SAP GRC — Обзор

Решение SAP Governance, Risk and Compliance позволяет организациям управлять нормативно-правовыми актами и соответствием требованиям и устранять любые риски при управлении ключевыми операциями организаций. В соответствии с изменяющейся рыночной ситуацией, организации растут и быстро меняются, и неадекватные документы, электронные таблицы не приемлемы для внешних аудиторов и регулирующих органов.

SAP GRC помогает организации управлять их правилами и соответствием, а также выполнять следующие действия:

• Простая интеграция действий GRC в существующий процесс и автоматизация ключевых действий GRC.

• Низкая сложность и эффективное управление рисками.

• Улучшить деятельность по управлению рисками.

• Эффективное управление мошенничеством в бизнесе и управление аудитом.

• Организации работают лучше, и компании могут защитить свои ценности.

• Решение SAP GRC состоит из трех основных областей: анализ, управление и мониторинг.

Простая интеграция действий GRC в существующий процесс и автоматизация ключевых действий GRC.

Низкая сложность и эффективное управление рисками.

Улучшить деятельность по управлению рисками.

Эффективное управление мошенничеством в бизнесе и управление аудитом.

Организации работают лучше, и компании могут защитить свои ценности.

Решение SAP GRC состоит из трех основных областей: анализ, управление и мониторинг.

Модули в SAP GRC

Давайте теперь разберемся с различными модулями в SAP GRC —

SAP GRC Контроль доступа

Чтобы снизить риск в организации, необходимо осуществлять контроль рисков как часть практики соблюдения и регулирования. Должны быть четко определены обязанности, управление предоставлением ролей и управление доступом для суперпользователя имеет решающее значение для управления рисками в организации.

SAP GRC Контроль процессов и борьба с мошенничеством

Программное решение SAP GRC Process Control используется для управления соответствием и политикой. Возможности управления соответствием позволяют организациям управлять и контролировать свою среду внутреннего контроля. Организации могут заблаговременно устранять любые выявленные проблемы, а также сертифицировать и сообщать об общем состоянии соответствующих мероприятий по обеспечению соответствия.

SAP Process control поддерживает полный жизненный цикл управления политиками, включая распределение и соблюдение политик целевыми группами. Эти политики помогают организациям снизить стоимость соответствия требованиям и повысить прозрачность управления, а также позволяют организации разрабатывать процессы и политики управления соответствием в бизнес-среде.

SAP GRC Управление рисками

SAP GRC Risk Management позволяет управлять действиями по управлению рисками. Вы можете заблаговременно планировать выявление рисков в бизнесе и внедрять меры по управлению рисками, которые позволят вам принимать более правильные решения, повышающие эффективность бизнеса.

Риски бывают разных форм —

• Операционный риск
• Стратегический риск
• Риск соответствия
• Финансовый риск

SAP GRC Audit Management

Это используется для улучшения процесса управления аудитом в организации путем документирования артефактов, организации рабочих документов и создания отчетов аудита. Вы можете легко интегрироваться с другими решениями по управлению, рискам и соответствию требованиям и позволить организациям привести политики управления аудитом в соответствие с бизнес-целями.

Управление аудитом SAP GRC помогает аудитору упростить задачу, предоставляя следующие возможности:

• Вы можете мгновенно захватить артефакты для управления аудитом и других доказательств, используя функцию перетаскивания мобильных функций.

• Вы можете легко создавать, отслеживать и управлять проблемами аудита с помощью глобального мониторинга и контроля.

• Вы можете выполнять поиск, используя возможности поиска, что позволяет получить больше информации из старых и рабочих документов.

• Вы можете привлечь аудиторов с помощью удобного интерфейса и инструментов для совместной работы.

• Простая интеграция управления аудитом с SAP Fraud Management, SAP Risk Management и SAP Process Control для согласования процесса аудита с бизнес-целями.

• Быстрое решение проблем с помощью автоматизированного инструмента отслеживания.

• Повысить коэффициент использования персонала и сократить командировочные расходы благодаря планированию внутреннего аудита, управлению ресурсами и составлению графиков.

• Простая интеграция с инструментом отчетности и визуализации данных SAP Business Objects для визуализации отчетов аудита с использованием Lumira и других отчетов BI.

• Использование предварительно установленных шаблонов для стандартизации артефактов аудита и процесса отчетности.

Вы можете мгновенно захватить артефакты для управления аудитом и других доказательств, используя функцию перетаскивания мобильных функций.

Вы можете легко создавать, отслеживать и управлять проблемами аудита с помощью глобального мониторинга и контроля.

Вы можете выполнять поиск, используя возможности поиска, что позволяет получить больше информации из старых и рабочих документов.

Вы можете привлечь аудиторов с помощью удобного интерфейса и инструментов для совместной работы.

Простая интеграция управления аудитом с SAP Fraud Management, SAP Risk Management и SAP Process Control для согласования процесса аудита с бизнес-целями.

Быстрое решение проблем с помощью автоматизированного инструмента отслеживания.

Повысить коэффициент использования персонала и сократить командировочные расходы благодаря планированию внутреннего аудита, управлению ресурсами и составлению графиков.

Простая интеграция с инструментом отчетности и визуализации данных SAP Business Objects для визуализации отчетов аудита с использованием Lumira и других отчетов BI.

Использование предварительно установленных шаблонов для стандартизации артефактов аудита и процесса отчетности.

SAP GRC Мошенничество

Инструмент управления мошенничеством SAP GRC помогает организациям выявлять и предотвращать мошенничество на ранней стадии, что позволяет снизить до минимума потери бизнеса. Сканирование может быть выполнено на большом количестве данных в режиме реального времени с большей точностью, и мошеннические действия могут быть легко идентифицированы.

Программное обеспечение SAP для борьбы с мошенничеством может помочь организациям со следующими возможностями:

• Простое расследование и документирование случаев мошенничества.

• Повысьте уровень готовности системы и скорость реагирования, чтобы предотвратить мошеннические действия в будущем.

• Простое сканирование больших объемов транзакций и бизнес-данных.

Простое расследование и документирование случаев мошенничества.

Повысьте уровень готовности системы и скорость реагирования, чтобы предотвратить мошеннические действия в будущем.

Простое сканирование больших объемов транзакций и бизнес-данных.

SAP GRC Global Trade Services

Программное обеспечение SAP GRC GTS помогает организациям расширять трансграничные поставки в рамках управления международной торговлей. Это помогает в снижении штрафа за риски со стороны органов регулирования международной торговли.

Он обеспечивает централизованный процесс управления глобальной торговлей с единым хранилищем для всех основных данных и контента соответствия, независимо от размера организации.

Модель возможностей SAP GRC

Решение SAP BusinessObjects GRC состоит из трех основных функций: анализ, управление и мониторинг .

На следующей диаграмме показана модель возможностей SAP GRC, которая охватывает все ключевые функции программного обеспечения SAP GRC. Используя GRC, организации могут проверять все потенциальные риски и данные о соответствии и могут принять правильное решение для их снижения.

SAP GRC — навигация

В более старых версиях SAP GRC для управления доступом, управления процессами и управления рисками для каждого компонента была отдельная навигация. Это означает, что пользователи для выполнения межкомпонентных обязанностей должны были входить в каждый модуль отдельно и входить в систему несколько раз. В результате сложный процесс управления несколькими окнами и документами для поиска также был сложным.

SAP GRC 10.0 обеспечивает прямую навигацию к компонентам контроля доступа, управления процессами и управления рисками для одного пользователя согласно авторизации и устраняет управление несколькими окнами.

Шаг 1 — Чтобы выполнить действия по настройке и сохранить параметры конфигурации для решения GRC, перейдите к T-коду — SPRO → SAP Reference IMG

Шаг 2 — Разверните узел Управление, Риск и Соответствие —

Шаг 3 — Вход в NetWeaver Business Client —

Запустите транзакцию для NWBC в SAP Easy Access.

Откроется экран NetWeaver Business Client, и вы получите следующий URL — http://ep5crgrc.renterpserver.com:8070/nwbc/~launch/

Рабочие центры SAP GRC

Вы можете использовать рабочие центры, чтобы предоставить центральную точку доступа для GRC 10.0. Они могут быть организованы в зависимости от того, на что клиент имеет лицензию на деятельность.

Шаг 1. Чтобы получить доступ к рабочим центрам, откройте NetWeaver Business Client, как указано выше. Перейдите к параметру / nwbc вверху, чтобы открыть рабочие центры.

Шаг 2. После нажатия вы будете перенаправлены на домашний экран клиента SAP NetWeaver Business.

В зависимости от лицензированных продуктов отображаются различные компоненты решения GRC — Контроль доступа, Контроль процесса или Управление рисками .

