Sicherheit und Prüfung von SAP -Systemen

Transkript

1 SAP Systems 18. Jahresfachkonferenz Sicherheit und Prüfung von SAP -Systemen in Hamburg + Pre-Seminar am

2 IBS-Leistungsspektrum Prüfung und Beratung Projekte Coaching Datenanalyse Datenschutz GRC Software CheckAud for SAP Systems Seminare im IBS-Seminarcenter Hamburg als Inhouse-/Individual-Seminar Fachkonferenzen Datenschutz in Unternehmen und Behörden Datenanalyse im Prüfungswesen Sicherheit und Prüfung von SAP -Systemen CheckAudience - Anwendertagung für CheckAud for SAP Systems Sprechen Sie gern persönlich mit uns über Ihre Bedürfnisse. 2

3 Vorwort Liebe Interessenten und Freunde des IBS! Sie halten die Agenda unserer 18. Konferenz zur Sicherheit und Prüfung von SAP -Systemen in den Händen. Ich versichere Ihnen, dass sie auch in diesem Jahr interessant, aktuell und praxisnah sein wird. Aktuell unter anderem, weil wir uns mit dem NetWeaver Version 7.4 auseinander setzen. In der Grundfunktionalität aber auch in der Protokollierung und den Prüfreports kommen einige Neuerungen auf uns zu! Erstmalig bieten wir in diesem Jahr ein optionales Pre-Seminar zum Thema Systemsicherheit im SAP NetWeaver an. Unser Herr Schrott vermittelt Ihnen einen Überblick über den Aufbau des Systems und die notwendigen Schutzmaßnahmen. Dieses Seminar bildet eine kompakte Grundlage für die Konferenz. Das ist doch ein guter Grund, bereits am Mittwoch anzureisen! Dipl.-Wirtschafts-Ing. Katrin Fitz Ein weiteres Thema ist die Data Leakage Prevention, ist hier der einzige Schutz wirklich, den Download vollständig zu verbieten? Herr Hans Wagner, Lead IT Consultant Information Security der msg systems ag, wird uns hierzu einige Möglichkeiten aufzeigen. Auch freuen wir uns, dass wir in diesem Jahr erneut Herrn Wiegenstein, CTO der Virtual Forge GmbH, für unsere Konferenz gewinnen konnten. Sein Ziel ist es, uns über die Risiken und Nebenwirkungen des SAP AS ABAP aufzuklären. Auf den folgenden Seiten präsentieren wir Ihnen die vollständige Konferenz-Agenda und einige Details zu den renommierten Referenten. Wir, das IBS-Team und ganz besonders ich, freuen uns schon auf Sie und auf angeregte Diskussionen. Herzlichst Ihre Katrin Fitz 3

