En ce qui concerne la journalisation et la conservation des journaux conform\u00e9ment \u00e0 la loi, les clients SAP peuvent \u00eatre rassur\u00e9s dans la pile Abap. Gr\u00e2ce aux documents de modification g\u00e9n\u00e9r\u00e9s automatiquement, une grande partie des protocoles devant \u00eatre conserv\u00e9s y sont d\u00e9j\u00e0 g\u00e9n\u00e9r\u00e9s.<\/p>\n
Si l'on active encore la journalisation des tables pour le Customizing, associ\u00e9e \u00e0 un concept d'archivage pour les protocoles, on peut se d\u00e9tendre. Les d\u00e9lais de conservation, tels que ceux pr\u00e9vus par le \u00a7257 du Code de commerce allemand, peuvent ainsi \u00eatre respect\u00e9s.<\/p>\n
Dans la base de donn\u00e9es Hana, la situation est diff\u00e9rente. Comme c'est g\u00e9n\u00e9ralement le cas avec les bases de donn\u00e9es, il n'y a pas de journalisation par d\u00e9faut (la seule exception est la versionnalisation au sein de l'environnement de d\u00e9veloppement). \u00c9tant donn\u00e9 que Hana n'est pas exploit\u00e9e comme une simple base de donn\u00e9es, mais qu'elle prend en charge des parties de la couche d'application, la journalisation est ici indispensable. Avant l'utilisation productive d'une base de donn\u00e9es Hana, il convient d'\u00e9laborer un concept de journalisation et de le mettre en \u0153uvre sur le plan technique.<\/p>\n
La premi\u00e8re \u00e9tape consiste \u00e0 d\u00e9terminer o\u00f9 les journaux doivent \u00eatre \u00e9crits. Outre la possibilit\u00e9 de les \u00e9crire dans une table Hana (Sys.Audit_Log), il est \u00e9galement possible d'utiliser le SysLog du serveur Unix.<\/p>\n
Cette derni\u00e8re solution pr\u00e9sente l'avantage de permettre une s\u00e9paration des fonctions entre la configuration des journaux et l'\u00e9valuation\/l'archivage. L'utilisation d'un serveur SysLog central, vers lequel les protocoles sont transmis et \u00e0 partir duquel ils sont archiv\u00e9s, est particuli\u00e8rement indiqu\u00e9e.<\/p>\n
L'\u00e9tape suivante consiste \u00e0 d\u00e9finir ce qui doit \u00eatre consign\u00e9. Afin de respecter les obligations l\u00e9gales, il devrait s'agir au minimum : d'une gestion des utilisateurs (cr\u00e9ation\/modification\/suppression d'utilisateurs et de groupes d'utilisateurs), d'une attribution de droits (attribution\/suppression de r\u00f4les et de privil\u00e8ges), de modifications de la configuration des cryptages (donn\u00e9es persistantes, cl\u00e9s racines, redo logs), d'une configuration du syst\u00e8me (modifications des param\u00e8tres du syst\u00e8me), d'une configuration des interfaces, de modifications des sch\u00e9mas et des certificats (cr\u00e9ation, modification, suppression).<\/p>\n
Si un SAP ERP ou S\/4 Hana est exploit\u00e9 sur la base de donn\u00e9es Hana, il peut \u00e9galement \u00eatre utile de journaliser tout acc\u00e8s \u00e0 ses donn\u00e9es qui ne passe pas par son propri\u00e9taire (SAP).<\/p>\n
Dans Hana, il est possible de journaliser non seulement les acc\u00e8s en modification, mais aussi les acc\u00e8s en lecture aux donn\u00e9es. Cela est particuli\u00e8rement utile pour les donn\u00e9es sensibles du point de vue de la protection des donn\u00e9es (par exemple les donn\u00e9es des collaborateurs) ainsi que pour les donn\u00e9es critiques pour l'entreprise (conditions, donn\u00e9es de production).<\/p>\n
