![Page 1: WS C2: Leistungs- und Verhaltenskontrolle mit SAP auf die ...sap-im-betrieblichen-spannungsfeld.de/wp-content/uploads/2014/03/… · 4.2.1.9.1 Security Audit Log • Aus Datenschutzsicht](https://reader033.vdokument.com/reader033/viewer/2022042209/5eacd16552bbef08a608dd6e/html5/thumbnails/1.jpg)
WS C2:
Leistungs- und Verhaltenskontrolle mit
SAP auf die Spur kommen
Referenten: Katharina Just-Hahn (TBS NRW),Reinhard Bechmann (TBS Berlin-Brandenburg)
![Page 2: WS C2: Leistungs- und Verhaltenskontrolle mit SAP auf die ...sap-im-betrieblichen-spannungsfeld.de/wp-content/uploads/2014/03/… · 4.2.1.9.1 Security Audit Log • Aus Datenschutzsicht](https://reader033.vdokument.com/reader033/viewer/2022042209/5eacd16552bbef08a608dd6e/html5/thumbnails/2.jpg)
Leistung und Verhalten
Messen erlaubt?!
![Page 3: WS C2: Leistungs- und Verhaltenskontrolle mit SAP auf die ...sap-im-betrieblichen-spannungsfeld.de/wp-content/uploads/2014/03/… · 4.2.1.9.1 Security Audit Log • Aus Datenschutzsicht](https://reader033.vdokument.com/reader033/viewer/2022042209/5eacd16552bbef08a608dd6e/html5/thumbnails/3.jpg)
Folie: 3
Fragen die wir behandeln werden:
• Leistung- und Verhaltenskontrolle wird/soll mit SAP durchgeführt werden!
• Unzulässige Leistung- und Verhaltenskontrolle findet
statt und mittels SAP soll das aufgedeckt werden!
• Wie kann unzulässige Leistung- und Verhaltenskontrolle mittels SAP verhindert werden?
![Page 4: WS C2: Leistungs- und Verhaltenskontrolle mit SAP auf die ...sap-im-betrieblichen-spannungsfeld.de/wp-content/uploads/2014/03/… · 4.2.1.9.1 Security Audit Log • Aus Datenschutzsicht](https://reader033.vdokument.com/reader033/viewer/2022042209/5eacd16552bbef08a608dd6e/html5/thumbnails/4.jpg)
1. Leistung- und Verhaltenskontrolle
wird/soll mit SAP durchgeführt werden!
![Page 5: WS C2: Leistungs- und Verhaltenskontrolle mit SAP auf die ...sap-im-betrieblichen-spannungsfeld.de/wp-content/uploads/2014/03/… · 4.2.1.9.1 Security Audit Log • Aus Datenschutzsicht](https://reader033.vdokument.com/reader033/viewer/2022042209/5eacd16552bbef08a608dd6e/html5/thumbnails/5.jpg)
Folie: 5
Zeitdaten werden vielerorts erfasst
![Page 6: WS C2: Leistungs- und Verhaltenskontrolle mit SAP auf die ...sap-im-betrieblichen-spannungsfeld.de/wp-content/uploads/2014/03/… · 4.2.1.9.1 Security Audit Log • Aus Datenschutzsicht](https://reader033.vdokument.com/reader033/viewer/2022042209/5eacd16552bbef08a608dd6e/html5/thumbnails/6.jpg)
Folie: 6
Die Beurteilung kann viele Themen betrachten
![Page 7: WS C2: Leistungs- und Verhaltenskontrolle mit SAP auf die ...sap-im-betrieblichen-spannungsfeld.de/wp-content/uploads/2014/03/… · 4.2.1.9.1 Security Audit Log • Aus Datenschutzsicht](https://reader033.vdokument.com/reader033/viewer/2022042209/5eacd16552bbef08a608dd6e/html5/thumbnails/7.jpg)
Folie: 7
Welche Verkäufe hat Kollege Lambrecht?
