Risque d'utilisation indirecte - Meilleure pratique

L'incertitude s'est emparée de la communauté SAP mondiale depuis que la demande d'indemnisation de SAP dans le litige sur l'utilisation indirecte a été acceptée.

En quelques heures, la nouvelle s'est répandue dans le monde entier et les clients SAP demandent de plus en plus souvent conseil aux quelques experts connus. Que signifie ce jugement pour les clients SAP ?

Tout d'abord, je tiens à souligner que l'utilisation indirecte n'est pas une question purement SAP. Il existe de nombreux fabricants qui demandent une compensation pour les scénarios correspondants.

Mais comment aborder ce sujet et se préparer ou se prémunir en conséquence ?

Les aides techniques et les "procédures standard" proposées par divers fabricants d'outils doivent être examinées d'un œil critique. Il existe toutefois quelques approches qui doivent être prises en compte dans tous les cas.

Par exemple, il n'est pas utile de suivre les connexions purement RFC et de les comparer aux listes noires en circulation.

Peut-on par exemple affirmer de manière générale, après le jugement existant, qu'une application Salesforce entraîne dans tous les cas une utilisation indirecte ? Bien sûr, mais la vraie question est de savoir s'il s'agit d'une utilisation sous licence. Et il est nettement plus difficile de répondre à cette question.

Si l'on ne considère que les points finaux de la communication, on simplifie un peu la vie des experts. Il s'agit plutôt d'évaluer les scénarios d'utilisation existants de manière globale.

• Les données sont-elles échangées en temps réel entre les systèmes ou de manière fréquente ?
• L'échange se fait-il par interaction humaine ou par utilisateur technique ?
• La communication est-elle unidirectionnelle ou bidirectionnelle ?
• Les enregistrements sont-ils échangés par requête dédiée sur la base de données ou en vrac ?
• Ou est-ce qu'il y a une sorte de file d'attente de messages qui sert de station de collecte entre les systèmes ?

Bien entendu, il existe une multitude d'autres indications à prendre en compte, et les droits d'utilisation dans les systèmes cibles ou les autorisations dans l'environnement Active Directory peuvent également jouer un rôle supplémentaire.

Une approche possible de la problématique existante peut par exemple se présenter comme suit : Pour commencer, il est possible de tracer les connexions RFC afin d'identifier les applications tierces potentielles. Il est toutefois tout aussi important de collecter des informations sur les applications qui communiquent par exemple via des interfaces IDoc, des connexions IP-Sec, HTTP, CHC, SNA, TCP/IP, OSS ou d'autres moyens.

Une fois que l'on a identifié les systèmes potentiellement concernés par l'utilisation indirecte, il convient de les classer et de les hiérarchiser judicieusement en fonction du niveau de risque monétaire attendu.

L'étape suivante consiste à collecter des informations détaillées sur les systèmes prioritaires et leurs utilisateurs SAP associés et à esquisser les diagrammes d'infrastructure comme point de départ d'une évaluation précise.

L'utilisation des applications externes doit également être identifiée. Pour ce faire, il peut être nécessaire de vérifier les autorisations et les gestions d'accès non SAP.

Ensuite, tous les scénarios identifiés sont évalués individuellement et il est déterminé si des mesures techniques peuvent minimiser ou même éliminer le risque.

Une fois que l'on a identifié la variante de licence la plus rentable individuellement (ou la solution technique pour éviter les risques), les scénarios existants sont regroupés de manière judicieuse dans des cas d'utilisation globaux afin de ne pas devoir, le cas échéant, acquérir plusieurs fois des droits d'utilisation payants pour le même utilisateur.

Pour les utilisateurs qui doivent effectivement acquérir une licence, il convient d'évaluer en détail quelles fonctionnalités sont utilisées de manière indirecte dans l'environnement SAP.

Une comparaison avec la liste de prix et de conditions correspondante résulte en l'identification de la ou des variantes de couverture les plus avantageuses et conduit à la transparence tant attendue et à une minimisation durable des risques.