定要在开始就得慎用，并且设定符合自身的管理规则。

首先列出应注意使用的参数文件：

对于以上的参数文件请按照以下控制策略进行恰当的使用：

尽量少的减少管理员与超级用户个数。

参照想要实现的权限功能尽可能的复制新的参数文件，进行控制调整，避免使用原始参数文件所带来的控制漏洞。

对管理员，业务人员，开发人员进行权限分类，避免混用权限角色与参数文件，必须遵守由业务部门跟审计部门共同制定的权限制度，避免冗余的CCA（职责不相容）出现。

在SAP安装完毕后，也会有几个特殊的用户，在系统安装设置阶段，都要完成特殊的功用，那么我们在设置阶段结束后，一定要妥善的管理者几个用户：

控制策略：

通过设定参数login/no_automatic_usr_sapstar =0，此时运用SE38 运行程序RSUSR003查看上述用户的初始密码，更改所有密码。

通过SUIM审核是否CCA存在，去掉不必要的职责不相容，严格遵从权限分离制度。

设置一定的密码规则，对于简单通用密码可以使用SE16运行表USR40查看，通知用户及时更改。

通过以下参数设置可以制定用户密码策略：(表名：TPFYPROPTY)

二、系统安全

在企业SAP运作中，SAP生产系统是整个企业的根本，任何数据的更改、后台设置的更改、系统参数的更改，都会对整个企业的数据流、业务流产生很大的影响，因此对于生产系统在上线以后数据出口一定要有严格的策略进行管控。

在SAP生产系统内，更新所有的公司代码为“生产”类型，通过执行OBr3，来检查并且保障设置正确。

SAP生产系统内，集团设定一定要标记为不允许作程序与配置更改，通过执行SCC4 与SE06进行设定。

SAP生产系统内，所有的更改策略都要围绕系统传输机制来完成，执行STMS控制上传请求号码。

SAP审计功能主要包括：

1、用户登陆及进程监控

2、文件类型已经文件变更纪录

3、开发纪录

4、系统日志文件审计

从CCA安全意义来讲，由于SAP将AUDIT LOG以文件形式存储在SAP服务器上，所以原则上更应该将SAP管理员与OS管理员真正意义上分开来控制。

因此为了配合系统安全控制，SAP严谨的采用了自身的AUDIT 工具，系统内TRACE工具，可控制型TRACE工具，通过这些来进一步完善和加强系统安全。

三、控制策略

系统安全控制策略如下：

通过ST03，ST03N来设置系统内TRACE的时间小于等于3天。

手工用SM19设置TRACE内容与时间段，将系统的每一步操作都控制起来。

基本监控策略如下：

每天作一次日常检查，通过ST22，SM21，OY18，ST02，ST04查看系统内的动作，控制每日的运行状态。

系统管理员通过STAD 监控每三天用户的系统动作，配合以SM20监控更详细的内容，并且对于用户的一些不恰当的操作可以通过SUIM来完成监控。

对于系统管理员的任何动作SM20也能够详细地反馈出来，每两周可以列出系统管理员的动作列表。

关于赛锐信息

作为SAP的资深合作伙伴，赛锐信息是一家专业提供SAP行业化管理软件解决方案的顾问公司，致力于为企业提供SAP ERP系统咨询服务、IT规划、业务流程优化、信息系统实施、行业信息系统方案开发，运营外包及售后维护等全面的服务方案。已服务1000+家不同行业、规模的大中小型企业客户。在电子高科技、汽车零部件、印刷包装、医疗器械、快消品、专业服务等行业信息化管理领域具有领导性地位。

SAP系统企业内部安全审计介绍相关推荐

赛锐信息：SAP系统业务审计介绍
引言 SAP系统是基于业务事件驱动的一套成熟的ERP系统.常见的ERP系统审计工作都是集中于财务数据本身,而SAP ERP系统则涉及系统的设计和流程. 关键字: SAP 安全.SAP 日志.SAP 监 ...
SAP系统内部顾问如何培养
SAP系统对于企业信息化来说,是非常重要的系统.而一旦上线了SAP系统,依靠外部顾问来维护SAP系统是需要支付高昂的维护费的.所以很多企业选择SAP系统后,都会从企业内部的IT人员中培养内部顾问,作为 ...
SAP License：SAP系统合规性审计介绍
在本文中,我们将提供必要的提示和实用建议,以帮助您更好地了解SAP系统的合规性流程及关注内容,SAP系统的合规性审计主要分为账号权限,系统安全.系统巡检等,介绍如下. 1. 通用账号权限控制 SAP系 ...
Springboot企业内部交流系统9r309计算机毕业设计-课程设计-期末作业-毕设程序代做
Springboot企业内部交流系统9r309计算机毕业设计-课程设计-期末作业-毕设程序代做 [免费赠送源码]Springboot企业内部交流系统9r309计算机毕业设计-课程设计-期末作业-毕设程 ...
IT企业内部系统运营推广的六种方法
说到企业内部系统的推广,一般会认为无需推广,直接下一个通知大家都得用.说到推广的方法,很多人可能直接就想到一种方法--培训.是的,企业内部系统有其特殊性,因为用户就是自己的员工,他在这里工作就得使用企 ...
【逗老师带你学IT】PRTG监控系统配合树莓派采集企业内部无线网络质量
目录本文介绍了一种,如何通过树莓派采集企业内部无线网络质量,将树莓派变成无线探针,并在PRTG网络监控平台上进行显示的方法. 实现原理部署方法一.树莓派无线网络连接二.编写shell脚本三. ...
SAP系统成本中心、内部订单、成本流、成本要素、成本对象
SAP系统成本中心.内部订单.成本流.成本要素.成本对象 2015年04月03日 09:44:22 SAP剑客阅读数 2696 1.成本中心和内部订单是SAP系统中管理间接费用的两个常用和主要工具. ...
到底什么样的企业才适合实施SAP系统？
SAP系统作为全宇宙第一的ERP,号称世界500强里面有80%的企业部署了SAP系统,总部位于德国沃尔多夫市,在全球拥有6万多名员工,遍布全球130个国家,并拥有覆盖全球11,500家企业的合作伙伴网 ...
他山之石：解读「2022 海外企业内部系统现状」
全文 2278 字阅读时间约 7 分钟本文首发于码匠官方博客目录技术团队在内部系统上花费大量时间公司在使用哪些低代码/无代码工具? 从头开发一个内部系统,什么技术栈最受欢迎? 内部系统中最流 ...

SAP系统企业内部安全审计介绍

SAP系统企业内部安全审计介绍相关推荐

最新文章

热门文章