Résolu : problèmes de SoD lors de la migration vers S/4

L'entreprise agricole U.S. Sugar cultive de la canne à sucre, des agrumes et du maïs doux qu'elle transforme ensuite pour des marques américaines renommées. Dans le cadre de la migration vers SAP S/4 Hana, l'entreprise cherchait une solution pour vérifier les conflits de séparation de fonctions pour ses quelque 2500 collaborateurs. Le choix s'est porté sur une collaboration avec Pathlock, le leader mondial de la gouvernance des accès et de la sécurité des applications. Une histoire de réussite.

De plus en plus souvent, les entreprises misent sur un mélange d'applications sur site et en nuage pour leurs applications commerciales. Et avec la généralisation des applications en réseau, que ce soit dans le domaine des achats, de la comptabilité fournisseurs/débiteurs ou de la gestion de la relation client, les risques de sécurité augmentent également. Ceci est particulièrement vrai pour les conflits de ségrégation des fonctions (SoD). Pour faire face aux risques actuels et futurs de SoD, les entreprises doivent développer une vision inter-applications de leur gestion des accès, qui inclut non seulement la sécurisation et la surveillance des applications sur site, mais aussi des applications en nuage.

U.S. Sugar, par la voix de Matthew Miller, directeur senior des solutions commerciales et des avantages informatiques, a saisi l'occasion de la prochaine migration S/4-Hana pour prendre des mesures en temps utile afin de ne pas contribuer à la migration des risques SoD qui se sont développés au fil du temps et qui ont encore été renforcés par les paysages de systèmes hybrides. À la recherche d'un moyen de surveiller la conformité, de résoudre les conflits SoD et de documenter les contrôles, l'entreprise a comparé de nombreuses solutions alternatives et a constaté que la suite logicielle de Pathlock couvrait exactement ce qu'elle souhaitait.

L'un des avantages de la solution Pathlock est qu'elle offre des ensembles de règles SoD prédéfinis, rapidement adaptables et dynamiques pour presque toutes les principales applications commerciales. L'objectif d'U.S. Sugar était d'adapter les règles Pathlock éprouvées à son entreprise et de les mettre en œuvre avec un système d'alerte efficace. Ce système devait permettre d'appliquer efficacement les droits des utilisateurs et soit d'apporter les corrections nécessaires, soit d'inclure des mécanismes de contrôle afin de pouvoir réagir immédiatement en cas de violation.

Détection précoce des risques de SoD

U.S.-Sugar-IT a d'abord comparé ses propres conflits de séparation de fonctions des années précédentes avec les niveaux de risque des ensembles de règles prédéfinis de Pathlock. Les résultats ont ensuite été analysés afin de déterminer leur pertinence pour les services comptable et financier de l'entreprise. En conséquence, les classifications de risques spécifiques à l'entreprise ont été adaptées, des criticités d'autorisations ont été supprimées ou réduites, d'autres ont été ajoutées ou augmentées.

Enfin, tous les conflits identifiés avec une évaluation critique élevée ont été examinés individuellement et des contrôles compensatoires ont été intégrés dans le système ou les droits d'utilisateur problématiques ont été entièrement supprimés des rôles. Grâce aux règles adaptées de Pathlock Suite et à l'automatisation des processus, il était essentiel non seulement de maintenir le statu quo nouvellement atteint, mais aussi d'identifier à l'avenir les risques SoD potentiels avant même l'attribution de nouvelles autorisations.

Contrôles de sécurité transversaux

Ce qui a plu à U.S. Sugar dans la suite Pathlock, c'est que le logiciel répond non seulement à toutes les exigences opérationnelles et légales, mais qu'il est également très facile à utiliser. Pathlock identifie les risques SoD potentiels dès la demande d'un nouvel accès, au moment de l'attribution et pendant les cycles de contrôle.

Ainsi, U.S. Sugar est désormais en mesure de détecter les violations SoD à un stade précoce et de prendre les mesures de contrôle appropriées dans les situations où une résolution immédiate n'est pas possible. En outre, les comptes d'utilisateurs, les autorisations et les données sont reliés et analysés à travers toutes les applications professionnelles, ce qui facilite la gestion des conflits SoD. Grâce à des interfaces inter-applications, des applications CRM telles que PeopleSoft d'Oracle ont également pu être intégrées de manière transparente dans le nouveau processus de conformité.

Ne pas avoir peur de l'audit

Cela évite non seulement de travailler avec des tableaux et des modèles de test, mais aussi de faire appel à des consultants externes, ce qui réduit à la fois les risques et les ressources. De plus, des rapports détaillés garantissent que chaque étape est documentée, ce qui simplifie considérablement les audits réguliers. Matthew Miller souligne combien son équipe envisage désormais les audits annuels avec plus de sérénité, sachant qu'elle peut présenter aux auditeurs les rapports générés par le système ainsi que la conformité, y compris une liste de tous les contrôles compensatoires, en appuyant sur un bouton. Grâce au degré élevé d'automatisation, l'audit se déroule désormais de manière beaucoup plus fluide.

Risques pendant la migration vers S/4

Matthew Miller considère aujourd'hui l'utilisation de la suite logicielle comme un facteur décisif pour la réussite de la transition. Ainsi, le passage à SAP S/4 Hana a été parfaitement mis à profit pour prendre en même temps des mesures visant à protéger encore mieux l'entreprise à l'avenir contre les risques liés aux autorisations d'utilisateurs critiques. Même s'il ne s'agit pas d'un problème de séparation des fonctions, il est essentiel pour son entreprise de surveiller qui a accès aux transactions critiques. U.S. Sugar utilise également la gestion des super-utilisateurs de Pathlock. Elle permet de surveiller toutes les activités effectuées par des utilisateurs privilégiés, de les documenter intégralement et de les mettre à disposition pour examen.

Des analyses SoD sans faille

L'importance d'une SoD inter-applications a été démontrée récemment par U.S. Sugar lors de l'acquisition d'une raffinerie à Savannah, qui utilise PeopleSoft. Grâce à la suite Pathlock, explique Matthew Miller, il est désormais possible d'intégrer leurs règles de sécurité dans un système de rapport centralisé. Cela permet d'effectuer une analyse afin d'identifier les conflits de séparation de fonctions de manière transversale - et de trouver un bon contrôle compensatoire là où les risques SoD ne peuvent pas être éliminés ad hoc.

Les solutions de Pathlock offrent une représentation basée sur un tableau de bord de l'état actuel des risques, y compris l'analyse SoD inter-applications. L'application des règles préconfigurées et personnalisables de Pathlock évite de recourir à des tableaux, des modèles de test et des consultants externes, ce qui réduit non seulement les risques mais aussi les ressources nécessaires. L'analyse SoD et l'analyse des risques automatisées ainsi que le reporting automatisé pour toutes les applications commerciales courantes permettent ainsi de satisfaire aux exigences légales de manière simple et en gagnant du temps, qu'il s'agisse de SAP ERP, S/4, d'applications cloud ou de systèmes informatiques non-SAP.

De cette manière, les entreprises peuvent utiliser une plate-forme centrale et conviviale pour identifier les conflits de séparation des fonctions sur l'ensemble de leur environnement applicatif, les résoudre rapidement et les surveiller en permanence. Une telle stratégie résiste à tous les audits et constitue une base solide pour la GRC.

Vers l'inscription du partenaire.