Qué es GRC?


Las siglas significan: Governance, Risk and Compliance

Según Segurinfo.com GRC "es una nueva filosofía de negocios. Las organizaciones deben seguir una gobernabilidad corporativa, deben contemplar retos y superar los obstáculos existentes, sin descuidar las influencias internas y externas."
En español, esas siglas significarían más o menos esto: "Gobierno Corporativo, Administración de Riesgos y Cumplimiento Regulatorio".
El enlace oficial (en ingles) a SAP GRC es el siguiente: Sap.com/.../governance-risk-compliance; y en castellano (español), lo encontramos aquí: Sap.com/spain/.../governance-risk-compliance
Gracias a Jonathan Labrador, y Diego Ignacio Yaryura, que iniciaron un debate en el foro oficial de SAP.com, tenemos el presente artículo con toda la información necesaria a esta solución de SAP.
Diego nos explica:
La idea básica es que se tiene una matriz de riesgos. En esta matriz se cargan las incompatibilidades de funciones (los verás como SoD en inglés). Por ejemplo: Modificar roles y asignar roles a usuarios son funciones incompatibles. Crear una cuenta bancaria y cargar cheques contra esa cuenta también son funciones incompatibles.

Muchas veces, es difícil detectar estos riesgos, ya que no se trata de una simple búsqueda por transacciones. Por otro lado que pasa si agregamos uno o varios roles a un usuario? esta asignación genera riesgos? como los detecto? tengo controles mitigantes para esos riesgos?.

GRC es la herramienta que viene a responder y documentar estas cuestiones.
GRC también tiene un módulo (CUP) para lo que es el armado de un workflow para las modificaciones de usuarios y roles. Se puede armar un circuito de aprobación acorde para cuando se quiere modificar algo de esto.
Otro módulo interesante es el módulo SPM ó Firefighter. Esto es algo que se instala en la parte ABAP. La idea básica es un usuario de emergencia. Esto le permite a un usuario acceder al sistema con más permisos de los que posee habitualmente, pero se requiere que el usuario complete el motivo del uso así como habrá un controlador de este superusuario que podrá por ejemplo recibir por mail las notificaciones de acceso y el log de las tareas realizadas por el usuario.

GRC se instala sobre un SAP Netweaver java. Básicamente contiene algunos componentes java para lo que son los modulos CUP, ERM, RAR y SPM. Por otro lado también es necesario instalar uno o dos componentes ABAP en los sistemas Back-end a los que vas a conectar el GRC (VIRSA y/o VIRSANH). Podés encontrar mucha info en el marketplace, en particular podés revisar la guia de instalación http://service.sap.com/instguides

Y a modo de conclusión, dejamos expuesto lo que dice el sitio oficial de SAP sobre GRC:
El software de SAP puede ayudarle a identificar, analizar, responder y controlar el riesgo empresarial, así como a coordinar sus procesos de gestión de riesgos con la estrategia corporativa con el objetivo de mantener su rendimiento y el crecimiento rentable.
Con la funcionalidad para la gestión del riesgo empresarial de las soluciones de SAP, puede anticiparse y responder rápidamente a las condiciones empresariales en constante cambio, así como controlar toda su cartera de riesgos empresariales. Las funciones para la gestión del riesgo empresarial le permiten:
  • Alertar de manera automática al departamento de gestión cuando los riesgos de gran impacto o de alta probabilidad excedan los umbrales definidos por la empresa
  • Analizar el riesgo empresarial en términos de gravedad y probabilidad de impacto
  • Supervisar las actividades de gestión de riesgos y las respuestas de mitigación mediante cuadros de mando personalizados
  • Sincronizar la información detallada de los cuadros de mando personalizados para crear vistas de alto nivel, análisis de tendencia de riesgos e informes y cuadros de mando de nivel ejecutivo
  • Sacar partido de las funciones para la colaboración, asignación de recursos, visualización, gestión de excepciones y contabilidad, lo que le permitirá alinear la gestión del riesgo empresarial con los procesos de gestión de la estrategia corporativa.
Si quieren más info, ya saben por donde empezar...
Espero que les sea de utilidad el artículo. Saludos!

Comentarios

Publicar un comentario

Entradas populares de este blog

Usuarios por defecto en SAP (SAP*, DDIC, EARLYWATCH, etc)

Imagen
Hoy vamos a hablar de los usuarios por defecto del sistema SAP. Habitualmente estos usuarios los podemos encontrar no solo en R/3 si no que, en principio, también están presentes en los otros sistemas (BW, PI, Solution Manager, etc) Estos usuarios existen por diversos motivos, principalmente vinculados con el propio funcionamiento del sistema, la instalación o la configuración del mismo. DDIC Podemos encontrar en principio el usuario DDIC, el cual es el utilizado para la gestión del diccionario de datos, modificación de estructuras de datos, upgrades del sistema, etc. Por estos motivos el usuario no debe ser eliminado del sistema si no que por el contrario debe ser modificada su contraseña de origen la cual viene por defecto definida como 19920607, ya que dejar este usuario con la contraseño por defecto nos expondría a riesgos asociados con los permisos amplios del mismo para operar con el sistema. EARLYWATCH Este usuario si bien no posee permisos tan amplio...
Leer más

¿Qué es eso de la "Clase Media"?

Imagen
¡Hola Comunidad! De nuevo por acá, desde esta humilde tribuna, para reflexionar con ustedes algunos de los contenidos que suelo estudiar en estos tiempos de crisis. Les cuento, como algunos de ustedes saben, me gusta mantenerme informado con diversas fuentes de información, tanto nacionales como internacionales. Hace algunos años, conocí a la filósofa española Marina Garcés a través del Medio Español "El País" y desde ahí comencé a seguir sus publicaciones y charlas. Eran épocas complicadas para España, pasaban por una crisis social y económica gravísima. Viendo lo que ocurre en la actualidad en nuestro País (no muy lejano a la España de 2018), no pude dejar de hacer match con un artículo de ese mismo Medio en donde literalmente quede "knockout" con una frase de Marina, debo reconocer, un tanto desalentadora, pero cierta; "En otros tiempos, lo bueno estaba por llegar. Nos guiábamos por la idea de ir a mejor. Ahora hemos aceptado de alguna forma que ese futur...
Leer más

Posible error con VSFTPD

Imagen
Montando un Simple Servidor FTP, me encontré con varios errores al momento de la conexión (es mi primera vez montando un servidor FTP utilizando la herramient VSFTPD, en Linux CentOS). Comenzemos; ya instalado el software en mi máquina, al intentar acceder vía FTP presentaba errores como estos con mi cliente FTP: 500 OOPS: cannot change directory:/home/ Para resolver este error, es necesario ejecutar las siguientes líneas en una terminal: # getsebool -a | grep ftp (para consultar el estado de las configuraciones FTP). Como se logra apreciar, están todas las configuraciones en OFF (por eso el directorio no es accesible). Para corregir esto, usaremos el siguiente comando: # setsebool -P ftp_home_dir on (esperamos un poco...) una vez finalizado el proceso, volvemos a ejecutar el primer comando para verificar la corrección de los parámetros: Ahora chequeamos nuestro cliente FTP y probamos la conexión:  Espero les haya servido este pequeño tip ! Sa...
Leer más