Cosa è SAP for Me e perché anche questo servizio è importante per la sicurezza dei tuoi sistemi?
Quali sono i punti di attenzione da verificare?
Cosa è SAP for Me?
È un portale gratuito creato dalla SAP per i propri clienti e partner.
Quali sono le attività che puoi fare, sono descritte direttamente nel sito di presentazione:
Ma quali sono i punti di attenzione e perché è importante tenere sotto controllo questo accesso?
3 punti da verificare
In generale a questo portale dovrebbe avere accesso (da amministratore) eh sì anche qui è necessario gestire una profilazione utente, solo il cliente.
Eventuali partner che operano per conto del cliente dovrebbero essere profilati adeguatamente (soprattutto quando finiscono il loro mandato).
1) Allowed Company Domain
Uno degli aspetti che la SAP ha introdotto nel corso del tempo sul portale è la gestione (whitelist) dei domini.
Ovvero se sono un cliente "company.com" e provo ad aggiungere un utente (inserendo la mail) di un dominio diverso, la SAP fa comparire un messaggio di avvertimento. In quanto è prima necessario mettere in whitelist l'eventuale dominio differente da quello aziendale (es. aglea.com nel caso sia un fornitore).
Ma è corretto dichiarare domini "accettati" in generale se possibile, è meglio evitare. Creando sempre una mail aziendale per collaboratori esterni (questo chiaramente può rappresentare un costo).
2) Ma quale profilazione esiste?
La SAP ha creato una nota ad hoc che descrive le varie tipologie di accessi alla piattaforma, la trovi qui: 1271517 - Important Contact descriptions and how to view/change S-users with important functions - SAP for Me
3) È possibile cancellare una OSS user non più attiva?
Si è possibile come descritto nella nota OSS seguente 2680962 - When an S-user ID is deleted, what happens to the support cases created by that S-user? - SAP for Me
Come scritto non ci sono perdite nello storico di eventuali case aperti alla SAP.
3) Rivalidazione periodica
Definisci un controllo di ri-validazione periodica per:
- Verificare che le utenze debbano essere ancora attive o meno
- Verificare permessi degli amministratori
- Verificare correttezza eventuali domini ammessi
