IT-Onlinemagazin
Mit dem Umstieg auf SAP HANA und S/4HANA sollte auch die Sicherheitsarchitektur überarbeitet werden. Das Zusammenspiel der einzelnen Komponenten und die Ende-zu-Ende Prozesse, die auf ihrem Weg hybride Systemlandschaften und Schnittstellen durchlaufen, müssen abgesichert werden.
Wir fragten Magnus Ertel, SAP Security Presales Engineer bei Virtual Forge, welche Risiken der Einsatz von SAP HANA und S/4HANA mit sich bringt, welche Aspekte man hinsichtlich eigenem Code und der Schnittstellen-Sicherheit betrachten muss und wie man seine SAP-Landschaft absichern sollte.
Magnus Ertel ist Gast eines Expert-Talks während der Onlinekonferenz „Ihr Weg nach SAP S/4HANA“. Er berichtet dort ausführlich zu diesem Themengebiet. Im Rahmen der Onlinekonferenz werden viele verschiedene grundlegende Fragestellungen (Strategie, Sicherheit, Compliance, Schulungen, Orchestrierung, Betrieb, Backup & Recovery, Testmanagement, Eigenentwicklungen, Stammdatenmanagement u.v.m.) zur Vorbereitung und Durchführung einer SAP S/4HANA Migration behandelt.
Herr Ertel, welche neuen Risiken bringt der Einsatz von SAP HANA mit sich?
Der Einsatz von SAP HANA bringt diverse neue Risiken mit sich. Diese sind auf den ersten Blick nicht sehr offensichtlich. Zum einen haben IT-Sicherheitsabteilungen / Systemadministratoren kaum Erfahrung mit der HANA Datenbank, weshalb es an vielen Stellen einfach an Know-How mangelt.
Die Möglichkeiten alle Sicherheitsfunktionen von HANA korrekt und in vollem Umfang zu nutzen, werden somit schon im Vorhinein verringert. Da sehr viele kritische Geschäftsprozesse und Daten in der HANA Datenbank liegen, ist diese verstärkt Ziel von Spionage- und Sabotageangriffen.
Die immer größer werdende Vernetzung und verstärkte Nutzung von Webanwendungen über die HANA Datenbank, verringert nicht gerade die Angriffsfläche für Angreifer. Ganz im Gegenteil. SAP-Systeme können dadurch umso leichter über diverse Suchmaschinen im Internet gefunden werden.
Mit der Einführung von HANA muss ein neues Sicherheitskonzept umgesetzt werden, neue Entwicklungsumgebungen kommen hinzu und auch die unterschiedlichsten Sicherheitswerkzeuge im SAP tragen zu einer höheren Komplexität bei.
Und wenn ich S/4HANA nutzen möchte, kommen dann weitere Gefahrenquellen hinzu?
Dies kommt natürlich ganz auf die Ausgangssituation an. Habe ich bereits eine HANA Datenbank unter meinem SAP-System laufen, sind die grundlegenden sicherheitsrelevanten Änderungen bereits umgesetzt.
Die Umstellung auf S/4HANA bringt dann beispielsweise Änderungen für das bestehende Rollen- und Berechtigungskonzept mit sich, aufgrund der Änderung des Datenmodells und den damit verbundenen Veränderungen von Transaktionen.
Welche Einfluss haben die stark vernetzten, hybriden Systemlandschaften und IoT-Szenarien auf die SAP-Sicherheit?
Durch die immer größer werdende Vernetzung der Systemlandschaften nimmt die Anzahl der Schnittstellen und die dadurch möglichen Einfallstore immer mehr zu. Schnittstellen in IoT Szenarien können sehr gefährlich sein, da diese teilweise überall aus dem Internet erreichbar sind.
Die Angriffsfläche ist in diesen Szenarien viel größer im Vergleich zu Nicht-IoT Szenarien. Was wir bei Virtual Forge verstärkt bei unseren Kunden wahrnehmen, ist die Unwissenheit über die vorhandenen SAP-Schnittstellen. Alleine eine Inventarisierung der SAP Schnittstellen, findet hier sehr selten statt.
(Wie) kann man künstliche Intelligenz zur Verbesserung der SAP-Sicherheit nutzen?
Künstliche Intelligenz ist auch ein sehr interessantes Thema für den Bereich SAP-Sicherheit. Mithilfe künstlicher Intelligenz können Anomalien erkannt werden. Sie erkennt also bestimmte sicherheitskritische Ereignisse und reagiert entsprechend.
Meiner Einschätzung nach wird uns dieses Thema in den nächsten Jahren immer stärker begleiten.
Wie lange vor der produktiven S/4HANA-Nutzung sollte man sich zur Überarbeitung der ganzheitliche SAP-Sicherheitsarchitektur Gedanken machen?
Das Sicherheitskonzept sollte schon in der Planung umgesetzt werden. Entsprechende Prozesse zur Prüfungen und Kontrollen sollten eingeplant werden. Diese sollten über den kompletten Entwicklungszyklus hinweg geschehen bis hin zu einer regelmäßigen Kontrolle der Risikosituation der gesamten SAP-Systemlandschaft.
Was wird für Sie in den kommenden 12 Monaten das dominierende Thema in der SAP-Community?
Machine Learning.
Vielen Dank für das Gespräch.
Die Fragen stellte Helge Sanden, Chefredakteur des IT-Onlinemagazins.
In seinem Expert-Talk zur Onlinekonferenz „Ihr Weg nach SAP S/4HANA“ berichtet Magnus Ertel (Virtual Forge), welche neuen Risiken der Einsatz von SAP HANA und S/4HANA mit sich bringt, welche Sicherheitsaspekte hinsichtlich eigenem Code und Schnittstellen betrachtet werden müssen und welche Lösungsmöglichkeiten es gibt.
Sie können kostenfrei an dieser Onlinekonferenz mit diversen „Expert-Talks“ rund um S/4HANA-Migrationen teilnehmen und alle Beiträge live (10.09. – 12.09.18) oder als Aufzeichnung verfolgen.
Sie haben eine Frage an den Experten zu diesem Thema?
Senden Sie diese an die Redaktion, dann bauen wir Ihre Frage gerne in den Expert-Talk ein.
