Datenschutz in SAP-Systemen mit Read Access Logging (RAL)

Überwachung verbessert den Datenschutz

Die Überwachung von Daten führt in der Regel zu einem höheren Datenschutz. Vor allem in SAP-Systemen kann es notwendig sein, für besseren Datenschutz den Zugriff auf bestimmte Daten zu überwachen. Das stellt sicher, dass nur berechtigte Anwender auf sensible Daten zugreifen, und deckt Berechtigungsfehler auf.

In vielen Fällen ist es vorgeschrieben, dass der sichere Zugriff auf Bankdaten oder andere sensible Informationen dadurch gewährleistet ist, dass der Lesezugriff überwacht wird. Ein weiteres Beispiel ist der Zugriff auf medizinische Daten. Natürlich ist es selten sinnvoll, alle Zugriffe auf ein SAP-System zu protokollieren.

Im Rahmen der EU-DSGVO müssen Unternehmen aber nachweisen können, wer auf personenbezogene Daten zugegriffen hat. Diese Informationen lassen sich mit dem Berechtigungsmodell nicht abdecken. Das ist eines der zentralen Gebiete von RAL. Hier lässt sich über Protokolle schnell herausfinden, welcher Benutzer zu welchem Zeitpunkt auf die Daten zugegriffen hat.

Für den richtigen Einsatz von RAL in SAP sollte zunächst geplant werden, bei welchen Daten der Lesezugriff mit RAL überwacht werden soll. Bei der Planung des Einsatzes von RAL sollte auch überprüft werden, ob der Einsatz von RAL nachgewiesen werden muss. Das gilt häufig bei der Überwachung von personenbezogenen Daten.

Beispiele für den Einsatz von RAL

Mit RAL kann nachgewiesen werden, wer Zugriff auf personenbezogene Daten hatte, zum Beispiel Bankdaten. Haben Anwender nach bestimmten Daten gesucht, die durch RAL geschützt sind? Das lässt sich mit RAL herausfinden. Auch Muster für wiederkehrende Suchen nach bestimmten Feldern lassen sich mit RAL nachvollziehen.

RAL ist in der Lage, RFC-basierte Kommunikation zu SAP-Systemen zu überwachen. Dazu gehören zum Beispiel sRFC, aRFC, tRFC, qRFC und bgRFC. Auch Web-Dynpro-basierte Benutzeroberflächen kann RAL überwachen, das gilt auch für Dynpro UI und ALV Grid-basierte-Elemente. Die komplette Webservicekommunikation kann an RAL angebunden werden.

Die Protokolle enthalten eine Übersicht der Zugriff auf die überwachten Datenfelder und den Benutzer, der auf die Daten zugegriffen hat. Auch der Zugriffsweg wird protokolliert. Dazu gehören auch Name des PCs, IP-Adresse und die Zeit des Zugriffs. Auf Anforderung lassen sich auch die Inhalte der Felder aufnehmen.

SAP Read Access Logging (Lesezugriffsprotokollierung)

Mit SAP Read Access Logging bietet SAP ein Bordmittel an, mit dem sich Lesezugriffe ohne Zusatz-Tool für einzelne Bereiche protokollieren lassen. Die Überwachung erfolgt mit Protokollierungsregeln und Aufbewahrungsrichtlinien. Zusätzlich steht die Möglichkeit zur Verfügung, mit einer API die Daten von externen Programmen auswerten zu lassen, zum Beispiel zur Thread-Analyse. Das kann auch automatisiert erfolgen. Administratoren können die Regeln für die Protokollierung und Aufbewahrung flexibel steuern.

Wichtig ist, dass bereits frühzeitig bei der Planung berücksichtigt wird, ob RAL lediglich den Zugriff auf die Daten protokollieren soll, oder auch die gelesenen Daten selbst. Handelt es sich dabei um sensible Daten, kann das für den Datenschutz relevant sein. Die Einstellungen sind an dieser Stelle flexibel, denn es ist möglich, die Protokollierung auf Ebene der Datenbank und auf Feldebene durchzuführen.

Enthalten bestimmte Felder personenbezogene Daten, deren Zugriff ein Unternehmen aufgrund der EU-DSGVO nachweisen muss, macht die Einbindung dieser Felder in RAL Sinn. Grundsätzlich ist es aber nicht sinnvoll, komplette Datenbanken oder Tabellen zu überwachen, sondern nur spezielle Felder zu definieren, die RAL protokollieren soll.

Das muss bei der Überwachung beachtet werden

Der Hauptgrund ist, dass die Protokollierung von Daten die Leistung der Server beeinflusst. Hinzu kommt, dass die Überwachung konfiguriert, überwacht und die erhaltenen Daten sicher gespeichert und analysiert werden müssen. Das verursacht Aufwand und geht auf Kosten der Performance. Aus diesem Grund sollte der Einsatz gut geplant werden.

RAL sollte daher ganz gezielt zum Einsatz kommen, und nur für Daten, bei denen die Überwachung ein Muss ist. In keinem Fall ist RAL ein Werkzeug für eine umfassende Überwachung aller Datenbanken und Felder. Neben der Belastung des Servers, durch eine umfassende Überwachung durch RAL, kommt auch die große Flut an Protokollen, die RAL erzeugt. Die Protokolle müssen gespeichert und analysiert werden. Umfassende Analysen von Protokollen dauern Zeit. Das zeigt, dass der Einsatz vom RAL gut definiert sein sollte.

Security Audit Log als Ersatz für SAP Read Access Logging

Geht es um die Überwachung von Daten, ist SAP Security Audit Log (SAL) eine Alternative zu RAL. Hier erfolgt ebenfalls eine Überwachung der Zugriffe. SAL hat die Aufgabe, gezielt einzelne Benutzer zu überwachen, während RAL die Überwachung sensibler Daten im Fokus hat. Ob SAL oder RAL zum Einsatz kommt, muss im Einzelfall entschieden werden.

SAL protokolliert den Zugriff bestimmter Benutzer auf die SAP-Systeme, während RAL den Lesezugriff auf bestimmte Daten protokolliert. Sowohl für SAL als auch für RAL gilt die maximale Einschränkung. Alle Benutzer mit SAL zu überwachen, macht genauso wenig Sinn, wie alle Daten mit RAL zu überwachen. RAL ist für die gezielte Überwachung von sensiblen Daten der beste Weg in SAP-Systemen.