Безопасность бизнес модулей SAP fileБизнес модули SAP в...
Transcript of Безопасность бизнес модулей SAP fileБизнес модули SAP в...
![Page 1: Безопасность бизнес модулей SAP fileБизнес модули SAP в России Краткое наименование Процент Описание SAP](https://reader034.fdocument.pub/reader034/viewer/2022050807/5a709e067f8b9abb538c23f8/html5/thumbnails/1.jpg)
![Page 2: Безопасность бизнес модулей SAP fileБизнес модули SAP в России Краткое наименование Процент Описание SAP](https://reader034.fdocument.pub/reader034/viewer/2022050807/5a709e067f8b9abb538c23f8/html5/thumbnails/2.jpg)
Безопасность бизнес-модулей SAP
Гуцко Дмитрийруководитель группы анализа безопасности бизнес-систем
Positive Technologies
![Page 3: Безопасность бизнес модулей SAP fileБизнес модули SAP в России Краткое наименование Процент Описание SAP](https://reader034.fdocument.pub/reader034/viewer/2022050807/5a709e067f8b9abb538c23f8/html5/thumbnails/3.jpg)
Архитектура SAP
Business module
Application Core: SAP-BASIS
Database
Operating system, Network
![Page 4: Безопасность бизнес модулей SAP fileБизнес модули SAP в России Краткое наименование Процент Описание SAP](https://reader034.fdocument.pub/reader034/viewer/2022050807/5a709e067f8b9abb538c23f8/html5/thumbnails/4.jpg)
Бизнес модули SAP в России
Краткоенаименование
Процент Описание
SAP FI 29% Financial Accounting
SAP CO 7% Controlling
SAP MM 17% Materials Management
SAP SD 10% Sales and Distribution
SAP BI 18% Business Intelligence
SAP HCM/HR 11% Human Capital Management
SAP SRM 1% Supplier Relationship Management
SAP CRM 1% Customer Relationship Management
Остальные 6%
* По данным из открытых источников (sapboard.ru, hh.ru)
![Page 5: Безопасность бизнес модулей SAP fileБизнес модули SAP в России Краткое наименование Процент Описание SAP](https://reader034.fdocument.pub/reader034/viewer/2022050807/5a709e067f8b9abb538c23f8/html5/thumbnails/5.jpg)
Бизнес модули SAP в России
Краткоенаименование
Процент Описание
SAP FI 29% Financial Accounting
SAP CO 7% Controlling
SAP MM 17% Materials Management
SAP SD 10% Sales and Distribution
SAP BI 18% Business Intelligence
SAP HCM/HR 11% Human Capital Management
SAP SRM 1% Supplier Relationship Management
SAP CRM 1% Customer Relationship Management
Остальные 6%
* По данным из открытых источников (sapboard.ru, hh.ru)
![Page 6: Безопасность бизнес модулей SAP fileБизнес модули SAP в России Краткое наименование Процент Описание SAP](https://reader034.fdocument.pub/reader034/viewer/2022050807/5a709e067f8b9abb538c23f8/html5/thumbnails/6.jpg)
Модуль SAP HCM
• Кадровый учет
• Расчет заработанной платы
• Планирование и учет рабочего времени
• Управление организационно-штатной структурой
• Управление льготами
• Управление компетенциями сотрудников
• Обрабатываемые данные
• Персональные данные: ФИО, дата рождения, паспортные данные
• Банковские реквизиты сотрудников
• Основные выплаты: зарплата, премия, переработки
