De una gestión manual a un modelo de seguridad SAP más gobernado
Fibra Danhos necesitaba evolucionar la gestión de roles, autorizaciones y riesgos SoD para ganar trazabilidad, estructurar las decisiones de acceso y facilitar el mantenimiento del modelo en el tiempo.
Cuando el acceso depende demasiado de la gestión manual
Fibra Danhos es una organización mexicana del sector inmobiliario que utiliza SAP dentro de un entorno sujeto a necesidades crecientes de control y auditoría.
El modelo de seguridad necesitaba evolucionar para reducir la dependencia de procesos manuales y aportar mayor trazabilidad sobre la asignación y revisión de permisos.
Demasiada intervención manual
La gestión de permisos requería procesos manuales que aumentaban la complejidad operativa.
Conflictos SoD que necesitaban tratamiento
Existían conflictos que debían analizarse y gestionarse dentro de un modelo de riesgo estructurado.
Trazabilidad insuficiente
Documentar por qué se concedía un acceso y recuperar esa evidencia para auditoría resultaba más complejo.
Más exigencia sobre el modelo
Los requerimientos de auditoría y controles SOX exigían mayor capacidad para demostrar cómo se gobernaban los accesos.
Automatizar no era suficiente. Había que rediseñar el modelo.
Automatizar un proceso existente no corrige por sí solo cómo están construidos los roles ni cómo se toman las decisiones de acceso. El proyecto debía actuar sobre ambas capas: el modelo de seguridad y la forma de gestionarlo.
Roles desde el proceso
Vincular el modelo de roles con tareas y necesidades reales de negocio.
Incorporar el riesgo
Identificar conflictos SoD y contemplarlos dentro de las decisiones sobre los accesos.
Reducir gestión manual
Estructurar asignaciones y validaciones para reducir tareas manuales recurrentes.
Poder explicar cada decisión
Conservar trazabilidad y evidencia para facilitar revisiones y auditorías posteriores.
Cambiar el modelo antes de cambiar la forma de gestionarlo
El trabajo se organizó en cuatro fases para entender primero el modelo existente, diseñar el objetivo y trasladar después los cambios a la operación.
Diagnóstico
Evaluar el modelo existente y localizar los puntos que necesitaban revisión.
Diseño
Construir el nuevo modelo de roles y definir cómo incorporar los controles de riesgo.
Implementación
Trasladar el modelo a la gestión de permisos y estructurar una mayor automatización de los procesos.
Validación
Probar los cambios, validarlos con los usuarios implicados y acompañar su adopción.
Cuatro capas que necesitaban funcionar como un único modelo
El proyecto conectó diseño de roles, tratamiento del riesgo, gestión de accesos y trazabilidad para evitar que cada necesidad se resolviera de forma aislada.
Roles
Construcción orientada a procesos y tareas para mejorar la alineación entre acceso y función.
SoD
Identificación y tratamiento de conflictos como parte del propio modelo de seguridad.
Accesos
Una gestión más estructurada y automatizada de asignaciones y validaciones.
Trazabilidad
Documentación para respaldar decisiones y facilitar posteriores procesos de revisión y auditoría.
Más importante que automatizar: saber qué estás automatizando
La evolución del modelo permitió reducir dependencia de tareas manuales y trabajar sobre una estructura con mayor trazabilidad, capacidad de control y alineación con los procesos.
Roles más alineados
El diseño parte de tareas y procesos para acercar el acceso a la función que debe desempeñarse.
Menos gestión manual
La estructuración y automatización del proceso reduce dependencia de intervenciones manuales recurrentes.
Mayor trazabilidad
Las decisiones sobre accesos cuentan con una base más clara para documentarse y revisarse.
Más capacidad de gobierno
Un modelo más estructurado facilita mantener y justificar los accesos cuando la organización vuelve a cambiar.
Coordinadora de Proyectos SAP · Fibra Danhos
Lo que puede trasladarse a otros modelos SAP
La tecnología facilita el cambio, pero las decisiones de negocio, auditoría y seguridad siguen determinando si el modelo puede mantenerse después del proyecto.
Automatizar el acceso empieza por entender qué acceso debe existir
Si tu organización necesita revisar roles, conflictos SoD o la forma en que se asignan y documentan los accesos, podemos empezar analizando el modelo actual.