¿Quién puede hacer qué y por qué?

Poco querido, pero absolutamente necesario: el concepto de autorización SAP

Con SAP R/3, el concepto de autorización era más sencillo y, por tanto, podía gestionarse manualmente. Con NetWeaver, Engines y Roles, el concepto de autorización de SAP adquirió una complejidad que quedaba oculta o que sólo podía dominarse con herramientas informáticas. Debido a las normas de cumplimiento, gobernanza y seguridad, el mantenimiento cuidadoso y comprensible del concepto de autorización de ERP/ECC 6.0 se convirtió en la tarea central de SAP Basis. Para hacer frente a la complejidad de un sistema S/4 moderno, el administrador necesita herramientas informáticas adecuadas.

Otra tarea importante de un concepto de autorización coherente es la distribución de roles con respecto a las licencias de usuario. Una asignación de funciones mal meditada puede acabar rápidamente en un elevado coste de las licencias.

¿Por qué el concepto de autorización de SAP desempeña un papel central en la estrategia de seguridad?

Phillip Latini, Sivis: El sistema SAP contiene datos sensibles y procesos esenciales. Éstos deben protegerse no sólo de los ciberataques procedentes del exterior, sino también de los riesgos internos. Por lo tanto, el control de acceso es indispensable para proteger la integridad, la confidencialidad y la disponibilidad. Además, existen requisitos de seguridad externos del legislador o de los socios comerciales que también deben incluirse en el concepto de autorización.

SAP utiliza el control de acceso basado en roles. ¿Cuál es el reto del control de acceso basado en roles?

Latini: El modelo de agrupar las autorizaciones en roles y luego asignar roles a cada usuario hace que la creación de conceptos de autorización SAP sea compleja. Incluso nuestros consultores dedican mucho tiempo en los proyectos SAP a crear roles y rellenar tablas con autorizaciones. Aunque en los últimos años hemos desarrollado algunas herramientas que agilizan estas tareas, no estábamos satisfechos. Con la ayuda de la automatización mediante algoritmos evolutivos, es posible hacer mucho más: nuestro nuevo asesor virtual de roles, el Robot de autorizaciones, es el resultado. Ofrece un enorme potencial de eficacia a lo largo de todo el ciclo de vida de los conceptos de autorización de SAP.

¿Cuáles son las tres mayores ventajas de los conceptos de autorización creados automáticamente para los clientes de SAP?

Latini: En primer lugar, la rapidez. Basándonos en la evaluación de nuestra fase de pruebas beta, suponemos que el robot de autorización puede ahorrar en el futuro hasta un 95% de las horas de consultoría para la construcción de rollos. En segundo lugar, se minimizan las fuentes de error y las lagunas de seguridad. Y en tercer lugar, la automatización garantiza el cumplimiento fiable de las mejores prácticas.

El concepto de autorización también desempeña un papel en la medición de las licencias. ¿Se trata entonces de una cuestión de CIO o de CFO?

Latini: La medición de licencias es especialmente emocionante en la migración a S/4 Hana: dado que los costes de licencia por usuario ya no pueden depender de su uso real, sino del alcance de la autorización, en los antiguos conceptos de autorización yacen latentes riesgos financieros incalculables. Por lo tanto, ¡el rediseño es un tema de gran actualidad para los directores financieros! También en este caso, el consultor virtual de funciones ofrece un gran potencial, ya que puede calcular propuestas de conceptos teniendo en cuenta específicamente el criterio del ahorro en costes de licencias, de forma más rápida y precisa que cualquier consultor SAP. 

¿Se está desplazando la responsabilidad de los conceptos de autorización de SAP hacia la dirección?

Latini: En cualquier caso, la concienciación sobre los riesgos de seguridad ha aumentado considerablemente en los últimos años, en todos los niveles de la empresa. Desde el punto de vista técnico y organizativo, el departamento informático sigue siendo responsable de los conceptos de autorización, pero cada vez se exige más la aportación de los departamentos especializados. Las soluciones automatizadas pueden tender puentes en este sentido y aliviar a los responsables. La dirección tiene la importante tarea de establecer directrices vinculantes -por ejemplo, con principios como el de "confianza cero"- y comunicar la cuestión de la seguridad de forma transparente. 

Los entornos de software modernos integran a menudo otros sistemas además de SAP. ¿Se están volviendo híbridos también los conceptos de autorización?

Latini: Las autorizaciones son un tema integral, incluso hoy en día. Microsoft, sistemas de tickets y soluciones independientes específicas del sector, en las instalaciones y en la nube: cada usuario se mueve en muchos mundos diferentes en su vida profesional cotidiana. También en este caso, la automatización será un enfoque sensato para gestionar la creciente complejidad entre sistemas. El Robot de Autorización está diseñado técnicamente para que podamos transferir en cualquier momento el soporte virtual de los conceptos de autorización a otros ecosistemas. 

¿Puede automatizarse también el mantenimiento continuo de las autorizaciones en el sistema SAP? 

Latini: El asesor virtual de roles muestra todo su potencial en el cálculo de conceptos iniciales de roles y en proyectos complejos de rediseño. Pero la automatización también ofrece ventajas de rendimiento para comprobaciones selectivas o actualizaciones anuales. Para el mantenimiento continuo del concepto de autorización, la plataforma Sivis dispone de herramientas digitales complementarias como el gestor de roles o el gestor de conformidad. 

¿Qué recursos requiere el uso del Robot de Autorización en términos de requisitos del sistema y mano de obra?

Latini: El Robot de Autorización se conecta al sistema SAP a través del sencillo gestor web Sivis. También se requiere un entorno Docker en un servidor Linux; la potencia informática depende del tamaño de la empresa. El análisis y la agrupación de los datos de rastreo, así como la creación de las propuestas de concepto, están totalmente automatizados. La interacción humana se limita a la especificación de los criterios objetivo deseados -por ejemplo, "máxima seguridad" u "optimización del coste de las licencias"- y a una verificación final de las propuestas generadas. El uso es intuitivo y no requiere una formación exhaustiva.

¿Está el Robot de Autorización Svis certificado por SAP?

Latini: El nuevo Authorisation Robot forma parte de nuestra plataforma certificada por SAP, que integra numerosas herramientas para la gestión de identidades y accesos, cumplimiento y gobernanza, gestión de roles y conceptos de autorización, así como gestión de licencias y activos. Desde abril de 2023, Authorisation Robot puede licenciarse como software como servicio para entornos SAP.

E-3: Sr. Latini, gracias por la entrevista.