LECCION 5. LOS ROLES Y PERFILES
Los roles y perfiles forman parte importante en un proyecto de implementación y mantenimiento de SAP. Estos son generalmente configurados por consultores especializados en seguridad, sin embargo, los consultores funcionales debemos ayudarlos a definir las transacciones y objetos correspondientes.
SAP provee roles y perfiles para la mayoría de las actividades a realizar en los procesos de negocio y puestos de trabajo, se recomienda analizar las copias de estos roles perfiles y efectuar las adaptaciones correspondientes a las unidades organizativas y objetos.
Es importante como consultores reconocer los aspectos característicos sobre los objetos de autorización, funcionalidad de los roles, configuración de perfiles y asignaciones de los elementos
Controles de acceso:
Se requieren autorizaciones para poder cumplir con expectativas de la seguridad que permiten:
ü Proteger la información sensitiva del negocio, como leyes, acuerdos con proveedores y clientes, regulaciones, relativos al país, etc., que puede ser interna o externa a la organización.
ü La relación del costo-beneficio, existen muchas amenazas de la cual una organización debe protegerse, por lo que una seguridad de la información perfecta se consigue mediante la relación de asignación interdimensional de autorizaciones en la que los beneficios sean equiparables a los costos incurridos.
ü Además, una asignación de autorización no debe permitir la obstrucción del proceso del negocio, esta debe ser diseñada en forma estructurada de forma tal que el administrador puede usar un numero pequeño de roles.
SAP posee dos controles principales: el control de acceso al sistema y el control de accesos basado en roles.
El primero el usuario debe poseer un único ID con el que se identifica en el sistema, además debe poseer una clave o contraseña que puede tener ciertas características determinadas en la configuración, para acceder al mismo.
El segundo control se basa en el control de accesos que permiten la información del negocio y funciones ante accesos no autorizados, para lo cual el sistema utiliza chequeos de autorización para transacciones y reportes, por lo que cada ejecución de los programas realiza la comprobación sobre los objetos y transacciones para las cuales ha sido autorizado.
La autorización se asigna utilizando perfiles en forma de roles, los cuales son ingresados en el dato maestro del usuario.
Los usuarios ejecutan transacciones que pertenecen a escenarios de negocio determinados, para lo cual se asignan las funciones a roles. Un rol es un grupo de actividades o transacciones ejecutadas dentro de los escenarios del negocio, el rol además de poseer las transacciones posee los objetos de autorización con la información del negocio a la que puede acceder el usuario. Un escenario de negocio puede necesitar una amplia cantidad de roles por tal motivo son asignados los roles a diferentes perfiles.
Mediante la transacción SU01 a la que tienen acceso los Basis se puede reiniciar contraseña a un usuario existente, así como bloquear o desbloquear un usuario del sistema entre otros aspectos de seguridad.
En cuanto a la segunda verificación de controles de SAP, referida a la comprobación de control de accesos de autorización para transacciones y objetos, cuando esto ocurre al ejecutar la transacción se le presenta al usuario un mensaje de Falta de autorización para ejecutar la transacción, en este caso el administrador del sistema ingresa al maestro del usuario (SU01) y lo modifica en la solapa de roles, para asignar un rol que posee las transacciones y objetos de autorización deseados. En la solapa de perfiles se observa que un perfil se ha asignado puesto que el mismo está vinculado al rol. Al visualizar el rol en la solapa de autorizaciones se observa el perfil que se asigna automáticamente para el rol, para analizar los objetos que comprenden este perfil se presiona el botón Visualizar datos de autoriz. Allí se muestran las autorizaciones del perfil por clase, actividad, unidad organizativa.
Con la transacción SUIM se puede comprobar las asignaciones de roles y perfiles para autorización a transacciones y objetos, entre otras consultas relacionadas con el maestro de usuario, roles, perfiles y objetos de autorización.