Sicheres SAP E-Recruiting

Transkript

1 - viel mehr als ein Berechtigungsknzept Praxisbericht über das Security Audit bei Rhde & Schwarz Reza Farrkhzadian Geschäftsführer HCM EXPERTS GMBH WIR SCHLAGEN BRÜCKEN ZWISCHEN HR UND IT.

2 Agenda Wir über uns und Firmenprtrait Rhde & Schwarz Prjektziele und Meilensteine SAP E-Recruiting Prblemstellung und Risikwrkshp Sicherheitsaudit Fazit und Lessns Learned 2

3 Unser Leistungsprtfli Unsere Dienstleistungen fkussieren sich fachlich und technisch auf alle SAP ERP HCM Anwendungen Unsere Schwerpunkte liegen in: fachlicher Beratung, Knzeptin und Realisierung technischer Implementierung, Entwicklung und Integratin Datenmigratin und Schnittstellenentwicklung After-G-Life Betreuung, Schulung und Ausbildung Laufender Betreuung und Supprt EHP5/6 Implementierungs- und Entwicklungserfahrung SAP ERP HCM Sicherheit Rückführung in den SAP ERP HCM Standard ( zurück zum Standard ) SAP Mbile Apps im HR HR Cntrlling Talent Management (SAP/SuccessFactrs) 3

4 Firmenprträt Rhde & Schwarz 4

5 Prjektziele Erfassen aller relevanten Bewerberdaten in einem System Abschaffen der Ltus Ntes Datenbanken, Excel-Listen und externer Dienstleister Vermeiden vn Medienbrüchen Transparenz des Beschaffungsprzesses Leistungsfähiges Reprting Statistische Auswertungen Qualitätskntrlle Onlinebewerbungen ermöglichen Mderner, zeitgemäßer Eingangskanal Zielgruppenspezifischer Einsatz Persnalbeschaffungsprzess ptimieren Durchlaufzeiten verringern (time t hire) Administrativen Aufwand minimieren (Standards definieren) 5

6 Meilensteinplanung für Einführung DE 6

7 Prblemstellung Fachliche Risiken - IT-Sicherheit - Standards (setzen) S icher? A bwehrfähig? P werriegel? 7

8 Vrgehensweise Aufklären lassen vn Experten Marktrecherche / Netzwerk befragt Erstes Treffen mit HCM EXPERTS & Virtual Frge Mai 2011 gegenseitige Erwartungen geklärt Hausaufgaben für weiteres Vrgehen definiert Zeitplan abgesteckt 8

9 2-Tages-Risikwrkshp im September 2011 Agenda Tag 1 Kickff: Architekturdiskussin Statuserfassung durch Interview Ansprechpartner: Cmpliance Anfrderungen Fachabteilung / Cmpliance-Beauftragter Rllen- und Berechtigungen Berechtigungsadministratr Infrastruktur, SAP Basis Netzwerk / Betriebssystemadmin, SAP Basis SAP Landschaft OS, Datenbank, Netzwerk Frntend Sicherheit ABAP Entwicklung, Java falls vrhanden (Prtal) Entwicklungsprzess SAP Entwicklungsleitung / QA 9

10 2-Tages-Risikwrkshp im September 2011 Agenda Tag 2 Stichprben über Instanzen Systemzugang mit Audit-Berechtigung WebDynpr ABAP / BSP: XSRF möglich? Virenschutz (EICAR Test) HTML XSS Test PDF Cnverter Passwrd Reset Berechtigungen Superuser Dkumentatin der Ergebnisse 10

11 Lösungsschritte: Ergebnisse des Risikwrkshps 11

12 Audit Im Nvember 2011 Berechtigungsreview Knzept vs. Berechtigungen im System Penetratinstest Versuch des Hacks in Anwendungen Basisaudit Systemhärtung vn Frntend/Backend (Parameter, ICF-Services) SAP Security Ntes Überprüfung Infrastruktur und Betrieb Prtscans 12

13 Audit Im Januar 2012 Re-Test vm Nvember unmittelbar vr GLive Letzte Massnahmen erkannt und gebannt Prduktivsystem technisch live E-Rec infrastrukturell integriert 13

14 Fazit und Lessns learned SAP ist nicht autmatisch sicher. Eine ganzheitliche Sicherheitsbetrachtung ist ntwendig! Helmut Birk, Abteilungsleiter Systembetreuung SAP/HCM, Rhde & Schwarz Kmplexität der IT-Sicherheit ist nicht zu unterschätzen Alles vn innen & außen betrachten Virenscan & Web Applicatin Firewall SAP Systeme sind nicht vn Haus aus autmatisch sicher Sehr gute SAP Basis und Netzwerktruppe ntwendig Security Audit ist sehr empfehlenswert Um s mehr, wenn Internes Knw-Hw/Ressurcen nicht umfangreich vrhanden sind GLive zum war sicher und störungsfrei 14

15 Fazit und Lessns learned Security Przesse initiieren ähnlich dem SAP Security Patch Day Securitybetrachtung bei E-Recruiting gilt intern als Vrbild Für weitere Przesse & Webanwendungen Ausblick Betriebshandbuch E-Recruiting Supplier Cckpit 15

16 Sicheres E-Recruiting Kntakt Herzlichen Dank für Ihre Aufmerksamkeit! Bei Rückfragen, steht Ihnen das HCM EXPERTS Team gerne zur Verfügung. Ihr Ansprechpartner: Reza Farrkhzadian Geschäftsführer HCM EXPERTS GMBH M: +49 (0) T : +49 (0) reza.farrkhzadian@hcm-experts.de 16