{"id":28248,"date":"2017-09-13T08:00:06","date_gmt":"2017-09-13T06:00:06","guid":{"rendered":"http:\/\/e3mag.com\/?p=28248"},"modified":"2022-05-01T08:27:11","modified_gmt":"2022-05-01T06:27:11","slug":"risiken-im-kundencode-auf-der-spur","status":"publish","type":"post","link":"https:\/\/e3mag.com\/de\/risiken-im-kundencode-auf-der-spur\/","title":{"rendered":"Risiken im Kundencode auf der Spur"},"content":{"rendered":"

Steht das SAP-System still, stehen viele Prozesse im Unternehmen. So l\u00e4sst sich die Situation bei Trumpf beschreiben, einem weltweit f\u00fchrenden Anbieter von Werkzeugmaschinen, Laser und Elektronik f\u00fcr industrielle Anwendungen.<\/p>\n

Denn der Hochtechnologie-Konzern mit Hauptsitz in Ditzingen nahe Stuttgart betreibt sein zentrales SAP-ERP-System mit nur einem Mandanten \u2013 und zwar \u00fcber alle internationalen Produktions- und Entwicklungsstandorte sowie einen Gro\u00dfteil der Vertriebsorganisationen hinweg.<\/p>

\"Fullsize\"<\/a><\/div><\/div>\n

Mehrere interne Initiativen<\/h3>\n

Um eine hohe Zuverl\u00e4ssigkeit des SAP-Systembetriebs zu erreichen, startete Trumpf mehrere interne Initiativen, unter anderem zur Harmonisierung der SAP-Berechtigungsrollen (SAP SafeT) sowie zur Professionalisierung der Software-Entwicklung.<\/p>\n

Bis dahin vorwiegend projektbezogen an Dienstleister ausgelagert, wurde die IT-Anwendungsentwicklung dabei in einer unternehmenseigenen Organisationseinheit zusammengefasst und standardisiert.<\/p>\n

Dazu baute Trumpf verst\u00e4rkt interne Entwicklerkapazit\u00e4ten auf, die von strategischen Partnern langfristig in unterschiedlichen Entwicklungsprojekten unterst\u00fctzt werden.<\/p>\n

Eine dritte Initiative umfasste die Einf\u00fchrung der Change-Management-L\u00f6sung Conigma CCM von Galileo, um der Forderung der Wirtschaftspr\u00fcfer nach einer besseren Nachvollziehbarkeit von \u00c4nderungen am SAP-System nachzukommen.<\/p>\n

Bei diesen Projekten wurde deutlich, dass ein Werkzeug f\u00fcr automatische Quellcode-Scans unverzichtbar war. Die IT-Verantwortlichen bei Trumpf entschieden sich f\u00fcr den Virtual Forge CodeProfiler, von dessen Qualit\u00e4t sie sich bereits bei einem initialen Code-Scan \u00fcberzeugt hatten.<\/p>\n

Dabei hatte das Analyse-Tool hochkritische Schwachstellen im Kundencode des zentralen SAP-Systems aufgesp\u00fcrt. Diese k\u00f6nnten potenziellen Angreifern Einfallstore bieten, um schlimmstenfalls die Anwendung komplett stillzulegen. Die Einf\u00fchrung des CodeProfilers verlief nach einem klar strukturierten Fahrplan und dauerte nur vier Tage.<\/p>\n

\"Reim<\/a><\/p>\n

SAP-Berechtigungen \u00fcberpr\u00fcft<\/h3>\n

Beim SAP-SafeT-Projekt zur Harmonisierung der SAP-Berechtigungsrollen setzte Trumpf den CodeProfiler ein, um automatisch zu pr\u00fcfen, ob auch die Abap-Eigenentwicklungen die erforderlichen Berechtigungspr\u00fcfungen enthalten.<\/p>\n

Mit diesem Analyse-Werkzeug kann dies deutlich schneller, einfacher und gr\u00fcndlicher als mit manuellen Kontrollen umgesetzt werden. Dabei wird sichergestellt, dass keine unbefugten Mitarbeiter auf SAP-Daten zugreifen und damit eventuell Missbrauch betreiben k\u00f6nnen.<\/p>\n

