---
title: SAP Internal Audit, le transazioni da avere!
description: Quali sono le principali transazioni SAP per l'internal audit?
---

[AGLEA SAP Security Blog ](https://www.aglea.com/blog)

# [SAP Internal Audit, le transazioni da avere!](https://www.aglea.com/blog/sap-internal-audit-le-transazioni-da-avere)

 Scritto da [Massimo Manara](https://www.aglea.com/blog/author/massimo-manara) | Jul 7, 2020 10:00:00 PM

 

Quali controlli è possibile fare in SAP? Sei un auditors? **Ecco una lista delle transazioni da avere**!

 

## Business ed ICT

L'attività di [auditing](https://www.aglea.com/sap-audit) su SAP può essere suddivisa in due macro ambiti:

- auditing sui **processi di business**
- auditing sui **processi IT (Information Technology)**

 

In questo post parliamo di questo ultimo caso.

 

Esistono infatti una serie di controlli IT da porre in essere nel sistema noti anche come IT general controls (ITGC).

 

## Quali sono le transazioni che un IT internal audit deve avere?

Esistono molti ambiti di controllo, nonostante sia coinvolto un solo processo, quello basis.

 

Risulta quindi utile identificare i vari ambiti di riferimento.

- **Configurazione del sistema**
- **Gestione dei log**
- **Sviluppo e configurazione**
- **Analisi di separazione delle responsabilità nell'IT**
- **Gestione dei cambiamenti al sistema Change Management**
- Analisi degli aspetti legati alla [gestione dei dati personali](https://www.aglea.com/sap-gdpr)

 

**E tu che abilitazioni SAP chiedi quando devi fare un [audit](https://www.aglea.com/sap-audit)?** Vediamo assieme quali sono le transazioni minime per iniziare ad affrontare un audit sul processo SAP basis.

 

## Configurazione del sistema

Una delle transazioni principali in questo caso è la **RSPFPAR**. Questa transazione permette di vedere la configurazione dei profili d'istanza SAP.

 

 

Nonostante la parola possa trarre in inganno, **non si fa riferimento ai "profili autorizzativi" ma piuttosto a tutto una serie di configurazioni** che SAP mette a disposizione e che legge durante l'avvio della macchina.

 

**Un caso di esempio? La complessità delle password.** Queste parametrizzazioni sono definite in un file di testo (profili istanza SAP) ed attivate durante l'avvio di SAP.

 

 

Alcuni di questi profili **possono essere dinamici**, ovvero è possibile cambiarli "a caldo" senza il riavvio della macchina, **altri sono statici**, quindi serve un riavvio della macchina SAP.

 

Nella colonna "User Value" se presente un valore significa che è stato esplicitamente configurata quella determinata opzione. Altrimenti il sistema considera il valore di default impostato da SAP.

 

Tramite la transazione **RZ11 è possibile vedere la documentazione estesa** di questi profili d'istanza (oppure attraverso il sito dell'help SAP) mentre tramite la transazione RZ10 è possibile modificare le valorizzazioni. Queste due ultime transazioni possono non essere necessarie per le finalità di audit.

 

Mentre potrebbe essere utile la transazione **TU02 che permette di vedere le modifiche apportate alla configurazione dei profili d'istanza SAP**.

 

 

Ma cosa vedere in questo caso?

- La gestione della complessità delle password, ovvero i profili che iniziano con login*
- L'attivazione dei log ([SAP Table Trace](https://www.aglea.com/blog/come-segregare-la-gestione-dei-tassi-di-cambio-in-sap-transazione-ob08)) profili rec*
- L'attivazione del [SAP Security Audit Log](https://www.aglea.com/blog/sap-security-audit-log-configurazione) (profili rsau*)
- Come SAP si deve comportare quando sono invocate delle chiamate esterne verso SAP
- Se è inibita la possibilità di **disattivare oggetti autorizzativi in produzione** auth/object_disabling_active

### Controllo delle utenze speciali SAP e del mandante

In questo caso le transazioni di riferimento sono le seguenti:

- RSURS003 - Check standard user passwords
- RSAUDIT_SYSTEM_ENV - Client and System Settings o anche SE16T000 per poter vedere direttamente la tabella dei mandanti SAP: T000

 

Qui un approfondimento sul controllo delle [utenze speciali](https://www.aglea.com/blog/audit-dei-sistemi-il-mandante-o-client-sap) SAP (SAP*, DDIC, TMSADM) e sul controllo del mandante (client) SAP.

