Időszakos SAP jogosultság-felülvizsgálat

Időszakos SAP jogosultság-felülvizsgálat és a döntések gyakorlati megvalósítása. Esettanulmány a smartGRC rendszer bevezetéséről egy kiskereskedelmi cégnél.

Bevezetés

Az IT-rendszerek időszakos jogosultság-felülvizsgálata egyre gyakoribb kontrollmechanizmussá válik az olyan környezetekben, ahol nagy ERP-rendszerek képezik a működés alapját. Ez gyakran a jó gyakorlatok bevezetésére irányuló szándékból fakad, vagy a pénzügyi beszámolók auditját követő ajánlások végrehajtásának eredménye. Az üzleti folyamatok megfelelően kialakított és kiosztott felhasználói jogosultságokkal történő biztosítása fontos preventív kontrollt jelent, amely korlátozza a túlzott hozzáférések kockázatát. Ez egyben a vállalat belső kontrollrendszerének jó megerősítése is. Érdemes elgondolkodni azon, miért még mindig olyan kevés vállalat valósítja meg hatékonyan ezt a kontrollt a gyakorlatban, és építi rá a túlzott jogosultságok kockázatkezelését. Ennek az esettanulmánynak a célja, hogy részletesen bemutassa a gyakorlati tapasztalatot, amely egy globális amerikai-európai kiskereskedelmi szervezetnél az eszköz és egy ilyen folyamat bevezetését követően alakult ki.

Kihívás

A vállalat vezetősége - miután a pénzügyi auditortól ajánlást kapott az időszakos jogosultság-felülvizsgálat szükségességéről - az IT-igazgatót jelölte ki a jogosultság-felülvizsgálati folyamat eszközoldali támogatásáért felelős személynek, mivel kezdettől fogva világos volt, hogy az üzleti műveletek mértéke nem teszi lehetővé a folyamat kézi végrehajtását rendszertámogatás nélkül. Az Auditigazgató is úgy döntött, hogy hozzájárul a vállalkozáshoz saját perspektívájából, ezért elkészítette a kulcsfontosságú feltételezések és kockázatok listáját ezen a területen, amelyek a jogosultság-felülvizsgálati folyamat további tervezésének és bevezetésének alapját képeznék. A vállalat vezetésének nem volt részletes elképzelése e vállalkozás végrehajtásáról, nem voltak előkészített eljárások és politikák, amelyek meghatároznák egy ilyen folyamat végrehajtásának módját. Kezdettől fogva tudták, hogy nincs értelme újra feltalálni - a vállalat a piacon kész gyakorlatot és technikai megoldást keresett, amely rövid időn belül lehetővé teszi a következő kihívások kezelését:

• Szétszórt adatok: A jogosultságokra vonatkozó információk két ERP-osztályú rendszerben voltak tárolva, amelyeket összesen több mint 1000 felhasználó használt
• Nemzetközi lefedettség: A felhasználók Európa több mint tucatnyi országában és azon kívül dolgoztak az ERP-rendszerben, napi kommunikációhoz angol nyelvet használtak
• Számos résztvevő: A jogosultság-felülvizsgálati folyamatban körülbelül 100 üzleti felülvizsgáló vett részt
• Időnyomás / korlátozott végrehajtási idő: A vállalatnak mindössze 3 hét állt rendelkezésre a teljes jogosultság-felülvizsgálati folyamat lebonyolításához, és körülbelül 7 hét a teljes folyamat előkészítésére és elindítására
• Nem egyértelmű felhasználói szerepek leírásai: Műszaki nyelven leírt szerepek, dedikált üzleti leírások nélkül, amelyek érthetetlenek lennének a műszaki tudással nem rendelkező felülvizsgálók számára
• Nagy számú SoD kockázat: Összesen 1518 túlzott jogosultsági kockázatot (SoD - feladatok szétválasztása) azonosítottak a dialógusos felhasználók jogosultságaiban

