Da molti anni esiste uno strumento standard SAP che permette di identificare gli utenti e ruoli che hanno autorizzazioni critiche o combinazioni di autorizzazioni critiche (anche per la gestione della Segregation Of Duties).
Ma di cosa si tratta? Può essere sempre usato? Quali sono pregi e difetti?
SUIM Autorizzazioni Critiche
Sì, è tramite la transazione SUIM, ovvero la transazione standard per la reportistica in SAP che è possibile utilizzare uno strumento, molto dato, che è stato di recente aggiornato.
Attraverso il pulsante Autorizzazioni critiche o "With Critical Authorizations" è possibile entrare in un componente dove è possibile
- Definire delle regole di ricerca
- Combinare le regole di ricerca
Se conosci come funziona il processo di gestione della SoD (Segregation Of Duties) è possibile vedere queste due funzionalità come la ricerca dei rischi di tipo Critical Action e Segregation Of Duties (combinazioni di attività che relazionate tra loro sono critiche).
Infatti una volta entrati è possibile distinguere due pulsanti per creare le regole.
- Critical Authorizations
- Critical Combinations
Esistono diversi tutorial in rete su come usare la funzionalità sopra. Tuttavia in passato vie era un limite importante ovvero quello di non poter importare o esportare i dati.
In altre parole tutte le regole (nel caso di creazione di regole custom) dovevano essere gestite manualmente.
Tramite la nota OSS seguente 2785076 - SUIM - New functions in RSUSR008_009_NEW e dalla release SAP BASIS 7.52 SP 05 la SAP ha reso possibile la funzionalità di import ed export massiva.
Infatti tramite il pulsante "Transfer" in alto a destra della schermata sopra è possibile richiamare il programma RSUSR_UP_AND_DOWNLOAD_FOR_CA che permette di svolgere questa operazione.
Questa funzionalità può essere utile per chi deve controllare periodicamente la presenza di abilitazioni critiche e non ha la necessità di avere un processo più strutturato di controllo.
Infatti per quest'ultimo è comunque necessario adottare strumenti come il SAP GRC Access Control o analoghi presenti sul mercato.