 

### Verifica dello stato delle transazioni SAP

Tramite la transazione RSAUDITC_BCE è possibile verificare le transazioni bloccate a livello di sistema.

 

 

Hai fatto bloccare tutte le transazioni [custom che non vengono utilizzate](https://www.youtube.com/watch?v=7OojAMFg61g)? A seguito puoi pensare di farle rimuoverle dai ruoli e successivamente rimuoverle dal sistema.

 

## Gestione dei log

Attraverso la transazione SCU3, se attivo il profilo d'istanza del table trace, è possibile vedere le **modifiche effettuate direttamente in produzione**.

 

Attenzione, la tabella deve essere sotto log? Come possibile verificarlo?

 

Tramite la transazione RDDPRCHK_AUDIT è possibile verificare se su una certa tabella non è attivo il log. Questa informazione è anche recuperabile dalla transazione SE13 (tuttavia quest'ultima fa riferimento ad attività da sviluppatore)

 

Puoi inoltre limitare temporalmente la visibilità dei log, utilizzando il report RFTBPROT_BCE, segui la nota [OSS 2593308 - RFTBPROT_BCE | Evaluation for table change logs](https://launchpad.support.sap.com/#/notes/2593308)

 

 

## Quali sono gli oggetti custom definiti a sistema?

Attraverso la transazione CUSTMON1 è possibile vedere quali sono.

 

 

Perché è importante conoscerli?

 

**Negli sviluppi custom spesso si nascondono le maggiori problematiche di sicurezza.**

## Gestione delle modifiche di sistema

SAP utilizza il meccanismo dei trasporti TMS (Transport Management System) per spostare una certa modifica dal sistema di sviluppo a quello di produzione.

 

Attraverso questa transazione RSAUDITM_BCE_IMPO **è possibile vedere chi ha importato le CR nell'ambiente target**.

 

Attenzione l'owner della richiesta di trasporto (change Request) può essere diverso da chi ha fatto l'import nel sistema di arrivo.

 

Tramite la funzionalità di **Import History -> Show more** è possibile vedere l'owner della CR e l'utente SAP che ha fatto l'import di quella change request.

 

 

Scarica qui sotto **l'elenco completo** delle transazioni da auditor IT in formato EXCEL.

 

 

 

 

[Visualizza articolo completo](https://www.aglea.com/blog/sap-internal-audit-le-transazioni-da-avere)

```json
{
  "@context" : "http://schema.org",
  "@type" : "BlogPosting",
  "author" : {
    "@type" : "Person",
    "name" : "Massimo Manara"
  },
  "dateModified" : "2024-06-14T09:19:51.156Z",
  "datePublished" : "2020-07-07T22:00:00Z",
  "headline" : "SAP Internal Audit, le transazioni da avere!",
  "image" : {
    "@type" : "ImageObject",
    "height" : 1271,
    "url" : "https://8916761.fs1.hubspotusercontent-na1.net/hubfs/8916761/Aglea/Imported_Blog_Media/SAP_AUDIT-Jun-14-2024-09-18-33-0955-AM.jpg",
    "width" : 1920
  },
  "mainEntityOfPage" : "https://www.aglea.com/blog/sap-internal-audit-le-transazioni-da-avere",
  "publisher" : {
    "@type" : "Organization",
    "logo" : {
      "@type" : "ImageObject",
      "height" : 60,
      "url" : "/hs/hsstatic/content_shared_assets/static-1.4092/img/default-amp-logo.png",
      "width" : 60
    },
    "name" : "AGLEA Blog"
  }
}
```