23
SAP GRC Access Control 8 May 2008 Carl Clicteur

SAP GRC Access Control(1)

Embed Size (px)

Citation preview

Page 1: SAP GRC Access Control(1)

��������������������������� ��

SAP GRC Access Control

8 May 2008

Carl Clicteur

Page 2: SAP GRC Access Control(1)

���� ���������������������������������������

�����

� !����������������"

��#�$�������������������%���

&�'���(�%���������#�$������������������)*+

������(���(����������(��%������%������,�(�����

��#�$������������������(�-�.-�����!��(�(,�����

Page 3: SAP GRC Access Control(1)

���� ���������������������������������������

��������������������

���%����,��%-���.�������,(�-��,�/�����������(�-��%� ���0(�������������

/����������!����(�-�(%� ���0(������(�(,������������������(�%(� ������1������(�-���������--�-��������(������-��(�������2����%-��,��(������������,3�

#��������%���(��������'�����%�������4�.5����%�������6����1,%���7 (�����(�������8%����

������-%�������,��,(���������%�����2���3�����(���������(���%�-������-�(�-�%���������-�2� ����������������������� ���������������� �� (�,�� �����,(��0(����93

��8%������������,���!�(������2(-������, ��3����(-� ���(�-����%���������!���������-�(�-����������-

Page 4: SAP GRC Access Control(1)

���� ���������������������������������������

������������������������������� �����������

�������(����(� ������!���������-���(%-���:�(�%(����(�%(������(�-

�%���8%��������-�(��������� �����-��,�*

��������� �� �, ������� �'�� �%��(��������������(������������%�%����������

��,��,(���������%�����������(�������%�-����������

time

risk

��������������� � ���������� � ����� � ����� ��� � �� ��������

audit

audit

������������������ � ����������� ��� ����� ����������� ����� ��� ��������������

Continuous monitoring

audit

Page 5: SAP GRC Access Control(1)

���� ���������������������������������������

�������������(�%(� �%�����(����(�-��������������������������

��� ����,!1�(��- ��������������� �����(������������

� �����������

Non-awareness Automationof controls

ContinuousCompliance True Vision

Automated Monitoring

Spreadsheets

ManualConfusion Benefit

; Lack of visibility; Lack of control; Manually-intensive

Business & IT processes

; Reactive and non-integrated approach

; Approach not driven by risk

; Large sample sizes for audit

; Approach driven by risk

; Automated user access process

; Real-time risk analysis

; Integrated, but reactive approach

; Reduced sample sizes for audit

; Embedded risk & control library

; Proactive approach by simulation of changes

; Alerts & monitor effectiveness of controls

; Business value; Audit trial of all

changes and approvals

; Embedded risk management

; True Business transparency

; Increased stakeholder confidence

; Improved Business performance and sustainability

; Lack of visibility; Lack of control; Manually-intensive

Business & IT processes

; Reactive and non-integrated approach

; Overwhelming sample sizes (audit)

Page 6: SAP GRC Access Control(1)

���� ���������������������������������������

�����

� !����������������"

��#�$�������������������%���

&�'���(�%���������#�$������������������)*+

������(���(����������(��%������%������,�(������

��#�$������������������(�-�.-�����!��(�(,�����

Page 7: SAP GRC Access Control(1)

���� ���������������������������������������

Stage 2:Stay clean by continuous Access Management

���������������������� !��!��"

Stage 1:Get clean

SAP GRC Risk Analysis and Remediation (Compliance Calibrator)

SAP GRCSuper user Privilege

Management(Firefighter)

SAP GRCEnterprise

Role Management(Role Expert)

SAP GRC Compliant

User Provisioning

(Access Enforcer)

Risk Identification & Remediation

Role Change Management

Emergency Access Control

User AccessManagement

Stage 3:Stay in control

Periodic Review & Audit

SAP GRC Access Control 5.2

Page 8: SAP GRC Access Control(1)

���� ���������������������������������������

����������������������������������(�!����(�-�����-�(������2�<1����(�������(�����(����(���3

SAP GRC Risk Analysis and Remediation (Compliance Calibrator)

SAP GRCSuper user Privilege

Management(Firefighter)

SAP GRCEnterprise

Role Management(Role Expert)

SAP GRC Compliant

User Provisioning

(Access Enforcer)

=(�����(���-���%����������'�����%�������(�-�.5�

�����(��0�-�-����������������������(��-����/�����������

��(�1�����(�-������1�!����������(�(�!���

����-�(����������������(�����

#��(������-�������������������%����!����%�(����

�%-���(�����!����� (�,�����%�����

9

Page 9: SAP GRC Access Control(1)

���� ���������������������������������������

���#��� ������$������� ������ ����� ��

Risk *

Function 1 Function 2

Actions

Permissions

Actions

Permissions

�%������ #������ P001: Procure to Pay Process

Org. rulesOrg. rules

PR01: Maintain Vendor Master DataAP03: Release Blocked Invoices

PR07: Maintain a Vendor's Bank Account Number and Release Invoice for payment, might leadto monetary loss.

