Reducir riesgos SoD sin frenar la operación
Evolucionar un modelo de autorizaciones SAP no consiste solo en eliminar conflictos. El reto es reducir la exposición al riesgo sin comprometer los procesos que necesita el negocio.
por usuario
conflictos SoD
por usuario
en usuarios
El modelo había evolucionado. El riesgo también.
PRIM es una compañía española del sector salud con presencia internacional que utiliza SAP para soportar procesos relevantes de negocio.
Como ocurre en entornos SAP con recorrido, roles, perfiles y asignaciones habían evolucionado junto con la organización, aumentando la complejidad del modelo de autorizaciones.
Más complejidad acumulada
La evolución de roles, perfiles y asignaciones hacía necesario revisar si el modelo seguía reflejando las necesidades actuales.
Conflictos que necesitaban contexto
No bastaba con localizar conflictos SoD. Había que entender qué riesgo representaban y qué accesos eran realmente necesarios.
El negocio tenía que seguir funcionando
Cualquier modificación sobre roles y autorizaciones debía considerar su impacto antes de trasladarse al entorno operativo.
Reducir exposición sin convertir la remediación en otro problema
El objetivo no era reducir conflictos a cualquier precio. Era determinar dónde existía riesgo, qué accesos seguían siendo necesarios y cómo modificar el modelo sin perder continuidad operativa.
Qué se considera riesgo
Partir de una matriz de riesgos validada y de criterios compartidos.
Dónde aparece
Revisar roles, usuarios, accesos críticos y conflictos SoD.
Qué debe cambiar
Diferenciar acceso necesario, riesgo operativo y autorización heredada.
Sin perder el control
Ejecutar los cambios de forma progresiva y evaluar su impacto.
De una fotografía del riesgo a un modelo capaz de evolucionar
El proyecto combinó análisis del riesgo, revisión del modelo de autorizaciones, remediación progresiva y mecanismos para facilitar su mantenimiento posterior.
Validar el criterio de riesgo
La matriz de riesgos actuó como referencia común para definir qué debía analizarse dentro del sistema.
Revisar roles y autorizaciones
Se analizaron conflictos, accesos críticos y autorizaciones para entender qué estaba ocurriendo realmente.
Remediar de forma progresiva
Los cambios se plantearon de forma estructurada, evitando modificaciones masivas sin considerar el impacto operativo.
Preparar el control continuo
El modelo resultante debía poder mantenerse y evolucionar después de la fase inicial de remediación.
La tecnología acompañó cada decisión del modelo
SARC, SFS y AAM intervinieron en fases diferentes del proyecto, desde el análisis del riesgo hasta la evolución y mantenimiento del modelo de accesos.
SARC
Apoyó el análisis de los conflictos frente a la matriz de riesgos y la revisión del riesgo asociado a usuarios, roles y accesos.
SFS
Apoyó la evolución del modelo de roles buscando una mayor alineación con procesos, funciones y criterios de riesgo.
AAM
Facilitó la evolución hacia una gestión más estructurada del ciclo de acceso y su relación con la organización.
Los números cuentan una parte. El modelo también cambió.
La reducción cuantitativa del riesgo vino acompañada de una evolución en la forma de entender, mantener y justificar el modelo de accesos.
Menor exposición al riesgo
La reducción de riesgos, conflictos y transacciones críticas permitió disminuir la exposición del modelo.
Un modelo más manejable
Simplificar autorizaciones y revisar la construcción de roles facilitó trabajar sobre una estructura más gestionable y mantenible.
Más capacidad para justificar decisiones
Un modelo más estructurado aporta una mejor base para la trazabilidad, el control continuo y la respuesta ante auditoría.
Lo que puede trasladarse a otros entornos SAP
Cada modelo es diferente, pero el proyecto deja criterios útiles para organizaciones que necesitan evolucionar desde revisiones puntuales hacia un gobierno más continuo.
Reducir el riesgo es una parte. Mantener el modelo es la siguiente.
Si tu organización está revisando roles, accesos o conflictos SoD, podemos analizar el punto de partida y valorar qué merece la pena cambiar antes de actuar.