Quien opera sistemas SAP productivos necesita una vía para la emergencia: derechos que nadie debe tener en el día a día, pero que alguien necesita cuando hay una incidencia. Las soluciones firefighter clásicas son caras, complejas y laboriosas de implantar, y a menudo están en la nube.
ISPICIO_E funciona como aplicación web en su servidor. SAP Basis solicita un usuario de emergencia de un solo uso y trabaja en el sistema. Después, ISPICIO_E borra el usuario, recoge el Security Audit Log y presenta la intervención para su aprobación. Un solo precio, para todos los sistemas y usuarios.
El problema
Sin un acceso de emergencia regulado, ante una incidencia o bien se detiene el sistema productivo o bien alguien conserva permanentemente derechos que ningún auditor acepta. Por eso una solución firefighter forma parte de todo entorno SAP operado profesionalmente. Las soluciones habituales, sin embargo, tienen su precio.
Una intervención, seis pasos
Cada acceso de emergencia recorre en ISPICIO_E el mismo camino: solicitud, usuario de un solo uso, intervención en el sistema SAP, Security Audit Log, revisión, aprobación. Al final queda un registro que responde a cualquier pregunta de un auditor.
Quien debe intervenir inicia sesión en ISPICIO_E en el navegador, elige el sistema SAP e introduce el motivo en los campos obligatorios. Un clic en «Request Super User» inicia la intervención. La aprobación llega después de la intervención, no antes: en una emergencia nadie espera una autorización.
ISPICIO_E crea a través de la interfaz RFC un usuario de un solo uso en el sistema SAP elegido y entrega las credenciales. No existen derechos de emergencia permanentes. Cada intervención recibe su propio usuario.
La intervención tiene lugar en el sistema SAP, tal como lo exige la incidencia. ISPICIO_E no interviene, pero comprueba periódicamente si el usuario de emergencia sigue conectado.
Tras cerrar la sesión, ISPICIO_E borra el usuario en el sistema SAP e incorpora a su propia base de datos las entradas del Security Audit Log relativas a ese usuario. Lo que ocurrió en la intervención queda así completo junto a la intervención. Nadie tiene que rebuscar registros después.
Un revisor ve la intervención con motivo, sistema, periodo y todas las entradas SAL. Si algo queda sin aclarar, se envía una consulta por correo electrónico a la persona que la realizó. La respuesta se documenta en la intervención, hasta que no quede nada abierto.
Aprobar o rechazar. Ambas cosas quedan registradas. Un rechazo no corrige nada en el sistema SAP; documenta el hallazgo y exige una medida de seguimiento. La intervención pasa al archivo, con todo lo que le pertenece.
Tres compromisos
ISPICIO_E es una aplicación web para Apache Tomcat o un contenedor Docker, con PostgreSQL como base de datos. Funciona en su red, detrás de su cortafuegos. Credenciales, motivos y entradas del Security Audit Log no salen de la empresa.
La licencia es independiente del número de sistemas y usuarios SAP. Conecta tantos sistemas como opere y crea tantos usuarios y revisores como necesite. El precio sigue siendo el mismo.
Cada intervención lleva motivo, sistema, periodo, las entradas del Security Audit Log, consultas y la decisión. El archivo se filtra por sistema, periodo y estado. En la auditoría muestra la intervención en lugar de reconstruirla.
Tres roles
ISPICIO_E separa ejecución y comprobación. La aprobación se produce tras la intervención, por otra persona, con el Security Audit Log a la vista. Todo en el navegador, sin SAP GUI para la comprobación.
Rol
Normalmente el equipo de SAP Basis.
Solicita el usuario de emergencia de un solo uso, trabaja en el sistema SAP y responde a las consultas del revisor.
Rol
Una segunda persona, para que se aplique el principio de los cuatro ojos.
Comprueba la intervención a posteriori a partir de las entradas del Security Audit Log, aprueba, rechaza o pregunta.
Rol
SAP Basis o gestión de aplicaciones.
Conecta sistemas SAP y servidor de correo, crea usuarios y revisores, mantiene las reglas de contraseña y la licencia.
En la auditoría
Si un auditor pregunta por los accesos de emergencia del último trimestre, el revisor filtra el archivo por sistema, periodo y estado. Cada entrada abre la intervención completa: motivo, periodo, entradas del Security Audit Log, consultas, decisión.
Requisitos
Sin conexión a la nube, sin agente adicional en el sistema SAP. ISPICIO_E utiliza lo que ya existe en un entorno SAP: el Security Audit Log y una conexión RFC.
Siguiente paso
Cuatro semanas de prueba, en su red, con sus sistemas. Nuestro departamento comercial envía la clave de licencia.
