Isaca Santiago Chapter

1 Isaca Santiago Chapter Ciclo de Talleres T cnicos 2014. Taller de Seguridad SAP ERP. Relator: Mar a Esther Soto Consultor Senior ERS / Deloitte Enterprise Risk Services | Security & Privacy Services | GRC Solutions Marzo, 2014. Tabla de contenido 1. CV Relator. 19:00 a 19:05. 2. Introducci n a la seguridad en SAP ERP. 19:06 a 19:25. 3. Par metros claves de la seguridad en SAP ERP 19:26 a 19:40. 4. Concepto de autorizaci n en SAP ERP 19:41 a 20:20. 5. Segregaci n de Funciones en SAP ERP 20:21 a 20:45. 6. Break 20:46 a 21:00. 7. Herramientas de seguridad en SAP ERP 21:01 a 21:20. 8. Ciclo de Seguridad ABAP y Tablas Z 21:21 a 21:35. 9. SAP GRC Access Control y su relaci n con el 21:36 a 21:49. concepto de autorizaci n. 21:50 a 22:00. 10. Preguntas 2 Enterprise Risk Services | Security & Privacy Services | GRC Solutions CV Relator 3. CV Relator Enterprise Risk Services Security & Privacy Services Mar a Esther Soto Consultor Senior Tel:+56 2 729 8766. Email: Estudios: Ingeniera inform tica- Universidad de Santiago de Chile Ha participado en diversos proyectos relacionados con diagn stico, redise o, dise o e implementaci n de seguridad SAP: Corporaci n Sofofa, Unimarc, Metro, Empresas Taylor, Mutual de Seguridad, entre otras- Experiencia relevante Consultor Senior de Risk Consulting de la l nea de Seguridad y Privacidad de Deloitte, Ingeniero en ejecuci n en computaci n e inform tica.

2 Con cinco a os de experiencia como desarrolladora en ABAP y cuatro a os en Seguridad SAP. Adem s, ha participado en cursos de: Seguridad SAP y Metodolog a EVD en Deloitte. Actualmente participa como relatora de cursos tanto de Auditor a y Seguridad ERP SAP para capacitaciones abiertas y cerradas a clientes. 4 Enterprise Risk Services | Security & Privacy Services | GRC Solutions Introducci n a la Seguridad en SAP ERP. 5. Introducci n Comprender el concepto del ERP SAP y conocer las distintas funcionalidades que este sistema posee, las cuales se traducen en m dulos que interact an de forma integrada para el procesamiento de las transacciones de negocio bajo una jerarqu a organizacional. Comprender los mbitos que cubre el Basis Component de SAP y la importancia que el mismo tiene dentro de un modelo integrado de seguridad. Enfocar la seguridad de las aplicaciones como un todo, bajo el punto de vista de un modelo integrado de seguridad. 6 Enterprise Risk Services | Security & Privacy Services | GRC Solutions Conceptos Hoja divisoria Times b sicos de SAP.

3 New Roman desde 52pt 7 Footer Conceptos b sicos de SAP. Qu es SAP? Arquitectura Cliente / Servidor multi-nivel. Base (Middleware) soporta tecnolog a de sistemas abiertos. Business Framework Architecture, abierta a integraci n total con otros componentes y aplicaciones. Interfaz de usuario homog nea entre aplicaciones. Ambiente de desarrollo de f cil comprensi n. Integraci n total entre aplicaciones. Amplio rango de servicios. 8 Enterprise Risk Services | Security & Privacy Services | GRC Solutions Conceptos b sicos de SAP. Qu es SAP? Capa 1 BD Principal Capa de Base de Datos Datos para Informaci n ver o cambiar validada por el usuario Capa 2. Buffer BD Buffer BD. Capa de Aplicaci n Informaci n Informaci n Informaci n Informaci n de salida de entrada de entrada de salida para el desde el usuario desde el para el usuario usuario usuario Capa 3. Capa de Presentaci n 9 Enterprise Risk Services | Security & Privacy Services | GRC Solutions Conceptos b sicos de SAP. M dulos de SAP.