SAP transaction codes: FK01, FK02, XK01, XK02, XK99 & MRBR

SAP authorization objects and values: F_LFA1_APP: ACTVT= 01 or 02

APPKZ = FF_LFA1_BUK: ACTVT= 01 or 02

BUKRS= $BUKRS

F_LFA1_GRP: ACTVT= 01 or 02KTOKK= VEN1

Organizational rules:Belgium => $BUKRS = BE00

Bus

ines

s la

ngua

geTe

chni

cal t

alk

% )�����1-�����-��������%�1��1� �1��<

Page 10: SAP GRC Access Control(1)

��� ���������������������������������������

���������������������������������(���/����#����������,��2�<1����(����������������3

SAP GRC Risk Analysis and Remediation (Compliance Calibrator)

SAP GRCSuper user Privilege

Management(Firefighter)

SAP GRCEnterprise

Role Management(Role Expert)

SAP GRC Compliant

User Provisioning

(Access Enforcer)

>���,���0�-�(��������8%�����������

�%���(��-�(�����(���(�(,������2'�������'3

�����(�(�!�������������8%����(�����(�

5�(���(��������'�������(������� ��(�����(��2����%��������(�,%(,�3

�%���(��-�%���������������,������#

�%���(������,,��,������8%����(�����(���(�-���-����(�����

Page 11: SAP GRC Access Control(1)

��� ���������������������������������������

������ ���&�������!���������' (����� ���!��!��"

Automated Provisioning

SAPSystem

SAP GRC Access Enforcer

WorkflowConnectors

RequestInitiator

User Data &Authentication

SAP GRC Risk Analysis

& Remediation

RiskAnalysis

User Data Source

SAP end usersor Line Managers

Line ManagersRole OwnersRisk Owners

EmailServer

Approvals

Notifications& Reminders

3

1

2

4 5

6

Page 12: SAP GRC Access Control(1)

���� ���������������������������������������

#��1(������-�����,���!�(�����

�%���(�����1�(����������(�����' ���=�����, ��� ��-�����(����(��-

�%���(�������-��,������,���������������������

���(���-�(%-�����(���������������-�(������

�%-���(�����!�2==1%����? ��#@�AA1%���3

���1�(��-���,�������� �����%-��,������(�(�!���

����������������������������%����/����#������,���(�(,������2�<1����(�=�����, ��� ������#3

SAP GRC Risk Analysis and Remediation (Compliance Calibrator)

SAP GRCSuper user Privilege

Management(Firefighter)

SAP GRCEnterprise

Role Management(Role Expert)

SAP GRC Compliant

User Provisioning

(Access Enforcer)

Page 13: SAP GRC Access Control(1)

���� ���������������������������������������

�����&�������!������� � �������� ��������!��!��"

User activatesFirefighter mode

User entersBusiness

justification

User receives elevated

privileges

User leavesFirefighter

mode

Log reportsent to

Controller

E-mail notification

sent to Controller

Log files collectedfor User

User looses elevated privileges

Firefighter mode

Pre-approvedaccess to use

Firefighter

regular mode

Page 14: SAP GRC Access Control(1)

���� ���������������������������������������

��������������������������������������������(�(,�������2�<1������<����3

SAP GRC Risk Analysis and Remediation (Compliance Calibrator)

SAP GRCSuper user Privilege

Management(Firefighter)

SAP GRCEnterprise

Role Management (Role Expert)

SAP GRC Compliant

User Provisioning

(Access Enforcer)

�����(���(�(,���������(%� ���0(����������

�%���(�����������(��������� (�,�����������B'����

������(��'������'����������� (�,��

#���������������(�(�!�������������

�%���(���������,����(����������#��!�����

�%-�����(����(�-���������,����(��������� (�,��

Risk AnalysisAuthorizationsRole Definition Approval Generation

Page 15: SAP GRC Access Control(1)

