![\"SAST](\"https:\/\/sast-solutions.de\/blog-de\/wp-content\/uploads\/2021\/11\/Motiv_Blog_WP-300x200.jpg\")
Alle Jahre wieder, das ist jedem SAP- und Security-Verantwortlichen klar, steht das Wirtschaftspr\u00fcfer-Audit an. Und trotzdem herrscht dann oft Unsicherheit \u00fcber die aktuelle Risikosituation der SAP-Systeme. Konnten alle Schwachstellen der letzten Pr\u00fcfung tats\u00e4chlich bereinigt werden? Sind in der Zwischenzeit erneut Risiken hinzugekommen? Wer hier nicht aktiv gegensteuert, findet sich allj\u00e4hrlich wieder in der gleichen Situation.<\/p>\n
<\/p>\n
<\/p>\n
SAP-Berechtigungskonzepte sind st\u00e4ndigen Ver\u00e4nderungen unterworfen. Gerade deshalb werden Berechtigungen wie SAP_ALL oder die Absicherung der SAP-Standard-User, aber auch SoD-Risiken von den Wirtschaftspr\u00fcfern jedes Jahr aufs Neue gepr\u00fcft. Die Liste der notwendigen Ma\u00dfnahmen ist lang, vom Einspielen der Sicherheits-Patches bis hin zur Kontrolle und Reduzierung kritischer Berechtigungen. H\u00e4ufig bekommen dann Security-Spezialisten kurzfristig den Auftrag sicherzustellen, dass die Finding-Liste des letztj\u00e4hrigen Wirtschaftspr\u00fcfer-Audits gr\u00fcndlich abgearbeitet wurde und dass seit der Bereinigung keine gravierenden Risiken hinzukamen, ob Debug und Replace, L\u00f6schen von \u00c4nderungsbelegen oder Start aller Reports bei einzeln kritischen Berechtigungen. Ein Grund f\u00fcr diese Ad-hoc-Beauftragungen ist, dass aufgrund Ressourcenmangels zwischenzeitlich keine Nachpr\u00fcfung der Bereinigungen nach dem letzten Audit erfolgte.<\/p>\n
Beschr\u00e4nken Sie sich auf dieses reaktive Vorgehen, ist der allj\u00e4hrliche Kreislauf vorprogrammiert.![\"SAST](\"https:\/\/sast-solutions.de\/blog-de\/wp-content\/uploads\/2021\/11\/WP_Grafik1-1024x378.jpg\")
\nSind alle alten Findings gerade noch vor der n\u00e4chsten Wirtschaftspr\u00fcfung eliminiert oder mitigiert, testet der Wirtschaftspr\u00fcfer diese nicht nur, sondern er f\u00fchrt nat\u00fcrlich auch weitere Pr\u00fcfungen durch, erstellt erneut eine Finding-Liste und das Spiel beginnt von vorne. Um kurzfristig Schaden abzuwenden, ist eine zeitpunktbezogene Aktion daher zwar notwendig, aber nicht zukunftstr\u00e4chtig. Der Compliance-Status des Systems verschlechtert sich sofort wieder durch Zuweisung neuer Berechtigungen, ein Wiedereinschleichen ist nicht proaktiv zu verhindern. Neue Risiken bleiben im Jahresverlauf oft unerkannt, so lange bis das n\u00e4chste Audit ansteht. Es wird also weder kontinuierlich an der Verbesserung der Situation gearbeitet, noch findet eine permanente Risikokontrolle statt.<\/p>\n
Eine Finding-Liste zeigt immer nur einen kleinen Ausschnitt der Risiken in einem SAP-System. Doch was ist mit Vorgangs-, \u00c4nderungs- und Verhaltensanalysen? Wann und wo sind Mitarbeiter von vorgegebenen Arbeitsweisen abgewichen? Wurden differierende Einstellungen mutwillig wieder auf den \u201eSoll\u201c-Zustand zur\u00fcckge\u00e4ndert? Die L\u00f6sung f\u00fcr dieses Problem ist dabei relativ einfach: Warten Sie nicht bis zum n\u00e4chsten Audit, sondern machen Sie sich jetzt eigene Schwachstellen bewusst. Nur so bleibt die Sicherheit Ihrer SAP-Systeme ganzj\u00e4hrig gew\u00e4hrleistet und eine schnelle Reaktionsf\u00e4higkeit bei Anomalien erhalten.<\/p>\n
Der einfachste und gr\u00fcndlichste Weg dazu ist der Einsatz einer toolgest\u00fctzten, ganzheitlichen L\u00f6sung f\u00fcr SAP Threat Detection und Access Governance wie der SAST SUITE<\/a>. Diese \u00fcbernimmt nicht nur eine umfassende Echtzeit\u00fcberwachung, sondern auch die Integration von zyklischen Pr\u00fcfungen bis hin zum Erstellen eines Auditplans mit eigener Policy f\u00fcr die Finding-Liste des Wirtschaftspr\u00fcfers. So kommen neben seiner j\u00e4hrlichen Begutachtung regelm\u00e4\u00dfige interne Audits zum Einsatz, um die Konfiguration von SAP-Landschaften und die User-Berechtigungen zu pr\u00fcfen. Ihr Vorteil: Sie analysieren einzelne Aspekte in k\u00fcrzeren Zeitintervallen, bereiten j\u00e4hrliche Audits vor sowie nach und unterst\u00fctzen interne Kontrollsysteme. Eine Ad-hoc-Bereinigung der Wirtschaftspr\u00fcfer-Findings ist mit der SAST SUITE schnell und effektiv m\u00f6glich. Eine solche initiale Aktion sollte aber nur Ausnahme und Anfang sein, da stets eine gro\u00dfe zeitliche \u00dcberwachungsl\u00fccke entsteht. Entscheidend f\u00fcr ein verl\u00e4ssliches IT-Sicherheitskonzept ist vielmehr ein durch L\u00f6sungen wie die SAST SUITE erm\u00f6glichtes aktives Risikomanagement und das Erreichen eines Stadiums des kontinuierlichen \u201eStay Clean\u201c durch regelm\u00e4\u00dfige Analysen und zyklische Pr\u00fcfungen mit einem klaren Auditplan, Definition des Audit-Umfangs, der Planung wiederkehrender Pr\u00fcfungen und einer automatisierten Audit-Durchf\u00fchrung. Damit bleiben bereinigte Systeme auch clean und Sie k\u00f6nnen dem Wirtschaftspr\u00fcfer beim n\u00e4chsten Besuch ganz entspannt die T\u00fcr \u00f6ffnen.<\/p>\n Weitere Informationen erhalten Sie auf unserer SAST SOLUTIONS Website<\/a> oder melden Sie sich<\/a> bei uns.<\/p>\n <\/p>\n![\"SAST](\"https:\/\/sast-solutions.de\/blog-de\/wp-content\/uploads\/2021\/11\/WP_Grafik2-1024x466.jpg\")
<\/p>\nVerfolgen Sie einen ganzheitlichen Ansatz<\/strong><\/h2>\n
![\"SAST](\"https:\/\/sast-solutions.de\/blog-de\/wp-content\/uploads\/2018\/11\/SAST-SOLUTIONS-Webinars-on-demand-300x110.jpg\")
\nVertiefende Einblicke in dieses Thema bietet Ihnen unser gleichnamiges Webinar \u201eBereinigen Sie Ihre Top-Findings, bevor der Wirtschaftspr\u00fcfer kommt!\u201c. Die Aufzeichnung<\/a> stellen wir Ihnen gerne zur Verf\u00fcgung.<\/p>\nWeitere Beitr\u00e4ge zum Thema:<\/h2>\n