Összegezve ezeket a kihívásokat - utólag visszatekintve - olyan megoldásra volt szükség, amely műszaki és szervezeti szempontból egyaránt támogatja a szervezetet, és az egészet kevesebb mint 3 hónap alatt elindítja. Ráadásul, mintha ez a kihíváslista túl rövid és a feladat túl könnyű lenne, az Auditigazgató a következő kockázatokat és követelményeket határozta meg a folyamatra, amelyeknek már az ERP-rendszerek felhasználóinak első jogosultság-felülvizsgálata során teljesülniük kellene:

• Teljesség: A folyamatnak figyelembe kell vennie az összes magas szintű túlzott jogosultsági kockázatot, valamint a felhasználók kritikus és érzékeny hozzáféréseit üzleti perspektívából (törzsadatok, bankszámlák, kifizetések stb.) és IT-perspektívából (műszaki hozzáférések - táblák szerkesztése, programok futtatása stb.)
• Pontosság: Minden aktív dialógusos felhasználónak (lehet zárolva hibás jelszó miatt, de érvényesnek kell lennie), aki legalább 1 közepes vagy magas kockázattal rendelkezik, szerepelnie kell a kimutatáson. Az összes olyan jogosultságának, amely kockázatot generál, szerepelnie kell a kimutatáson. Elsőként a SAP ECC ERP és SAP HR rendszereket kell figyelembe venni. A következő években a területi rendszereket is, az értékesítéshez dedikált rendszert, a beszerzési portált stb.
• Átláthatóság: A felülvizsgálat befejezése után az adminisztrátornak képesnek kell lennie olyan kimutatás elkészítésére, amelyben bizonyítható a felhasználók és kockázatok listájának teljessége, hogy biztosak lehessünk a fent jelzett követelmények teljesülésében
• Időszerűség: A felülvizsgálat végrehajtása során látható az előrehaladás (pl. százalékos arányban). A nem cselekvő felülvizsgálók értesítéseket kapnak - fontos szempont a felülvizsgálat időben történő befejezése. A felülvizsgálat adminisztrátorának a határidő lejárta után minden el nem fogadott üzleti jogosultságot le kell zárnia és vissza kell vonásra jelentenie
• Használhatóság: Az üzleti felhasználó - felülvizsgáló betekint az adott kockázat leírásába és szintjébe, láthatja, hogy a kockázathoz kapcsolódó tranzakciókat használták-e, vagy csak elérhetők a jogosultságokban. A felülvizsgálatnak könnyen lebonyolíthatónak kell lennie, egy felülvizsgáló nem tölthet 3-4 óránál több időt a felhasználói jogosultságainak elemzésével. A felhasználó által elindított tranzakciók információinak, üzleti leírásukkal együtt, a felülvizsgáló kérésére elérhetőnek kell lenniük. A következő felülvizsgálatokban szerepelnie kell az előző felülvizsgálatban hozott döntésekre vonatkozó információnak
• Üzleti döntések követése: Az IT-csapatnak körülbelül 1 hónap áll rendelkezésre a felülvizsgálat befejezése után a döntések megvalósítására, a döntések megvalósítása (a kockázatok visszavonása) fontosabb folyamat, mint maguk a felülvizsgálói döntések - az üzleti döntések megvalósítási folyamatának állapotát figyelni kell
• Felülvizsgálat kezelése: A felülvizsgálat tartama alatt kiderülhet, hogy az eredeti felülvizsgáló kívül van az irodán vagy szabadságon - ilyen helyzetben a felülvizsgálat adminisztrátorának képesnek kell lennie a felülvizsgálat tartama alatt arra, hogy módosítsa a felülvizsgálatot végző személyt, pl. delegálás lehetőségének meghatározásával, vagy a szervezet másik személyének átadásával

Szeretné látni, hogyan birkózott meg csapatunk egy ilyen kihívással?
Kattintson ide, hagyja meg adatait, és elküldjük Önnek a teljes esetleírást.