SAP GRC — Контроль доступа

Контроль доступа SAP GRC помогает организациям автоматически обнаруживать, управлять и предотвращать нарушения рисков доступа и сокращать несанкционированный доступ к данным и информации компании. Пользователи могут использовать автоматическое самообслуживание для доступа к отправке запросов, запросам на управление рабочим процессом и подтверждениям доступа. С помощью SAP GRC Access Control можно использовать автоматические проверки доступа пользователей, авторизации ролей и нарушений рисков.

SAP GRC Access Control решает ключевые проблемы, позволяя бизнесу управлять рисками доступа. Это помогает организациям предотвращать несанкционированный доступ путем определения разделения обязанностей SoD и критического доступа и минимизации времени и затрат на управление рисками доступа.

Ключевая особенность

Ниже приведены ключевые функции SAP GRC Access Control —

• Провести аудит и соответствие требованиям законодательства с различными стандартами аудита, такими как SOX, BSI и ISO.

• Автоматическое обнаружение нарушений рисков доступа в системах SAP и не-SAP в организации.

• Как уже упоминалось, он предоставляет пользователям возможность самостоятельного предоставления доступа, запросов доступа, основанных на рабочих процессах, и подтверждения запросов.

• Автоматизировать проверки доступа пользователей, авторизации ролей, нарушений рисков и контроля назначений в малых и крупных организациях.

• Эффективно управлять доступом суперпользователя и избегать нарушений риска и несанкционированного доступа к данным и приложениям в SAP и не-SAP-системе.

Провести аудит и соответствие требованиям законодательства с различными стандартами аудита, такими как SOX, BSI и ISO.

Автоматическое обнаружение нарушений рисков доступа в системах SAP и не-SAP в организации.

Как уже упоминалось, он предоставляет пользователям возможность самостоятельного предоставления доступа, запросов доступа, основанных на рабочих процессах, и подтверждения запросов.

Автоматизировать проверки доступа пользователей, авторизации ролей, нарушений рисков и контроля назначений в малых и крупных организациях.

Эффективно управлять доступом суперпользователя и избегать нарушений риска и несанкционированного доступа к данным и приложениям в SAP и не-SAP-системе.

Как изучить центр управления настройкой доступа?

Запустите транзакцию для NWBC в SAP Easy Access.

Откроется экран NetWeaver Business Client, и вы получите следующий URL — http://ep5crgrc.renterpserver.com:8070/nwbc/~launch/

Шаг 1. Чтобы получить доступ к рабочим центрам, откройте NetWeaver Business Client, как указано выше. Перейдите к параметру / nwbc вверху, чтобы открыть рабочие центры.

Шаг 2. После нажатия вы будете перенаправлены на домашний экран клиента SAP NetWeaver Business.

Шаг 3 — Перейдите к настройке рабочего центра и изучите рабочий набор. Нажмите на некоторые ссылки под каждой и исследуйте различные экраны.

Шаг 4 — Рабочий центр установки доступен в Access Control и предоставляет ссылки на следующие разделы —

• Обслуживание правил доступа
• Правила исключительного доступа
• Критические правила доступа
• Сгенерированные правила
• организации
• Смягчающие средства управления
• Назначение суперпользователя
• Суперпользовательское обслуживание
• Владельцы доступа

Шаг 5 — Вы можете использовать перечисленные выше функции следующими способами —

• Используя раздел «Обслуживание правил доступа», вы можете управлять наборами правил доступа, функциями и рисками доступа, используемыми для выявления нарушений доступа.

• Используя исключительные правила доступа, вы можете управлять правилами, дополняющими правила доступа.

• Используя раздел критических правил доступа, вы можете определить дополнительные правила, определяющие доступ к критическим ролям и профилям.

• Используя раздел сгенерированных правил, вы можете найти и просмотреть сгенерированные правила доступа.

• В разделе «Организации» вы можете поддерживать организационную структуру компании для обеспечения соответствия и управления рисками с помощью соответствующих назначений.

• Раздел «Митигационные элементы управления» позволяет управлять элементами управления для смягчения разделения обязанностей, критических действий и нарушений доступа к критическим разрешениям.

• Назначение суперпользователя — это место, где вы назначаете владельцев идентификаторам пожарных и назначаете идентификаторы пожарных пользователям.

• Техническое обслуживание суперпользователя — это то, где вы поддерживаете назначения пожарного, контроллера и кода причины.

• В разделе «Владельцы доступа» вы управляете привилегиями владельца для возможностей управления доступом.

Используя раздел «Обслуживание правил доступа», вы можете управлять наборами правил доступа, функциями и рисками доступа, используемыми для выявления нарушений доступа.

Используя исключительные правила доступа, вы можете управлять правилами, дополняющими правила доступа.

Используя раздел критических правил доступа, вы можете определить дополнительные правила, определяющие доступ к критическим ролям и профилям.

Используя раздел сгенерированных правил, вы можете найти и просмотреть сгенерированные правила доступа.

В разделе «Организации» вы можете поддерживать организационную структуру компании для обеспечения соответствия и управления рисками с помощью соответствующих назначений.

Раздел «Митигационные элементы управления» позволяет управлять элементами управления для смягчения разделения обязанностей, критических действий и нарушений доступа к критическим разрешениям.

Назначение суперпользователя — это место, где вы назначаете владельцев идентификаторам пожарных и назначаете идентификаторы пожарных пользователям.

Техническое обслуживание суперпользователя — это то, где вы поддерживаете назначения пожарного, контроллера и кода причины.

В разделе «Владельцы доступа» вы управляете привилегиями владельца для возможностей управления доступом.

SAP GRC — Рабочий центр управления доступом

Согласно лицензии на программное обеспечение GRC, вы можете перемещаться по Access Management Work Center. Он имеет несколько разделов для управления действиями контроля доступа.

Когда вы нажимаете на Access Management Work Center, вы видите следующие разделы —

• Назначения ролей GRC
• Анализ рисков доступа
• Сниженный доступ
• Администрация запросов доступа
• Ролевое управление
• Роль Майнинг
• Массовое обслуживание ролей
• Назначение суперпользователя
• Суперпользовательское обслуживание
• Создание запроса доступа
• Сертификация соответствия Отзывы
• Оповещения
• планирование

Вышеуказанные разделы помогут вам следующими способами —

• Когда вы переходите к разделу анализа рисков , вы можете оценить свои системы на предмет рисков рисков для пользователей, ролей, объектов HR и уровней организации. Риск доступа — это два или более действия или разрешения, которые, когда они доступны одному пользователю или одной роли, профилю, организационному уровню или объекту HR, создают вероятность ошибки или нарушения.

• Используя раздел смягченного доступа , вы можете идентифицировать риски доступа, оценить уровень этих рисков и назначить смягчающие элементы управления пользователям, ролям и профилям для смягчения нарушений правил доступа.

• В разделе администрирования запросов доступа вы можете управлять назначениями доступа, учетными записями и процессами проверки.

• Используя управление ролями, вы управляете ролями из нескольких систем в одном унифицированном хранилище.

• В функции группы по анализу ролей вы можете выбирать нужные роли, анализировать их и предпринимать действия.

• Используя массовое ведение ролей , вы можете импортировать и изменять полномочия и атрибуты для нескольких ролей.

• В разделе « Назначение суперпользователя » вы можете назначить владельцам идентификаторы пожарных и назначить идентификаторы пожарных и контроллеров.

• В разделе « Техническое обслуживание суперпользователя » вы можете выполнять такие действия, как исследование и обслуживание пожарных и контроллеров, а также назначение кодов причин системой.

• Используя создание запроса доступа , вы можете создавать назначения доступа и учетные записи.

• Сертификационные обзоры соответствия подтверждают проверки доступа пользователей, нарушений рисков и назначения ролей.

• Используя оповещения , вы можете генерировать приложением для выполнения критических или конфликтующих действий.

• Используя раздел « Планирование » рабочего центра настройки правил, вы можете вести графики непрерывного контроля и автоматического тестирования, а также отслеживать ход выполнения соответствующих заданий.

Когда вы переходите к разделу анализа рисков , вы можете оценить свои системы на предмет рисков рисков для пользователей, ролей, объектов HR и уровней организации. Риск доступа — это два или более действия или разрешения, которые, когда они доступны одному пользователю или одной роли, профилю, организационному уровню или объекту HR, создают вероятность ошибки или нарушения.

Используя раздел смягченного доступа , вы можете идентифицировать риски доступа, оценить уровень этих рисков и назначить смягчающие элементы управления пользователям, ролям и профилям для смягчения нарушений правил доступа.

В разделе администрирования запросов доступа вы можете управлять назначениями доступа, учетными записями и процессами проверки.

Используя управление ролями, вы управляете ролями из нескольких систем в одном унифицированном хранилище.

