システム アプリケーション 製品 監査

システム アプリケーション製品監査は、 SAPのコンピュータ システムのセキュリティとデータの整合性をチェックする監査です。SA​​P は、システム アプリケーション製品の略語です。これは、ユーザーにソフト^{[あいまい]}なリアルタイム ビジネス アプリケーションを提供するシステムです。ユーザー インターフェイスが含まれており、非常に柔軟であると考えられています。SAP 監査では、セキュリティとデータの整合性が 2 つの主な懸念事項です。

SAP（データ処理におけるシステム、アプリケーション、製品）は、もともと 1980 年代にSAP R/2として導入されました。これは、複数の通貨と言語で使用できるソフトなリアルタイム ビジネス アプリケーションをユーザーに提供するシステムでした。クライアント サーバーシステムが導入され始めると、SAP はSAP R/3と呼ばれるサーバー ベースのソフトウェア バージョンを発表しました。これは、1992 年に開始され、以降 SAP と呼ばれます。SAP はグラフィカル ユーザー インターフェイス(GUI)も開発しました。

その後 12 年間、SAP は大規模ビジネス アプリケーション市場を独占しました。SAP が成功した主な理由は、柔軟性があったことです。SA​​P はモジュール システム (つまり、提供されるさまざまな機能を個別に購入できる) であったため、多用途のシステムでした。企業は必要なモジュールを購入するだけで、プロセスを企業のビジネス モデルに合わせてカスタマイズできました。SAP の柔軟性は、最大の強みの 1 つですが、同時に最大の弱点の 1 つでもあり、SAP 監査の対象となります。

今日の大企業で使用されている主なエンタープライズ リソース プランニング(ERP) システムは、 SAP、Oracle、PeopleSoftの 3 つです。ERP は、会計機能や、販売、配送、生産、人事、在庫管理など、企業のビジネスのさまざまな側面の管理を支援するために特別に設計されています。ERP にはメリットがあるものの、ERP を導入する企業が陥りがちな落とし穴も数多くあります。

セキュリティは、SAP 監査において最も重要かつ最優先事項です。職務の分離とアクセス制御が適切に行われなければなりません。これは、システムの制御の整合性を確立する上で最も重要です。企業が初めて SAP を導入したとき、セキュリティ対策はほとんど何も施されていません。SAP を実装する際、企業はプロセスを概説し、システム セキュリティを一から構築するという広範なプロセスを経て、職務の分離とアクセスを適切に行う必要があります。プロファイルを適切に設計し、ユーザーID とスーパーユーザーアクセスを重複させないようにすることは、運用のすべての段階で重要です。これに加えて、改ざんを防ぐために、端末、サーバー、データ センターへのアクセスを制限することも重要です。企業ごとにモジュールが異なるため、セキュリティ構造は企業ごとに明確に異なります。

SAP の典型的な例としては、ベンダーを作成し、請求書の支払いも行えることが挙げられます。ベンダーの作成トランザクションは XK01 で、請求書の支払いトランザクションは FB60 です。SA​​P のユーザーまたはロールにこれら 2 つのトランザクションがある場合、SOD リスクが発生します。

セキュリティに関しては、すべては従業員のセキュリティとアクセス対策を適切に設計し、実装することから始まります。新入社員の場合、アクセスが適切に設定され、今後付与されるアクセスが適切に承認されていることが重要です。システムの実装後は、システムの変更とそれに必要な承認プロセスに対する制御が、システムのセキュリティと機能性を継続的に確保するために不可欠です。最初から最後まで適切なセキュリティ対策が実施されていないと、システムの制御に重大な弱点が生じ、その結果、ある程度の不正行為も発生する可能性があります。

セキュリティを通じて、誰がどのデータやプロセスにアクセスできるかを監視し、不正行為を防止するために職務の分離が十分であることを確認できます。SAP の大きな利点の 1 つは、さまざまな監査機能を実行するようにプログラムできることです。最も重要な機能の 1 つは、ユーザー アクセスを確認し、システムを使用してアクセス マトリックスに基づいてクロスチェックし、支払い要求アクセス権を持つユーザーがベンダーを作成するアクセス権も持っていないように、適切な分離が確実に行われるようにすることです。

