Wer SAP-Produktivsysteme betreibt, braucht einen Weg für den Notfall: Rechte, die im Alltag niemand haben darf, im Störfall aber jemand braucht. Klassische Firefighter-Lösungen sind teuer, komplex und aufwendig einzuführen, häufig aus der Cloud.
ISPICIO_E läuft als Webanwendung auf Ihrem Server. Die SAP-Basis fordert einen einmaligen Notfallbenutzer an und arbeitet im System. ISPICIO_E löscht den Benutzer danach, holt das Security Audit Log und legt den Einsatz zur Freigabe vor. Ein Preis, für alle Systeme und User.
Das Problem
Ohne geregelten Notfallzugriff steht im Störfall entweder das Produktivsystem still oder jemand behält dauerhaft Rechte, die kein Prüfer akzeptiert. Deshalb gehört eine Firefighter-Lösung in jede professionell betriebene SAP-Landschaft. Die verbreiteten Lösungen haben allerdings ihren Preis.
Ein Einsatz, sechs Schritte
Jeder Notfallzugriff läuft in ISPICIO_E denselben Weg: Anfrage, einmaliger Benutzer, Einsatz im SAP-System, Security Audit Log, Review, Freigabe. Am Ende steht ein Protokoll, das jede Frage eines Prüfers beantwortet.
Wer eingreifen muss, meldet sich im Browser an ISPICIO_E an, wählt das SAP-System und trägt den Anlass in die Pflichtfelder ein. Ein Klick auf „Request Super User" startet den Einsatz. Die Freigabe kommt nach dem Einsatz, nicht davor: Im Notfall wartet niemand auf eine Freischaltung.
ISPICIO_E erzeugt über die RFC-Schnittstelle einen einmaligen Benutzer im gewählten SAP-System und gibt die Zugangsdaten aus. Dauerhafte Notfallrechte gibt es nicht. Jeder Einsatz bekommt seinen eigenen Benutzer.
Der Einsatz findet im SAP-System statt, so wie die Störung es verlangt. ISPICIO_E greift nicht ein, prüft aber regelmäßig, ob der Notfallbenutzer noch angemeldet ist.
Nach der Abmeldung löscht ISPICIO_E den Benutzer im SAP-System und übernimmt die Einträge des Security Audit Log zu diesem Benutzer in die eigene Datenbank. Was im Einsatz geschah, liegt damit vollständig beim Einsatz. Niemand muss später Logs zusammensuchen.
Ein Reviewer sieht den Einsatz mit Anlass, System, Zeitraum und allen SAL-Einträgen. Bleibt etwas unklar, geht eine Rückfrage per E-Mail an die ausführende Person. Die Antwort wird am Einsatz dokumentiert, so lange, bis nichts mehr offen ist.
Freigeben oder ablehnen. Beides wird festgehalten. Eine Ablehnung korrigiert nichts im SAP-System, sie dokumentiert den Befund und verlangt eine Folgemaßnahme. Der Einsatz wandert ins Archiv, mit allem, was dazugehört.
Drei Zusagen
ISPICIO_E ist eine Webanwendung für Apache Tomcat oder ein Docker-Container, mit PostgreSQL als Datenbank. Sie läuft in Ihrem Netz, hinter Ihrer Firewall. Zugangsdaten, Anlässe und Security-Audit-Log-Einträge verlassen das Haus nicht.
Die Lizenz ist unabhängig von der Zahl der SAP-Systeme und SAP-User. Sie binden so viele Systeme an, wie Sie betreiben, und legen so viele User und Reviewer an, wie Sie brauchen. Der Preis bleibt derselbe.
Jeder Einsatz trägt Anlass, System, Zeitraum, die Einträge des Security Audit Log, Rückfragen und die Entscheidung. Das Archiv ist nach System, Zeitraum und Status filterbar. Im Audit zeigen Sie den Einsatz, statt ihn zu rekonstruieren.
Drei Rollen
ISPICIO_E trennt Ausführung und Prüfung. Die Freigabe erfolgt nach dem Einsatz, durch eine andere Person, mit dem Security Audit Log vor Augen. Alles im Browser, ohne SAP-GUI für die Prüfung.
Rolle
In der Regel die SAP-Basis.
Fordert den einmaligen Notfallbenutzer an, arbeitet im SAP-System und beantwortet Rückfragen des Reviewers.
Rolle
Eine zweite Person, damit das Vier-Augen-Prinzip gilt.
Prüft den Einsatz nachträglich anhand der Security-Audit-Log-Einträge, gibt frei, lehnt ab oder fragt nach.
Rolle
SAP-Basis oder Applikationsbetreuung.
Verbindet SAP-Systeme und E-Mail-Server, legt User und Reviewer an, pflegt Passwortregeln und Lizenz.
Beim Audit
Fragt ein Prüfer nach den Notfallzugriffen des letzten Quartals, filtert der Reviewer das Archiv nach System, Zeitraum und Status. Jeder Eintrag öffnet den vollständigen Einsatz: Anlass, Zeitraum, Security-Audit-Log-Einträge, Rückfragen, Entscheidung.
Voraussetzungen
Keine Cloud-Anbindung, kein zusätzlicher Agent im SAP-System. ISPICIO_E nutzt, was in einer SAP-Landschaft ohnehin vorhanden ist: das Security Audit Log und eine RFC-Verbindung.
Nächster Schritt
Vier Wochen testen, in Ihrem Netz, mit Ihren Systemen. Unser Vertrieb schickt den Lizenzschlüssel.
