Das Agrarunternehmen U.S. Sugar mit Sitz in Clewiston, Florida, produziert und verarbeitet Zuckerrohr, Zitrusfr\u00fcchte und Zuckermais f\u00fcr bekannte US-Marken. Im Rahmen der SAP S\/4HANA-Migration suchte es f\u00fcr seine rund 2.500 Mitarbeiterinnen und Mitarbeiter eine L\u00f6sung zur Pr\u00fcfung von SoD-Konflikten. Wir berichteten vor einigen Monaten dar\u00fcber und m\u00f6chten Ihnen mit der folgenden Case Study einen umfassenden Einblick in das Kundenprojekt geben.<\/p>\n\n\n\n
Wie viele andere Unternehmen setzt das Agrarunternehmen bei seinen Business-Applikationen zunehmend auf einen Mix aus On-Premise- und Cloud. Doch mit der wachsenden Verbreitung vernetzter Anwendungen, sei es im Beschaffungswesen, in der Buchhaltung oder im CRM, nehmen auch die Sicherheitsrisiken zu. Dies gilt insbesondere f\u00fcr Segregation-of-Duties-Konflikte (SoD). Um aktuellen und zuk\u00fcnftigen SoD-Risiken zu begegnen, ist eine anwendungs\u00fcbergreifende Sicht auf das Zugriffsmanagement notwendig, die neben der \u00dcberwachung und Absicherung von On-Premise-Applikationen auch Cloud-Anwendungen umfasst.<\/p>\n\n\n\n
Matthew Miller, Senior Director of IT Business Solutions & Benefits bei U.S. Sugar, nahm die anstehende S\/4HANA-Migration zum Anlass, fr\u00fchzeitig Ma\u00dfnahmen zu ergreifen, um die historisch gewachsenen und durch hybride Systemlandschaften noch verst\u00e4rkten SoD-Risiken nicht einfach mit zu \u00fcbernehmen. Auf der Suche nach einer L\u00f6sung zur \u00dcberwachung der Compliance, zur L\u00f6sung von SoD-Konflikten und zur Dokumentation der Kontrollen hat das Unternehmen eine Vielzahl von L\u00f6sungen verglichen, bevor es eine Entscheidung traf.<\/p>\n\n\n\n
Dass die Wahl von U.S. Sugar schlie\u00dflich auf die Software-Suite von Pathlock<\/a> fiel, lag nicht zuletzt an ihren bereits vordefinierten, anpassbaren und dynamischen SoD-Regelwerken<\/a> f\u00fcr die wichtigsten Gesch\u00e4ftsanwendungen. Ziel von U.S. Sugar war die Anpassung dieser Regelwerke an die spezifischen Anforderungen des Unternehmens und die Implementierung eines effektiven Warnsystems. Das System sollte in der Lage sein, die User-Rechte wirksam durchzusetzen und entweder die erforderlichen Korrekturen vorzunehmen oder Kontrollmechanismen zu enthalten, die eine rasche Reaktion auf Verst\u00f6\u00dfe erm\u00f6glichen.<\/p>\n\n\n\n Die IT-Verantwortlichen von U.S. Sugar verglichen zun\u00e4chst die eigenen SoD-Konflikte der letzten Jahre mit den Risikoklassifizierungen der vordefinierten Pathlock-Regelwerke. Die Ergebnisse wurden anschlie\u00dfend hinsichtlich ihrer Relevanz f\u00fcr das Finanz- und Rechnungswesen des Unternehmens analysiert: Unternehmensspezifische Risikoklassifizierungen wurden angepasst, kritische Berechtigungen entfernt oder herabgesetzt, andere hinzugef\u00fcgt oder erh\u00f6ht.<\/p>\n\n\n\n Abschlie\u00dfend wurden alle identifizierten Konflikte mit einer hohen Kritikalit\u00e4t einer Einzelpr\u00fcfung unterzogen und entweder ausgleichende Kontrollen in das System integriert oder die problematischen Benutzerrechte komplett aus den Rollen entfernt. Entscheidend war dabei, dass mit Hilfe der angepassten Pathlock-Regelwerke und deren Prozessautomatisierung nicht nur der neu erreichte Status quo erhalten bleibt, sondern zuk\u00fcnftig bereits vor der Vergabe neuer Berechtigungen potenzielle SoD-Risiken erkannt werden.<\/p>\n\n\n\n Wichtig f\u00fcr U.S. Sugar war, dass das gew\u00e4hlte Tool nicht nur den betrieblichen und gesetzlichen Anforderungen entspricht, sondern auch benutzerfreundlich ist. So zeigt die Software bereits bei der Beantragung eines neuen Zugangs, zum Zeitpunkt der Vergabe und auch w\u00e4hrend der Pr\u00fcfzyklen m\u00f6gliche SoD-Risiken auf. U.S. Sugar kann nun SoD-Verst\u00f6\u00dfe fr\u00fchzeitig erkennen und in F\u00e4llen, in denen eine unmittelbare Beseitigung nicht m\u00f6glich ist, entsprechende Kontrollma\u00dfnahmen veranlassen.<\/p>\n\n\n\n Eine weitere Anforderung waren anwendungs\u00fcbergreifende Schnittstellen, \u00fcber die auch CRM-Anwendungen wie PeopleSoft von Oracle in den neuen Compliance-Prozess eingebunden werden k\u00f6nnen. Mit der gew\u00e4hlten L\u00f6sung k\u00f6nnen nun Benutzerkonten, Berechtigungen und Daten \u00fcber alle Business-Applikationen hinweg verkn\u00fcpft und analysiert werden, was das Management von SoD-Konflikten deutlich vereinfacht.