Riesgos de Seguridad: SE16 y SM30

Consulta:

"¿Qué problema tiene que los funcionales tengan acceso a la transacción SE16?"

Antes de responder a la consulta, tenemos que aclarar conceptos sobre la SE16 y otras transacciones relacionadas.

Transacción SAP: SE16

Básicamente es una transacción para mostrar información de una tabla determinada. Cuando es "se16" es una transacción normal. A diferencia de cuando se habla de la transacción "SE16N" que se denomina transacción enjoy, ya que permite tener mayor personalización en cuanto a la interfaz de usuario.

Transacción SAP: SM30

Si bien, al igual que la SE16 (o SE16N) la SM30 permite acceder a la información de tablas, sólo podrá acceder a tablas con "actualización de diálogo", lo que en inglés se denomina: "tables with a maintaince dialog defined". Para explicarlo en forma práctica, si intentamos ingresar a una tabla cualquiera a través de la SM30, obtendremos el error SAP SV037: "Diálogo actualización p.XXXXXX está incompleto o no se ha definido". Tip: la trx. SE54 es la encargada de generar diálogos de actualización en tablas.

Es una transacción crítica, porque tiene muchísimas más atribuciones (si el usuario cuenta con acceso total) en comparación con la transacción SE16/N. Se recomienda deshabilitar el acceso a cualquier usuario.

Seguridad SAP

Para limitar éstas transacciones, se recomienda usar el objeto de seguridad "S_TABU_DIS"
Aquí, es importante considerar la vista: "V_DDAT_54" que tiene la asignación de grupos de autorización para tablas estandar del mandante.

Bajo ningún punto de vista deben tener acceso a la actividad "02" (modificar).
También revisar el objeto: "S_TABU_CLI", "S_TABU_LIN" y tener en cuenta "S_DEVELOP"

Hay mucho debate entre los gurúes de seguridad SAP sobre dar o no acceso a las transacciones para visualizar tablas. Sí, todos concuerdan en que la transacción SM30 no debe estar disponible para usuarios finales.

En nuestra investigación hemos leído administradores de seguridad SAP afirmar que aquellos que le quitan acceso a los usuarios a la SE16, es porque tienen un básico (o deficiente) nivel de gestión de seguridad SAP en sus organizaciones. Y por ello recomiendan quitar el acceso, al tener temor de que algún usuario (avanzado) encuentre la forma de manipular los datos de las tablas.

Por otro lado, otros administradores de seguridad SAP afirman que si la gestión de seguridad es eficiente, no hay nada que temer, y los usuarios pueden tener acceso a la SE16 dentro de una empresa, sin problemas.

Si eliminamos acceso a SE16/N; ¿cómo dar acceso a una tabla determinada?

A través de la transacción SAP se93, podemos crear una nueva transacción (opción: "transacción con parámetros") por ejemplo: SE16V_BSEG

De ésta forma aquellos usuarios que tienen acceso a esta transacción, podrán visualizar solo los datos de la tabla BSEG. Para ésto, en la transacción SE93, hacemos clic en las opciones "omitir imagen inicial", "Heredar propiedades GUI", y en nombre campo dynpro ponemos: "DATABROWSE-TABLENAME" y en valor: "BSEG". Con esto, guardamos la nueva transacción, y estaremos creando una transacción que permite acceder vía SE16 a la tabla determinada.

Otras cuestiones de seguridad

SAP_EDIT

¿Qué hay del famosos "&SAP_EDIT"?

Para evitar justamente las situaciones de viveza de aquellos usuarios SAP (que nunca se cansan de investigar), es que la mayoría de los administradores de seguridad que conozco le quitan el acceso a la SE16/N a todos sus usuarios. La transacción "&SAP_EDIT" debe ser usada con la mayor cautela posible, ya que si el usuario tiene autorizaciones, podrá modificar, borrar, o bien agregar datos a una tabla si así lo deseara. En este artículo no se ampliará este concepto, habrá más información sobre el mismo en manuales oficiales que brinda SAP para modificar tablas a través de las transacciones que citamos aquí. 

El "SAP_EDIT" funciona únicamente si los roles y perfiles lo permiten.

Si seguimos profundizando sobre seguridad, llegaremos al debate que tienen en todo SAP (ver SCN), hay gente que defiende la se16 como algo inofensivo, y otros consultores de seguridad indican que ésta transacción debe ser quitada para todos los consultores funcionales.

¿Usted qué piensa?