Bei der Software-Entwicklung dient der CodeProfiler dazu, die Qualit\u00e4t und Sicherheit des kundeneigenen Abap-Codes zu pr\u00fcfen. Die Basis daf\u00fcr bilden Entwicklungsrichtlinien, die Trumpf gr\u00f6\u00dftenteils aus den CodeProfiler-Testf\u00e4llen abgeleitet hat. Denn es macht wenig Sinn, den Programmierern bestimmte Vorgaben zu machen, wenn nicht automatisiert kontrolliert werden kann, ob diese auch tats\u00e4chlich eingehalten werden.<\/p>\n

Technische Freigabe von \u00c4nderungen<\/h3>\n

Im Zusammenspiel mit dem Change-Management-Werkzeug Conigma CCM von Galileo wird der CodeProfiler eingesetzt, um \u00c4nderungen am SAP-System auf ihre technische Korrektheit zu \u00fcberpr\u00fcfen.<\/p>\n

Trumpf nutzt Conigma, um die \u00c4nderungen beim Transport vom Entwicklungs- ins Test- und Produktivsystem durchg\u00e4ngig steuern und verwalten zu k\u00f6nnen.<\/p>\n

Ziel ist es, die Change-Management-Prozesse revisionssicher zu machen. So bietet Conigma einen Freigabe-Workflow, der von den Anforderungen \u00fcber \u00c4nderungen bis zu den ausgerollten Funktionen reicht.<\/p>\n

Der CodeProfiler von Vir\u00adtual Forge wurde in Conigma integriert, damit automatisch kontrolliert werden kann, ob bei den Quellcode-\u00c4nderungen die Entwicklungsrichtlinien eingehalten wurden.<\/p>\n

Obwohl Conigma eine vorgefertigte CodeProfiler-Integration anbietet, entschieden sich die IT-Verantwortlichen bei Trumpf f\u00fcr eine indirekte Einbindung \u00fcber das Abap Test Cockpit (ATC) von SAP.<\/p>\n

Dabei handelt es sich um eine im SAP-Standard ausgelieferte Testsuite, die verschiedene statische Code-Analysewerkzeuge zur Verf\u00fcgung stellt. Ausschlaggebend f\u00fcr die ATC-Nutzung war, dass sich Trumpf nicht den Weg f\u00fcr k\u00fcnftige SAP-Entwicklungen in diesem Bereich verbauen wollte \u2013 angesichts der neuen Funktionen in NetWeaver 7.5x eine gute Wahl.<\/p>\n

Durch die ATC-Integration in Conigma ist es m\u00f6glich, innerhalb des Prozesses f\u00fcr die \u00c4nderungsanforderung eine ATC-Pr\u00fcfung durchzuf\u00fchren und in Abh\u00e4ngigkeit vom Ergebnis den weiteren Ablauf zu steuern.<\/p>\n

Sind Prio-1-Findings enthalten, kann der Transport vom Entwicklungs- ins Testsystem zun\u00e4chst unterbunden werden. Aktuell ist es den Entwicklern m\u00f6glich, manuell gegenzusteuern und auch die Prio-1-Findings freizugeben.<\/p>\n

K\u00fcnftig will Trumpf jedoch den ATC-Befreiungsbrowser nutzen. Damit l\u00e4sst sich automatisch pr\u00fcfen, ob es Prio-1-Findings gibt, die entweder entfernt oder \u00fcber den ATC-Befreiungsbrowser genehmigt werden m\u00fcssen. Der nachgelagerte manuelle Freigabeschritt soll sich dann auf organisatorische und formale Fragen beschr\u00e4nken.<\/p>\n