![Page 8: WS C2: Leistungs- und Verhaltenskontrolle mit SAP auf die ...sap-im-betrieblichen-spannungsfeld.de/wp-content/uploads/2014/03/… · 4.2.1.9.1 Security Audit Log • Aus Datenschutzsicht](https://reader033.vdokument.com/reader033/viewer/2022042209/5eacd16552bbef08a608dd6e/html5/thumbnails/8.jpg)
Folie: 8
Laut Hitliste ist Kollege Lambrecht Spitze!
![Page 9: WS C2: Leistungs- und Verhaltenskontrolle mit SAP auf die ...sap-im-betrieblichen-spannungsfeld.de/wp-content/uploads/2014/03/… · 4.2.1.9.1 Security Audit Log • Aus Datenschutzsicht](https://reader033.vdokument.com/reader033/viewer/2022042209/5eacd16552bbef08a608dd6e/html5/thumbnails/9.jpg)
Folie: 9
•
•gkffffffff
•
Instandhaltung mit SAP PM
![Page 10: WS C2: Leistungs- und Verhaltenskontrolle mit SAP auf die ...sap-im-betrieblichen-spannungsfeld.de/wp-content/uploads/2014/03/… · 4.2.1.9.1 Security Audit Log • Aus Datenschutzsicht](https://reader033.vdokument.com/reader033/viewer/2022042209/5eacd16552bbef08a608dd6e/html5/thumbnails/10.jpg)
Folie: 10
Workflow lässt nichts unbemerkt …
4:
3:
1:
2:
8: Kapazitätprüfen
11: Lieferterminbestimmen
9: Komponentenermitteln
5: Bestands-prüfung d. Teile
6:
7:
10:
12:
13:
14:
![Page 11: WS C2: Leistungs- und Verhaltenskontrolle mit SAP auf die ...sap-im-betrieblichen-spannungsfeld.de/wp-content/uploads/2014/03/… · 4.2.1.9.1 Security Audit Log • Aus Datenschutzsicht](https://reader033.vdokument.com/reader033/viewer/2022042209/5eacd16552bbef08a608dd6e/html5/thumbnails/11.jpg)
2. Leistung- und Verhaltenskontrolle
findet unzulässig statt und mittels SAP soll das aufgedeckt werden!
![Page 12: WS C2: Leistungs- und Verhaltenskontrolle mit SAP auf die ...sap-im-betrieblichen-spannungsfeld.de/wp-content/uploads/2014/03/… · 4.2.1.9.1 Security Audit Log • Aus Datenschutzsicht](https://reader033.vdokument.com/reader033/viewer/2022042209/5eacd16552bbef08a608dd6e/html5/thumbnails/12.jpg)
Folie: 12
Daten verlassen das System …
![Page 13: WS C2: Leistungs- und Verhaltenskontrolle mit SAP auf die ...sap-im-betrieblichen-spannungsfeld.de/wp-content/uploads/2014/03/… · 4.2.1.9.1 Security Audit Log • Aus Datenschutzsicht](https://reader033.vdokument.com/reader033/viewer/2022042209/5eacd16552bbef08a608dd6e/html5/thumbnails/13.jpg)
Folie: 13
Wer hat die unzulässige Transaktion benutzt?
![Page 14: WS C2: Leistungs- und Verhaltenskontrolle mit SAP auf die ...sap-im-betrieblichen-spannungsfeld.de/wp-content/uploads/2014/03/… · 4.2.1.9.1 Security Audit Log • Aus Datenschutzsicht](https://reader033.vdokument.com/reader033/viewer/2022042209/5eacd16552bbef08a608dd6e/html5/thumbnails/14.jpg)
Folie: 14
„Gefahrenpotential“ und „Informanten“
Es wurde eine Auswertung erstellt, die wir nicht zugelassen haben!