���� ���������������������������������������

�����

� !����������������"

��#�$�������������������%���

&�'���(�%���������#�$������������������)*+

������(���(����������(��%������%������,�(�����

��#�$������������������(�-�.-�����!��(�(,�����

Page 16: SAP GRC Access Control(1)

���� ���������������������������������������

��"�)� ���������������������*+,�-./

���#��� ������ ��������� ����

���,���A(%�� �#(-�����(�����%���(�(���������2�%�������'��-�'��(!�������3

#������(����������������

�����������#���(��(�-�/�������,�(�����2�����(�(�!����(�-�%���������������,3

.�����:�<�����%���������2��������� ������,%�(�����4�����,(�����-(�(3

�� (���-���������,

C �(�!�(--�-���������(�-���������������(������<�����-

C �.�����,�(���������%�������������,

�� (������������� (�,���(�(,�������%-���5�(��

�����(�(,�������!��<�������

C .-���������%�����,(��-������

C #����-�������,(�������(�������%������(���!

Page 17: SAP GRC Access Control(1)

���� ���������������������������������������

��"�)� ���������������������*+,�-0/

������ ���&�������!��������

��-1%������8%����������%�����0(����

.���,�(�����'�� ��%�������-(�(���%����

#(��'��-�������

C �%������-�����B�(��� �#����������(�-�D���-'(�-�

C /�����(��'��-�����1��������'�� �(�� (����,����������

�����1�!����������(�(�!��������(��������8%����

������(���/����#����������,�����B�(��� �#����������(�-�D���-'(�-�

/����0��>�����,,���������#���������

�� (�����/���%�����

.���,�(�����'�� ���(����,��!�����

.-�����!��(�(,������.���,�(�����'�� ��(E���.������-���

Page 18: SAP GRC Access Control(1)

���� ���������������������������������������

��"�)� ���������������������*+,�-,/

1���������������� � ������

�� (���-������-����(�����2��,��(�%���(��3

�� (���-������(�(�!����(�-����%�(�����

������!����,����(��������������%��������!������(�����������

������!�������!�(������

���%����(�����������1��#�������(�-�����������1'�-��������

.���,�(�����'�� ���#���#F� #�������$����(����2#=�$3

�����&�������!������� � ������

�� (���-���,��������

�%��������'���������=�����, ����.��

�%���(����(�� ��(�����A�,�������

Page 19: SAP GRC Access Control(1)

���� ���������������������������������������

�����

� !����������������"

��#�$�������������������%���

&�'���(�%���������#�$������������������)*+

������(���(����������(��%������%������,�(�����

��#�$������������������(�-�.-�����!��(�(,�����

Page 20: SAP GRC Access Control(1)

���� ���������������������������������������

����� �������) �������������������������������

��,(,��,��%�������(�-�.5���(� �����-�������%�����0��(�-�����1�%��������

-�����������(�-�,(� ���(�����8%��������*��(��-(����%�������'�� �.�����(���%-��*

�(�(,�������%������1 (���,�%�����������(�������(�������������� ��

��,(��0(�����'����(���������(--������,�����������������(���

����%���� ; %�-����(�-��,�� ����,(��0(����G����!��%������������(������'�������

������(� ��������%������������(������������������������� ���(���2�%������3�

����%����

6����-�� ����,��(�,7 ; �%��-��,��%��� ��$���������������������%�����

�����������!�����������(���'�����(������(����(�������(��%��(��(�������%����

.���(��(�������*�.���,�(����; (������(����(������(��(����������#����������������

�����(����������6��-(!�7 H� �'�����(��%������%������,�(�������8%������%� ������

���� ��������(�-��<�������

����-�� �����%��������� ����,(��0(�����!�-������,�� ������(����(�������������

����%��(���������(����2�*,*����(��������'����E���� ���'������ ���'��!����� �

� (�,��������,(��0(����3

Page 21: SAP GRC Access Control(1)

���� ���������������������������������������

�����

� !����������������"

��#�$�������������������%���

&�'���(�%���������#�$������������������)*+

������(���(����������(��%������%������,�(�����

��#�$������������������(�-�.-�����!��(�(,�����

Page 22: SAP GRC Access Control(1)

����� ���������������������������������������

2������' ������������������ � ������

Page 23: SAP GRC Access Control(1)

Thank you for your attention