En SAP la seguridad de las contraseñas y del logon se maneja con parámetros del sistema. Con esos parámetros defino cuántos caracteres mínimos debe tener la clave, si debe mezclar mayúsculas, minúsculas, números y símbolos, cada cuánto tiempo vence y cuántas contraseñas anteriores se guardan en el historial para que el usuario no pueda repetir siempre las mismas. También puedo definir palabras prohibidas (por ejemplo el nombre del usuario o “1234”) para que el sistema no acepte contraseñas obvias.
Además se controlan los intentos de logon: cuántos fallos bloquean al usuario, si el bloqueo se levanta solo después de cierto tiempo o si lo tiene que desbloquear el admin, y si un mismo usuario puede abrir varias sesiones SAP GUI al mismo tiempo o no (parámetro de multi logon). Todo eso forma parte de la política de “si no está permitido explícitamente, queda prohibido”, endureciendo el acceso al sistema.
Se pueden crear políticas de seguridad distintas para tipos de usuario diferentes. Esas políticas se configuran en SECPOL y después se asignan al usuario en SU01, en los datos de logon. Si un usuario no tiene política específica, se le aplican los parámetros globales del sistema.
También hay parámetros para restringir directamente el logon al sistema completo, por ejemplo durante tareas de mantenimiento o situaciones de emergencia, de forma que sólo entren algunos usuarios o nadie hasta que se levante la restricción.
Por último están los usuarios estándar de SAP, como SAP*, DDIC o EARLYWATCH, y los clientes típicos 000, 001 y 066. Como sus contraseñas iniciales son conocidas, en un sistema nuevo hay que cambiarles la clave, bloquearlos donde no se usen y evitar que SAP* se cree solo en clientes nuevos mediante el parámetro que controla la creación automática. Estos usuarios deben quedar súper protegidos porque, si no, son una puerta de entrada fácil al sistema.