SAP HANA e SAP S/4HANA Security

Cosa è SAP HANA e cosa significa SAP S/4HANA?

Spesso questi termini sono utilizzati come sinonimi, anche se in realtà non lo sono proprio. Infatti si tratta di prodotti di natura distinta.

Il primo SAP HANA è un database, il secondo SAP S/4HANA è un applicativo.

Si tratta di prodotti relativamente nuovi, in quanto SAP già da tempo stava lavorando alla realizzazione di un database con elevate prestazioni (sfruttando l'elaborazione in memoria dei dati) ed in parallelo ad un applicativo S/4HANA progettato esplicitamente per offrire le migliori performance basate sul database SAP HANA.

Le innovazioni non sono solamente tecnologiche, soprattutto nel caso di S/4HANA. In quanto questo nuovo prodotto sostituisce di fatto il precedente sistema gestionale SAP ECC (ERP Central Component).

Ma quali sono gli aspetti da tenere in considerazione quanto parliamo di security in ambito HANA e di security in ambito S/4HANA? Come deve essere gestita la migrazione dei sistemi attuali verso le nuove soluzioni?

Cosa è SAP HANA?

Dal punto di vista tecnologico si tratta di un database relazionale (Relational Database Management System - RDBMS), disponibile e rilasciato da SAP dal 2010.

Uno degli aspetti rilevanti su questa tematica, ormai nel passato, era la distinzione tra i software di tipo Transazionale OLTP (Online Transaction Processing) verso quelli analitici (OLAP - Online analytical Processes).

Questi software, ad esempio l'applicativo SAP ECC (anche noto come SAP ERP), erano software transazionali. Quindi non progettati per effettuare analisi di dati ingenti. Questo anche perché i database sottostanti non erano progettati per questo. L'applicativo SAP ECC, infatti poteva essere installato su qualsiasi database (DB2, Oracle, Microsoft SQL, ASE, HANA etcc).

Per poter analizzare i dati, quindi svolgere la parte OLAP servivano in passato software ad hoc come ad esempio, nel caso di SAP, SAP BI e BW.

Con l'introduzione del database HANA SAP ha vincolato l'utilizzo dei propri software al database proprietario. Questo per permettere di sfruttare appieno tutte le funzionalità di elaborazione in memoria previste dal database. Consentendo inoltre di avere una unica piattaforma OLTP ed OLAP integrata. 

Ma quali sono le novità security di questo database?

• La possibilità di gestire nativamente la crittografia del database
• La possibilità di crittografare tutte le comunicazione da e verso il database
• La possibilità di attivare degli HANA Audit Log
• Oltre ovviamente alla gestione degli accessi e la profilazione degli accessi al database HANA
• L'integrazione del SAP GRC Access Control anche negli aspetti di gestione degli accessi in SAP HANA

Nella versione SAP HANA Enterprise Cloud può essere gestito direttamente in Cloud. In questo caso ci sono alcune differenze ad esempio:

• Il client 000 SAP HANA Enterprise Cloud, viene controllato da SAP
• I log di firewall, network non sono forniti ai clienti
• Ci si può collegare via VPN o MLPS (multiprotocol label switching)
• La gestione applicativa del sistema viene fatta direttamente dal cliente

Cosa è SAP S/4HANA?

È l'evoluzione del SAP ERP. Si tratta del nuovo applicativo gestionale SAP basato sul database HANA, rilasciato pubblicamente nel 2015.

Ma quali sono le terminologie principali?

• SAP Business Suite, si riferisce al sistema SAP ERP Netweaver
• SAP Business Suite S/4HANA, si riferisce al nuovo applicativo basato su HANA e può avere due versioni
  • SAP S/4HANA On-Premise
  • SAP S/4HANA Cloud

Non solo quindi nuove tecnologie ma anche nuovi processi e nuove interfacce utenti. Infatti SAP ha rivisto i principali processi di business in questo sistema e rinnovato completamente l'accesso alle "transazioni". 

Queste potranno essere utilizzate ancora ma potranno anche essere sostituite dalle rispettive APP. Tramite l'utilizzo di SAP FIORI, è infatti possibile installare delle APP che sostituiscono di fatto l'utilizzo delle transazioni per come sono note a chi già oggi utilizza i sistemi SAP transazionali. 

SAP FIORI ovvero la tecnologia che permette di utilizzare SAP nei device mobile, è anche l'interfaccia grafica usata da SAP S/4HANA.

Ogni anno viene rilasciata una nuova versione di SAP S/4HANA On-Premise mentre ogni sei mesi una nuova release di SAP S/4HANA Cloud. Il codice della release identifica la data di rilascio SAP S/4HANA On-Premise 1909 significa che il rilascio è avvenuto nell'anno 2019 a settembre. Allo stesso meno nel versioning della release Cloud.

S/4HANA Upgrade. Da SAP ECC a SAP S/4HANA quali sono gli scenari?

Anche qui dobbiamo distinguere. Stai migrando il database oppure stai migrando l'applicativo (SAP ECC)?

