Qui peut faire quoi et pourquoi ?

Mal aimé, mais absolument nécessaire : le concept d'autorisation SAP

Sous SAP R/3, le concept d'autorisation était plus simple et pouvait donc être maîtrisé manuellement. Avec NetWeaver, les moteurs et les rôles, le concept d'autorisation de SAP a acquis une complexité qui a été soit masquée, soit ne pouvait être maîtrisée qu'avec des outils informatiques. En raison des règles de conformité, de gouvernance et de sécurité, la gestion minutieuse et compréhensible du concept d'autorisation d'ERP/ECC 6.0 est devenue une tâche centrale de la base SAP. Pour faire face à la complexité d'un système S/4 moderne, l'administrateur a besoin d'outils informatiques adaptés.

Une autre tâche importante d'un concept d'autorisation cohérent réside dans la répartition des rôles en ce qui concerne les licences d'utilisateur. Une attribution irréfléchie des rôles peut rapidement se traduire par des frais de licence élevés.

Pourquoi le concept d'autorisation SAP joue-t-il un rôle central dans la stratégie de sécurité ?

Phillip Latini, Sivis : Le système SAP contient des données sensibles et des processus clés. Il s'agit de les protéger non seulement des cyberattaques extérieures, mais aussi des risques internes. Un contrôle d'accès est donc indispensable pour protéger l'intégrité, la confidentialité et la disponibilité. À cela s'ajoutent les exigences de sécurité externes du législateur ou des partenaires commerciaux, qui doivent également être représentées dans le concept d'autorisation.

SAP utilise un contrôle d'accès basé sur les rôles. Quel est le défi du contrôle d'accès basé sur les rôles ?

Latini : Le modèle consistant à regrouper les autorisations dans des rôles, puis à attribuer des rôles à chaque utilisateur, rend la création de concepts d'autorisation SAP complexe. Dans les projets SAP, nos consultants consacrent également beaucoup de temps à construire des rôles et à remplir des tables avec des autorisations. Bien que nous ayons développé ces dernières années quelques outils pour accélérer ces tâches, nous n'étions pas satisfaits. Grâce à l'automatisation par des algorithmes évolutifs, il est possible de faire beaucoup plus - notre nouveau conseiller de rôle virtuel, le robot d'autorisation, en est le résultat. Il offre un énorme potentiel d'efficacité tout au long du cycle de vie des concepts d'autorisation SAP.

Quels sont les trois principaux avantages des concepts d'autorisation créés automatiquement pour les clients SAP ?

Latini : Tout d'abord, la vitesse. Sur la base de l'évaluation de notre phase de bêta-test, nous estimons que l'Authorization Robot permettra à l'avenir d'économiser jusqu'à 95 % des heures de conseil pour la construction des rôles. Deuxièmement, les sources d'erreur et les failles de sécurité sont minimisées. Et troisièmement, l'automatisation garantit que les meilleures pratiques sont respectées de manière fiable.

Le concept d'autorisation joue également un rôle dans la mesure des licences. S'agit-il alors d'une question de CIO ou de CFO ?

Latini : La mesure des licences est particulièrement passionnante lors de la migration vers S/4 Hana : étant donné que les coûts de licence par utilisateur ne pourront plus dépendre à l'avenir de son utilisation effective, mais de l'étendue des droits, des risques financiers incalculables sommeillent dans les anciens concepts de droits. La refonte est donc un sujet d'actualité pour le CFO ! Ici aussi, le conseiller en rôles virtuel offre un grand potentiel, car il peut calculer des propositions de concepts de manière très ciblée en fonction du critère d'économie des coûts de licence - et ce plus rapidement et de manière plus adaptée que n'importe quel consultant SAP. 

La responsabilité des concepts d'autorisation SAP se déplace-t-elle vers le management ?

Latini : En tout cas, la prise de conscience des risques de sécurité s'est nettement accrue ces dernières années, à tous les niveaux de l'entreprise. D'un point de vue technique et organisationnel, c'est certes toujours le département informatique qui est responsable des concepts d'autorisation, mais l'input est de plus en plus demandé aux départements spécialisés. Les solutions automatisées peuvent ici jeter des ponts et décharger les responsables. Le management a la tâche importante de donner des lignes directrices contraignantes - par exemple avec des principes comme "Zero Trust" - et de communiquer de manière transparente sur le thème de la sécurité. 

Les paysages logiciels modernes intègrent souvent d'autres systèmes en plus de SAP. Les concepts d'autorisation deviennent-ils également hybrides ?

Latini : Les autorisations sont un thème global, aujourd'hui déjà. Microsoft, systèmes de tickets et solutions isolées spécifiques à un secteur, sur site ou dans le cloud : chaque utilisateur évolue dans de nombreux mondes différents dans son quotidien professionnel. Ici aussi, l'automatisation sera une approche judicieuse pour gérer la complexité croissante à travers les systèmes. Le robot d'autorisation est conçu techniquement de manière à ce que nous puissions à tout moment transférer le support virtuel des concepts d'autorisation à d'autres écosystèmes. 

Est-il également possible d'automatiser la gestion courante des autorisations dans le système SAP ? 

Latini : Le conseiller de rôles virtuel déploie tout son potentiel lors du calcul des concepts de rôles initiaux et des projets de refonte coûteux. Mais l'automatisation offre également des avantages en termes de performance pour des contrôles ponctuels ou des mises à jour annuelles. Pour l'entretien courant du concept d'autorisation, la plateforme Sivis apporte des outils numériques complémentaires, tels que Role Manager ou Compliance Manager. 

Quelles sont les ressources nécessaires à l'utilisation du robot d'autorisation en termes de configuration système et de main d'œuvre ?

Latini : La connexion du robot d'autorisation au système SAP s'effectue via le Sivis Web Manager, facile à utiliser. Un environnement Docker sur un serveur Linux est également nécessaire - la puissance de calcul dépend de la taille de l'entreprise. L'analyse et le clustering des données de traçage ainsi que la création des propositions de concepts sont entièrement automatisés. Les interactions humaines se limitent à la spécification des critères cibles souhaités - par exemple "sécurité maximale" ou "optimisation des coûts de licence" - et à une vérification finale des propositions générées. L'utilisation est intuitive et ne nécessite pas de formation complexe.

Le robot d'autorisation Svis est-il certifié par SAP ?

Latini : Le nouveau robot d'autorisation fait partie de notre plateforme certifiée SAP, qui intègre de nombreux outils autour de la gestion des identités et des accès, de la conformité et de la gouvernance, de la gestion des rôles et des concepts d'autorisation ainsi que de la gestion des licences et des actifs. Depuis avril 2023, l'Authorization Robot peut être licencié en tant que Software as a Service pour les environnements SAP.

E-3 : Monsieur Latini, merci pour cet entretien.