• Ad-hoc Query
• ABAP Query
• Exportiert
• Auswertung (Standard)
![Page 15: WS C2: Leistungs- und Verhaltenskontrolle mit SAP auf die ...sap-im-betrieblichen-spannungsfeld.de/wp-content/uploads/2014/03/… · 4.2.1.9.1 Security Audit Log • Aus Datenschutzsicht](https://reader033.vdokument.com/reader033/viewer/2022042209/5eacd16552bbef08a608dd6e/html5/thumbnails/15.jpg)
Folie: 15
Wer macht was wann?
4.2.1.9.1 Security Audit Log
• Aus Datenschutzsicht ist zu empfehlen, Benutzer mit weitreichenden, kritischen Berechtigungen einer Pro tokollierung mit dem Security Audit Log zu unterwerfen. Da einger ichtete Notfall-User mit umfassenden Berechtigungen ausgest attet sind, ist es den rechtlichen Anforderungen entsprechend erfor derlich, einen Nachweis der ausgeführten Aktivitäten zu erbringen.
• Über die Transaktion SM19 kann instanzen-, mandante n- und benutzerbezogen festgelegt werden, welche Ereigniss e protokolliert werden sollen. Auch die Protokollierung von Downloa ds kann vorgenommen werden.
(Datenschutzleitfaden S.94f)
![Page 16: WS C2: Leistungs- und Verhaltenskontrolle mit SAP auf die ...sap-im-betrieblichen-spannungsfeld.de/wp-content/uploads/2014/03/… · 4.2.1.9.1 Security Audit Log • Aus Datenschutzsicht](https://reader033.vdokument.com/reader033/viewer/2022042209/5eacd16552bbef08a608dd6e/html5/thumbnails/16.jpg)
Folie: 16
In der Tabelle V_T599Rwerden die Reports angegeben welchebeobachtet werden sollen.
Die Reports "An-/Abwesenheiten" (rptabs20) und "flexible Mitarbeiterdaten"sollen in das Protokoll aufgenommen werden.
Protokolle nach Bedarf:
![Page 17: WS C2: Leistungs- und Verhaltenskontrolle mit SAP auf die ...sap-im-betrieblichen-spannungsfeld.de/wp-content/uploads/2014/03/… · 4.2.1.9.1 Security Audit Log • Aus Datenschutzsicht](https://reader033.vdokument.com/reader033/viewer/2022042209/5eacd16552bbef08a608dd6e/html5/thumbnails/17.jpg)
Folie: 17
Nach dem Start werden alle Aufrufe derbeobachteten Reports angezeigt, dann kanngezielt einer eingesehen werden.
Es ist möglich einen ABAP zur besserenLesbarkeit zu erstellen, max. 3 AT Kosten.
Als Berechtigung für den BR habe ich AIS (SECR) verhandelt.
Wer hat den Report gestartet?
![Page 18: WS C2: Leistungs- und Verhaltenskontrolle mit SAP auf die ...sap-im-betrieblichen-spannungsfeld.de/wp-content/uploads/2014/03/… · 4.2.1.9.1 Security Audit Log • Aus Datenschutzsicht](https://reader033.vdokument.com/reader033/viewer/2022042209/5eacd16552bbef08a608dd6e/html5/thumbnails/18.jpg)
Folie: 18
Im Protokoll ist zu finden ....Vor allem der Inhalt und der Termin des Aufrufs.
Dieser Weg funktioniert nicht sonderlich.
Dieser ist mehrere Seiten lang. Siehe auch den beigefügten *.rtf-File
![Page 19: WS C2: Leistungs- und Verhaltenskontrolle mit SAP auf die ...sap-im-betrieblichen-spannungsfeld.de/wp-content/uploads/2014/03/… · 4.2.1.9.1 Security Audit Log • Aus Datenschutzsicht](https://reader033.vdokument.com/reader033/viewer/2022042209/5eacd16552bbef08a608dd6e/html5/thumbnails/19.jpg)