La journalisation est mise en \u0153uvre techniquement avec le Hana AuditLog. Il est possible d'y d\u00e9finir diff\u00e9rentes politiques auxquelles sont attribu\u00e9es des actions de journalisation. Celles-ci doivent \u00eatre configur\u00e9es \u00e0 l'aide des directives.<\/p>\n
Il ne faut pas oublier que ce ne sont pas seulement les syst\u00e8mes productifs qui sont soumis \u00e0 l'obligation de journalisation, mais aussi en partie les syst\u00e8mes de d\u00e9veloppement. Une fois le journal d'audit mis en place conform\u00e9ment aux directives, l'autorisation de modifier la configuration (System Privilege Audit Admin) ne devrait \u00eatre utilis\u00e9e, si possible, que selon le principe des quatre yeux.<\/p>\n
Si les journaux sont stock\u00e9s dans la base de donn\u00e9es Hana, l'autorisation de supprimer les journaux (System Privilege Audit Operator) ne doit pas non plus \u00eatre attribu\u00e9e.<\/p>\n
En outre, Hana AuditLog doit \u00eatre int\u00e9gr\u00e9 dans le concept global de journalisation propre \u00e0 l'entreprise, dans lequel sont r\u00e9gl\u00e9s des th\u00e8mes tels que les consignes de configuration, les responsabilit\u00e9s, les cycles d'\u00e9valuation et les p\u00e9riodes de conservation.<\/p>\n
Il s'agit notamment des prescriptions l\u00e9gales et des exigences sp\u00e9cifiques \u00e0 l'entreprise en mati\u00e8re de journalisation, des d\u00e9lais de conservation des diff\u00e9rents journaux, des concepts d'archivage pour les journaux, des prescriptions et des responsabilit\u00e9s pour l'\u00e9valuation r\u00e9guli\u00e8re ainsi que des obligations de documentation pour l'\u00e9valuation et des niveaux d'escalade en cas de constatations.<\/p>\n
L'exploitation de bases de donn\u00e9es Hana pose donc de nouveaux d\u00e9fis en mati\u00e8re d'obligations de conservation. Contrairement \u00e0 la pile Abap, c'est \u00e0 l'entreprise de mettre en place la journalisation conform\u00e9ment aux directives l\u00e9gales et internes.<\/p>","protected":false},"excerpt":{"rendered":"
L'utilisation d'une base de donn\u00e9es Hana n\u00e9cessite une configuration des composants de protocole conforme \u00e0 la l\u00e9gislation. Mais comment \u00e9tablir un concept \u00e0 cet effet avant l'utilisation productive et comment le mettre en \u0153uvre sur le plan technique ?<\/p>","protected":false},"author":148,"featured_media":15608,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"pmpro_default_level":"","footnotes":""},"categories":[21,7,22863],"tags":[453,11309,5179,19701,236,138,127],"coauthors":[22429],"class_list":["post-44797","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-it-security","category-meinung","category-mag-1806","tag-abap","tag-customizing","tag-hana-datenbank","tag-s-4-hana","tag-sap","tag-sap-erp","tag-unix","pmpro-has-access"],"acf":[],"featured_image_urls_v2":{"full":["https:\/\/e3mag.com\/wp-content\/uploads\/2017\/03\/It-Security.jpg",1000,431,false],"thumbnail":["https:\/\/e3mag.com\/wp-content\/uploads\/2017\/03\/It-Security-150x150.jpg",150,150,true],"medium":["https:\/\/e3mag.com\/wp-content\/uploads\/2017\/03\/It-Security.jpg",400,172,false],"medium_large":["https:\/\/e3mag.com\/wp-content\/uploads\/2017\/03\/It-Security-768x331.jpg",768,331,true],"large":["https:\/\/e3mag.com\/wp-content\/uploads\/2017\/03\/It-Security.jpg",1000,431,false],"image-100":["https:\/\/e3mag.com\/wp-content\/uploads\/2017\/03\/It-Security-100x43.jpg",100,43,true],"image-480":["https:\/\/e3mag.com\/wp-content\/uploads\/2017\/03\/It-Security-480x207.jpg",480,207,true],"image-640":["https:\/\/e3mag.com\/wp-content