4 Programm 1. Tag ( ) - Vormittag ab 09:00 Uhr 09:30 Uhr 09:45 Uhr Empfang Begrüßung Projekte im Bereich der SAP -Berechtigungen: Warum? Was ist zu beachten? Und danach? Sebastian Schreiber, Geschäftsführer, IBS Schreiber GmbH Passen die Berechtigungen im SAP -System nicht mehr zu den Prozessen, die im Unternehmen implementiert sind, so ist ein Projekt zum ReDesign des Berechtigungskonzeptes erforderlich. Dabei sind aus Revisionssicht eine Vielzahl an Themen zu beachten. In diesem Vortrag werden die unterschiedlichen Methoden, sowie die revisionsseitigen Besonderheiten bei der Durchführung solcher Projekte erläutert. Daraus ergeben sich konkrete Prüfungen, die nach Abschluss des Projektes durchzuführen sind. Häufige Fehler in der Berechtigungskonzeption und deren Auswirkungen Verantwortlichkeiten im Rahmen der Berechtigungsvergabe Erforderliche Dokumentation Projektplanung / -durchführung / -risiken Was ist nach dem Projekt zu beachten zur nachhaltigen Wahrung der Sicherheit im SAP System? Prüfungsansätze nach Projektabschluss 11:00 Uhr 11:30 Uhr Kaffeepause RFC-Sicherheitsrisiken erkennen, bereinigen und revisionssicher gestalten Johann Petschenka, Head of Sales SAP Channel Manager, Xiting GmbH SAP -Landschaften kommunizieren über RFC-Schnittstellen. Doch welche Daten dürfen über eine Schnittstelle transportiert werden? Von woher nach wohin darf sie zugreifen? Und warum liegt in diesen einfachen Fragen viel Zündstoff? Komplexe SAP -Landschaften, in denen mehrere Lösungen über viele RFC-Schnittstellen verbunden sind, bergen Risiken. Die SAP AG weist in vielen SAP -Hinweisen und Vorträgen seit Jahren auf die Gefahrenquellen der RFC-Kommunikation hin und implementiert neue Funktionen zur Absicherung und Überwachung. Im SAP -Hinweis weist die SAP AG auf einen maßgeschneiderten RFC Bereinigungsservice hin (Benutzer- und Berechtigungsoptimierung). Anhand eines Projektes bei der Audi AG wird aufgezeigt, wie die Berechtigungen von RFC-Benutzern effizient und sicher analysiert und bereinigt und so potenzielle Sicherheitslücken geschlossen werden können. Umsetzung des SAP RFC-Bereinigungsservice bei der Audi AG: Ausgangslage: 500 RFC-Schnittstellen innerhalb der SAP-Systemlandschaften Schnittstellenbenutzer mit erheblich zu umfangreichen Berechtigungen Lösung: Automatisierte Analyse der erforderlichen Berechtigungen für die Schnittstellenbenutzer Bereinigung der Berechtigungen ohne Unterbrechung des laufenden Betriebs und ohne die Gefahr von fehlenden Berechtigungen bei den Schnittstellenbenutzer 12:45 Uhr Mittagspause 4

5 Programm 1. Tag ( ) - Nachmittag Neuerungen in den aktuellen SAP NetWeaver Release-Ständen Gerald Schrott, IBS Schreiber GmbH Das Thema Sicherheit ist auch bei der SAP AG zu einem Kernthema geworden. Daher werden mit jedem neuen Release neue Funktionen implementiert, welche die SAP -Systeme sicherer und prüfbarer machen. Außerdem ist jeden zweiten Dienstag im Monat der Security Patch Day, an dem neue SAP - Notes rausgegeben werden, die nach dem CVSS (Common Vulnerability Scoring System) eingestuft sind. Dieser Vortrag gibt Ihnen einen Überblick über neue Funktionen, die bei Prüfungen von SAP - Systemen zu beachten sind sowie über Funktionen, welche die Durchführung der Prüfungen erleichtern. 14:00 Uhr Analyse von Anzeigeaktivitäten: Lesezugriffsprotokollierung (Read Access Logging - RAL) Eingrenzung von Datenzugriffen über Schnittstellen unabhängig von den vergebenen Berechtigungen (SAP Unified Connectivity - UCON) Neuerungen in der Benutzerverwaltung Das neue AIS (Audit Information System) Zugriff auf die SAP Security-Notes Kaffeepause Was passiert mit Ihren Berechtigungen, wenn die Daten Ihr SAP -System verlassen? Hans Wagner, Lead IT Consultant Information Security, msg systems ag In einem SAP -System sind die gespeicherten vertraulichen Daten durch das Berechtigungskonzept geschützt. Werden aus diesen Daten jedoch Dokumente generiert und weitergegeben, geht der Schutz verloren. Durchgängiges Information Rights Management löst das Dilemma Datensicherheit versus Datenaustausch. 15:30 Uhr 16:00 Uhr Status Quo Was passiert mit Daten, wenn sie Ihr SAP -System verlassen? Welche Restriktionen ergeben sich daraus? Welche Optionen gibt es, Ihre Daten außerhalb des SAP -Systems zu schützen? Was ist Information Rights Management? Wie kann man SAP -Berechtigungen an exportierte Dokumente vererben? Ende des 1. Tages Hamburger Abend (Get together) 17:15 Uhr 18:30 Uhr Anzeige CheckAudience - Anwendertagung CheckAud for SAP Systems vom in Hamburg Infos unter 5

