Traceauswertung optimieren
Benutzerinformationssystem (SUIM)
Sicherheitswarnungen des Security Audit Logs können Sie außerdem über das Alert-Monitoring Ihres Computing Center Management Systems (CCMS) überwachen. Die erzeugten Sicherheitswarnungen entsprechen dabei den Auditklassen der Ereignisse, die im Security Audit Log definiert sind. Viele Unternehmen haben zusätzlich die Anforderung, die Ereignisse des Security Audit Logs auch in anderen Anwendungen darzustellen. Hierzu ist eine Auswertung durch externe Programme erforderlich, die über die XMI-BAPIs (XML Metadata Interchange) erfolgen kann. Für eine entsprechende Konfiguration müssen Sie der Dokumentation zur XMI-Schnittstelle folgen. Außerdem können Sie das Beispielprogramm RSAU_READ_AUDITLOG_ EXTERNAL als Vorlage nutzen. Eine Beschreibung zu diesem Programm finden Sie im SAP-Hinweis 539404.
In einem SAP®-System sind nicht nur die Berechtigungen Schwerpunkt des Wirtschaftsprüfers. Auch wesentliche Systemparameter sind Teil der Prüfung. Aus diesem Grund sollte im Vorfeld auch sichergestellt werden, dass sämtliche Parameter gemäß den Unternehmensvorgaben eingerichtet sind. Betroffene Parameter sind all jene, welche die System- und Mandantensicherheit gewährleisten. Es muss unter anderem gewährleistet sein, dass das Produktivsystem gegen jede Art der Änderungen geschützt ist und daher keine direkte Entwicklung möglich ist.
Prüfung des SAP-Berechtigungskonzepts
Rote Ampeln nach einem Rollentransport verheißen nichts Gutes. Um die Aktualität der Profilzuordnung zu jeder Zeit sicherzustellen, sollten Sie regelmäßig einen Benutzerabgleich durchführen. Sicherlich haben Sie festgestellt, dass es Situationen gibt, in denen die Profile Ihrer Anwender nicht aktuell sind. Dies kann z. B. nach einem Rollentransport oder beim Zuweisen von Benutzern zu Rollen in der Transaktion PFCG geschehen. Es verhält sich ähnlich, wenn Sie die Rollen indirekt über das Organisationsmanagement (siehe Tipp 13, »Rollen über das Organisationsmanagement zuordnen«) zuordnen oder die Gültigkeitsdauer von Rollen für Benutzer einschränken. In diesen Fällen kann es sein, dass der Anwender zwar über eine PFCG-Rollenzuweisung verfügt, das dazugehörige Profil allerdings nicht aktuell ist. Eine rote Ampel vor einem Rollennamen im Benutzerstamm in der Transaktion SU01 oder eine gelbe Ampel in der Transaktion PFCG auf der Registerkarte Benutzer macht Sie auf solche Unstimmigkeiten aufmerksam.
Die Anzeige der ausführbaren Transaktionen kann sich von den Transaktionen, für die der Benutzer Berechtigungen hat, unterscheiden, weil der Report RSUSR010 nur die tatsächlich ausführbaren Transaktionen anzeigt. Zu deren Ausführung ist nicht nur die Startberechtigung für die Transaktion über das Berechtigungsobjekt S_TCODE notwendig, sondern es müssen auch die folgenden Voraussetzungen vorliegen: Für bestimmte Transaktionen gibt es zusätzliche Berechtigungsprüfungen, die noch vor dem Start der Transaktion ausgeführt werden. Diese Berechtigungsobjekte sind dann zusätzlich in der Transaktion SE93 eingetragen (Tabelle TSTCA). Dies können z. B. Abfragen zu den Berechtigungsobjekten P_TCODE, Q_TCODE oder S_TABU_DIS sein. Der Transaktionscode muss Gültigkeit haben (d. h. in der Tabelle TSTC eingetragen sein) und darf nicht durch den Systemadministrator gesperrt sein (in der Transaktion SM01).
Mit "Shortcut for SAP systems" können Sie die Zuweisung von Rollen nach einem Go-Live automatisieren.
Berechtigungskonzept 2.0 bei der Umstellung auf SAP S/4HANA.
Auf www.sap-corner.de finden Sie ebenfalls viele nützliche Informationen zum Thema SAP Berechtigungen.
Die Auswertungswege finden Sie in Tabelle T77AW.