![Page 7: Безопасность бизнес модулей SAP fileБизнес модули SAP в России Краткое наименование Процент Описание SAP](https://reader034.fdocument.pub/reader034/viewer/2022050807/5a709e067f8b9abb538c23f8/html5/thumbnails/7.jpg)
Модуль SAP MM
• Управление материалами, складской учет
• Управление запасами
• Планирование/Оформление закупок
• Обрабатываемые данные:
• Материалы, запасы
• Заявки на закупку
• Поставщики
![Page 8: Безопасность бизнес модулей SAP fileБизнес модули SAP в России Краткое наименование Процент Описание SAP](https://reader034.fdocument.pub/reader034/viewer/2022050807/5a709e067f8b9abb538c23f8/html5/thumbnails/8.jpg)
Последствия нарушений требований ИБ
Могут привести:
– К утечке данных
– К нарушению требованию регуляторов (152 ФЗ)
– К финансовым потерям
– К потере репутации
– К демотивации сотрудников
– К нарушениям производственных или бизнес процессов
Вследствие:
– Мошеннических действий
– Человеческого фактора
![Page 9: Безопасность бизнес модулей SAP fileБизнес модули SAP в России Краткое наименование Процент Описание SAP](https://reader034.fdocument.pub/reader034/viewer/2022050807/5a709e067f8b9abb538c23f8/html5/thumbnails/9.jpg)
Примеры рисков в SAP HCM
• Несанкционированное увеличение зарплаты, назначение дополнительных выплат (премий)
• Создание “мертвых душ”, выплаты уже уволенным сотрудникам
• Разглашение информации о заработанной плате коллег
• Изменение привязки к организационной структуре, зарплатной сетке
• Изменение счета получателя заработанной платы
![Page 10: Безопасность бизнес модулей SAP fileБизнес модули SAP в России Краткое наименование Процент Описание SAP](https://reader034.fdocument.pub/reader034/viewer/2022050807/5a709e067f8b9abb538c23f8/html5/thumbnails/10.jpg)
Примеры рисков в SAP MM
• Неавторизованные изменения в записях поставщиков
• Создание /обработка/утверждение заявок на закупку/заказов на закупку одним ответственным лицом
• Внесение изменений в базу по остаткам материалов (уровня запасов)
• Оприходование неправильного количества и качества материала
• Дублирование записей материалов
![Page 11: Безопасность бизнес модулей SAP fileБизнес модули SAP в России Краткое наименование Процент Описание SAP](https://reader034.fdocument.pub/reader034/viewer/2022050807/5a709e067f8b9abb538c23f8/html5/thumbnails/11.jpg)
Дополнительные сложности:
• Привязка полномочий к организационной структуре предприятия (структурные полномочия)
• Наличие в системе возможностей по отключению проверок авторизации
• Использование дополнительных сущностей (инфотипы)
• Управление доступом к собственным данным
• Наличие ссылочных пользователей
![Page 12: Безопасность бизнес модулей SAP fileБизнес модули SAP в России Краткое наименование Процент Описание SAP](https://reader034.fdocument.pub/reader034/viewer/2022050807/5a709e067f8b9abb538c23f8/html5/thumbnails/12.jpg)
Кто виноват и что делать?
