Schlagwort: Prüfung von SAP

SAP-Revision mit dem Prüfungstool CheckAud

Veröffentlicht amAutorKarl Josef Schiffhauer

Prüfungstool für die SAP-RevisionBei einer SAP-Revision mit Hilfe des Tools CheckAud for SAP Systems wird die Prüfung nahezu automatisiert durchgeführt. CheckAud deckt hierbei Schwachstellen im Bereich der SAP-Konfiguration sowie der in SAP vergebenen Zugriffsberechtigungen auf.

CheckAud ist eine Softwarelösung von der IBS-Schreiber GmbH, Hamburg, und dient der Prüfung der Ordnungsmäßigkeit und Sicherheit von SAP-Systemen. Mit Hilfe von CheckAud können die Systemeinstellungen bzw. Systemparameter und das SAP Berechtigungskonzept sehr effizient und effektiv geprüft werden. Hierzu bedarf es keiner Softwareinstallation auf dem eigentlichen SAP-System. Nur auf einem Client, also einem Arbeitsplatzrechner, muss die CheckAud-Software installiert werden. Alternativ kann auch unser Prüfer-Notebook an das interne LAN angebunden werden.

Vorgehensweise bei der SAP-Revision mit CheckAud for SAP Systems

Grundsätzlich gestaltet sich eine SAP Prüfung mit CheckAud wie folgt:

  1. Mit Hilfe des CheckAud Scanners werden alle relevanten Informationen über Systemeinstellungen, Berechtigungsobjekte, etc. auf eine Workstation geladen. Bei dem CheckAud Scanner handelt es sich um eine Software, die auf einem beliebigen Rechner unter einem aktuellen Windows-Betriebssystem installiert werden kann. Hierbei greift der CheckAud Scanner über eine RFC-Verbindung auf das zu prüfende SAP-System zu und speichert die Daten in einem Flatfile.
  2. Anschließend wird das Flatfile auf der Workstation mit der CheckAud Software in eine interne Datenbank importiert.
  3. Die Datenbank kann anschließend mit Hilfe des CheckAud Analyzers komfortabel ausgewertet werden. Der Prüfer benötigt für seine Analysen hierbei keinen direkten Zugriff mehr auf das zu prüfende SAP-System, da alle relevanten Informationen in der CheckAud Datenbank enthalten sind.

Unterstützt wird der Auditor bei der SAP Prüfung durch bereits vorhandene sog. Analysebäume, mit deren Hilfe Standard-Prüfungen durchgeführt werden können. Beispielsweise wird mit Hilfe der Analysebäume geprüft, ob in der SAP Finanzbuchhaltung gegen das Radierverbot verstoßen werden kann oder ob die Aspekte der Funktionstrennung beachtet wurden. Für die Prüfung der Funktionstrennung stellt CheckAud for SAP eine sog. SoD-Matrix – Segregation of duties – bereit, die in Form einer Excel-Pivot-Tabelle die tatsächlich vergebenen Berechtigungen an einzelne Benutzer übersichtlich anzeigt.

Für die SAP Prüfung mit Hilfe von CheckAud steht dem Auditor ein sehr leistungsfähiges und mächtiges Werkzeug zur Verfügung.

SITACS setzt bei Prüfungen von SAP-Systemen regelmäßig CheckAud ein. Hierdurch können wir sehr schnell eine Aussage zur Ordnungsmäßigkeit und Sicherheit des SAP-Systems in Ihrem Unternehmen bzw. Behörde treffen und Maßnahmen zur Beseitigung möglicher Schwachstellen aufzeigen.

Gerne unterbreiten wir Ihnen an individuelles Angebot für die SAP Prüfung mit CheckAud in Ihrem Haus.

SAP-Prüfung im Rahmen einer IT-Revision

Veröffentlicht amAutorKarl Josef Schiffhauer

Vorgehensweise bei der SAP-Prüfung und vergleichbarer ERP-SystemeBei einer SAP-Prüfung im Rahmen einer IT-Revision bei einem Finanzdienstleister wurden nach einer zuvor erfolgten Bestandsaufnahme der SAP-Systemlandschaft im Wesentlichen die folgenden Bereiche geprüft:

  • die Einstellungen zur Identifikation und Authentisierung (ABAP-Stack)
  • die Zugriffsberechtigungen
  • die Systemeinstellungen zur Gewährleistung der Integrität
  • das SAP Change-Management
  • die Systemintegrität des SAP Java-Stack
  • die Integrität der eingesetzten Datenbank sowie des Betriebssystems
  • die Kommunikations- und Netzsicherheit.

Die SAP-Prüfung erfolgte auf der Grundlage des Prüfleitfaden zu SAP ERP 6.0 der deutschsprachigen SAP-Anwendergruppe vom März 2009. Die Arbeitsgruppe (AG) Audit Roadmap ist ein Teil der Deutschsprachigen SAP-Anwendergruppe e.V. (DSAG) mit Sitz in Walldorf. Mit dem SAP-Prüfleitfaden sollen Revisoren Anhaltspunkte für die Prüfung von SAP-Systemen gegeben und die Prüfaspekte für den SAP Basisbereich erläutert werden.

Aufgrund der Komplexität des SAP-Systems sowie einer nahezu unüberschaubaren Anzahl von SAP Tabellen bietet sich neben dem Einsatz des DSAG-Prüfleitfadens der Einsatz von speziellen Softwaretools an. Diese Tools gewährleisten i.d.R. eine vollumfängliche und effiziente Prüfungsdurchführung.

Bei dem von uns eingesetzten Prüfungstool CheckAud for SAP der IBS-Schreiber GmbH, Hamburg, müssen keine ABAP-Programme oder sonstige Softwarekomponenten auf dem SAP-System installiert werden. Mit Hilfe dieses Tools bleibt der für eine SAP-Prüfung notwendige Zeitaufwand überschaubar und das SAP Audit kann sehr detailliert und umfassend durchgeführt werden.

Aufgrund unseres ganzheitlichen Ansatzes berücksichtigen wir bei einem SAP Audit auch die Anforderungen des BSI. In dem BSI Baustein 5.13 SAP System hat das BSI die Gefährdungen und Maßnahmen im Bereich von SAP Systemen zusammengestellt. Die vom BSI in diesem Baustein beschriebenen Maßnahmen werden von unseren ISO 27001 Auditoren geprüft und müssen im Rahmen einer ISO 27001 Zertifizierung umgesetzt werden.

SAP-Prüfung im Rahmen eines Quickchecks

Grundsätzlich ist es mit unserer Prüfsoftware CheckAud for SAP auch möglich, eine SAP-Prüfung durchzuführen, ohne dass wir uns an dem zu prüfenden SAP-System anmelden. Sämtliche Informationen, die wir für die SAP-Revision benötigt, werden hierbei mit Hilfe eines Softwaretools aus dem SAP-System ausgelesen und auf einen lokalen Arbeitsplatzrechner in einem Flatfile bereitgestellt. Hierzu stellen wir Ihnen gerne die entsprechende Software bereit. Diese Software muss lediglich auf einem Arbeitsplatzrechner installiert werden. Das hierbei entstehende Flat-File, welches ausschließlich technische Informationen des SAP-Systems beinhaltet, wird von uns in die Prüfsoftware übertragen und steht anschließend für diverse Auswertungen zur Verfügung.

Diesen sog. SAP-Quickcheck bieten wir Ihnen gerne an, wenn es darum geht, die grundsätzlichen SAP Systemeinstellungen und Berechtigungen kurzfristig und kostengünstig einem SAP Audit zu unterziehen.