В функции группы по анализу ролей вы можете выбирать нужные роли, анализировать их и предпринимать действия.

Используя массовое ведение ролей , вы можете импортировать и изменять полномочия и атрибуты для нескольких ролей.

В разделе « Назначение суперпользователя » вы можете назначить владельцам идентификаторы пожарных и назначить идентификаторы пожарных и контроллеров.

В разделе « Техническое обслуживание суперпользователя » вы можете выполнять такие действия, как исследование и обслуживание пожарных и контроллеров, а также назначение кодов причин системой.

Используя создание запроса доступа , вы можете создавать назначения доступа и учетные записи.

Сертификационные обзоры соответствия подтверждают проверки доступа пользователей, нарушений рисков и назначения ролей.

Используя оповещения , вы можете генерировать приложением для выполнения критических или конфликтующих действий.

Используя раздел « Планирование » рабочего центра настройки правил, вы можете вести графики непрерывного контроля и автоматического тестирования, а также отслеживать ход выполнения соответствующих заданий.

Управление доступом и авторизацией

В решении SAP GRC вы можете управлять объектами авторизации, чтобы ограничить элементы и данные, к которым может обращаться пользователь. Авторизация контролирует доступ пользователя к рабочим центрам и отчетам в системе SAP.

Чтобы получить доступ к решению GRC, вы должны иметь следующий доступ —

• Авторизация портала
• Применимые роли PFCG
• Роли PFCG для контроля доступа, контроля процессов и управления рисками

Перечисленные ниже типы авторизации являются обязательными для компонентов GRC — AC, PC и RM.

Имя роли	Typ	Описание	Составная часть
SAP_GRC_FN_BASE	PFCG	Основная роль	ПК, РМ
SAP_GRAC_BASE	PFCG	Основная роль (включает SAP_GRC_FN_BASE)	переменный ток
SAP_GRC_NWBC	PFCG	Роль для запуска GRC 10.0 в NWBC	AC, ПК, RM
SAP_GRAC_NWBC	PFCG	Роль для запуска упрощенных рабочих центров NWBC для AC	переменный ток
GRC_Suite	Портал	Роль портала для запуска GRC в 10.0 на портале	AC, ПК, RM
SAP_GRC_FN_BUSINESS_USER	PFCG	Общая роль пользователя	AC * , ПК, RM
SAP_GRC_FN_ALL	PFCG	Роль опытного пользователя; обходит авторизацию на уровне объекта для ПК и RM	ПК, РМ
SAP_GRAC_ALL	PFCG	Роль опытного пользователя	переменный ток
SAP_GRC_FN_DISPLAY	PFCG	Показать все роли пользователя	ПК, РМ
SAP_GRAC_DISPLAY_ALL	PFCG	Показать все роли пользователя	переменный ток
SAP_GRAC_SETUP	PFCG	Роль настройки (используется для поддержки конфигурации в IMG)	переменный ток
SAP_GRC_SPC_CUSTOMIZING	PFCG	Роль настройки (используется для поддержки конфигурации в IMG)	ПК
SAP_GRC_RM_CUSTOMIZING	PFCG	Роль настройки (используется для поддержки конфигурации в IMG)	RM
SAP_GRAC_RISK_ANALYSIS	PFCG	Роль предоставляет полномочия для запуска заданий SoD	AC, ПК, RM

Авторизация в компоненте портала и NWBC

В решении SAP GRC 10.0 рабочие центры определяются в ролях PCD для компонента портала и в ролях PFCG для NWBC ( NetWeaver Business Client ). Рабочие центры закреплены в каждой базовой роли. SAP выполняет эти роли, однако; эти роли могут быть изменены клиентом согласно требованию.

Расположение папок приложений и подчиненных приложений в карте сервиса контролируется приложением SAP NetWeaver Launchpad. Карта услуг контролируется авторизацией пользователя, поэтому, если у пользователя нет авторизации для просмотра какого-либо приложения, он будет скрыт в клиенте NetWeaver Business.

Как просмотреть назначения ролей в Access Management Work Center?

Выполните следующие шаги, чтобы просмотреть назначения ролей —

Шаг 1. Перейдите в рабочий центр управления доступом в NetWeaver Business Client.

Шаг 2 — Выберите бизнес-процесс в разделе Назначение ролей GRC и перейдите на уровень роли подпроцесса. Нажмите «Далее», чтобы продолжить назначение разделов ролей.

Как просмотреть назначения ролей в рабочем центре основных данных?

Шаг 1 — Перейти к рабочему центру основных данных → Организации

Шаг 2 — В следующем окне выберите любую организацию из списка, затем нажмите «Открыть».

Шаг 3 — Обратите внимание, что треугольник рядом с организацией означает, что есть суборганизации, а точка рядом с организацией означает, что это самый низкий уровень.

Шаг 4 — Нажмите на вкладку подпроцесса → Назначить подпроцесс. Теперь выберите один или два подпроцесса и нажмите «Далее».

Шаг 5 — Не внося никаких изменений, нажмите Готово на шаге Выбор элементов управления.

Шаг 6 — Выберите первый подпроцесс из списка, затем нажмите Открыть. Вы должны увидеть детали подпроцесса.

Шаг 7 — Нажмите вкладку Роли. Выберите роль из списка, затем нажмите «Назначить».

SAP GRC — Авторизация

SAP GRC Access Control использует роли UME для управления авторизацией пользователей в системе. Администратор может использовать действия, которые представляют наименьший объект роли UME, который пользователь может использовать для создания прав доступа.

Одна роль UME может содержать действия одного или нескольких приложений. Вы должны назначить роли UME пользователям в User Management Engine (UME) .

Авторизация в UME

Когда пользователь не имеет доступа к определенной вкладке, эта вкладка не будет отображаться при входе пользователя в систему, когда пользователь пытается получить доступ к этой вкладке. Когда действие UME для вкладки назначается этому конкретному пользователю, только тогда он сможет получить доступ к этой функции.

Все доступные стандартные действия UME для вкладок CC можно найти на вкладке «Назначенные действия» пользователя Admin .

UME Роли

Вы должны создать роль администратора, и эта роль должна быть назначена Superuser для выполнения действий, связанных с калибратором соответствия SAP. Существуют различные роли CC, которые могут быть созданы в SAP GRC Access control во время внедрения.

• CC.ReportingView

  Описание — Compliance Calibrator Отображение и отчетность

• CC.RuleMaintenance

  Описание — соблюдение правил калибровки калибратора

• CC.MitMaintenance

  Описание — Соответствие Калибратору Смягчение Обслуживание

• CC.Administration

  Описание — Администрирование калибратора соответствия и базовая конфигурация

Описание — Compliance Calibrator Отображение и отчетность

Описание — соблюдение правил калибровки калибратора

Описание — Соответствие Калибратору Смягчение Обслуживание

Описание — Администрирование калибратора соответствия и базовая конфигурация

Как открыть User Maintenance Engine?

Используя UME, вы можете выполнять различные ключевые действия в Access Control —

• Вы можете выполнять обслуживание пользователей и ролей
• Может использоваться для настройки источника данных пользователя
• Вы можете применить настройки безопасности и правила пароля

Чтобы открыть UME, вы должны использовать следующий URL —

Http: // <имя хоста>: <порт> / UserAdmin

SAP GRC — Панель управления доступом

В SAP GRC 10.0 вы можете использовать Access Control Launch Pad для поддержки ключевых функций в GRC Access Control. Это единственная веб-страница, которая может использоваться для анализа и устранения рисков (RAR) .

В GRC Access Control вы можете использовать возможности анализа и исправления рисков (RAR) для проведения аудита безопасности и анализа разделения обязанностей (SoD). Это инструмент, который можно использовать для выявления, анализа и решения проблем риска и аудита, связанных с соблюдением следующих нормативных требований. Здесь вы также можете определить следующее:

• Управление ролями предприятия (ERM)
• Соответствие требованиям пользователя (CUP)
• Управление привилегиями суперпользователя

Создание новой панели запуска в NWBC

Выполните следующие действия, чтобы создать новую панель запуска в NWBC.

Шаг 1. Перейдите к ролям PFCG и откройте роль SAP_GRAC_NWBC

Шаг 2. Когда вы щелкнете правой кнопкой мыши по элементу «Мой дом», вы увидите, что вызываемое приложение — grfn_service_map? WDCONFIGURATIONID = GRAC_FPM_AC_LPD_HOME, а идентификатор конфигурации — GRAC_FPM_AC_LPD_HOME .

Шаг 3 — Выберите кнопку конфигурации приложения , и вы увидите экран конфигурации приложения → кнопка отображения.

