En cualquier sistema de gestión de información integrado se guardan datos de diferentes áreas a los que solo pueden acceder algunas personas. Estas restricciones pueden darse por varios motivos:
- Proteger datos que afecten a la estrategia de la empresa para no ofrecer ventajas a la competencia.
- Evitar fraudes en la contabilidad o en los cobros y pagos.
- Obligación legal de proteger información ajena a la propia empresa como los datos personales de sus empleados, las condiciones económicas de los proveedores.
SAP contempla toda esta problemática implementado un modelo de seguridad que permite protegeer de una manera flexible los datos y las operaciones que se hacen con ellos. El esquema está basado en los siguientes componentes:
La estructura modular que va desde la atorización simple sobre un único objeto de autorización, hasta el maestro de usuarios que son los que acceden al sistema:
Por cuanto a los objetos de autorización que se componen de campos, y que representan los que queremos proteger tenemos lo siguiente:
S_TCODE: Protege el código de trnasacción y contiene un sólo campo que es la transacción. Es el más importante de todos los objetos porque todas las operaciones que se hacen en SAP empiezan por el acceso a una transacción.
S_TABU_DIS: Protección del contenido de tablas de customizing. Contiene dos campos que son el grupo de autorizaciones de la tabla (DICBERCLS) a la que se quiere acceder y la actividad (ACTVT) que se quiere ajecutar (crear, modificar, borrar....).
F_BKPF_BUK: Protección de la contabilidad de documentos por sociedad financiera. Se compone de dos campos; la sociead (BURKS) a cuyos documentos contables queremos acceder y la activiad (ACTVT) qye se qyuere hacer.
Niveles de autorización:
Autorizaciones: Consiste en una asignación de valores a los campos de un objeto de autorización. Por ejemplo, crearemos una auotrización para el objeto S_TCODE que tenga el vbalor FB01 (Transacción correspondiente a la contabilización de documentos) para el campo TCODE.
Perfiles: Un perfil es simplemente la agrupación de vafrias autorizaciones que hayamos creado anteriormenge. El perfil es la unidad mínima de seguridad que le podemos asignar a un usuario, es decir, la única forma de asignar las dos autorizaciones del ejemplo anterior es incluirlas en un perfil que llamaremos CONTABLE e incluir este perfil en los usuarios.
Grupos de actividad: Son las agrupaciones de transacciones y actividades que se crean con el generardor de perfiles. Estos grupos de actividad contienen internamente perfiles (que a su vez contienen autorizaciones) y se asignan directamente a los usuarios.
Usuarios: Para que un empleado tenga acceso a los datos de gestión de la empresa debe disponer de un código de usuario en SAP. Este usuario tendrá asignados unos grupos de actividad o unos perfiles de autorización (o ambos) para poder realizar las tareas que exige su función o puesto de trabajo.
Mantenimiento de usuarios:
Para la creación y mantenimiento de usuarios, SAP dispone de la transacción SU01; escribiendo el código del usuario y pulsando uno de los botones de la barra de aplicación o escogiendo una de las opciones del menú usuario podemos realizar diversas acciones como crear, modificar, cambiar clave de acceso, bloquear, etc.
Pulsando sobre el btón con el ícono de los anteojos vemos las propiedades de nuestro usuario en el sistema. Las pestañas más imporrantes son:
- Dirección: Se graban en este apartado datos personales como el nombre, apellidos, departamento, teléfono, etc.
- Datos logon: Es obligatorio indicar una clave inicial con la que accederá el usuario, aunque en su primera conexión se le pedirá que la cambie. También podemos limitar la validez temporal de manera que podemos tener empleados que accedan a nuestro sistema hasta determinada fecha como puede ser el fin de su contrto o cesión a nuestro departamento.
- Valores fijos: Se definen el menú inicial de entrada al sistema, la empresa SAP, algunos parámetros de impresión por defecto, el formato en que debe ver el usuario las fechas y los importes en todas las transacciones SAP.
- Parámetros: Existe la posibilidad de asignar parámetros por defecto para multitud de campos de todos los módulos de SAP.
- Perfiles: Las operaciones a las que está autorizado un usuario vienen determinadas por los valores que ponemos en estas dos pestañas. Al asignarles un papel le estamos añadiendo perfiles también, pero existe la posibilidad de incluir perfiles manualmente.
- Grupos: A la hora de descentralizar el mantenimineto de un número enorme de usuarios debemos agruparlos asignándoles la pertenencia a uno o varios grupos. De esta manera podemos autorizar a diversos administradores a gestionar los usuarios que pertenezcan a determinados grupos.
Generador de perfiles:
El generador de perfiles incluye una base de datos que relaciona cada una de las transacciones de R/3 con los objetos que comprueba. Debido a la gran complejidad que supone la creación manual de perfiles y autorizaciones, desde la version 3.1G de R/3, existe el generador de perfiles. Las ventajas que aporta para el administrador la utilización de esta herramienta son múlitples aunque la más destacable es que ya no necesita conocer o investigar la funcionalidad de las transacciones que incluyen en los perfiles de usuario.
Para crear un papel se dispone de la transacción estándar PFCG que se utiliza paara la administración de roles (papeles o grupos de autorización).
Pulsar el botón crear para visualizar las diferentes partes de la creación de un grupo de actividad repartidas en cuatro pestañas:
- Descripción: Registrar únicamente una descripción corta del papel y también podemos completar el campo de descripción inferir en el que podemos indicar insgrucciones sobre a quién se debe asignar este perfil o cual es su función específica.
- Menú: Nos permite visualizar los botones para incluir transacciones, informes o direcciones web en el grupo de actividad.
- Autorizaciones: Aquí se lleva a cabo la asignan de valores a los objetos de autorización de acuerdo con los grupos definidos.
- Usuarios: En esta pestañan se graba los usuarios a los que se asignaron las autorizaciones.
Es conveniente siempre visualizar los semáforos en cada pestaña y de estar en verde significa que los pasos angeriores se han procesado correctamente.