Trace de autorizaciones por medio de la transacción ST01 - una muy buena herramienta para auditores y administradores de seguridad SAP

Esta herramienta posee características que la hace ser una de las más importantes para auditar y obtener evidencia de accesos de los usuarios del sistema SAP: 

- Herramienta de fácil uso y es recomendable dominar el concepto de autorización para su utilización e interpretación adecuada (capa 1, 2 y 3 de seguridad de autorizaciones) 

- Herramienta que no merma el performance de la operación del ambiente en donde se tenga activada (no es invasiva). Este es el típico motivo por el cual se le bloquea el acceso a los auditores, perdiendo la oportunidad de obtener evidencia de muy buena calidad para la auditoría.  Si el trace está activo solamente para la verificación de autorizaciones, no habría merma de performance.  Eventualmente podríamos tener impacto, en la medida que activemos todas las opciones del trace (RFC, tablas, etc.) 

- Ocupa espacio en disco que se puede ir reciclando por medio de uso de dispositivos externos (discos de respaldo externos) y así no merma el espacio en disco. Esto se puede ir haciendo día a día, dado a la cantidad de información que almacena el trace y se recomienda dejarlo en 99MB de almacenamiento (máximo), a fin de que cada archivo genere la mayor cantidad de información posible. 

- Para un eficiente procesamiento y análisis de la evidencia, se recomienda trabajar el resultado del trace apoyado de un CAATs (técnicas de auditoría asistidas por computador) - ACL, ACCESS, EXCEL

- Si estamos auditando el ambiente productivo, se debe activar en cada uno de los servidores que soportan productivo. Cabe mencionar, que esto aplica para cualquier ambiente y se activa en cada servidor de desarrollo, prueba, sandbox en la medida que nuestra necesidad sea auditar estos ambientes.  Las instancias de servidores se pueden ver con la transacción SM51 y de esta forma administro los traces en un esquema multi-server.

- La evidencia obtenida llega a nivel de capa 3 de seguridad de accesos (capa 1 S_TCODE, capa 2 TSTCA y capa 3 USOBT, por lo que la enriquece para evitar falsos positivos.

- Para un modelo de prevención de delitos (Ley 20.393) y/o fraudes (procedimientos de detección de fraudes en el marco de las auditorías internas o externas) es muy recomendado, debido a la calidad de la evidencia. 

- Para el monitoreo del modelo de control interno de segregación funcional SoD-SOX Compliance, es muy recomendado, ya que nos permite obtener evidencia del monitoreo que hacen los dueños de procesos (process owners) o dueños de roles (role owners) en relación a los accesos bajo su responsabilidad. 

- Se puede complementar con los resultados de otras herramientas tales como: Ejecución histórica de transacciones ST03, STAD, SM04, SM20 log de auditoría con obtención de usuario, transacción y terminal (estas herramientas solamente llegan a nivel de capa 1 de seguridad, es decir, a nivel de transacción ejecutada por usuarios y no cubren los objetos de autorización. (Son susceptibles de levantar falsos positivos), pero complementado con el trace de autorizaciones se enriquece la evidencia.

¿Qué hay de nuevo con SAP Business Objects Governance, Risk & Compliance (GRC) versión 10.0?

A continuación van algunos tips en relación a este tema: 

- Lo primero que debemos saber es que este cambio de versión aplica para todos productos de la suite Business Objects GRC (Access Control-AC, Process Control-PC, Risk Management-RM y Global Trade Services, Environment, Health, and Safety Management y Sustainability Performance Management.

- Se juntan o integran los componentes SAP GRC AC, PC y RM de la suite BO GRC en la versión 10.0. Es por este motivo que no hay un release por ejemplo de SAP GRC PC 3.0 a la 4.0. Esto implica además que compartirán datos maestros, reportes y configuraciones generales

- Se centralizan todos los riesgos, controles y planes de remediación en un repositorio único (ya no estarán los riesgos de SoD en una componente como pasaba con SAP GRC AC 5.3 por ejemplo) a esto se le denomina "Content Life Cycle Management". La otra mejora es que no solamente podrá interactuar el personal interno de la empresa que gestiona el modelo de control interno, sino que también lo podrán hacer proveedores que son parte de la cadena de control interno de la compañía. (ejemplo: proveedores de servicios de TI SAS70 compliance, proveedores de servicios de Payroll, etc.)

- Se podrá gestionar estándares de control interno de industrias especificas. (Real Estate, Retail, Automotive, Utility & Public Sector, etc.)

- La interfaz gráfica de usuarios de AC, PC y RM será igual para todas las funcionalidades, a diferencia de las versiones actuales que cada componente de la suite GRC posee sus propias pantallas, esto se traduce en un centro de trabajo común para las tres componentes claves de la suite.

- Se viene un gran cambio a nivel de informes. Ahora ya no será necesario aplicar sentencias de código de programación para generar informes, puesto que la versión 10.0 vendrá con herramientas utilitarias de construcción de informes a la medida del usuario y de forma muy intuitiva, apoyado por "Crystal Reports". Esto aparte de los reportes que traerá por defecto, pero la gran mejora está en la facilidad de poder construir nuevos reportes a la medida (gerenciales, operativos, etc) y con interfaces gráficas muy atractivas, es decir, dependiendo de las necesidades de reporte que existan en la organización.

- Otra de las nuevas funcionalidades, es que permitirá gestionar políticas y procedimientos, la aprobación de las mismas y controles de cambio, toda vez que son parte integra del modelo de control interno y estarán vinculadas a las actividades de control que mitigan ciertos riesgos mapeados en la organización tanto a nivel estratégico como operativo o de procesos.

En conclusión, ahora una herramienta integrada nos permitirá hacer management de riesgos, controles y cumplimiento, sin necesidad de tener que autenticarse en 3 herramientas distintas, ahora se podría hablar de una verdadera herramienta que permite gestionar de forma automatizada e integrada el Governance, Risk & Compliance (GRC) de la organización.