Шаг 4 — Когда вы нажимаете на Дисплей, вы можете увидеть этот экран —

Шаг 5 — Теперь откройте кнопку Конфигурация компонента .

Шаг 6 — Нажмите кнопку Настроить UIBB на этом экране. Вы будете перенаправлены на следующий экран —

Шаг 7 — Вы можете выбрать панель запуска, к которой хотите подключиться. Если вы хотите создать новую панель запуска, вы также можете сопоставить ее с новой ролью.

Шаг 8 — Чтобы создать новую панель запуска, определите следующее —

• Создайте новую панель запуска с элементами меню, которые вы хотите.

• Создайте новую конфигурацию приложения GRFN_SERVICE_MAP или вы можете скопировать идентификатор конфигурации GRAC_FPM_AC_LPD_HOME и настроить его дальше.

• В новой конфигурации выберите панель запуска, которую вы хотите связать.

• Создайте новую роль и добавьте в нее приложение webdynpro GRFN_SERVICE_MAP с пользовательским идентификатором конфигурации, созданным на предыдущем шаге.

Создайте новую панель запуска с элементами меню, которые вы хотите.

Создайте новую конфигурацию приложения GRFN_SERVICE_MAP или вы можете скопировать идентификатор конфигурации GRAC_FPM_AC_LPD_HOME и настроить его дальше.

В новой конфигурации выберите панель запуска, которую вы хотите связать.

Создайте новую роль и добавьте в нее приложение webdynpro GRFN_SERVICE_MAP с пользовательским идентификатором конфигурации, созданным на предыдущем шаге.

SAP GRC — интеграция с контролем доступа

В решении SAP GRC 10.0 основные данные и организационная структура являются общими для контроля доступа, управления процессами и управления рисками. Process Control также разделяет определенные возможности с процессом управления рисками.

Ниже приведены основные функции, которыми обладает Access Control.

• Контроль доступа и контроль процесса разделяют структуру соответствия в следующих областях —

  • В решении по управлению процессами элементы управления используются как средства управления смягчением в управлении доступом в решении SAP GRC 10.0.

  • Контроль доступа и управление процессами принадлежат одной организации.

  • В управлении процессами процессы используются как бизнес-процессы в управлении доступом.

  • Управление процессами и контроль доступа интегрированы с анализом рисков доступа для мониторинга разделения обязанностей SoD.

Контроль доступа и контроль процесса разделяют структуру соответствия в следующих областях —

В решении по управлению процессами элементы управления используются как средства управления смягчением в управлении доступом в решении SAP GRC 10.0.

Контроль доступа и управление процессами принадлежат одной организации.

В управлении процессами процессы используются как бизнес-процессы в управлении доступом.

Управление процессами и контроль доступа интегрированы с анализом рисков доступа для мониторинга разделения обязанностей SoD.

Области меню, общие для управления процессами и управления рисками:

• Назначение ролей GRC
• Планировщик управления процессом
• Планировщик управления рисками
• Центральная делегация

Ниже приведены ключевые моменты интеграции между Process Control и Risk Management —

• Новые контрольные точки могут быть предназначены для управления процессом в управлении рисками.

• Когда предлагается новый элемент управления, Process Control должен оценить запрос от Управления рисками.

• Управление рисками использует результаты Process Control для оценки новых средств контроля.

• Управление рисками также может использовать существующие элементы управления Process Control в качестве ответов в управлении рисками.

Новые контрольные точки могут быть предназначены для управления процессом в управлении рисками.

Когда предлагается новый элемент управления, Process Control должен оценить запрос от Управления рисками.

Управление рисками использует результаты Process Control для оценки новых средств контроля.

Управление рисками также может использовать существующие элементы управления Process Control в качестве ответов в управлении рисками.

SAP GRC — интеграция с IAM

Управление внутренним аудитом позволяет обрабатывать информацию из управления рисками и контроля процессов для использования при планировании аудита. Предложение аудита может быть передано в управление аудита для обработки, когда это необходимо, а элементы аудита могут использоваться для создания проблем для отчетности. IAM предоставляет вам место, где вы можете выполнять полное планирование аудита, создавать элементы аудита, определять юниверс аудита, а также создавать и просматривать отчеты аудита и вопросы аудита.

Рабочий центр по внутреннему аудиту обеспечивает центральное расположение для следующих видов деятельности:

• Определите юниверс аудита для вашей организации
• Аудиторский рейтинг риска
• Планирование аудита для определения порядка соответствия аудита
• Вопросы аудита от действий аудита
• Аудиторские отчеты, чтобы увидеть, какие риски существуют для проверяемых субъектов

SAP GRC — Аудит Вселенной

Аудит Universe содержит объекты аудита, которые могут быть классифицированы как бизнес-единицы, направления бизнеса или отделы. Аудиторские организации определяют стратегию планирования аудита, и они могут быть связаны с Process Control и Risk Management для поиска рисков, средств контроля и т. Д.

Создать проверяемую сущность

Давайте теперь поймем, как создать контролируемую сущность.

Шаг 1 — Перейдите к параметру / nwbc вверху, чтобы открыть рабочие центры

Шаг 2. В SAP NetWeaver Business Client перейдите в рабочий центр IAM.

Шаг 3 — Перейдите к Управлению внутренним аудитом → Audit Universe

Шаг 4 — Нажмите кнопку « Создать» и перейдите на вкладку « Общие ».

Шаг 5 — Введите следующие данные для аудируемого лица —

• название
• Описание
• Тип
• Статус
• Примечания, чтобы добавить любую дополнительную информацию

Шаг 6 — Перейдите на вкладку « План аудита » для просмотра предложений аудита и предложений плана аудита с датой переноса.

Шаг 7 — Выберите вкладку вложений и ссылок, чтобы добавить любой тип файлов или ссылок.

Шаг 8 — Когда вы вводите необходимые данные, вы можете выбрать один из следующих вариантов —

• Выберите Сохранить, чтобы сохранить объект.
• Выберите Закрыть, чтобы выйти без сохранения.

SAP Process Control — Аудит рейтинга риска

Аудиторский рейтинг риска используется для определения критериев, по которым организация находит рейтинг риска и устанавливает рейтинг рейтинга риска. Каждый подлежащий аудиту субъект оценивается в соответствии с отзывами руководства в ARR. Вы можете использовать ARR для выполнения следующих функций —

• Вы можете найти множество проверяемых объектов и факторов риска.

• Определите и оцените оценки риска для фактора риска в каждой проверяемой организации.

• В соответствии с оценкой риска вы можете оценить аудируемый субъект.

• Вы также можете сгенерировать план аудита из ARR, сравнивая оценки рисков для разных объектов аудита. В дополнение к этому вы можете выбрать объекты аудита с высокой степенью риска и сгенерировать предложение по аудиту и предложение по плану аудита.

Вы можете найти множество проверяемых объектов и факторов риска.

Определите и оцените оценки риска для фактора риска в каждой проверяемой организации.

В соответствии с оценкой риска вы можете оценить аудируемый субъект.

Вы также можете сгенерировать план аудита из ARR, сравнивая оценки рисков для разных объектов аудита. В дополнение к этому вы можете выбрать объекты аудита с высокой степенью риска и сгенерировать предложение по аудиту и предложение по плану аудита.

Создать рейтинг аудиторского риска

Давайте теперь разберемся, как создать рейтинг аудиторских рисков.

Шаг 1. В SAP NetWeaver Business Client перейдите в рабочий центр IAM.

Шаг 2 — Перейдите к разделу «Управление внутренним аудитом» → «Оценка риска аудита» → «Создать»

Шаг 3 — На вкладке Общие введите следующие данные —

• название
• Описание
• Действителен с
• Действителен до
• Ответственный человек
• Статус

Шаг 4 — Перейдите в Auditable Entities и нажмите кнопку Add , чтобы выбрать из аудируемых объектов.

Шаг 5 — Перейдите на вкладку Фактор риска и выберите Коэффициент риска ARR . Выберите Добавить, чтобы добавить фактор риска → ОК.

Шаг 6 — Перейдите на вкладку « Оценка риска », выберите сущность и введите оценки риска в таблице факторов риска. Нажмите кнопку « Рассчитать» , чтобы просмотреть среднюю оценку. Перейдите в столбец Уровень риска и приоритет риска, чтобы ввести подробности.

Перейдите на вкладку Предложение плана аудита , чтобы убедиться, что вы создаете предложение плана аудита. Выберите экспорт, чтобы создать таблицу Excel для просмотра информации в форме таблицы для вашего ARR.

Нажмите кнопку Сохранить , чтобы сохранить рейтинг аудиторского риска для аудируемого лица.

Рабочие центры контроля процесса

Рабочие центры предоставляют центральную точку доступа для всей функциональности GRC. Они организованы так, чтобы обеспечить легкий доступ к действиям приложения, и содержат группы меню и ссылки на дальнейшие действия.