6 Programm 2. Tag ( ) 08:30 Uhr 09:00 Uhr Empfang Die Prüfung des Monatsabschlussprozess bei Verwendung des SAP Financial Closing Cockpits 2.0 Jörn Posor, Acando GmbH Die Beschleunigung der Abläufe zur Erstellung der Periodenabschlüsse ist eine qualitative und quantitative Herausforderung an die Unternehmen. SAP hat mit der Neuauflage des Closing Cockpits als FCC 2.0 im November 2013 eine Anwendung zur Verfügung gestellt, die die Prozesse beschleunigt, die Abläufe transparenter gestaltet und die Dokumentation erleichtert. Allein die Einführung eines neuen Tools bringt aber keine Sicherheit in Prozesse die unter hohem zeitlichen Druck stehen. Im Rahmen des Vortrags wird das SAP FCC 2.0 und die Möglichkeiten zur Dokumentation und Prüfung des Periodenabschluss an praktischen Beispielen erläutert. Der Periodenabschluss im Unternehmen Betroffene Bereiche und Abteilungen Die technische Realisierung mit dem SAP FCC 2.0 Dokumentation der Abschlusstätigkeiten Prüfung des Periodenabschluss auf Vollständigkeit und Konsistenz 10:30 Uhr 11:00 Uhr Kaffeepause SAP AS ABAP - Zu Risiken und Nebenwirkungen fragen Sie bitte... Andreas Wiegenstein, CTO, Virtual Forge GmbH Der AS ABAP ist das Kernstück jeder SAP Installation. Dennoch gelingt es kaum einem Unternehmen ihn sicher zu betreiben. Dieser Vortrag gibt einen Überblick über die Bandbreite der Risiken und verdeutlicht die Kompromisse, die Unternehmen in Punkto SAP -Sicherheit zwangsläufig eingehen müssen. Risiken (Angriffe aus dem Internet, Innentäter und Hintertüren) Herausforderungen (Patch Management, Konfiguration und Monitoring) Perspektiven (0-day Research, Hacker und SAP ) 12:30 Uhr 13:45 Uhr Mittagspause Markttrends der nahen Zukunft - Ihre Umsetzung in SAP -Lösungen und neue Prüferthemen Holger Reichardt, SAP AG Neue Technologien wie die allgegenwärtigen Mobilgeräte, schnelle Recherche in riesigen Datenmengen und die breite Akzeptanz von Cloud-Lösungen haben zuerst unser Privatleben verändert. Jetzt fangen sie an, unser Berufsleben zu verändern. Erfahren Sie, wohin die Reise geht welche Chancen und welche Risiken das für Sie als SAP -Anwender birgt welche neuen Prüfungsfelder dadurch entstehen wie Sie die Sicherheit Ihrer SAP -Landschaft auch in Zukunft gewährleisten können 15:00 Uhr 15:30 Uhr Abschlussdiskussion Konferenzende 6