\/uploads\/2017\/03\/It-Security-640x276.jpg",640,276,true],"image-720":["https:\/\/e3mag.com\/wp-content\/uploads\/2017\/03\/It-Security-720x310.jpg",720,310,true],"image-960":["https:\/\/e3mag.com\/wp-content\/uploads\/2017\/03\/It-Security-960x414.jpg",960,414,true],"image-1168":["https:\/\/e3mag.com\/wp-content\/uploads\/2017\/03\/It-Security.jpg",1000,431,false],"image-1440":["https:\/\/e3mag.com\/wp-content\/uploads\/2017\/03\/It-Security.jpg",1000,431,false],"image-1920":["https:\/\/e3mag.com\/wp-content\/uploads\/2017\/03\/It-Security.jpg",1000,431,false],"1536x1536":["https:\/\/e3mag.com\/wp-content\/uploads\/2017\/03\/It-Security.jpg",1000,431,false],"2048x2048":["https:\/\/e3mag.com\/wp-content\/uploads\/2017\/03\/It-Security.jpg",1000,431,false],"trp-custom-language-flag":["https:\/\/e3mag.com\/wp-content\/uploads\/2017\/03\/It-Security.jpg",18,8,false],"bricks_large_16x9":["https:\/\/e3mag.com\/wp-content\/uploads\/2017\/03\/It-Security.jpg",1000,431,false],"bricks_large":["https:\/\/e3mag.com\/wp-content\/uploads\/2017\/03\/It-Security.jpg",1000,431,false],"bricks_large_square":["https:\/\/e3mag.com\/wp-content\/uploads\/2017\/03\/It-Security.jpg",1000,431,false],"bricks_medium":["https:\/\/e3mag.com\/wp-content\/uploads\/2017\/03\/It-Security.jpg",600,259,false],"bricks_medium_square":["https:\/\/e3mag.com\/wp-content\/uploads\/2017\/03\/It-Security.jpg",600,259,false],"profile_24":["https:\/\/e3mag.com\/wp-content\/uploads\/2017\/03\/It-Security-24x24.jpg",24,24,true],"profile_48":["https:\/\/e3mag.com\/wp-content\/uploads\/2017\/03\/It-Security-48x48.jpg",48,48,true],"profile_96":["https:\/\/e3mag.com\/wp-content\/uploads\/2017\/03\/It-Security-96x96.jpg",96,96,true],"profile_150":["https:\/\/e3mag.com\/wp-content\/uploads\/2017\/03\/It-Security-150x150.jpg",150,150,true],"profile_300":["https:\/\/e3mag.com\/wp-content\/uploads\/2017\/03\/It-Security-300x300.jpg",300,300,true]},"post_excerpt_stackable_v2":"
Der Einsatz einer Hana-Datenbank erfordert eine gesetzeskonforme Konfiguration der Protokollkomponenten. Doch wie l\u00e4sst sich ein Konzept dazu vor der produktiven Nutzung erstellen und technisch umsetzen?<\/p>\n","category_list_v2":"IT-Security Kolumne<\/a>, Die Meinung der SAP-Community<\/a>, MAG 18-06<\/a>","author_info_v2":{"name":"Thomas Tiede, IBS","url":"https:\/\/e3mag.com\/fr\/author\/thomas-tiede\/"},"comments_num_v2":"0 commentaire","_links":{"self":[{"href":"https:\/\/e3mag.com\/fr\/wp-json\/wp\/v2\/posts\/44797","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/e3mag.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/e3mag.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/e3mag.com\/fr\/wp-json\/wp\/v2\/users\/148"}],"replies":[{"embeddable":true,"href":"https:\/\/e3mag.com\/fr\/wp-json\/wp\/v2\/comments?post=44797"}],"version-history":[{"count":0,"href":"https:\/\/e3mag.com\/fr\/wp-json\/wp\/v2\/posts\/44797\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/e3mag.com\/fr\/wp-json\/wp\/v2\/media\/15608"}],"wp:attachment":[{"href":"https:\/\/e3mag.com\/fr\/wp-json\/wp\/v2\/media?parent=44797"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/e3mag.com\/fr\/wp-json\/wp\/v2\/categories?post=44797"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/e3mag.com\/fr\/wp-json\/wp\/v2\/tags?post=44797"},{"taxonomy":"author","embeddable":true,"href":"https:\/\/e3mag.com\/fr\/wp-json\/wp\/v2\/coauthors?post=44797"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}