Следующие рабочие центры являются общими для контроля доступа, управления процессами и управления рисками —

• Мой дом
• Основные данные
• Настройка правила
• оценки
• Управление доступом
• Отчеты и аналитика

Давайте обсудим основные рабочие центры.

Мой дом

Мой домашний рабочий центр является общим для процессов управления, управления рисками и контроля доступа. Это обеспечивает централизованное расположение, где вы можете управлять назначенными задачами и доступными объектами в приложении GRC. Мой дом поставляется с рядом разделов. Давайте теперь разберемся в разделе «Работа с входящими сообщениями» —

Работа Входящие

Используя Work Inbox, вы можете просматривать задачи, которые вы должны обрабатывать в программном обеспечении GRC.

Если вы хотите обработать задачу, нажмите на задачу в таблице.

Откроется окно рабочего процесса, в котором вы можете обработать задачу.

Основные данные

Рабочий центр по основным данным совместно используется для управления процессами, управления рисками и контроля доступа. Рабочий центр основных данных управления процессом содержит следующие разделы:

• организации
• Положения и правила
• Цели
• Деятельность и процессы
• Риски и ответы
• Счета
• Отчеты

Давайте теперь обсудим основные рабочие центры в рамках Master Data Work Center —

Организации — Поддержание организационной структуры компании для соответствия и управления рисками с соответствующими назначениями

Средства контроля за смягчением последствий — Поддерживайте средства контроля для смягчения разделения обязанностей, критических действий и нарушений доступа к критическим разрешениям.

Чтобы создать контроль смягчения, нажмите кнопку «Создать».

Вы будете перенаправлены в новое окно, введите данные для контроля смягчения и нажмите кнопку Сохранить.

Отчеты и аналитика

Рабочий центр отчетов и аналитики совместно используется Process Control, Risk management и Access Control. Рабочий центр отчетов о контроле процессов и аналитики состоит из раздела соответствия в приложении GRC.

В разделе соответствия вы можете создать следующие отчеты в разделе «Управление процессами» —

Панель оценки статуса

Показывает общую картину общего состояния корпоративного соответствия в разных бизнес-объектах и ​​предоставляет аналитические и аналитические возможности для просмотра данных на разных уровнях и в разных измерениях.

Результаты опроса

Отображает результаты опросов.

Техническая спецификация

Предоставляет исчерпывающую информацию об основных данных, оценках и действиях по исправлению для подпроцессов и элементов управления.

Следующие роли, которые используют функциональность таблицы данных —

• Внутренние аудиторы. Они могут использовать таблицы данных, чтобы получить представление об элементах управления и подпроцессах в организации в рамках GRC.

• Владельцы процессов. В приложении GRC владельцы процессов и владельцы элементов управления могут запрашивать таблицы данных, чтобы получить обзор своих подпроцессов. Информация в листе данных содержит определение подпроцесса, оценки, выполненные в подпроцессе, элементы управления, включенные в подпроцесс, а также оценки и тесты, выполненные для этих элементов управления.

• Владельцы элементов управления. Владельцы элементов управления могут использовать таблицы данных для проверки дизайна своих элементов управления. Владелец элемента управления может оценить элементы управления, чтобы проверить элементы управления и их эффективность.

• Внешние аудиторы. Таблицы могут использоваться внешними аудиторами; это может использоваться для запроса информации для исследования элементов управления или подпроцессов.

Внутренние аудиторы. Они могут использовать таблицы данных, чтобы получить представление об элементах управления и подпроцессах в организации в рамках GRC.

Владельцы процессов. В приложении GRC владельцы процессов и владельцы элементов управления могут запрашивать таблицы данных, чтобы получить обзор своих подпроцессов. Информация в листе данных содержит определение подпроцесса, оценки, выполненные в подпроцессе, элементы управления, включенные в подпроцесс, а также оценки и тесты, выполненные для этих элементов управления.

Владельцы элементов управления. Владельцы элементов управления могут использовать таблицы данных для проверки дизайна своих элементов управления. Владелец элемента управления может оценить элементы управления, чтобы проверить элементы управления и их эффективность.

Внешние аудиторы. Таблицы могут использоваться внешними аудиторами; это может использоваться для запроса информации для исследования элементов управления или подпроцессов.

Примечание. Другие рабочие центры, такие как управление доступом, оценки и настройка правил, также используются для управления процессами, контроля доступа и управления рисками.

В рабочем центре управления доступом к управлению процессами имеется раздел «Назначения ролей GRC».

SAP GRC — Управление рисками SoD

В каждом бизнесе необходимо осуществлять управление рисками разделения обязанностей (SoD) — от признания рисков до валидации построения правил и различных других действий по управлению рисками для обеспечения постоянного соответствия.

В соответствии с различными ролями, необходимо выполнить разделение обязанностей в системе GRC. SAP GRC определяет различные роли и обязанности в рамках SoD Risk Management —

Владельцы бизнес-процессов

Владельцы бизнес-процессов выполняют следующие задачи —

• Определить риски и утвердить риски для мониторинга
• Утвердить исправление, включающее доступ пользователей
• Разработка элементов управления для смягчения конфликтов
• Сообщите назначения доступа или изменения роли
• Выполнять проактивное непрерывное соответствие

Старшие офицеры

Старшие офицеры выполняют следующие задачи —

• Утвердить или отклонить риски между сферами деятельности
• Утвердить меры по смягчению последствий для выбранных рисков

Администраторы безопасности

Администраторы безопасности выполняют следующие задачи —

• Предполагаем владение инструментами GRC и процессом обеспечения безопасности.
• Разработка и поддержка правил для определения условий риска
• Настройка ролей GRC для обеспечения выполнения ролей и обязанностей
• Анализировать и устранять конфликты SoD на уровне ролей

Аудиторы

Аудиторы выполняют следующие задачи —

• Оценка риска на регулярной основе
• Предоставить конкретные требования для целей аудита
• Периодическое тестирование правил и мер по смягчению последствий
• Выступать в качестве связующего звена между внешними аудиторами

SoD Rule Keeper

SoD Rule Keeper выполняет следующие задачи —

• Конфигурация и администрирование GRC-инструмента
• Поддерживает контроль над правилами для обеспечения целостности
• Действует как база для связи и поддержки GRC

SAP GRC — Управление рисками

SAP Risk Management в GRC используется для управления скорректированным с учетом рисков управлением производительностью предприятия, что дает организации возможность оптимизировать эффективность, повышать эффективность и максимизировать прозрачность инициатив по управлению рисками.

Ниже перечислены ключевые функции в разделе «Управление рисками».

• Управление рисками делает упор на организационном согласовании с основными рисками, соответствующими порогами и снижением рисков.

• Анализ рисков включает в себя проведение качественного и количественного анализа.

• Управление рисками предполагает выявление ключевых рисков в организации.

• Управление рисками также включает стратегии устранения / устранения рисков.

• Управление рисками осуществляет согласование ключевых показателей риска и эффективности по всем бизнес-функциям, позволяя более раннее выявление рисков и динамическое снижение рисков.

Управление рисками делает упор на организационном согласовании с основными рисками, соответствующими порогами и снижением рисков.

Анализ рисков включает в себя проведение качественного и количественного анализа.

Управление рисками предполагает выявление ключевых рисков в организации.

Управление рисками также включает стратегии устранения / устранения рисков.

Управление рисками осуществляет согласование ключевых показателей риска и эффективности по всем бизнес-функциям, позволяя более раннее выявление рисков и динамическое снижение рисков.

Управление рисками также включает упреждающий мониторинг существующих бизнес-процессов и стратегий.

Этапы в управлении рисками

Давайте теперь обсудим различные этапы в управлении рисками. Ниже перечислены различные этапы управления рисками:

• Распознавание риска
• Построение и проверка правил
• Анализ
• Санация
• смягчение
• Непрерывное соответствие

Распознавание риска

В процессе признания риска под управлением рисками могут быть выполнены следующие шаги:

• Определите риски авторизации и утвердите исключения
• Уточнить и классифицировать риск как высокий, средний или низкий
• Определить новые риски и условия для мониторинга в будущем

Построение и проверка правил

Выполните следующие задачи в разделе Построение и проверка правил —

• Ссылка на лучшие практики для окружающей среды
• Утвердить правила
• Настройте правила и тестируйте
• Проверка на соответствие тестовым пользователям и ролям

Анализ

Выполните следующие задачи в разделе Анализ —

• Запустите аналитические отчеты
• Оцените усилия по очистке
• Анализировать роли и пользователей
• Изменить правила на основе анализа
• Установите оповещения, чтобы отличить исполненные риски

С точки зрения управления вы можете увидеть компактное представление о нарушениях риска, сгруппированных по серьезности и времени.

