SAP S/4HANA

Gli errori più comuni che mettono a rischio il tuo sistema

La sicurezza in SAP S/4HANA non è più solo una questione tecnica, ma un fattore strategico di business. Con l’aumento delle integrazioni, del cloud e dell’accesso remoto, molti sistemi SAP diventano vulnerabili non per attacchi sofisticati, ma per errori di configurazione e governance.

In questo articolo analizziamo i principali errori di sicurezza in SAP S/4HANA, spesso sottovalutati, che possono esporre l’azienda a rischi operativi, violazioni dei dati e problemi di compliance.

Sottovalutare il nuovo modello di sicurezza di SAP S/4HANA

Uno degli errori più frequenti è trattare SAP S/4HANA come un semplice upgrade di ECC.

Perché è un problema?

SAP S/4HANA introduce:

• Nuovi oggetti di autorizzazione

• Fiori Apps con controlli di accesso diversi

• OData Services esposti via web

• Maggiore integrazione con SAP BTP e sistemi esterni

 Applicare i vecchi ruoli ECC senza revisione è una falla di sicurezza critica.

Ruoli troppo ampi e violazioni del principio del “Least Privilege”

Molti sistemi produttivi hanno utenti con:

• SAP_ALL

• SAP_NEW

• Ruoli Z sovradimensionati

Rischi concreti

• Accesso non autorizzato a dati sensibili

• Violazioni SOX e GDPR

• Difficoltà nel tracciare le responsabilità

Soluzione

• Implementare il principio del minimo privilegio

• Ridisegnare i ruoli basandosi su processi di business reali

• Utilizzare SAP GRC Access Control o strumenti equivalenti

Sicurezza delle SAP Fiori Apps: un punto spesso ignorato

Molte aziende attivano SAP Fiori senza una strategia di sicurezza adeguata.

Errori comuni

• Cataloghi Fiori assegnati senza restrizioni

• Servizi OData attivi ma non controllati

• Mancata segregazione tra utenti business e tecnici

Impatto

Un utente può accedere a funzionalità non previste dal suo ruolo, anche da browser esterni.

Mancanza di controllo sugli utenti tecnici e RFC

Gli utenti tecnici sono spesso i più pericolosi.

Problemi tipici

• Password mai scadute

• Utenti RFC condivisi

• Assenza di logging e monitoraggio

Raccomandazioni

• Password policy rigorose

• Uso di Secure Network Communication (SNC)

• Monitoraggio con SAP Security Audit Log

Trascurare la sicurezza delle integrazioni e delle API

SAP S/4HANA è sempre più connesso: cloud, middleware, partner, applicazioni custom.

Rischi principali

• API esposte senza autenticazione forte

• Token non ruotati

• Mancanza di segregazione tra ambienti

Best practice

• Autenticazione OAuth 2.0

• API Management su SAP BTP

• Monitoraggio continuo delle chiamate

Patch di sicurezza e note SAP ignorate

Molte aziende rimandano l’applicazione delle SAP Security Notes.

Conseguenze

• Vulnerabilità note e facilmente sfruttabili

• Rischio elevato di attacchi automatizzati

• Non conformità agli standard di sicurezza

La gestione delle patch deve essere continua, non reattiva.

Nessuna strategia di monitoraggio e auditing continuo

La sicurezza non è solo prevenzione, ma anche rilevazione.

Errori frequenti

• Log non analizzati

• Nessun alert su attività sospette

• Assenza di audit periodici

Soluzione

• Centralizzare i log

• Implementare alert automatici

• Audit di sicurezza regolari

Conclusione: la sicurezza SAP è un processo, non un progetto

La sicurezza in SAP S/4HANA non può essere affrontata come un’attività una tantum. Richiede:

• Governance

• Consapevolezza

• Revisione continua

Gli errori descritti non sono teorici: sono le principali cause di incidenti reali nei sistemi SAP moderni.

Investire nella sicurezza oggi significa proteggere il business di domani.

Vuoi valutare il livello di sicurezza del tuo sistema SAP S/4HANA?
Un Security Assessment mirato può identificare rapidamente le aree di rischio e le azioni correttive.