4 SD FI. Sales & Financial Distribution Accounting MM CO. Materials Mgmt. Controlling PP AM. Production Fixed Assets Planning Mgmt. QM Cliente/ Servidor PS. Quality Project Manage-ment System PM. ABAP/4. WF. Plant Main-tenance BC Workflow HR IS. Human Industry Resources Solutions 10 Enterprise Risk Services | Security & Privacy Services | GRC Solutions Conceptos b sicos de SAP. M dulos de SAP. ABAP/4 Development Workbench Computer Center Management System Sistema de Transportes BC Administraci n de la Base de Datos Administraci n de Seguridad Componente Basis .. 11 Enterprise Risk Services | Security & Privacy Services | GRC Solutions Conceptos b sicos de SAP. M dulos de SAP. Categoria Funcional - Industry Solutions IS. SAP High Tech & Electronics SAP Engineering & Construction SAP Consumer Products SAP Oil & Gas SAP Transportation Business Information Ware- house SAP Utilities SAP Public Sector Sales Force Auto- SAP Health Care .. mation SAP Telecomm SAP Automotive SAP Chemicals Advanced B2B.

5 Planner &. Procurement SAP Media Optimizer SAP Pharmaceuticals SAP Retail SAP Aerospace & Defense SAP Banking SAP Service Providers 12 Enterprise Risk Services | Security & Privacy Services | GRC Solutions An lisis General M dulo Basis 13. Overview de Componente Basis Modelo Integrado de Seguridad SAP es solo una aplicaci n de much S lo estamos definiendo la seguridad para un elemento que junto a otros conformar an el engranaje total de seguridad Inform tica. 14 Enterprise Risk Services | Security & Privacy Services | GRC Solutions Overview de Componente Basis Modelo Integrado de Seguridad Cubre los siguientes mbitos: 15 Enterprise Risk Services | Security & Privacy Services | GRC Solutions Overview de Componente Basis Modelo Integrado de Seguridad M dulos de ABAP/4 Development Workbench BASIS. GUI S. Protocolo (Interfaces Sistema Base de de Gr ficas Operativo Datos Comunicac de iones Usuario). 16 Enterprise Risk Services | Security & Privacy Services | GRC Solutions Overview de Componente Basis Control de Cambios - Landscape Single Client / Single System Multi Client / Single System Mandante Mandante Mandante Mandante Instancia Instancia Single Client / Single System Single Client / Multi system/.

6 / Multi Servers Single Servers Mandante Mandante Mandante Mandante Mandante Mandante Instancia Instancia Instancia Instancia 17 Enterprise Risk Services | Security & Privacy Services | GRC Solutions Overview de Componente Basis Control de Cambios - Transporte Mandante Desarrollo Transporte de cambios para Test Instancia Mandante Control de Calidad Liberaci n para producci n Instancia Mandante Producci n Instancia Liberaci n para actualizaciones 18 Enterprise Risk Services | Security & Privacy Services | GRC Solutions Par metros Hoja divisoria Times claves de la New Roman Seguridad en desde SAP ERP. 52pt 1 Footer 9. Seguridad de Usuarios Controles de Accesos Par metros: Control de claves de acceso con par metros del perfil del sistema . Reglas definidas por el cliente: Programa : RSPARAM. Transaccion : RSPFPAR. Ejecuci n directa de programas es una mala practica riesgo de Seguridad . 20 Enterprise Risk Services | Security & Privacy Services | GRC Solutions Seguridad de Usuarios Controles de Accesos Par metros: Control de claves de acceso con par metros del perfil del sistema RDISP/GUI_AUTO_LOGOUT.

7 Segundos de inactividad antes de desactivar la sesi n de un usuario. El valor 0 indica no se aplica la desactivaci n. El valor se mide en segundos, valor recomendado 20 minutos (valor 1200). LOGIN/FAILS_TO_SESSION_END. N mero de veces que un usuario puede ingresar una password incorrecta antes de que el sistema finalice los intentos de logon. El valor por defecto es 3. Se puede ingresar un rango entre 1 a 99. El valor recomendado es 3. LOGIN/FAILS_TO_USER_LOCK. N mero de veces que un usuario puede ingresar una password incorrecta antes de que el sistema bloquee los intentos reiterativos. El bloqueo de la cuenta de usuario es autom ticamente liberado a l medianoche del mismo d a. valor recomendado de 3 a 5. LOGIN/MIN_PASSWORD_LNG. N mero m nimo de caracteres que debe ser usados por una password. Por defecto se exigen 3. Puede ser un rango de 3 a 8. El valor recomendado es de 6 a 8. LOGIN/PASSWORD_EXPIRATION_TIME. N mero de d as despu s de los cuales se debe cambiar la password.