Шаг 1. Перейдите в Virsa Compliance Calibrator → вкладка «Информер».

Шаг 2 — Для нарушений SoD вы можете отобразить круговую диаграмму и гистограмму, чтобы представить текущие и прошлые нарушения в системном ландшафте.

Ниже приведены два разных взгляда на эти нарушения:

• Нарушения по уровню риска
• Нарушения по процессу

Санация

Выполните следующие задачи при исправлении —

• Определить альтернативы для устранения рисков
• Представить анализ и выбрать корректирующие действия
• Утверждение документа о корректирующих действиях
• Изменить или создать роли или назначения пользователей

смягчение

Выполните следующие задачи при смягчении —

• Определить альтернативные средства контроля для снижения риска
• Обучите руководство утверждению и мониторингу конфликтов
• Документировать процесс мониторинга мер по смягчению последствий
• Реализуйте элементы управления

Непрерывное соответствие

Выполните следующие задачи в разделе Непрерывное соответствие —

• Сообщать об изменениях в ролях и назначениях пользователей
• Имитация изменений в ролях и пользователях
• Реализация предупреждений для мониторинга выбранных рисков и смягчения контрольного тестирования

Классификация рисков

Риски должны быть классифицированы в соответствии с политикой компании. Ниже приведены различные классификации рисков, которые можно определить в соответствии с приоритетом риска и политикой компании.

критический

Критическая классификация проводится для рисков, которые содержат критические активы компании, которые могут быть скомпрометированы мошенничеством или сбоями в работе системы.

Высоко

Это включает в себя физические или денежные потери или сбои в масштабе всей системы, которые включают мошенничество, потерю любого актива или отказ системы.

Средняя

Это включает в себя многочисленные сбои системы, такие как перезапись основных данных в системе.

Низкий

Это включает риск, когда потери производительности или сбои системы, компрометируемые мошенничеством или сбоями системы, и потери минимальны.

SAP GRC — устранение рисков

В SAP GRC 10.0 «Управление рисками» этап устранения рисков определяет метод устранения рисков в ролях. Целью этапа исправления является определение альтернатив для устранения проблем, связанных с управлением рисками.

Для решения проблем в ролях рекомендуются следующие подходы:

Одиночные роли

• Вы можете начать с одной роли, так как это простой и простой способ начать.

• Вы можете проверить, не было ли повторного введения каких-либо нарушений SoD разделения обязанностей.

Вы можете начать с одной роли, так как это простой и простой способ начать.

Вы можете проверить, не было ли повторного введения каких-либо нарушений SoD разделения обязанностей.

Композитные роли

• Вы можете выполнить различный анализ, чтобы проверить назначение пользователя на назначение или удаление действий пользователя.

• Для анализа можно использовать представление «Управление» или отчеты «Анализ рисков», как упоминалось в предыдущем разделе.

Вы можете выполнить различный анализ, чтобы проверить назначение пользователя на назначение или удаление действий пользователя.

Для анализа можно использовать представление «Управление» или отчеты «Анализ рисков», как упоминалось в предыдущем разделе.

При устранении рисков администраторы безопасности должны документировать план, а владельцы бизнес-процессов должны участвовать и утверждать план.

SAP GRC — Тип отчета

Вы можете создавать различные отчеты по анализу рисков в соответствии с требуемым анализом —

• Уровень действия — Вы можете использовать его для выполнения анализа SoD на уровне действия.

• Уровень разрешений — это можно использовать для выполнения анализа SoD на уровнях действий и разрешений.

• Критические действия — это можно использовать для анализа пользователей, имеющих доступ к одной из критических функций.

• Критические разрешения — это можно использовать для анализа пользователей, имеющих доступ к одной критической функции.

• Критические роли / профили — это можно использовать для анализа пользователей, имеющих доступ к критическим ролям или профилям.

Уровень действия — Вы можете использовать его для выполнения анализа SoD на уровне действия.

Уровень разрешений — это можно использовать для выполнения анализа SoD на уровнях действий и разрешений.

Критические действия — это можно использовать для анализа пользователей, имеющих доступ к одной из критических функций.

Критические разрешения — это можно использовать для анализа пользователей, имеющих доступ к одной критической функции.

Критические роли / профили — это можно использовать для анализа пользователей, имеющих доступ к критическим ролям или профилям.

SAP GRC — Контроль смягчения

В SAP GRC 10.0 можно использовать средства управления смягчением, когда невозможно отделить SoD разделения обязанностей от бизнес-процесса.

пример

В организации рассмотрим сценарий, когда человек заботится о ролях в бизнес-процессах, которые вызывают конфликт пропущенных SoD.

Существуют различные примеры возможных мер по смягчению последствий —

• Стратегии выпуска и лимиты авторизации
• Просмотр пользовательских журналов
• Просмотр отчетов об исключениях
• Детальный анализ отклонений
• Установить страховку для покрытия последствий инцидента безопасности

Типы управления смягчением

В управлении рисками SAP GRC существует два типа управления смягчением последствий:

• превентивный
• детектив

Профилактические меры по смягчению последствий

Профилактический контроль смягчения используется для уменьшения воздействия риска до его фактического возникновения. Существуют различные действия, которые вы можете выполнять под профилактическим контролем —

• конфигурация
• Выход пользователя
• Безопасность
• Определение рабочего процесса
• Пользовательские объекты

Детективное управление смягчением

Детективный контроль смягчения используется, когда предупреждение получено и возникает риск. В этом случае лицо, ответственное за принятие корректирующих мер, снижает риск.

Существуют различные действия, которые вы можете выполнять под контролем детективной защиты —

• Отчеты о деятельности
• Сравнение плана с фактическим обзором
• Обзор бюджета
• Оповещения

Настройка миграционного контроля

Выполните следующие действия для настройки элементов управления миграцией.

Шаг 1 — Войдите в SAP GRC Контроль доступа.

Шаг 2 — Выполнить анализ рисков на уровне пользователя. Введите ниже детали —

• Тип отчета
• Формат отчета

Шаг 3 — Нажмите Выполнить

Шаг 4 — Вы можете переключаться между различными типами отчетов, как на следующем скриншоте —

Шаг 5 — Войдите в систему SAP GRC Access Control и запланируйте фоновое задание анализа риска на уровне роли.

Введите следующие данные —

• Тип отчета — уровень разрешений
• Формат отчета — сводка

Шаг 6 — Нажмите Run in Background, как показано на следующем скриншоте —

Шаг 7 — В следующем окне вы можете выбрать Начать немедленно . Затем нажмите ОК .

SAP GRC — Привилегия суперпользователя

В SAP GRC 10.0 в вашей организации должно быть реализовано управление привилегиями суперпользователя, чтобы исключить чрезмерные полномочия и риски, которые ваша компания испытывает при использовании текущего подхода к работе в чрезвычайных ситуациях.

Ниже перечислены ключевые функции привилегий суперпользователя:

• Вы можете разрешить Superuser выполнять экстренные действия в контролируемой и контролируемой среде.

• Используя Superuser, вы можете сообщать обо всех действиях пользователей, имеющих доступ к более высоким привилегиям авторизации.

• Вы можете создать контрольный журнал, который можно использовать для документирования причин использования более высоких прав доступа.

• Этот контрольный журнал может использоваться для соответствия SOX.

• Суперпользователь может выступать в роли пожарного и обладать следующими дополнительными возможностями:

  • Его можно использовать для выполнения задач вне их обычной роли или профиля в чрезвычайной ситуации.

  • Только определенные лица (владельцы) могут назначать идентификаторы пожарного.

  • Он предоставляет расширенные возможности пользователям при создании слоя аудита для мониторинга и записи использования.

Вы можете разрешить Superuser выполнять экстренные действия в контролируемой и контролируемой среде.

Используя Superuser, вы можете сообщать обо всех действиях пользователей, имеющих доступ к более высоким привилегиям авторизации.

Вы можете создать контрольный журнал, который можно использовать для документирования причин использования более высоких прав доступа.

Этот контрольный журнал может использоваться для соответствия SOX.

Суперпользователь может выступать в роли пожарного и обладать следующими дополнительными возможностями:

Его можно использовать для выполнения задач вне их обычной роли или профиля в чрезвычайной ситуации.

Только определенные лица (владельцы) могут назначать идентификаторы пожарного.

Он предоставляет расширенные возможности пользователям при создании слоя аудита для мониторинга и записи использования.