Weniger Zeit, mehr Sicherheit<\/h3>\n

Durch den Einsatz des CodeProfilers f\u00fcr die technische Abnahme der \u00c4nderungen am Abap-Kundencode spart Trumpf erheblichen Zeitaufwand. W\u00e4hrend die Entwickler f\u00fcr die Sichtung einer \u00c4nderung fr\u00fcher f\u00fcnf bis zehn Minuten ben\u00f6tigten, brauchen sie heute nur noch rund 30 Sekunden, um sich ein ATC-Pr\u00fcfergebnis anzeigen zu lassen.<\/p>\n

Da jeden Tag zwischen zehn und 15 \u00c4nderungen gepr\u00fcft und freigegeben werden m\u00fcssen, ist der Zeitvorteil immens. Au\u00dferdem gibt der Einsatz des Code-Analysewerkzeugs den Trumpf-Entwicklern das gute Gef\u00fchl, bei ihren Freigaben keine Fehler im Bereich Security und Compliance \u00fcbersehen zu haben.<\/p>\n

Da alle \u00c4nderungen an den Abap-Eigenentwicklungen systematisch \u00fcberpr\u00fcft werden, k\u00f6nnen sich die IT-Verantwortlichen sicher sein, dass sich die Zahl kritischer Codestellen nicht erh\u00f6ht.<\/p>\n

Im n\u00e4chsten Schritt will Trumpf weitere Testf\u00e4lle in die Code-Analysen integrieren, allen voran Hana-Findings. Damit soll sichergestellt werden, dass im neuen Coding keine Konstrukte eingebaut werden, die zwar auf einer klassischen Datenbank, aber nicht mit der zukunftsweisenden Hana-Technologie funktionieren.<\/p>\n

\"Risiken<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"

Ein SAP-Ausfall kann f\u00fcr Trumpf ernsthafte Folgen haben. Daher verfolgt der schw\u00e4bische Maschinenbauer gezielt Ans\u00e4tze zur Sicherstellung eines reibungslosen Systembetriebs. Einer davon ist der Einsatz des Virtual Forge CodeProfilers, der Risiken im Abap-Kundencode identifiziert.<\/p>\n","protected":false},"author":1226,"featured_media":28249,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"pmpro_default_level":"","footnotes":""},"categories":[4,16508],"tags":[5238,65],"coauthors":[23905],"class_list":["post-28248","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-management","category-mag-1709","tag-change-management","tag-hana","pmpro-has-access"],"acf":[],"featured_image_urls_v2":{"full":["https:\/\/e3mag.com\/wp-content\/uploads\/2017\/09\/shutterstock_558399481.jpg",1000,439,false],"thumbnail":["https:\/\/e3mag.com\/wp-content\/uploads\/2017\/09\/shutterstock_558399481-150x150.jpg",150,150,true],"medium":["https:\/\/e3mag.com\/wp-content\/uploads\/2017\/09\/shutterstock_558399481.jpg",400,176,false],"medium_large":["https:\/\/e3mag.com\/wp-content\/uploads\/2017\/09\/shutterstock_558399481-768x337.jpg",768,337,true],"large":["https:\/\/e3mag.com\/wp-content\/uploads\/2017\/09\/shutterstock_558399481.jpg",1000,439,false],"image-100":["https:\/\/e3mag.com\/wp-content\/uploads\/2017\/09\/shutterstock_558399481-100x44.jpg",100,44,true],"image-480":["https:\/\/e3mag.com\/wp-content\/uploads\/2017\/09\/shutterstock_558399481-480x211.jpg",480,211,true],"image-640":["https:\/\/e3mag.com\/wp-content\/uploads\/2017\/09\/shutterstock_558399481-640x281.jpg",640,281,true],"image-720":["https:\/\/e3mag.com\/wp-content\/uploads\/2017\/09\/shutterstock_558399481-720x316.jpg",720,316,true],"image-960":["https:\/\/e3mag.com\/wp-content\/uploads\/2017\/09\/shutterstock_558399481-960x421.jpg",960,421,true],"image-1168":["https:\/\/e3mag.com\/wp-content\/uploads\/2017\/09\/shutterstock_558399481.jpg",1000,439,false],"image-1440":["https:\/\/e3mag.com\/wp-content\/uploads\/2017\/09\/shutterstock_558399481.jpg",1000,439,false],"image-1920":["https:\/\/e3mag.com\/wp-content\/uploads\/2017\/09\/shutterstock_558399481.jpg",1000,439,false],"1536x1536":["https:\/\/e3mag.com\/wp-content\/uploads\/2017\/09\/shutterstock_558399481.jpg",1000,439,false],"2048x2048":["https:\/\/e3mag.com\/wp-content\/uploads\/2017\/09\/shutterstock_558399481.jpg",1000,439,false],"trp-custom-language-flag":["https:\/\/e3mag.com\/wp-content\/uploads\/2017\/09\/shutterstock_558399481.jpg",18,8,false],"bricks_large_16x9":["https:\/\/e3mag.com\/wp-content\/uploads\/2017\/09\/shutterstock_558399481.jpg",1000,439,false],"bricks_large":["https:\/\/e3mag.com\/wp-content\/uploads\/2017\/09\/shutterstock_558399481.jpg",1000,439,false],"bricks_large_square":["https:\/\/e3mag.com\/wp-content\/uploads\/2017\/09\/shutterstock_558399481.jpg",1000,439,false],"bricks_medium":["https:\/\/e3mag.com\/wp-content\/uploads\/2017\/09\/shutterstock_558399481.jpg",600,263,false],"bricks_medium_square":["https:\/\/e3mag.com\/wp-content\/uploads\/2017\/09\/shutterstock_558399481.jpg",600,263,false],"profile_24":["https:\/\/e3mag.com\/wp-content\/uploads\/2017\/09\/shutterstock_558399481-24x24.jpg",24,24,true],"profile_48":["https:\/\/e3mag.com\/wp-content\/uploads\/2017\/09\/shutterstock_558399481-48x48.jpg",48,48,true],"profile_96":["https:\/\/e3mag.com\/wp-content\/uploads\/2017\/09\/shutterstock_558399481-96x96.jpg",96,96,true],"profile_150":["https:\/\/e3mag.com\/wp-content\/uploads\/2017\/09\/shutterstock_558399481-150x150.jpg",150,150,true],"profile_300":["https:\/\/e3mag.com\/wp-content\/uploads\/2017\/09\/shutterstock_558399481-300x300.jpg",300,300,true]},"post_excerpt_stackable_v2":"

