Un classico landscape SAP è formato almeno da tre macchine distinte:

• Ambiente di sviluppo
• Ambiente di test o quality
• Ambiente di produzione

È possibile definire ulteriori ambienti, ad esempio, pre-produzione o altri mandanti nei rispettivi sistemi sopra.

Perché i sistemi di test sono fondamentali anche per la security SAP e come devono essere gestiti affinché sia davvero così?

1. Il test delle autorizzazioni

Affinché sia possibile utilizzare un ambiente di prova, anche dal punto di vista autorizzativo, è importante che questo sia aggiornato frequentemente. Questo ambiente dovrebbe inoltre contenere delle utenze specifiche per job role affinché sia possibile testare i singoli ruoli e non effettuare i test usando le utenze reali definite in produzione.

Questa ultima tipologia di test potrebbe comportare la falsa sensazione di assenza di errori, anche a fronte di un test positivo, e la comparsa degli stessi nel futuro in ambiente produttivo. Questo per il principio di sommatoria delle autorizzazioni in SAP.

Il test di ogni singolo ruolo (anziché utente) è sicuramente più efficace.

2. La replica coerente delle casistiche di errore

In alcune situazioni potrebbe essere necessario avere la medesima casistica di errore anche nell’ambiente di test. Al fine di poter effettuare dei test per capire la natura dell’errore ed abilitare correttamente l’utente.

3. La verifica security (e non solo) dei programmi

Prima dell’import in produzione di nuovi programmi sviluppati internamente o esternamente questi dovrebbero essere valutati su diversi domini, ad esempio:

• performance
• sicurezza
• gestibilità del codice nel tempo

Solo un sistema di test aggiornato e molto simile al sistema produttivo può permettere di svolgere un test veritiero dei vari domini sopra. Ti sei dotato di un software per il controllo della qualità del codice sviluppato?

4. I dati contenuti nell’ambiente di test devono essere protetti?

Ogni volta che effettuiamo una copia di dati tra l’ambiente di produzione e quello di sviluppo, dobbiamo preoccuparci di capire quali dati sono trasferiti e come.

Nel momento in cui abilitiamo gli utenti ad entrare nel sistema subito dopo la copia, il grado di sicurezza di quel sistema dovrebbe rispecchiare quello di produzione.

• Effettui lo scrambling dei dati?
• Effettui un data cleaning dei dati ritenuti sensibili?
• Come sono gestiti i dati personali? Leggi qui l'approfondimento sul GDPR
• Come avviene la fase di copia dei dati? Ci sono dei file di scambio? Se sì, in che maniera vengono gestiti?

5. I collegamenti tra sistemi come renderli sicuri?

Può capitare spesso di definire delle rotte di connessione tra i sistemi SAP. Le principiali, ad esempio, sono quelle dovute al sistema dei trasporti di SAP (Transport Management System), anche queste devono essere protette.

È consigliabile attivare dei canali di comunicazione sicuri (crittografia dei dati SAP) affinché le informazioni trasferite siano protette.

Di fondamentale importanza inoltre il controllo che non vi siano rotte attive contenenti credenziali valide ed utilizzabili tra sistemi a minore sicurezza (sviluppi o sistemi di test) verso sistemi produttivi (con un grado di sicurezza maggiore).