セキュリティが適切に職務分掌されるように設定されていることを確認したら、次にセキュリティに関して考慮すべき事項はシステムの変更です。すべての企業には、開発システム、テスト システム、および本番システムという 3 つの異なるシステムが必要です。本番システムへの変更はすべて、承認プロセスを経てテストされ、本番システムに導入されたときに適切に機能することを確認する必要があります。変更を承認できるのは誰か、変更を本番システムに反映できるのは誰かというセキュリティは、システムのセキュリティと整合性を確保する上で最も重要です。このプロセスとそれに関わる人々のレビューは、システムの監査の鍵となります。

システム更新のアクセス、手順、および手続きを監査する目的は、システムの変更管理が適切に制御され、適切なテストおよび承認手順が使用されていることを確認することです。^[1]

SAP はレガシー システムからデータを統合するため、レガシー システムと SAP 間のインタラクションのマッピングが徹底的かつ完全であることが重要です。これがないと、SAP から受信したデータはすべて疑わしいものになります。また、災害後の継続性を確保するために、データベースの適切なバックアップと、最新の実践的な災害復旧計画を維持することも重要です。監査のこの段階では、これらの計画とシステム インターフェイスのマッピングを徹底的に確認することが重要になります。ただし、すべての SAP データは相互に関連するテーブルに保存されるため、一定のセキュリティを持つユーザーはデータを変更できます。出力を検証して正確性を確保する必要があります。SAP は、データが正しく処理されていることを確認するためのデータのレビューを支援する基本的な監査プログラムをいくつか提供しています。また、ユーザーが特定の機能を監査するプログラムを作成できるようにカスタマイズすることもできます。

変更管理の監視、開発段階からシステムへの更新の移行は、この特定の懸念事項の重要な要素の 1 つです。このため、レビュー プロセスのレビューと本番環境へのプルスルーを優先する必要があります。

システム周りのコントロール、特に買掛金および売掛金補助元帳周りのコントロールを見直す必要があります。監査人は、銀行照合や買掛金明細書の照合など、SAP と外部情報間の照合を実行または確認する必要があります。また、コスト センターと責任会計、管理レビューと予算管理、および非定型トランザクションの承認ルートを確認する必要があります。

監査レビューには、特定のトランザクションに入力されたデータの検証、ABAPステートメントの設計、および締め切り前の文書と一致する権限チェックのレビューを含める必要があります。また、マスター ファイル制御に関しては、マスター ファイルの変更とトランザクション責任の作成を独立してレビューし、冗長なマスター ファイルを特定する必要があります。

データの整合性に関して、主な懸念事項は、レガシー システムからのデータの統合と、処理のためにシステムに入力されるデータが適切に承認され、適切な文書が添付されていることを確認することです。実装から実稼働までの処理のこれらの側面を確認することで、データを取り巻く制御が十分であり、データに重大なエラーがない可能性が高いという合理的な確信を得ることができます。組み込みの監査機能を使用すると、このプロセスが大幅に促進され、独自の監査プログラムを作成できるため、作業内容を連携先の会社に合わせてカスタマイズできます。

SAP で監視する必要がある 2 つの主要な制御リスクは、セキュリティとデータ整合性です。両方が十分であることを保証するには、実装時に両方を適切に概説して開発することが重要です。不正の可能性を最小限に抑えるために、ユーザー プロファイルを適切に設計し、アクセスを十分に分離する必要があります。SAP 監査機能を使用して、許可されたアクセスのマトリックスでユーザー アクセスをクロスチェックすることが、職務とアクセスが適切に分離されていることを確認する最も迅速かつ簡単な方法です。新しいユーザーと古いユーザーはすぐに入力および削除する必要があり、スーパー ユーザー アクセスの回避と監視は必須です。変更を本番環境にアップロードしてプルスルーするためのアクセスの確認と、関連する承認プロセスの確認は、セキュリティとデータ整合性の両方の観点から重要です。

データの整合性をさらに確保するには、適切な文書をレビューするとともに、レガシー システムまたはサード パーティを通じて入手可能な外部データを確認することが重要です。これは、買掛金などの特定の機密アカウントに関して重要です。予算と管理レビューに関する制御のレビュー、および非定型トランザクションと物理アクセスの承認のレビューは、システムからのデータ入力と出力の正確性を確保する上で不可欠です。SA​​P 内のツールの使用と開発は、このプロセスを加速し、正確性を確保するのに役立ちます。これらは、SAP 監査の最も重要な 2 つの部分であり、これらのレビューが成功すれば、SAP システムとそれへのアクセスに関する制御の適切性を判断し、システム制御に重大な欠陥があるかどうかを判断できます。

• 情報セキュリティ監査

• SAP 社のウェブサイト