• Наведение порядка в SAP Basis
• Проверка полномочий пользователей на выполнение критичных действий
• Проверка соответствия орг-штатной позиции сотрудника и его полномочий
• Контроль матрицы SOD
• Контроль специфических настроек бизнес модулей
• Контроль активных/неактивных пользователей (ограничение прав доступа у неактивных пользователей)
• Контроль всего ландшафта, включая системы DEV и QA
• Контроль изменений
![Page 13: Безопасность бизнес модулей SAP fileБизнес модули SAP в России Краткое наименование Процент Описание SAP](https://reader034.fdocument.pub/reader034/viewer/2022050807/5a709e067f8b9abb538c23f8/html5/thumbnails/13.jpg)
Контроль изменения банковских реквизитов (SAP HCM)
![Page 14: Безопасность бизнес модулей SAP fileБизнес модули SAP в России Краткое наименование Процент Описание SAP](https://reader034.fdocument.pub/reader034/viewer/2022050807/5a709e067f8b9abb538c23f8/html5/thumbnails/14.jpg)
Контроль изменения заработанной платы (SAP HCM)
![Page 15: Безопасность бизнес модулей SAP fileБизнес модули SAP в России Краткое наименование Процент Описание SAP](https://reader034.fdocument.pub/reader034/viewer/2022050807/5a709e067f8b9abb538c23f8/html5/thumbnails/15.jpg)
Контроль изменения организационной структуры (SAP HCM)
![Page 16: Безопасность бизнес модулей SAP fileБизнес модули SAP в России Краткое наименование Процент Описание SAP](https://reader034.fdocument.pub/reader034/viewer/2022050807/5a709e067f8b9abb538c23f8/html5/thumbnails/16.jpg)
Контроль утверждения заявок (SAP MM)
![Page 17: Безопасность бизнес модулей SAP fileБизнес модули SAP в России Краткое наименование Процент Описание SAP](https://reader034.fdocument.pub/reader034/viewer/2022050807/5a709e067f8b9abb538c23f8/html5/thumbnails/17.jpg)
Контроль изменения данных поставщика (SAP MM)
![Page 18: Безопасность бизнес модулей SAP fileБизнес модули SAP в России Краткое наименование Процент Описание SAP](https://reader034.fdocument.pub/reader034/viewer/2022050807/5a709e067f8b9abb538c23f8/html5/thumbnails/18.jpg)
Разграничение обязанностей
Бизнес-процесс
– Бизнес-действие• Набор авторизаций
Матрица SOD:Ведение мастер-
данных
сотрудников
Ведение данных
об отработанном
времени
Изменение
структуры
Утверждение
времени
Удаление данных
расчета зарплаты
Осуществление
расчета зарплаты
Ведение мастер-
данных
сотрудников
Ведение данных
об отработанном
времени
Изменение
структуры
Утверждение
времени
Удаление данных
расчета зарплаты
Осуществление
расчета зарплаты
![Page 19: Безопасность бизнес модулей SAP fileБизнес модули SAP в России Краткое наименование Процент Описание SAP](https://reader034.fdocument.pub/reader034/viewer/2022050807/5a709e067f8b9abb538c23f8/html5/thumbnails/19.jpg)
Разграничение обязанностей
Пример правила:([S_TCODE:TCD=PC00_M99_PA03_RELEA] or ([S_TCODE:TCD=PA03] and [P_TCODE:TCD=PA03])) and [P_PCR:ACTVT=02]
![Page 20: Безопасность бизнес модулей SAP fileБизнес модули SAP в России Краткое наименование Процент Описание SAP](https://reader034.fdocument.pub/reader034/viewer/2022050807/5a709e067f8b9abb538c23f8/html5/thumbnails/20.jpg)
Контроль пользовательских объектов авторизации (динамические контроли)
![Page 21: Безопасность бизнес модулей SAP fileБизнес модули SAP в России Краткое наименование Процент Описание SAP](https://reader034.fdocument.pub/reader034/viewer/2022050807/5a709e067f8b9abb538c23f8/html5/thumbnails/21.jpg)
Не забываем про проверки SAP-BASIS!
• Доступ к таблицам базы данных
• Возможность выполнения программ(отчетов)
• Запуск команд операционной системы
• Написание новых ABAP программ
• Использование функций отладки
• Наличие супер привилегий
![Page 22: Безопасность бизнес модулей SAP fileБизнес модули SAP в России Краткое наименование Процент Описание SAP](https://reader034.fdocument.pub/reader034/viewer/2022050807/5a709e067f8b9abb538c23f8/html5/thumbnails/22.jpg)
Конец рассказаСпасибо за внимание
Дмитрий Гуцко
руководитель группы анализа безопасности бизнес-систем
Positive Technologies
![Page 23: Безопасность бизнес модулей SAP fileБизнес модули SAP в России Краткое наименование Процент Описание SAP](https://reader034.fdocument.pub/reader034/viewer/2022050807/5a709e067f8b9abb538c23f8/html5/thumbnails/23.jpg)