7 Pre-Seminar ( ) Systemsicherheit im SAP NetWeaver Die Sicherheit eines SAP -Systems ist von vielen verschiedenen Komponenten abhängig. Es beginnt bei der Planung der Entwicklungs-, Test- und Produktivsysteme und führt bis zur täglichen Überwachung der Sicherheitseinstellungen. Die zentrale Komponente ist dabei der SAP Net- Weaver, der die technische Basis eines SAP -Systems bildet. Prüfer stehen vor der besonderen Herausforderung, die vielfältigen Sicherheitsmechanismen des SAP NetWeaver zu kennen, zu wissen, wie sie sich untereinander beeinflussen und welche Auswirkungen welche Einstellungen im Einzelnen haben. In diesem Kompaktseminar werden wichtige Prüfungshandlungen im SAP NetWeaver dargestellt, um wesentliche Einstellungen als Voraussetzung zur Sicherheit im SAP -System zu gewährleisten. Weiterhin werden die wichtigsten Werkzeuge zur Analyse von durchgeführten Änderungen vorgestellt. Referent Dipl.-Ing Gerald Schrott Zu den behandelten Themengebieten gehören unter anderem folgende Punkte: SAP -Systemaufbau Aufbau eines SAP -Systems mit seinen Sicherheitskomponenten SAP -Systemlandschaften Sondersysteme (SolutionManager, PI) Schutzmaßnahmen gegen Änderungen in Produktivsystemen Systemänderbarkeit Mandantenänderbarkeit Entwickler- / Objektschlüssel Gesetzeskritische Berechtigungen Protokollierungskomponenten zur Nachvollziehbarkeit von Änderungen Tabellenprotokollierung Änderungsbelege Versionierung Audit-Log System-Log Schnittstellen der SAP -Systeme untereinander RFC-Schnittstellen Gefahrenquellen von Funktionsbausteinen Vertrauensbeziehungen zwischen den SAP -Systemen Systemparameter Benutzer- und Berechtigungsauswertungen SAP -Sonderbenutzer Sicherheitsrichtlinien in Benutzerstammsätzen Das Benutzerinfosystem Methoden Vortrag, Diskussion, Beispiele am Rechner/Beamer. Dauer: 1 Tag Zeit: 09:30 17:00 Uhr Kosten 300,- zzgl. MwSt. inkl. Mittagessen, Getränke und Seminarunterlagen Anzeige Freeware - CheckAud ParaMeter Erkennen Sie Risiken Einfach - Schnell - Kompakt Die Software dient zur Prüfung Ihrer SAP -Systemparameter auf Inkonsistenz und Einhaltung anerkannter Empfehlungen. Kostenfreier Download: 7

8 Anmeldung Pre-Seminar Systemsicherheit im SAP NetWeaver ( ) Für eine Anmeldung faxen Sie bitte diesen Abschnitt an: , nutzen Sie unsere Online-Anmeldung unter: oder senden Sie eine an Name: Vorname: Firma: Abteilung: Straße: PLZ Ort: Tel.: Veranstaltungsort: IBS Schreiber GmbH Zirkusweg 1, Hamburg Tel Kosten pro Teilnehmer: 300,- zzgl. MwSt. Ort/Datum: Unterschrift: 8

9 Anmeldung FKSP 2014 ( ) Für eine Anmeldung faxen Sie bitte diesen Abschnitt an: , nutzen Sie unsere Online-Anmeldung unter: oder senden Sie uns eine an Name: Vorname: Firma: Abteilung: Veranstaltungsort: Teilnahmegebühr: Frühbucherrabatt: Straße: PLZ Ort: Tel.: Hotel Hafen Hamburg Seewartenstraße 9, Hamburg Tel pro Person (2 Tage) 1.450,- zzgl. MwSt. (inkl. Fachkonferenzunterlagen als Ausdruck und auf USB-Stick, Mittagessen, Pausengetränke und HH-Abend). Teilnehmer aus dem öffentlich-rechtlichen Bereich erhalten Sonderkonditionen. Sprechen Sie uns gerne an! Bei Anmeldung bis zum bieten wir Ihnen die Teilnahme zu einem Preis von 1.300,- zzgl. MwSt. an. Ort/Datum: Unterschrift: Hotelreservierung Hotel Hafen Hamburg (auf Wunsch) Anreise: Abreise: Einzelzimmer inkl. Frühstück 99,00 Doppelzimmer inkl. Frühstück 119,00 Nichtraucher Raucher WICHTIGER HINWEIS: Bei den genannten Hotelpreisen handelt es sich um IBS-Sonderkonditionen. Diese werden NUR für den Zeitraum vom und NUR bei direkter Buchung über die IBS Schreiber GmbH angeboten. 9

10 Referenten Katrin Fitz IBS Schreiber GmbH Frau Fitz ist Vorsitzende der Konferenz. Seit 2005 kommt ihr umfangreiches Fachwissen der IBS zugute. Neben der Referententätigkeit ist sie als erfahrene SAP Prüferin aktiv. Ihre Schwerpunkte liegen hier auf der Systemsicherheit, Basis- und FI-Berechtigungen. Neben der Berechtigungsprüfung ist die Datenanalyse ein weiteres Steckenpferd. Hierbei geht es Ihr um mathematische Methoden zur Prüfung von Datenbeständen und um den effizienten Softwareeinsatz. Johann Petschenka Xiting GmbH Johann Petschenka ist als Sales & Channel Manager (Head of Sales) bei der Xiting GmbH tätig. Als staatl. geprüfter Techniker (IT) liegt sein Schwerpunkt seit über 15 Jahren im Bereich SAP -/IT-Security. Darüber hinaus hat Herr Petschenka fundierte Kenntnisse in den Fachgebieten SAP Netweaver SSO, SAP Authorizations Management, SAP IDM, SAP BO AC und SAP Code Security. Jörn Posor Acando GmbH Jörn Posor ist seit 2009 bei der Acando im Bereich SAP Beratung als Senior Consultant tätig. Herr Posor hat seinen Schwerpunkt im Bereich Finanz- und Rechnungswesen und ist seit 1999 zertifizierter SAP Berater Finance, 2009 hat er zusätzlich die SAP Zertifizierung im Bereich Business Intelligence erworben. Vor seiner Tätigkeit als IT / SAP Berater hat Herr Posor Wirtschaftsinformatik und Betriebswirtschaft mit dem Schwerpunkt internationale Steuern und Revision studiert. Erste berufliche Erfahrungen hat er in einer WP-gesellschaft gesammelt. Seit vielen Jahren ist Herr Posor überwiegend in leitender Funktion in Projekten als Projektleiter oder Projektmanager tätig. Holger Reichardt SAP AG Holger Reichardt ist seit 1982 bei SAP. Herr Reichardt berät als Chief Solution Architect weltweit SAP -Kunden in Strategiefragen und organisiert den Erfahrungsaustausch unter den Executives großer SAP -Anwender. 10

11 Referenten Sebastian Schreiber CEO, IBS Schreiber GmbH Sebastian Schreiber ist Geschäftsführer. Seit 2000 ist er als Dozent und Prüfer im Bereich der SAP -Einführung und der SAP -Berechtigungskonzeption tätig. Durch seine langjährigen Erfahrungen als Projektleiter im SAP -Umfeld und diversen Berechtigungsprüfungen verfügt er über ein fundiertes Wissen in diesem Bereich. Gerald Schrott IBS Schreiber GmbH Gerald Schrott ist seit 1998 im Unternehmen tätig. Er ist qualifizierter Experte für SAP - Prüfungen. Seit Anfang des Jahres 2002 ist er auch als Referent im Bereich der SAP - Systemprüfungen tätig, in die er seine Prüferfahrungen einbringt. Durch seine langjährige Tätigkeit in der EDV verfügt er über fundierte Erfahrungen im Bereich der Systemsicherheit. Hans Wagner Lead IT Consultant - Information Sercurity, msg systems ag Hans Wagner ist als Lead IT Consultant bei der msg systems ag tätig und beschäftigt sich seit vielen Jahren mit der Sicherheit von SAP -Systemen. Er berät seine Kunden darüber hinaus zu den Themen Informationssicherheit, IT-Compliance, IT-Risikomanagement und Datenschutz. Andreas Wiegenstein CTO, Virtual Forge GmbH Leiter der SAP Security Forschung und Entwicklung. Co-Autor Sichere ABAP-Programmierung (SAP Press 2009). Hat zahlreiche 0-DAY Schwachstellen im SAP -Standard entdeckt. 11

12 IBS Schreiber GmbH International Business Services for Auditing and Consulting Zirkusweg Hamburg Fon: Fax: seminare@ibs-schreiber.de