![\"IT-Onlinemagazin](\"https:\/\/sast-blog.akquinet.de\/wp-content\/uploads\/2019\/12\/Expert-Talk_Logo_mitSAST_200px.jpg\"){kind=logo}
Eine strukturierte Security-Planung und saubere Berechtigungen sind nur zwei Bestandteile, die SAP-Systeme vor Cyberangriffen und Manipulationen sch\u00fctzen k\u00f6nnen. Ralf Kempf (CTO SAST SOLUTIONS bei der akquinet AG) erl\u00e4utert im Interview, welche Stolperfallen man bei der S\/4HANA-Migration vermeiden sollte und was man tun kann, um S\/4HANA sicher zu nutzen.<\/p>\n
<\/p>\n
Das folgende Interview zwischen Helge Sanden (Chefredakteur IT-Onlinemagazin) und Ralf Kempf ist erstmals am 11. Dezember 2019 im <\/strong><\/em>IT-Onlinemagazin<\/strong><\/a> erschienen.<\/strong><\/em><\/p>\n Die Themen SAP Basis Parameter- und Datenbank-Sicherheitseinstellungen bleiben weitestgehend erhalten. Ebenso die Authorization-Klassiker, die man seit Jahren aus dem SAP ERP-Umfeld kennt, wie kritische Berechtigungen und Funktionstrennungsrisiken. Und wenn wir mit Kunden \u00fcber eine S\/4HANA-Absicherung sprechen, f\u00e4llt das Stichwort \u201eRollen und Berechtigung\u201c grunds\u00e4tzlich zuerst.<\/p>\n Neu im S\/4HANA-Umfeld ist jedoch, dass sich die technische Architektur ver\u00e4ndert, sodass Risiken nun auf unterschiedlichen Ebenen (Frontend Server, Backend Server, Datenbank) ausgewertet und \u00fcberwacht werden m\u00fcssen. Bei den Benutzerzugriffen ist k\u00fcnftig darauf zu achten, welche Apps den Informationsbedarf der Anwender decken. Hierzu sollten Unternehmen unbedingt schon jetzt ihre Business Process Descriptions auf einen aktuellen Stand bringen.<\/p>\n Neben den Aufgaben im Berechtigungsumfeld sind aber auch die Themen systemische Sicherheit, insbesondere mit Fokus HANA DB und Webzugriff, sowie die H\u00e4rtung bzw. Eliminierung von kundeneigenem ABAP-Code essenziell.<\/p>\n Wenn Sie mich fragen, ist der schwerwiegendste Fauxpas der, SAP Security & Compliance-Themen erst zu bedenken, wenn alle Systeme bereits konvertiert wurden. Eine feste Ber\u00fccksichtigung von ebendiesen Aspekten im Migrationsplan ist jedoch unabdingbar. Das beginnt nicht zuletzt damit, dass mit der SAP S\/4HANA-Migration auch ein Plattformwechsel verbunden ist. Mit dem Umstieg auf eine neue Technik sowie ein neues Betriebssystem gehen auch immer zus\u00e4tzliche Anforderungen an die Systemsicherheit einher.<\/p>\n Im Eifer des Gefechts ebenfalls viel zu h\u00e4ufig vernachl\u00e4ssigt wird die Bereinigung von eigenem ABAB-Code. Wir empfehlen, mit der Korrektur nicht bis nach der Migration zu warten und vergleiche das Vorgehen hierbei gern mit einem privaten Umzug: Erst ausmisten, dann umziehen. Und die Arbeit lohnt sich, denn unsere Erfahrungen belegen, dass bis zu 90 Prozent der APAB-Eigenentwicklungen funktionsloser Ballast sind. Und der hindert Kunden schlussendlich daran, S\/4HANA effizient nutzen zu k\u00f6nnen.<\/p>\n Nicht zuletzt geht es nat\u00fcrlich auch um die Anpassung und Aktualisierung der Fachberechtigungen, um von Anfang an neuen Transaktionen und Prozessen gerecht zu werden.<\/p>\n Die Themen Absicherung und Compliance sollten von Beginn an fest in den Projektplan integriert werden. Dabei ergibt sich die Kl\u00e4rung von Sicherheitsfragen w\u00e4hrend der Architekturphase fast wie von selbst. Ans Eingemachte geht es dann mit der technischen Absicherung der Zielplattform direkt im Anschluss. Mit dem ersten neu umgestellten System (DEV oder Sandboxsystem) ist eine gute Basis geschaffen, auf die Verantwortliche aufbauen k\u00f6nnen.<\/p>\n Besonders hilfreich \u2013 und das kn\u00fcpft gut an bisher Gesagtes an \u2013 war, dass wir im Vorfeld einen gemeinsam abgestimmten Projektplan mit definierten Phasen f\u00fcr Vorbereitung, Durchf\u00fchrung und Abnahme der Test- & Produktivphasen der Berechtigungen definierten. So war es sp\u00e4ter ein Leichtes, notwendige Anpassungen rasch und effizient durchzuf\u00fchren und zu kommunizieren.<\/p>\n Workshops mit den jeweiligen Fachbereichen und ihren jeweiligen Anforderungen trugen zudem dazu bei, dass der Gro\u00dfteil notwendiger Transaktionen und Programme dem jeweiligen Benutzerkreis direkt zur Verf\u00fcgung stand.