Стандартные роли в управлении привилегиями суперпользователя

Для управления привилегиями суперпользователя можно использовать следующие стандартные роли:

/ Вирса / Z_VFAT_ADMINISTRATOR

• Это имеет возможность настроить пожарный
• Назначение владельцев и контроллеров ролей Firefighter идентификаторам Firefighter
• Запустить отчеты

/ Вирса / Z_VFAT_ID_OWNER

• Назначение идентификаторов Firefighter пользователям Firefighter
• Загрузка, загрузка и просмотр журнала истории Firefighter

Вирса / Z_VFAT_FIREFIGHTER

• Доступ к программе пожарного

SAP GRC — Внедрение суперпользователя

Давайте теперь разберемся, как реализовать Superuser.

Вы можете реализовать идентификаторы пожарного, выполнив следующие действия:

Шаг 1 — Создание идентификаторов Firefighter для каждой области бизнес-процесса

Шаг 2 — Назначьте необходимые роли и профили для выполнения задач пожаротушения.

Вы не должны назначать профиль SAP_ALL

Шаг 3 — Используйте T-код — SU01

Шаг 4 — Нажмите кнопку « Создать» , чтобы создать нового пользователя.

Шаг 5 — Назначьте роли пожарного, как указано выше, идентификатору пользователя —

• Назначьте роли Firefighter соответствующим идентификаторам пользователей.

• Назначьте роль администратора / VIRSA / Z_VFAT_ADMINISTRATOR администратору управления привилегиями суперпользователя.

• Администратор пользователя не должен быть назначен какой-либо пожарной охраны

• Назначьте стандартную роль / VIRSA / Z_VFAT_FIREFIGHTER для —

  • Firefighter ID — пользователь службы, используемый для входа
  • Пользователь пожарного — стандартный пользователь, действующий как пожарный в случае

• Назначьте роль владельца идентификатора / VIRSA / Z_VFAT_ID_OWNER для —

  • Владелец — Ответственный за определение, кто будет назначен

  • Контроллер — получает уведомление, когда идентификатор пожарного является обязанностью экстренного идентификатора пожарного для его или ее используемой области бизнеса.

Назначьте роли Firefighter соответствующим идентификаторам пользователей.

Назначьте роль администратора / VIRSA / Z_VFAT_ADMINISTRATOR администратору управления привилегиями суперпользователя.

Администратор пользователя не должен быть назначен какой-либо пожарной охраны

Назначьте стандартную роль / VIRSA / Z_VFAT_FIREFIGHTER для —

Назначьте роль владельца идентификатора / VIRSA / Z_VFAT_ID_OWNER для —

Владелец — Ответственный за определение, кто будет назначен

Контроллер — получает уведомление, когда идентификатор пожарного является обязанностью экстренного идентификатора пожарного для его или ее используемой области бизнеса.

Шаг 6 — Перейдите на вкладку Роли и выберите упомянутые роли согласно требованию.

Шаг 7 — Создать RFC-адрес для внутреннего переключения на Firefighter ID —

• Имя — введите имя RFC-соединения.

• Тип подключения — 3

• Введите описание

  (Не требуется имя пользователя, пароли или другие данные для входа)

• Введите пароли для каждого идентификатора Firefighter в таблице «Безопасность»: пароли хранятся в виде значений хеш-функции и не могут быть прочитаны после сохранения значения администратором.

Имя — введите имя RFC-соединения.

Тип подключения — 3

Введите описание

(Не требуется имя пользователя, пароли или другие данные для входа)

Введите пароли для каждого идентификатора Firefighter в таблице «Безопасность»: пароли хранятся в виде значений хеш-функции и не могут быть прочитаны после сохранения значения администратором.

Шаг 8 — Чтобы создать журнал пожарного, вы можете запланировать фоновое задание.

Назовите работу / VIRSA / ZVFATBAK как на следующем скриншоте —

Superuser Log

Давайте разберемся в этих шагах для Superuser Log.

Шаг 1 — Использование T-кода — Транзакция — / n / VIRSA / ZVFAT_V01

Шаг 2 — Теперь вы можете найти журналы в области панели инструментов.

Шаг 3 — Вы можете использовать код транзакции — SM37, чтобы просмотреть журналы для отдельного пользователя.

Вы также можете использовать веб-интерфейс для доступа ко всей информации Firefighter. Перейдите в SAP GRC Контроль доступа → Управление привилегиями суперпользователя.

Таким образом, можно получить доступ к данным различных установок Firefighter в разных бэкэнд-системах SAP. И больше не нужно входить в каждую систему .

SAP GRC — расширенный анализ рисков

Вы можете реализовать расширенный анализ рисков, используя правила организации. В бизнес-единицах общего обслуживания вы можете использовать правила организации для выполнения процедур анализа рисков и управления группами пользователей.

Рассмотрим случай, когда пользователь создал фиктивного продавца, а счета были сгенерированы для получения финансовой выгоды.

Вы можете создать организационное правило с включенной балансовой единицей, чтобы исключить этот сценарий.

Следующие шаги должны быть выполнены, чтобы предотвратить эту ситуацию —

• Включить поля уровня организации в функциях
• Создать правила организации
• Обновление таблицы сопоставления пользователей org
• Настройка веб-службы анализа рисков

Включить поля уровня организации в функциях

Выполните следующие шаги, чтобы включить поля уровня организации в функциях —

• Узнайте, какие функции должны быть разделены по уровням организации в среде общих служб.

• Поддерживать разрешения для затронутых транзакций.

Узнайте, какие функции должны быть разделены по уровням организации в среде общих служб.

Поддерживать разрешения для затронутых транзакций.

Создать правила организации

Выполните следующие шаги для создания правил организации —

Шаг 1 — Создайте правила организации для каждого возможного значения поля организации.

Шаг 2 — Перейти к правилу архитектор → Уровень организации → Создать

Шаг 3 — Введите поле идентификатора организационного правила.

Шаг 4 — Введите связанную задачу.

Шаг 5 — Определите поле уровня организации и объедините их с логическими операторами.

Шаг 6 — Нажмите кнопку Сохранить , чтобы сохранить правило организации.

Преимущества использования правил организации

Давайте теперь поймем преимущества использования правил организации.

Вы можете использовать организационные правила для компаний для реализации следующих функций —

• Вы можете использовать правила организации для реализации общих служб. Они разделяют обязанности с помощью организационных ограничений.

• Перейти к анализу рисков → Уровень организации

• Выполнить анализ риска типа анализа Org Rule для пользователя

• Вы получите следующий вывод —

  • Анализ риска покажет риск только в том случае, если у пользователя есть доступ к одной и той же конкретной балансовой единице в каждой из конфликтующих функций.

Вы можете использовать правила организации для реализации общих служб. Они разделяют обязанности с помощью организационных ограничений.

Перейти к анализу рисков → Уровень организации

Выполнить анализ риска типа анализа Org Rule для пользователя

Вы получите следующий вывод —

Анализ риска покажет риск только в том случае, если у пользователя есть доступ к одной и той же конкретной балансовой единице в каждой из конфликтующих функций.

SAP GRC — Назначение элементов управления смягчением

В организации у вас есть владельцы элементов управления на разных уровнях иерархии организации. Риск должен управляться и уменьшаться в соответствии с уровнем доступа.

Ниже перечислены владельцы контроля в организации.

• Один владелец управления на глобальном уровне
• Различные владельцы контроля для региональных уровней
• Несколько владельцев управления на местном уровне

Вы должны назначить меры по смягчению последствий для разных уровней ответственности. Теперь, если есть нарушение риска на региональном и местном уровне, вы должны выполнить снижение риска на самом высоком уровне.

Чтобы использовать контроль смягчения в иерархии организации, допустим, что вы провели анализ рисков на уровне организации, и пользователь нарушает все дочерние правила организации и соответствует условию родительского правила, и отображается только родительское правило; Вы можете выполнить снижение риска следующими способами —

• Смягчение на уровне пользователя
• Смягчение на уровне организации

SAP GRC — интеграция рабочего процесса

В SAO GRC 10.0 рабочий процесс запускается в следующих ситуациях:

• Создавать или обновлять риски.
• Создать или обновить средства управления смягчением.
• Чтобы назначить меры по смягчению последствий.

Активировать управление рисками и контроль работоспособности

Следуя подходу управления изменениями на основе рабочего процесса в анализе и устранении рисков, вы должны выполнить следующие шаги:

• Перейдите на вкладку Конфигурация → параметры рабочего процесса
• Установите следующие параметры —
• Установите для параметра Risk Maintenance значение YES
• Установите для параметра Mitigation Control Maintenance значение YES
• Установите для параметра Mitigation значение YES
• Настройте URL-адрес веб-службы рабочего процесса —

http://<server>:<port>/AEWFRequestSubmissionService_5_2/Config1?wsdl&style=document

• Настройка рабочих процессов должна выполняться внутри Workflow Engine.

