O melhor modelo de perfis SAP
O melhor modelo de perfis de acesso SAP para sua organização é aquele que você não percebe que ele existe. Conheça os segredos para obter um bom modelo de perfis de acesso SAP.
Modelo de perfis de acesso SAP do tipo “One model fits all” não existe. Desconfie quando alguém te recomendar um modelo de perfis de acesso tipo “Job Position por exemplo” sem antes ter avaliado os principais requisitos da sua organização tais como; procedimentos e plataforma de gestão de acesso adotada, práticas de GRC requeridas pela área de auditoria, controles internos e segurança, maturidade do processo, cultura atual da organização etc.
Conhecimento Avançado é Essencial
Obter um modelo de perfis de acesso SAP que seja aderente ao negócio da organização e ao mesmo tempo não proporcione problemas para área de TI tais como: não conformidades às práticas de Auditoria e Segurança, exposição aos Riscos SoD (Segregação de Funções), descontrole nos aspectos de governança, custo operacional elevado para a operação, suporte e sustentação do modelo de acesso adotado etc, requer de fato conhecimento avançado da arquitetura de autorizações SAP (incluindo S/4HANA) e práticas para identificação dos principais fatores e requisitos organizacionais.
Figura 1: Complexidade da arquitetura de autorização SAP (Perfis)
Alguns fundamentos associados à arquitetura de autorizações presentes nos principais produtos SAP de base Netweaver (ABAP), são adquiridos apenas na prática. A figura acima ilustra os principais atributos técnicos que especialistas de perfis de acesso SAP devem conhecer para elaborar e propor modelos de perfis de acesso para uma organização.
Três Pilares para o Sucesso
Observado a complexidade e flexibilidade presentes na arquitetura de autorizações da plataforma SAP Netweaver (ABAP), especialistas em segurança e perfis SAP deverão contemplar em sua estratégia pelo menos os 3 pilares abaixo, considerados fundamentais para definição, elaboração e proposta de modelo e estrutura de perfis de acesso adequado para organização: são eles:
Pilar 1: Estrutura Técnica – Pilar de avaliação da relação quantitativa do número de perfis vs. número de transações vs. número de autorizações proporcionadas pelo modelo de perfis idealizado.
- Quantidade de perfis geradas;
- Quantidade de Transações/Autorizações Duplicadas;
- Quantidade de acesso concedido desnecessário;
- Quantidade de Roles associadas no Usuário final.
Ponto de Atenção. É comum observar empresas usuárias de sistemas SAP utilizarem como métrica e fator de julgamento de qualidade do modelo de perfis adotados por suas organizações a relação quantidade de perfis de acesso com a quantidade de usuários ativos existentes no sistema SAP. Utilizar essa métrica sozinha é praticamente incorrer no erro de avaliação. Outros fatores importantes devem ser considerados para avaliação de um bom modelo de perfis de acesso. Não é correto avaliar um modelo de perfis como ruim apenas comparando o número expressivo maior de perfis de acesso SAP em relação a quantidade de usuários existentes no ambiente.
Pilar 2: Gestão de Riscos – Pilar de avaliação dos aspectos de aderência aos requisitos de segurança, auditoria, controles internos e riscos proporcionados pelo modelo adotado:
- Perfis Simples sem Violação de riscos SoDs;
- Flexibilidade para gerenciamento de Riscos SoDs;
- Segurança de Acesso;
- Solicitação vs Provisionamento de acesso adicional.
Ponto de Atenção. Os projetos de construção e/ou redesenho de perfis de acesso SAP em sua grande maioria visam obter como produto final (porque são medidos assim pelo cliente) a redução ou eliminação da exposição dos Riscos SoDs nos usuários de negócios ativos. Porém parte importante desse processo é modelar e estabelecer um processo de governança que prevê as condições de operação sustentação do modelo de perfis de acesso proposto. Isso significa que o modelo de perfis de acesso idealizado deve ser flexível o suficiente para absorver as mudanças inerentes a melhorias contínuas dos sistemas ERPs sem sofrer o impacto (ou pelo menos reduzi-lo) com o surgimento de exposição de novos Riscos SoD, concessão de acesso desnecessário ou duplicidade etc.
Pilar 3: Governança / Operação – Pilar de avaliação do modelo adotado pós projeto (operação e sustentação) e sua aderência nos aspectos relacionados ao custo de manutenção e governança operacional:
Convenção de nomes que facilite a solicitação de acesso adicional;
- Flexibilidade de manutenção de acesso adicional;
- Flexibilidade para Reestruturação Organizacional;
- Flexibilidade para Rollouts;
- Flexibilidade para associar donos aos perfis;
- Flexibilidade de incorporar exceções;
- Flexibilidade de aderência a plataforma GRC adotada para gestão de acesso.
Ponto de Atenção. Idealizar um modelo de perfis que absorva as mudanças inerentes a melhorias contínuas dos sistemas ERPs é a garantir o retorno sobre o investimento (ROI). É comum empresas usuárias dos sistemas ERPs SAP terem problemas recorrentes com perfis de acesso relacionados a GAPs de auditoria, exposição a riscos SoDs etc. O fato que os modelos de perfis idealizados não observaram os 3 pilares acima para prever no modelo de perfis que antecipe tais situações. Consequentemente as empresas sofrem com a recorrência de GAPs de auditorias, ano após ano, sendo o tema perfis recorrente nas pautas dos gestores de TI.
Adaptação é a Chave
A figura abaixo é uma análise comparativa entre perfis modelados por posição (Job Position) e perfis modelados por tarefas (Task Based). As células em amarelo ressaltam os pontos negativos do modelo de perfis adotado com base no pilar de avaliação / Requisitos identificados e assumidos pelo nosso exemplo. Nota-se que o modelo de perfis por Tarefas (Task Based) leva vantagens em relação ao modelo de perfis por posição (Job Position), no entanto a máxima utilizada no início desse artigo “One model fits all” não deve ser aplicada com base nesse artigo, ou seja, esse artigo não recomenda e/ou estabelece o modelo de perfis Task Based como sendo a melhor opção. O quadro é meramente explicativo entre 2 modelos das inúmeras alternativas de modelos existentes.
Figura 2: comparação entre modelo de perfis
Há empresas em que o modelo de perfis por posição (Job Position) é a melhor opção em decorrência de fatores culturais dos envolvidos, segmento de indústria, neócio etc. A recomendação é sempre buscar ajuda de empresas especializadas em perfis de acesso SAP, para não correr o risco de adotar um modelo de perfis de acesso incompatível com as melhores práticas de GRC.
Mas se ainda não encontrou esta empresa entre em contato conosco que garanto que nossos serviços irão fazer a diferença.
Vendas@trustsis.com | trustsis.com