<\/p>\n Eine gezielte Tool-Unterst\u00fctzung w\u00e4hrend des Projekts half nicht zuletzt bei der effizienten Umsetzung der notwendigen Arbeiten \u2013 sowohl uns als auch dem Kunden. Und durch den Greenfield-Approach hat es sich bei Erarbeitung der notwendigen Berechtigungen als \u00e4u\u00dferst n\u00fctzlich erwiesen, sowohl in der Test- als auch Produktivphase den SAST Safe-Go-Live-Ansatz zu nutzen.<\/p>\n Neben dem Einblick in ein \u201eBest Case\u201c-Projekt ist uns wichtig, die Teilnehmer auch an Projekt-\u201eFails\u201c teilhaben zu lassen. Also an realen Situationen, in denen das Thema Security & Compliance zu sp\u00e4t, teils gar nicht oder auch nicht umfassend genug eingeplant war, bevor es in den Projektplan aufgenommen wurde. Denn gerade diese Fettn\u00e4pfchen sind es, die wertvolle Tipps f\u00fcr die eigene S\/4HANA-Conversion geben k\u00f6nnen und sicherstellen, dass eine Migration ohne b\u00f6se \u00dcberraschungen sowohl im geplanten Zeit- als auch Budgetrahmen erfolgen kann.<\/p>\n Im Prinzip k\u00f6nnen wir von vier entscheidenden Schritten einer sicheren S\/4HANA-Migration sprechen. Allen voran sollten sich Verantwortliche immer mit dem Aufbau der Zielplattform befassen. Anschlie\u00dfend erfolgt eine Systemh\u00e4rtung auf allen Ebenen (OS, Datenbank, Application Server) und das Einspielen der SAP Security Notes. Die fortlaufende Dokumentation im Testsystem muss dabei gew\u00e4hrleistet sein, um weitere Systeme analog aufbauen zu k\u00f6nnen. Last but not least steht der Test (z.B. mit der SAST SUITE), um m\u00f6gliche Sicherheitsl\u00fccken und -risiken zu ermitteln. Erst danach erfolgt die eigentliche Datenmigration.<\/p>\n Diese Frage mit \u201eerfolgreiche S\/4HANA-Migrationen\u201c zu beantworten fasst es sicher etwas kurz. Aus unserer Sicht ist zu erwarten, dass wir von einer stetig gr\u00f6\u00dfer werdenden Anzahl \u00e4u\u00dfert erfolgreicher Projekte h\u00f6ren werden. Aber es wird auch die ersten Unternehmen geben, die scheitern \u2013 zumindest mit Blick auf den geplanten Projektzeitraum oder das Budget. Ebenso wird es spannend werden, wie Unternehmen, die das Thema Conversion noch deutlich hinausz\u00f6gern, mit der zu erwartenden weiteren Verknappung an Fachpersonal\/Berater-Expertise umgehen werden.<\/p>\n Die Fragen stellte Helge Sanden, Chefredakteur des IT-Onlinemagazins.<\/p>\n TIPP:<\/strong> Sie wollen noch tiefer in das Thema einsteigen? Dann empfehlen wir Ihnen die Aufzeichnung des Expert-Talks mit Helge Sanden. Manuel Rosenthaler (TGW Logistics Group) und Ralf Kempf waren als G\u00e4ste bei der IT-Onlinekonferenz 2020 \u201eS\/4HANA-Umstieg und Prozessoptimierung mit SAP: Wie machen es andere Unternehmen?\u201c<\/strong>, berichteten dort ausf\u00fchrlich aus ihrem Projekt und gaben Empfehlungen. Den Link zur Aufzeichnung des Webinars „Wie Sie Stolperfallen bei der S\/4HANA-Migration vermeiden.“ k\u00f6nnen Sie jetzt anfordern.<\/a><\/strong><\/p>\n <\/p>\n Wie migriert man SAP Custom Code schnell nach S\/4HANA?<\/a><\/p><\/blockquote>\nHerr Kempf, welche Fragen zur Sicherheit und Compliance sollte man sich bei der S\/4HANA-Migration stellen? Welche sind alt, welche kommen neu hinzu?<\/strong><\/h2>\n
Wenn Sie an Gespr\u00e4che mit Anwenderunternehmen zur\u00fcckdenken \u2014 was wird besonders gerne vergessen?<\/strong><\/h2>\n
Zu welchem Zeitpunkt sollte man Sicherheitsfragen kl\u00e4ren und wie geht man die Absicherung einer S\/4HANA-Migration an?<\/strong><\/h2>\n
Welche Erfahrungen haben Sie im Projekt mit TGW Logistics gesammelt?<\/strong><\/h2>\n
Was erfahren wir von Ihnen bei der IT-Onlinekonferenz 2020?<\/strong><\/h2>\n
K\u00f6nnen Sie uns vorab schon eine SAP-Security-Empfehlung verraten?<\/strong><\/h2>\n
Mit einem Wort (oder Satz) ausgedr\u00fcckt: Was wird f\u00fcr Sie in den kommenden 12 Monaten das dominierende Thema in der SAP-Community?<\/strong><\/h2>\n
Vielen Dank f\u00fcr das Gespr\u00e4ch.<\/strong><\/h2>\n
![\"Ralf](\"https:\/\/sast-blog.akquinet.de\/wp-content\/uploads\/2016\/12\/ralfkempf_akquinet-300x210.jpg\")
\nRalf Kempf (CTO SAST SOLUTIONS)<\/strong><\/p>\n![\"Helge](\"https:\/\/sast-blog.akquinet.de\/wp-content\/uploads\/2019\/02\/Helge-Sanden-IT-Onlinemagazin-6458-300x200.jpg\")
\nHelge Sanden (Chefredakteur IT-Onlinemagazin)<\/strong><\/p>\nDas k\u00f6nnte Sie auch interessieren:<\/h2>\n