Управление рисками и контролем на основе рабочего процесса

Когда вы поддерживаете риск или элемент управления в SAP GRC, вы выполняете следующие шаги:

Шаг 1 — В контроле доступа запускается рабочий процесс для выполнения рискованного или управляющего рабочего процесса.

Шаг 2 — Когда вы получите необходимые одобрения, шаги одобрения зависят от требований клиента.

Шаг 3 — Получите контрольный журнал, документирующий полный процесс утверждения.

SAP GRC — Услуги глобальной торговли

Используя SAP GRC Global Trade Services, вы можете улучшить трансграничную цепочку поставок товаров в организации. Это приложение позволяет вам автоматизировать торговые процессы и помогает контролировать расходы и снижать риск штрафов, а также управлять входящими и исходящими процессами.

Используя GTS, вы можете создать централизованный единый репозиторий, который будет содержать все основные данные и контент соответствия.

Ниже перечислены основные преимущества использования услуг Global Trade.

• Это помогает в снижении затрат и усилий по управлению соответствием для глобальной торговли.

• Это может облегчить трудоемкие ручные задачи и помогает повысить производительность.

• Уменьшает штрафы за нарушения торгового соответствия.

• Это поможет вам создать и улучшить бренд и имидж, а также избежать торговли с санкционированными или запрещенными сторонами.

• Проложить путь к удовлетворенности клиентов и улучшить качество обслуживания.

• Он ускоряет входящие и исходящие процессы, выполняя таможенное оформление, а также помогает устранить ненужные задержки.

Это помогает в снижении затрат и усилий по управлению соответствием для глобальной торговли.

Это может облегчить трудоемкие ручные задачи и помогает повысить производительность.

Уменьшает штрафы за нарушения торгового соответствия.

Это поможет вам создать и улучшить бренд и имидж, а также избежать торговли с санкционированными или запрещенными сторонами.

Проложить путь к удовлетворенности клиентов и улучшить качество обслуживания.

Он ускоряет входящие и исходящие процессы, выполняя таможенное оформление, а также помогает устранить ненужные задержки.

Интеграция между SAP ERP и SAP Global Trade Services

На следующем рисунке показан процесс интеграции между SAP ERP и SAP Global Trade Services.

SAP GRC — Установка и настройка

При установке SAP GRC в GRC необходимо выполнить различные настройки и настройки. Основные мероприятия включают в себя —

• Создание коннекторов в GRC

• Настройка AMF для использования разъемов

• Создание соединителей обратного вызова

• Создание соединений в GRC — это стандартный процесс создания соединения RFC с использованием T-кода — SM59

Создание коннекторов в GRC

Настройка AMF для использования разъемов

Создание соединителей обратного вызова

Создание соединений в GRC — это стандартный процесс создания соединения RFC с использованием T-кода — SM59

SAP GRC доступен в SAP Easy Access → в папке Соответствие риску управления.

Шаг 1 — Откройте меню SAP Easy Access и используйте T-Code — SPRO

Шаг 2 — Перейдите к разделу Управление, риск и соответствие в SAP Reference IMG → Общие параметры компонентов → Интеграционная среда → Создать соединители

Шаг 3 — Создание соединителя — это ярлык для создания соединения SM59.

Шаг 4 — Чтобы увидеть существующие подключения, перейдите в раздел «Обслуживание разъемов и типы подключения» —

Вы можете увидеть типы разъемов, как показано ниже. Эти типы разъемов могут использоваться для конфигурации для различных целей —

• Коннекторы локальной системы используются для интеграции с приложением SAP BusinessObjects Access Control для мониторинга разделения обязанностей

• Соединители веб-служб используются для внешних источников данных партнеров (см. Раздел).

• Системные соединители SAP используются во всех остальных случаях.

Коннекторы локальной системы используются для интеграции с приложением SAP BusinessObjects Access Control для мониторинга разделения обязанностей

Соединители веб-служб используются для внешних источников данных партнеров (см. Раздел).

Системные соединители SAP используются во всех остальных случаях.

Шаг 5 — Перейдите на вкладку Определение типа соединения —

Шаг 6 — Определите, какие из разъемов, ранее определенных в SM59, можно использовать для мониторинга. Перейти к определению соединителей

Шаг 7 — На экране вы видите название разъема — SMEA5_100. Это разъем, который показывает разъем для системы ECC.

Третий столбец, в котором указано имя соединителя, определенного в отслеживаемой системе и настроенного так, чтобы указывать на систему GRC, настраиваемую здесь.

SMEA5_100 — это еще один разъем в системе GRC, который указывает на систему ERP, которая должна контролироваться. SM2 является разъемом в системе ECC и указывает на систему GRC.

Шаг 8 — Определите экран группы соединителей с левой стороны.

Шаг 9 — Здесь вы должны убедиться, что все конфигурации соединителей для автоматического мониторинга должны принадлежать группе конфигураций, называемой Автоматизированный мониторинг, как показано выше в разделе « Определить группу соединителей автоматического мониторинга» .

Шаг 10 — Перейдите к назначению разъемов для группы разъемов на левой стороне.

Шаг 11 — Назначьте разъем для группы разъемов AM, как указано на скриншоте выше.

Шаг 12 — Перейдите в раздел «Сохранить настройки подключения» в главном меню, как показано на следующем снимке экрана.

Шаг 13 — Вам нужно ввести желаемый сценарий интеграции, ввести AM, как на следующем скриншоте —

Шаг 14 — Нажмите на зеленую галочку, как показано на скриншоте выше; Вы будете перенаправлены на следующий экран с девятью дополнительными сценариями.

Выделенное поле отображает девять записей, называемых суб-сценариями, и они представляют различные типы источников данных и бизнес-правил, поддерживаемых в Process Control 10.

Шаг 15 — Для отслеживания системы вам необходимо связать соответствующий соединитель с этим суб-сценарием.

Шаг 16 — Выберите под-сценарий, который вы хотите настроить, и затем выберите Scenario Connector Link в левой части, как показано ниже —

Шаг 17 — Вы будете перенаправлены на следующий экран —

Шаг 18. Теперь соединитель, который вы хотите использовать для этого сценария, отсутствует в списке для этого дополнительного сценария.

• Вы можете нажать на кнопку «Новые записи» в верхней части страницы, чтобы добавить ее.
• Вы можете следовать этим рекомендациям, чтобы добавить подценарии —
  • Приложения ABAP — отчет ABAP, запрос SAP, настраиваемая программа
  • SAP BW — запрос BW
  • Система не SAP — внешний партнер
  • Интегратор процессов — PI
  • GRC System — интеграция SoD

SAP GRC — источники данных и бизнес-правила

В SAP GRC Process Control вы можете создавать источники данных. Здесь пользовательские интерфейсы времени разработки находятся под опцией настройки правил в бизнес-клиенте.

Перейдите в раздел непрерывного мониторинга, где вы можете найти источник данных и бизнес-правила .

Чтобы создать новый источник данных, нажмите «Источники данных» → «Создать».

В следующем поле вы можете увидеть три разных вкладки для определения источника данных.

• Вкладка «Общие»
• Поле объекта
• Ссылка и вложение

На вкладке Общие введите следующие данные —

• Наименование источника данных
• Дата начала срока действия
• Дата окончания срока действия
• Статус

Перейдите на вкладку « Поле объекта », выберите следующие поля —

SAP GRC — Создание бизнес-правил

В SAP GRC 10.0 вы можете использовать бизнес-правила для фильтрации потока данных, поступающего из источников данных, и вы можете применить настроенные пользователем условия / вычисления к этим данным, чтобы определить, есть ли проблема, требующая внимания.

Тип бизнес-правила полностью зависит от типа источника данных.

Перейдите в Бизнес-правила в разделе «Настройка правил».

Для создания новых бизнес-правил есть список шагов, которые необходимо выполнить с несколькими типами источников данных.

Вам необходимо определить детали в каждой вкладке. Например, на вкладке « Общие » необходимо ввести основную информацию о бизнес-правиле. Бизнес-правило дает вам данные для фильтрации недостатков .

На вкладке Данные для анализа вы увидите список доступных полей.

Перейдите к критерию фильтра, чтобы передать условие фильтрации для доступных объектов. Вы можете выбрать из разных операторов.

Когда вы определите все шаги, у вас есть возможность сохранить правило. Если вы хотите применить правило к управлению процессами, вы можете сделать это, нажав кнопку Применить .

Чтобы назначить бизнес-правило элементу управления процессом, перейдите к назначению бизнес-правила в разделе Непрерывный мониторинг в настройке правила.

Выберите элемент управления и найдите бизнес-правило для применения.

Теперь мы поняли, как создавать источники данных и бизнес-правила для применения фильтра к источникам данных и как назначать бизнес-правила для элементов управления процессом.