3. Wie kann unzulässige Leistung- und Verhaltenskontrolle mittels SAP verhindert werden?
![Page 20: WS C2: Leistungs- und Verhaltenskontrolle mit SAP auf die ...sap-im-betrieblichen-spannungsfeld.de/wp-content/uploads/2014/03/… · 4.2.1.9.1 Security Audit Log • Aus Datenschutzsicht](https://reader033.vdokument.com/reader033/viewer/2022042209/5eacd16552bbef08a608dd6e/html5/thumbnails/20.jpg)
Folie: 20
Datenschutzhürden
![Page 21: WS C2: Leistungs- und Verhaltenskontrolle mit SAP auf die ...sap-im-betrieblichen-spannungsfeld.de/wp-content/uploads/2014/03/… · 4.2.1.9.1 Security Audit Log • Aus Datenschutzsicht](https://reader033.vdokument.com/reader033/viewer/2022042209/5eacd16552bbef08a608dd6e/html5/thumbnails/21.jpg)
Folie: 21
Das Berechtigungskonzept
![Page 22: WS C2: Leistungs- und Verhaltenskontrolle mit SAP auf die ...sap-im-betrieblichen-spannungsfeld.de/wp-content/uploads/2014/03/… · 4.2.1.9.1 Security Audit Log • Aus Datenschutzsicht](https://reader033.vdokument.com/reader033/viewer/2022042209/5eacd16552bbef08a608dd6e/html5/thumbnails/22.jpg)
Folie: 22
Wenn die Basis schon veränderbar ist …
![Page 23: WS C2: Leistungs- und Verhaltenskontrolle mit SAP auf die ...sap-im-betrieblichen-spannungsfeld.de/wp-content/uploads/2014/03/… · 4.2.1.9.1 Security Audit Log • Aus Datenschutzsicht](https://reader033.vdokument.com/reader033/viewer/2022042209/5eacd16552bbef08a608dd6e/html5/thumbnails/23.jpg)
Folie: 23
Freigabe mit getrennten R/3-Systemen
Produktion
Rechenzentrum
Betrieb
Nutzung
Produktions-system
System-entwicklung
Auftrag
Systementwicklung
Programmierung
Testsystem
Freigabe
FreigabePrüfung (bDSB,
Revision,Auftraggeber)
Qualitätssicherung
Konsolidierungs-system
![Page 24: WS C2: Leistungs- und Verhaltenskontrolle mit SAP auf die ...sap-im-betrieblichen-spannungsfeld.de/wp-content/uploads/2014/03/… · 4.2.1.9.1 Security Audit Log • Aus Datenschutzsicht](https://reader033.vdokument.com/reader033/viewer/2022042209/5eacd16552bbef08a608dd6e/html5/thumbnails/24.jpg)
Folie: 24
Auswertungen Arbeitszeit
![Page 25: WS C2: Leistungs- und Verhaltenskontrolle mit SAP auf die ...sap-im-betrieblichen-spannungsfeld.de/wp-content/uploads/2014/03/… · 4.2.1.9.1 Security Audit Log • Aus Datenschutzsicht](https://reader033.vdokument.com/reader033/viewer/2022042209/5eacd16552bbef08a608dd6e/html5/thumbnails/25.jpg)
Folie: 25
Zweckschärfung in den Anlagen 1
1.Version
Endgültige Version
![Page 26: WS C2: Leistungs- und Verhaltenskontrolle mit SAP auf die ...sap-im-betrieblichen-spannungsfeld.de/wp-content/uploads/2014/03/… · 4.2.1.9.1 Security Audit Log • Aus Datenschutzsicht](https://reader033.vdokument.com/reader033/viewer/2022042209/5eacd16552bbef08a608dd6e/html5/thumbnails/26.jpg)
Folie: 26
Zweckschärfung in den Anlagen 2
1.Version
Endgültige Version
![Page 27: WS C2: Leistungs- und Verhaltenskontrolle mit SAP auf die ...sap-im-betrieblichen-spannungsfeld.de/wp-content/uploads/2014/03/… · 4.2.1.9.1 Security Audit Log • Aus Datenschutzsicht](https://reader033.vdokument.com/reader033/viewer/2022042209/5eacd16552bbef08a608dd6e/html5/thumbnails/27.jpg)
Folie: 27
Welche Daten MÜSSEN exportiert werden?