Ein SAP-Ausfall kann f\u00fcr Trumpf ernsthafte Folgen haben. Daher verfolgt der schw\u00e4bische Maschinenbauer gezielt Ans\u00e4tze zur Sicherstellung eines reibungslosen Systembetriebs. Einer davon ist der Einsatz des Virtual Forge CodeProfilers, der Risiken im Abap-Kundencode identifiziert.<\/p>\n","category_list_v2":"Business-Management<\/a>, MAG 17-09<\/a>","author_info_v2":{"name":"Sebastian Reim, Trumpf","url":"https:\/\/e3mag.com\/de\/author\/sebastian-reim\/"},"comments_num_v2":"0 comments","_links":{"self":[{"href":"https:\/\/e3mag.com\/de\/wp-json\/wp\/v2\/posts\/28248","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/e3mag.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/e3mag.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/e3mag.com\/de\/wp-json\/wp\/v2\/users\/1226"}],"replies":[{"embeddable":true,"href":"https:\/\/e3mag.com\/de\/wp-json\/wp\/v2\/comments?post=28248"}],"version-history":[{"count":0,"href":"https:\/\/e3mag.com\/de\/wp-json\/wp\/v2\/posts\/28248\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/e3mag.com\/de\/wp-json\/wp\/v2\/media\/28249"}],"wp:attachment":[{"href":"https:\/\/e3mag.com\/de\/wp-json\/wp\/v2\/media?parent=28248"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/e3mag.com\/de\/wp-json\/wp\/v2\/categories?post=28248"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/e3mag.com\/de\/wp-json\/wp\/v2\/tags?post=28248"},{"taxonomy":"author","embeddable":true,"href":"https:\/\/e3mag.com\/de\/wp-json\/wp\/v2\/coauthors?post=28248"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}