<\/p>\n\n\n\n Automatisierte und detaillierte Berichte stellen die Dokumentation einzelner Schritte sicher, wodurch sich die regelm\u00e4\u00dfigen Audits vereinfachen. Matthew Miller hebt hervor, dass sein Team jetzt den j\u00e4hrlichen Audits wesentlich gelassener entgegensieht. Durch den hohen Automatisierungsgrad l\u00e4uft die Pr\u00fcfung insgesamt viel reibungsloser ab, da das Team den Pr\u00fcfern die vom System generierten Berichte sowie die Compliance-Konformit\u00e4t<\/a> inklusive einer Liste aller kompensierenden Kontrollen auf Knopfdruck pr\u00e4sentieren kann.<\/p>\n\n\n\n Heute ist Matthew Miller der Ansicht, dass der Einsatz einer umfassenden Software-Suite ein entscheidender Faktor f\u00fcr die erfolgreiche Migration ist. Auf diese Weise konnte die Umstellung auf SAP S\/4HANA effektiv genutzt werden, um gleichzeitig Ma\u00dfnahmen zu ergreifen, die das Unternehmen in Zukunft noch besser vor Risiken sch\u00fctzen, die mit kritischen User-Berechtigungen einhergehen.<\/p>\n\n\n\n U.S. Sugar hat au\u00dferdem das Pathlock Superuser Management<\/a> im Einsatz. Damit wird sichergestellt, dass alle Aktivit\u00e4ten, die von privilegierten Benutzern durchgef\u00fchrt werden, \u00fcberwacht, l\u00fcckenlos dokumentiert und f\u00fcr Revisionszwecke zur Verf\u00fcgung stehen. Der ganzheitliche Ansatz ist auch dann sinnvoll, wenn es sich nicht um ein SoD-Problem handelt, da es f\u00fcr U.S. Sugar grunds\u00e4tzlich wichtig ist, zu kontrollieren, wer Zugang zu kritischen Transaktionen hat.<\/p>\n\n\n\n Wie bedeutsam ein applikations\u00fcbergreifendes SoD-Konzept ist, zeigt sich bei U.S. Sugar gerade mit dem Erwerb einer Raffinerie in Savannah, die PeopleSoft einsetzt. Mit Hilfe der Software, so Matthew Miller, sei es nun m\u00f6glich, deren Sicherheitsregeln in ein zentrales Berichtswesen zu integrieren. Dies erlaubt eine Analyse, um \u00fcbergreifende SoD-Konflikte zu identifizieren und dort, wo Risiken nicht unmittelbar beseitigt werden k\u00f6nnen, geeignete Kontrollmechanismen zu finden.<\/p>\n\n\n\n W\u00e4hrend also in der Vergangenheit traditionelle applikationsspezifische SoD-L\u00f6sungen ausreichend waren, erfordert die Verbreitung von applikations\u00fcbergreifenden Gesch\u00e4ftsprozessen nun eine Anpassung des Kontrollprozesses.<\/p>\n\n\n\n Neben der F\u00e4higkeit, \u00fcbergreifende SoD-Risiken zu erkennen, bieten die Pathlock-L\u00f6sungen auch wegweisende neue Funktionen, insbesondere in der Benutzerfreundlichkeit, z.B. Darstellungen des aktuellen Risikostatus, um diesen jederzeit transparent abrufen zu k\u00f6nnen. Visualisiert wird der Echtzeit-Zustand in Form von ma\u00dfgeschneiderten Dashboards etwa f\u00fcr die Management-Ebene. So wird dem CISO oder CFO pr\u00e4gnant und in einem angemessenen Detailierungsgrad veranschaulicht, welche Findings aktuell f\u00fcr einen Fachbereich vorliegen und welche Handlungsm\u00f6glichkeiten es gibt, um dies anzugehen.<\/p>\n\n\n\n Die Anwendung von vorkonfigurierten und individuell anpassbaren Regelwerken erspart zudem den Einsatz von Tabellen, Testmustern und externen Beratern und reduziert damit nicht nur die Risiken, sondern auch die ben\u00f6tigten Ressourcen. Mit der automatisierten SoD- und Risikoanalyse sowie dem automatisierten Reporting f\u00fcr alle g\u00e4ngigen Business-Applikationen k\u00f6nnen die gesetzlichen Anforderungen einfach und zeitsparend erf\u00fcllt werden, egal ob SAP ERP, S\/4HANA, Cloud-Applikationen oder Non-SAP IT-Systeme. Die Komplexit\u00e4t der Benutzerverwaltung innerhalb und zwischen den Apps wird dadurch erheblich reduziert.<\/p>\n\n\n\n Das Unternehmen kann nun mit einer zentralen, benutzerfreundlichen Plattform Funktionstrennungskonflikte in seiner gesamten Anwendungslandschaft identifizieren, schnell beheben und fortlaufend \u00fcberwachen. Eine solche Strategie ist revisionssicher und bildet eine solide GRC<\/a>-Basis. Daher, so konstatiert Matthew Miller, habe U.S. Sugar die Entscheidung f\u00fcr die ganzheitliche Pathlock-Software bis heute keinen Moment bereut.<\/p>\n\n\n\n Wenn Sie mehr \u00fcber dieses Fallbeispiel erfahren m\u00f6chten, kontaktieren Sie uns<\/a>.<\/p>\n\n\n\n Weitere Kundencases:<\/p>\n\n\n\nBenutzerfreundliche L\u00f6sung f\u00fcr applikations\u00fcbergreifende Sicherheitskontrollen<\/strong><\/h2>\n\n\n\n
Absicherung kritischer Transaktionen w\u00e4hrend der Migration auf SAP S\/4HANA<\/strong><\/h2>\n\n\n\n
SoD-Analysen \u00fcber alle Business-Applikationen<\/strong><\/h2>\n\n\n\n