SAPシステムには、企業のあらゆる重要データが集まります。財務情報、取引先情報、価格、人事データ——これらが漏洩または改ざんされた場合の影響は甚大です。セキュリティ対策は、Basisの重要な責務です。
標準ユーザーの扱い
SAPインストール時には、既定のパスワードを持つ標準ユーザーが作成されます。これらの扱いは、セキュリティの出発点です。
| ユーザー | 用途 | 対処 |
|---|---|---|
| SAP* | スーパーユーザー。全権限 | パスワード変更、ロック |
| DDIC | ディクショナリ管理。インストール・更新に使用 | パスワード変更、通常はロック |
| SAPCPIC | CPI-C通信用（旧） | 不要なら削除 |
| EARLYWATCH | 監視用 | パスワード変更または削除 |
| TMSADM | TMS通信用 | パスワード変更 |
セキュリティ関連パラメータ
RZ10で設定するプロファイルパラメータには、セキュリティに関わるものが多数あります。
| パラメータ | 内容 |
|---|---|
| login/min_password_lng | パスワードの最小文字数 |
| login/password_expiration_time | パスワードの有効日数 |
| login/fails_to_user_lock | ロックまでの失敗回数 |
| login/failed_user_auto_unlock | 自動ロック解除の可否 |
| login/disable_multi_gui_login | 同一ユーザーの多重ログイン禁止 |
| login/no_automatic_user_sapstar | SAP*自動ログインの無効化 |
| rfc/reject_expired_passwd | 期限切れパスワードでのRFC拒否 |
| auth/no_check_in_some_cases | 権限チェックの無効化（1に設定して有効化すべき） |
監査ログ（SM19 / SM20）
セキュリティ監査ログは、重要な操作を記録する機能です。SM19で記録対象を設定し、SM20で内容を確認します。
| イベント | 理由 |
|---|---|
| ログオン失敗 | 不正アクセスの試行を検知 |
| SAP*やDDICのログオン | 特権ユーザーの使用状況 |
| ユーザーマスタの変更 | 権限の不正な付与を検知 |
| トランザクションの開始 | 重要業務の実行記録 |
| RFC呼び出し | 外部からのアクセス |
| レポートの直接実行 | SE38経由の実行 |
RFC接続の保護
RFC（Remote Function Call）は、システム間の連携に使われます。便利な反面、設定を誤ると重大な脆弱性になります。
RFC接続はSM59で定義します。接続先の情報とともに、ログオン情報を保存できます。
ネットワークレベルの保護
| 手段 | 内容 |
|---|---|
| SNC | SAP GUIとサーバ間の通信を暗号化 |
| SAP Router | アクセス制御とルーティング。外部からの接続を制限 |
| SAP Web Dispatcher | HTTPリクエストの振り分けとSSL終端 |
| ファイアウォール | 不要なポートの遮断 |
| ゲートウェイ設定 | reginfo / secinfo による外部プログラム登録の制限 |
定期的なセキュリティ点検
設定は時間とともに劣化します。定期的な点検項目を決め、レビューする運用が必要です。
- SAP_ALLを持つユーザーの一覧確認（SUIM）
- 長期間ログインしていないユーザーのロック
- 退職者のユーザーが残っていないかの確認
- 職務分離違反の検出（SoDチェック）
- デバッグ権限（S_DEVELOP）を持つ本番ユーザーの確認
- セキュリティ関連のSAP Noteの適用状況
- EarlyWatch Alertレポートのセキュリティ項目の確認