miércoles, 15 de enero de 2014

Riesgos y Auditoría en SAP ERP

En la actualidad factores como la globalización, alta productividad, minimización de tiempos en los procesos de negocio y las cambiantes condiciones del mercado y por ende del negocio, hace que muchas empresas de diferentes sectores y tamaño se planteen la implementación de un sistema que soporte los procesos del negocio y la operativa transaccional de una forma integrada.

Entre muchas de las opciones que hoy día ofrece la industria del software de las aplicaciones y sistemas informáticos, está SAP. SAP ERP es un sistema integrado que puede proporcionar a las empresas herramientas para gestionar la planificación estratégica, controlar sus objetivos y analizar las operaciones. En la siguiente imagen se resumen de forma general las funcionalidades del sistema SAP:


Todas estas funcionalidades suenan muy bien de cara al negocio, sin embargo hay que añadir algunos elementos claves que impactan de forma directa en la integridad, confidencialidad y disponibilidad de la información y transacciones que se procesa en SAP, estos elementos son “riesgo”, “controles”, “Seguridad”.
SAP no escapa a los riesgos tradicionales que afectan a las tecnologías de la información por ejemplo:
  • Acceso no autorizado a datos que pueda resultar en la eliminación o alteración de información.
  • Ejecución no autorizada de transacciones sensibles que pueden tener impacto en el sistema.
  • Errores en el funcionamiento de los programas, como consecuencia de cambios deficientemente probados.
  • Cambios no autorizados a tablas de SAP en el entorno de producción que puedan afectar a la integridad de los datos.
  • Pérdida potencial de información como consecuencia de errores en la ejecución
  • de interfases y procesos.
  • Pérdida de información por accesos no autorizados, uso de perfiles con privilegios o deficiencias en copias de seguridad.

Las empresas demandan cada vez más “confianza” sobre la fiabilidad de la información y transacciones del negocio bien se desde el punto de vista contable y/o de gestión para la toma de decisiones. Es por ello que es necesario mitigar los riesgos que puedan impactar en el sistema principal del negocio y en la infraestructura que lo soporta. Mitigar estos riesgos implica un trabajo continuo y basado en el conocimiento de los procesos del negocio, funciones de cada cargo (rol de usuario) y de los objetos y transacciones de SAP.

La identificación de los riesgos debe realizarse a todos los niveles que componen el entorno del sistema SAP, es decir se deben identificar los riesgos a nivel de los procesos, las personas, las instalaciones físicas y de la infraestructura que soporta el sistema SAP. Una visión general de las capas que pueden conformar el entorno del sistema SAP se presenta en la siguiente imagen:

Como se puede observar principalmente son tres capas en las que hay que aplicar medidas para mitigar los riesgos.

Actualmente existen numerosas herramientas para evaluar la seguridad de un sistema SAP y así mitigar los riesgos, un ejemplo es la herramienta de Control, riesgo y cumplimiento regulatorio (Governance Risk and Compliance) propia de SAP. GRC es una solución que puede ayudar a automatizar los procesos de GRC, entre los que se incluyen la supervisión automática de los indicadores de riesgo clave para la eficacia del cumplimiento.

En este punto, digamos que hemos realizado el análisis de riesgos a todos los niveles del entorno SAP y posteriormente hemos definido e implementado los controles para mitigar los riesgos identificados.

El siguiente paso sería auditar los controles implementados para evaluar su funcionamiento y si el control cumple el objetivo que hemos definido. Para esto una vez se define el alcance de la auditoría, por ejemplo revisar la seguridad general del sistema SAP, procedemos a definir las pruebas que ejecutaremos para validar que los parámetros del sistema que componen la seguridad general están en funcionamiento.
Entre algunos de los ámbitos que podemos revisar en el sistema SAP están:
  • El control de acceso a programas y datos
  • La gestión de cambios a programas y
  • Las operaciones de explotación del sistema

En este sentido algunos de los controles implementados son:
  • Control de acceso a programas y datos
    • Parámetros de configuración de las contraseñas
    • Caducidad de la clave de acceso
    • Complejidad de la clave de acceso (longitud mínima, caracteres especiales, dígitos, etc.)
    • Intentos fallidos de acceso
    • Historial de contraseñas
    • Bloqueo de sesiones
  • Acceso a los objetos críticos de SAP (S_PROGRAM, S_TRANSPRT, S_DEVELOP, S_QUERY, etc.).
    • Acceso de ejecutar transacciones críticas (SU10, SU20, SU21, SE16, …).
    • Revisión de los perfiles de seguridad como SAP_ALL.
    • Revisión de la configuración de los perfiles nativos de SAP (SAP*, …).
    • Gestión y revisión de perfiles de usuarios y usuarios genéricos.
  • Gestión de cambios a programas
    • Listado de Key Users para la aprobación de peticiones de cambio.
    • Monitorización y restricción de la capacidad para desbloquear el ambiente de producción y realizar cambios de forma directa (incluido los cambios a las tablas y diccionario de SAP).
    • Segregación de funciones en la gestión de cambios incluyendo desarrollo, customización y aprobación de cambio y transporte.
    • Usuarios de programación en producción.
  • Operaciones informáticas
    • Controles de acceso de modificación de trabajos por lotes e interfaces.
    • Controles de acceso de trabajos por lotes ejecutados en nombre de otro (ANOTHER).
    • Controles de acceso de trabajos por lotes ejecutados por cualquier (ANY).
    • Controles de acceso a la gestión de la base de datos.  



Si bien entendemos que el sistema SAP como ERP, es un sistema que puede aportar un alto grado de seguridad en las operaciones, y posee un buen número de controles embebidos en el mismo, tanto configurables como inherentes. También debemos tener en cuenta que esta seguridad tiene que ser configurada, para que sea efectiva.

Y también es importante destacar una característica particular de SAP a la hora de auditarlo, y es que en el mismo no solo se configuran y por consiguiente, se revisan, los controles de aplicación (controles internos del negocio, validaciones de datos, etc) sino que también un gran número de controles de base o generales deben efectuarse en el mismo, ya que desde dentro de un sistema SAP es posible acceder directamente a las tablas de base de datos, ejecutar programas, ver código fuente, ejecutar comandos de sistema operativo, apagar el servicio, realizar debugging, y un largo etc de actividades que en otros sistemas deben controlarse “por fuera de la aplicación” y en el caso de SAP deben controlarse en “ambos niveles”. Y resaltamos “ambos niveles” porque incluso en muchas revisiones de seguridad se pierde el foco y se controlan los permisos dentro del sistema con el fin de verificar controles generales y de aplicación, abandonando un poco el control sobre los otros niveles que conforman el entorno del sistema como por ejemplo los servidores de base de datos.

No hay comentarios: