Erfolgsfaktoren für GRC Access Control Implementierungen. GRC Forum Juli 2014

Transkript

1 Erfolgsfaktoren für GRC Access Control Implementierungen GRC Forum Juli 2014 Gerhard Wasnick Riscomp GmbH, weg, GRC Forum 2014

2 Erfolg 7 : 1 Riscomp GmbH, weg, GRC Forum

3 ERFOLG Erfolg ist das Erreichen von Zielen Selbst gesteckte Ziele (10 Kilo abnehmen, 10 km Joggen, ) Gemeinschaftlich festgelegte Ziele (Wir werden die Marktführer beim Online-Banking,.) Durch Organisationen oder deren Vertreter definierte Ziele Zeit Qualität ist die Güte aller, für den Kunden wahrnehmbaren Eigenschaften eines Systems Funktionalität Bedienbarkeit Leistungsfähigkeit / Performance Gesamtaufwand / Gesamtnutzen Kosten Qualität Riscomp GmbH, weg, GRC Forum

4 Projekterfolgsfaktoren Riscomp GmbH, weg, GRC Forum

5 Klare Strategie & Realistische Ziele Strategie Fokus: Compliance = Effektivität z.b. Zugriffsrisiken, Genehmigungen, Audit Focus: Effizienz = Kostennutzen z.b. Prozessautomatisierung Realistische Ziele Vollständige Ermittlung der Arbeitspakete Customizing, AC Stammdatenaufbereitung, Erkennen von Eigenentwicklungen z.b. UAR Webdynpro, UAM - Berichte, Funktionalität: Zugriffsrisiko-Minderung, Identifikation von Stammdatenabhängigkeiten z.b. personalisierte Firefighter, Rollen,.. Vorbereitung des Produktivsystems einplanen z.b. Transportmanagement, Befüllung Stammdaten, Focus: Vollständigkeit und Transparenz Riscomp GmbH, weg, GRC Forum

6 Stakeholder / Anspruchsgruppen Management Unterstützung GRC Priorisierung, Ressourcenengpässe gegenüber anderen Projekte / Tätigkeiten Eskalation Bereitstellung Finanzmittel Vorbildfunktion Eigentümer und Verantwortliche festlegen Herausarbeiten von Verantwortlichkeiten, Befugnissen und Aufgaben Abgleich der Verantwortlichkeiten mit den manuellen und automatisierten Prozesse z.b. Vorgesetzte, Rollenverantwortliche. Training der Genehmiger Abstimmung, Freigabe und Kommunikation der Kompetenzen Nutzer und Genehmiger einbinden Information / Weiterbildung / Tipps und Tricks Riscomp GmbH, weg, GRC Forum

7 Erfahrene Projektmanager / Klare Organisation Projektdokumentation Compliance Erfahrung Erfahrene Projektmanager Mit GRC Hintergrund Analytisch, zielorientiert entscheidungsbewusst Klare Projektverantwortlichkeiten Riscomp GmbH, weg, GRC Forum

8 Projektumfang (Scope) Standardinhalten im Projektscope Sizing / Performance Schulung / Dokumentation Quick Wins -> Passwort Selbstservice ODER Regelmäßige Benutzerüberprüfungen Fit-GAP (Funktionale Anforderungen vs. AC Standard) Fokussierung des Projekt auf Schlüsselthemen Prozessstandardisierung oder umfangreiches Customizing Scoping: Festlegung des Projektumfangs - Systeme, Funktionen, Prozesse, Firmen, Unternehmensgröße (Pilot und Roll-Out hat sich in großen Organisationen bewährt) Mehrwertermittung der GRC AC Funktionen und Priorisierung nach Kostennutzen Aufwendig oder gar nicht im Standard implementierbare Anforderungen Proof of Concept Revisionsfähigkeit der Implementierung (Compliance, IT Prüfungsfeststellungen) Kundenindividuelle Entwicklungen (Komplexität, Aufwandschätzung, Nutzen Riscomp GmbH, weg, GRC Forum

9 Einsatz von Softwarestandards Standardmethoden Accellerated Deployment / Standardeinführung Nur in einfachen Umgebungen Nur GRC AC Standard wird implementiert Keine Entwicklungen / Keine kundeneigenen Felder Riscomp Ansatz (Stufenmethode) Standardinhalte SAP Standard Zugriffsrisiken (SOD)/(Kritische Berechtigungen) Standard SAP Antragsprozess (Vorgesetzter - Role Owner) Standard Rollenmethodologie Standardprozesse für Anträge, HR OM Provisionierung, beim Emergency Access Management Entwicklung Customizing Standardinhalte Riscomp GmbH, weg, GRC Forum

10 Einsatz von Standardsoftware Standard System für die Provisionierung SAP ERP / SAP Enterprise Portal SAP BI / Industrielösungen z.b. IS-H, IS-U SAP HANA ab 10.1 SPML / Webservice Systeme ohne Standardschnittstelle (KOSTEN und ZEIT Risiko) Standards für den Endanwenderzugriff (SAP Portal, Netweaver Business Client, Internet Browser) Standardsoftware für die Identität von Benutzern (LDAP, SAP HR OM) Validierung von Benutzern gegen spezifische Systeme ( Architekturthema keine fiktiven Benutzer) Riscomp GmbH, weg, GRC Forum

11 Die Erfolgskarte Riscomp GmbH, weg, GRC Forum

12 Beispiel: Implementenierung Risikoanalyse - Anträge Überwachung von Benutzern mit erweiterten Berechtigungen Zugriffsrisikoidentifikation, Behandlung und Minderung Automatisierte Berechtigungsvergabe Regelmässige Kontrolle von Rollen und Zuweisungen Riscomp GmbH, weg, GRC Forum 2014 Definition, Massenpflege und Ableitung von Rollen, Benutzer-/Businessrollen 12

13 Beispiel: Projekterfolgsfaktoren Audit & Compliance Ablösung eigenentwickelter Antragsworkflow Audit & Compliance Sponsor: CFO IT Abteilung Poweruser GRC AC! SAP ERP, CRM, Anpassung Zugriffsrisikomatrix Integration IKS - AC SAP Zugriffsrisikomatrix GRC AC Standardprozesse (MSMP) Benutzeranträge Riscomp GmbH, weg, GRC Forum

14 Time To Compliance Access Governance Get Clean Stay Clean Beispielansatz: Access Governance Framework Implementierung GRC AC Benutzerbereinigung Rollenbereinigung (Zugriffsrisiken) Anpassung Zugriffsrisiken Implementierung Risk Terminator Zuordnung Mindernde Kontrollen Aufbau AC Risiko Reporting Festlegung: Access Governance Policy Riscomp GmbH, weg, GRC Forum 2014

15 Aus der Praxis Umfang Scope Creep / Anforderungsverschiebung Lange Projektdauer (niedrige Prio) Viele Sonderfälle -> Niedrige Effizienz im Projekt & erhöhte Kosten GRC Access Control Erfahrung Schwer oder nicht Implementierbare Blueprints -> Hoher Entwicklungsaufwand Methodik Zugriffsrisikodefinition Drift zu Kritischen Berechtigungen Teamweise Mitigierung von Risiken -> Eigenentwicklung: Autom. Mitigierung Riscomp GmbH, weg, GRC Forum

16 Fragen ZDF Riscomp GmbH, weg, GRC Forum

17 Viel Erfolg! ZDF Riscomp GmbH, weg, GRC Forum