![Page 28: WS C2: Leistungs- und Verhaltenskontrolle mit SAP auf die ...sap-im-betrieblichen-spannungsfeld.de/wp-content/uploads/2014/03/… · 4.2.1.9.1 Security Audit Log • Aus Datenschutzsicht](https://reader033.vdokument.com/reader033/viewer/2022042209/5eacd16552bbef08a608dd6e/html5/thumbnails/28.jpg)
Folie: 28
Hierarchie der Zweckbeschreibung
• Daten
• Nutzung
• Auswertung
• Download/Export
• Gilt auch für die Verwendung der Daten im Business Warehouse/BI
![Page 29: WS C2: Leistungs- und Verhaltenskontrolle mit SAP auf die ...sap-im-betrieblichen-spannungsfeld.de/wp-content/uploads/2014/03/… · 4.2.1.9.1 Security Audit Log • Aus Datenschutzsicht](https://reader033.vdokument.com/reader033/viewer/2022042209/5eacd16552bbef08a608dd6e/html5/thumbnails/29.jpg)
Folie: 29
Anforderungen an das Berechtigungskonzept
• Arbeitsplatzbezogener Aufbau
• Minimale Berechtigungen
• Verfahren zur Administration
• 4-Augenprinzip
• Umgang mit SAP Standard Profilen/Benutzern
• Zeitliche Begrenzung privilegierter Benutzer
• Verantwortlichkeit der Fachabteilungen
• Festlegung der Verantwortlichen
(Quelle: Datenschutzleitfaden)
![Page 30: WS C2: Leistungs- und Verhaltenskontrolle mit SAP auf die ...sap-im-betrieblichen-spannungsfeld.de/wp-content/uploads/2014/03/… · 4.2.1.9.1 Security Audit Log • Aus Datenschutzsicht](https://reader033.vdokument.com/reader033/viewer/2022042209/5eacd16552bbef08a608dd6e/html5/thumbnails/30.jpg)
Folie: 30
Prüfbarkeit sicherstellen!
• Keine SAP Standardprofile/-rollen enthalten, insbesondere nicht SAP_ALL, S_A.SYSTEM
• verständliche Namenskonzepte haben
• Geregelte, reduzierte Basisberechtigungen
• Protokollierung besonders kritischer Berechtigungen/privilegierter Benutzer
• Regelungen zu Download, XXL-Listviewer
• Ggf. Downloadprotokollierung mit Security log
• Beschränkung freier Programmierung u.a. mit Query und Ad-hoc Query
• Notfallregelungen vorsehen(Quelle: Datenschutzleitfaden)
![Page 31: WS C2: Leistungs- und Verhaltenskontrolle mit SAP auf die ...sap-im-betrieblichen-spannungsfeld.de/wp-content/uploads/2014/03/… · 4.2.1.9.1 Security Audit Log • Aus Datenschutzsicht](https://reader033.vdokument.com/reader033/viewer/2022042209/5eacd16552bbef08a608dd6e/html5/thumbnails/31.jpg)
Folie: 31
Komplettlösung für die Probleme der Welt?
Bei Standardanwendungen - wie SAP - hängen viele Anforderungen von dem Berechtigungskonzept ab, insbesondere:
• Zur Leistungs- und Verhaltenskontrolle
• Zum Datenschutz
• Zur Arbeitsgestaltung
• Zur Arbeitsorganisation
![Page 32: WS C2: Leistungs- und Verhaltenskontrolle mit SAP auf die ...sap-im-betrieblichen-spannungsfeld.de/wp-content/uploads/2014/03/… · 4.2.1.9.1 Security Audit Log • Aus Datenschutzsicht](https://reader033.vdokument.com/reader033/viewer/2022042209/5eacd16552bbef08a608dd6e/html5/thumbnails/32.jpg)
Folie: 32
Gewusst wie!Wenn die Segel getrimmt sind,
kann der Wind ruhig schärfer werden.
Vielen Dank für die Aufmerksamkeit!