8 El valor por defecto es 0. El valor recomendado es 30 45 d as. 21 Enterprise Risk Services | Security & Privacy Services | GRC Solutions Seguridad de Usuarios Controles de Accesos Par metros: Control de claves de acceso con par metros del perfil del sistema Reglas definidas por el cliente: Programa : RSPARAM. Transaccion : RSPFPAR. 22 Enterprise Risk Services | Security & Privacy Services | GRC Solutions Seguridad de Usuarios Controles de Accesos Par metros: Control de claves de acceso con par metros del perfil del sistema Pol ticas de Seguridad de la Informaci n Reglas definidas por el cliente: Par metros de Programa : RSPARAM. Seguridad SAP Transaccion : RSPFPAR. 23 Enterprise Risk Services | Security & Privacy Services | GRC Solutions Concepto de Autorizaci n en SAP ERP. 24. Introducci n Comprender el concepto de autorizaci n, sus derivadas y las diversas capas de seguridad que le permite al usuario del sistema SAP, poder ejecutar una transacci n. Asimismo, esta sesi n tiene como objetivo que los alumnos conozcan la herramienta que permite construir los roles y perfiles de autorizaci n para los privilegios de usuario y los distintos tipos de roles que existen y la utilidad que se le puede dar a cada uno de ellos.

9 25 Enterprise Risk Services | Security & Privacy Services | GRC Solutions Seguridad de Autorizaciones Concepto de autorizaci n Actividad Objeto de Centro para Autorizaci n OC Centro Unidad b sica de seguridad Autorizaci n #1 Autorizaci n #2. Autorizaci n = Crear = Visual. Instancia del objeto de autorizaci n = 001 = Todos Rol / Perfil Rol/Perfil #1 Rol/Perfil #2. (Crear OC) (Recepci n Mat.). *Autorizaci n #1 *Autorizaci n #2. Representa tareas *Otras autorizaciones *Otras autorizaciones 26 Enterprise Risk Services | Security & Privacy Services | GRC Solutions Seguridad de Autorizaciones Concepto de autorizaci n - Perfil Perfil #1 Perfil #2. Perfil: (Crear PO) (Recepci n de bienes). Representa Autorizaci n #1 Autorizaci n #2. conjunto de autorizaciones 27 Enterprise Risk Services | Security & Privacy Services | GRC Solutions Seguridad de Autorizaciones Concepto de autorizaci n - Perfil Rol: Rol Rol Representa (Enpleado de Compras) (Empleado de Recepci n). Perfil #1 Perfil #2.

10 Conjunto de Perfiles Adicionales Perfiles Adicionales tareas de una funci n 28 Enterprise Risk Services | Security & Privacy Services | GRC Solutions Seguridad de Autorizaciones Concepto de autorizaci n Centro para Actividad Objeto de Autorizaci n OC. Centro Unidad b sica de seguridad Autorizaci n #1 Autorizaci n #2. Autorizaci n = Crear = Visual. Instancia del objeto = 001 = Todos de autorizaci n Rol/Perfil #1 Rol/Perfil #2. Rol / Perfil (Crear OC) (Recepci n Mat.). *Autorizaci n #1 *Autorizaci n #2. *Otras autorizaciones *Otras autorizaciones Representa tareas Rol Rol Compuesto Rol Compuesto Compuesto (Empleado compras) (Empleado recepci n). *Rol/Perfil #1 *Rol/Perfil #2. Representa roles *Otros Roles/perfiles *Otros Roles/perfiles de trabajo 29 Enterprise Risk Services | Security & Privacy Services | GRC Solutions Seguridad de Autorizaciones Concepto de autorizaci n Objeto principal S_TCODE Adicionado en la versi n Asegura transacciones individuales Primer objeto chequeado cuando un usuario ingresa una transacci n El objeto S_TCODE siempre debe tener status STANDAR.