Nel caso del database, si tratta di un passaggio prettamente tecnologico. Non ci sono impatti quindi a livello applicativo, eccezione fatta nel caso in cui si debba aggiornare anche l'attuale sistema SAP ECC. In questo caso, tuttavia, si tratterebbe di un normale upgrade SAP. Anche la parte autorizzativa e le logiche di segregazione rimarrebbero le medesime.

Nel caso della migrazione da SAP ECC a SAP S/4HANA?

Qui, al contrario del precedente scenario, potrebbero esserci diverse situazioni.

Come nel passato, dove in caso di upgrade, si parlava di:

• Upgrade tecnico
• Upgrade funzionale

Anche nel contesto della migrazione a S/4HANA esistono due tipologie distinte di migrazione, che ricalcano quanto sopra:

• Brownfield
• Greenfield

Nel caso del brownfield avviene di fatto una migrazione tecnica, senza rivedere i processi attualmente in uso e quindi senza sfruttare eventuali nuove funzionalità.

Mentre nel caso del greenfield il processo di upgrade diventa una rivisitazione globale dei processi attualmente in essere. Come se fosse, per alcuni aspetti, un progetto di nuova implementazione.

Approfondisci qui quali sono tutte le novità e punti di attenzione della migrazione a S/4HANA.

Gestione della Segregation Of Duties in ambiente S/4HANA

Durante l'aggiornamento dei sistemi, oltre alle nuove implementazioni, devi tenere conto della segregation of duties all’interno della tua società. Leggi qui come affrontare un progetto di questo tipo. Vedrai come approcciare le varie fasi:

• Risk definition
• Risk analysis
• Remediation
• Mitigation
• Continuous compliance

Leggi questo articolo per capire come la SoD ti aiuta a proteggere i dati aziendali.

Ricorda che la parte di remediation e soprattutto quella di mitigation possono essere molto impegnative. Durante il progetto ma anche durante il day by day.

Anche durante una migrazione a S/4HANA devono essere adeguate le matrici di rischio.

GDPR - General Data Protection Regulation

La conformità al regolamento UE 2016/679 e Dlgs. 101/2018 è di fatto obbligatoria per chi gestisce i dati personali.

Anche qui deve essere seguito un processo preciso per affrontarla. Questo processo non coinvolge solo un reparto aziendale ma molti es. Legale, ICT, Business, HR. SAP contiene molti dati personali (dati sensibili). È quindi importante effettuare una privacy risk analysis (PIA) per individuare non conformità e capire come gestirle, ad esempio tramite:

• La crittografia dei dati in SAP
• L'hardening SAP
• Il mascheramento (masking) dei dati
• Lo scrambling dei dati SAP
• La formazione del personale es. Security awareness

Leggi qui come conviene affrontare il GDPR in particolare su SAP, per proteggere i dati personali. Il passaggio a SAP HANA ed S/4HANA può aiutare nell'affrontare la gestione del regolamento europeo.

SAP Governance Risk and Compliance (GRC)

Uno degli strumenti che SAP mette a disposizione per controllare la controllare e gestire la conformità dell'azienda alle normative di riferimento è il SAP GRC. 

Questo strumento formato da diversi sistemi (leggi qui l'approfondimento), permette nel caso dell'Access Control, di gestire i seguenti aspetti.

• ARA - Access Risk Analysis, Segregation of duties, tutte le fasi della SoD ad eccezione della parte di Mitigation per il testing dei controlli (per questa è necessario l'utilizzo del GRC Process Control)
• BRM - Role management, ovvero la gestione di un ciclo di vita dei ruoli autorizzativi)
• EAM - Emergency Access Management, ovvero la gestione degli accessi privilegiati (super utenze, firecall, amministratore di sistema)
• ARQ - Access Request Management, ovvero la gestione del ciclo di vita delle utenze SAP tramite l'utilizzo di workflow approvativi

Dalla versione 12 dello strumento (leggi qui quando serve effettuare la migrazione) è possibile attivare diverse funzionalità specifiche per l'ambito HANA ed S/4:

• L'utilizzo delle utenze di emergenza firefighter in ambito SAP FIORI
• L'utilizzo delle utenze di emergenza in ambito database SAP HANA
• La risk analysis delle SAP APP (ovvero le applicazioni S/4HANA basate su SAP FIORI
• L'integrazione con i sistemi in Cloud (Success Factors, SAP IAG etcc)

Come Aglea ti può aiutare? 

Dal 2003 ci occupiamo esclusivamente di fornire consulenza security SAP in Italia ed anche all’estero.

Abbiamo realizzato molte decine di progetti di disegno del security concept SAP e revisione autorizzative. Questo ci ha permesso di definire degli acceleratori di progetto e degli strumenti che aiutano a far colloquiare il reparto IT (normalmente molto tecnico) con il business. Con l'obiettivo di semplificare la comunicazione tra gli attori coinvolti e migliorare il controllo dei sistemi.

Abbiamo supportato diverse delle più grandi società Italiane nel passaggio ad HANA ed S/4HANA seguendo gli aspetti di compliance alle normative e di messa in sicurezza dei sistemi coinvolti, oltre che degli aspetti tecnici di migrazione.

Guarda le nostre certificazioni e case history.

Contattaci se vuoi risolvere le problematiche di sicurezza dei dati in azienda.