SoD & RA
각각은 정상인 권한입니다.
그런데 한 사람에게 겹치면
내부회계 '중대 결함'이 됩니다.
거래처를 등록하는 권한도, 대금을 지급하는 권한도 각각은 정상 업무 권한입니다. 그러나 한 사람이 둘 다 가지면 가공 거래가 가능해집니다.
OWLens는 기본 제공 룰셋으로 전체 사용자와 Role을 분석해 직무분리 위반을 판정하고, 그 자체로 위험한 강력 권한(RA) 보유까지 함께 확인합니다.
권한 목록을 아무리 봐도,
충돌은 조합에서 드러납니다.
상장사의 내부회계관리제도에서 접근통제는 감사인이 가장 집중적으로 확인하는 영역이며, 직무분리 위반은 중대 결함으로 이어집니다.
그런데 위험한 권한을 찾는 일은 성격이 다른 두 가지 작업입니다. 하나는 SAP_ALL 같은 강력 권한을 누가 갖고 있는지 찾는 일이고, 다른 하나는 개별로는 정상인 권한이 한 사람에게 겹쳐 충돌을 만드는지 찾는 일입니다. 두 번째는 권한의 조합에서만 드러나기 때문에, 개별 권한 목록을 아무리 살펴봐도 확인하기 어렵습니다.
SAP 표준 도구는 Role이 유효한지만 확인할 뿐, 여러 Role이 합쳐져 생기는 충돌은 보지 않습니다. 무엇이 충돌인지 정의한 규칙도 기본으로 제공되지 않습니다.
강력 권한 역시 어느 Profile과 권한 객체가 위험한지 판단하려면 권한 체계에 대한 전문 지식이 필요하고, 그 기준을 조직이 직접 정의해야 합니다.
위반은 조용히 누적되다가 감사 시점에 한꺼번에 드러나고, '그 기간 내내 문제가 없었음'을 증명할 근거는 그때 가서 재구성해야 합니다.
각각은 정상 업무 권한인데, 한 사람에게 겹치면 혼자서 완결할 수 있게 되는 경우입니다. ITGC 접근통제의 의무 항목입니다.
예: 거래처 마스터를 관리하면서 대금 지급도 실행, 발주하면서 입고 처리도 수행
그 권한 하나만으로 시스템 전체를 열 수 있는 경우입니다. 조합이 아니라 보유 자체가 리스크입니다.
예: 모든 권한을 포함하는 Profile, 권한을 스스로 부여할 수 있는 권한, 모든 테이블을 수정할 수 있는 권한
OWLens는 이렇게 해결합니다.
수집된 권한 데이터를 대상으로, 기본 제공되는 룰셋에 따라 전체를 분석합니다. 표본이 아니라 전수이며, 직무분리와 접근 제한을 함께 또는 따로 볼 수 있습니다.
Profile이 생성된 Role만, 또는 User comparison이 완료된 Role만으로 대상을 좁힐 수도 있습니다. 룰셋은 조직의 기준에 맞게 추가·수정하거나 비활성화할 수 있습니다.
기본 제공 룰셋 자세히 보기위반은 Single Role · Composite Role · 사용자 세 층위로 집계되고, 각각 위험 수준과 함께 표시됩니다. Role 자체에 이미 충돌이 설계된 경우와 Role은 정상인데 사용자에게 여러 개가 겹쳐 발생한 경우는 조치 대상이 다릅니다.
▲ Single Role · Composite Role · 사용자 세 층위로 집계, 위험 수준과 함께 표시
위반 결과를 읽는 법위반 항목을 펼치면 충돌하는 두 직무의 권한이 좌우로 대조되어, 어떤 권한 객체의 어떤 필드·값 때문에 위반인지 그대로 드러납니다. '위반이 있다'가 아니라 '무엇 때문에 위반인지'가 남으므로, 그대로 감사 증빙이 되고 조치 대상도 확정됩니다.
분석 시점이 함께 기록되어 시점 간 비교와 감사 대응의 기준이 됩니다.
감사는 '없음'이 아니라 '증명'을 요구합니다.
표본이 아니라 그 기간 전체가 이것이 맞다는 모집단 완전성을 함께 요구합니다. 전체를 분석해야 답할 수 있습니다.
'지금 괜찮다'가 아니라 대상 기간 내내 유효했는지를 봅니다. 분석 시점이 기록되어야 그 흐름을 보일 수 있습니다.
완전 분리가 어려워 보완통제로 대응하는 경우에도, 무엇이 충돌인지 특정되어야 그에 맞는 통제를 설계할 수 있습니다.
위반이 없다고 말하는 것과, 없음을 보일 수 있는 것은 다릅니다. 근거가 남아 있어야 통제로 인정됩니다.
담당 업무별 활용 효과
직무분리 위반과 강력 권한 보유를 조직 차원에서 통제해, 감사 지적과 부정 리스크를 사전에 관리합니다.
담당 모듈에서 현업의 권한 조합이 업무상 위험한지 판단하고, 꼭 필요한 직무분리를 현업과 조정합니다.
충돌을 만드는 Role과 권한을 권한 객체 수준에서 특정해 정리하고, 조직에 맞게 룰셋을 관리합니다.
SAP 표준 도구와 OWLens 비교
권한 목록을 아무리 들여다봐도 조합은 보이지 않습니다. 규칙이 있어야 판정되고, 전수를 분석해야 증명됩니다.
보이지 않던 권한 위반, 지금 확인하십시오!
3개월 무료 데모와 설치·교육을 무상으로 제공합니다. 지금 바로 경험해 보세요.
무엇이 위반인지, 기준이 먼저 있어야 합니다.
SoD 매트릭스 · RA 권한 정의 : 기본 제공 후 조직에 맞게 조정
직무를 먼저 정의하고 그 조합으로 충돌을 표현하므로, Role 구성이 바뀌어도 직무 정의만 유지하면 규칙이 계속 유효합니다.
거래처를 등록·변경할 수 있는 사람이 대금 지급도 실행 (가공 거래처를 만들어 스스로에게 지급하는 경로)
지급을 실행하는 사람이 은행 대사도 수행 (불일치를 스스로 덮을 수 있음)
입고를 확인하는 사람이 지급도 실행 (실물 없이 지급이 성립)
고객 정보를 바꿀 수 있는 사람이 채권 정리도 수행
재무 프로세스에서 반복적으로 문제가 되는 조합이 기본으로 정의되어 있으며, 각각 위험 수준과 활성화 여부를 지정할 수 있습니다.
SAP_ALL치명적SAP의 모든 권한을 포함 (이 하나로 무엇이든 가능합니다.)SAP_NEW치명적새로 추가되는 권한을 자동으로 상속S_A.DEVELOP높음개발 권한 전체 (운영 시스템에서 코드 변경 가능)S_A.SYSTEM · S_A.ADMIN높음시스템 관리·Basis 운영 권한권한 객체·필드·값 조합으로 정의되거나, Profile 보유 자체로 정의됩니다. 각 항목은 활성화 여부를 지정할 수 있고, 조직의 기준에 맞게 추가·수정합니다.
예를 들어 RFC 관리 권한은 S_ADMI_FCD · S_RFC_ADM의 특정 필드 값과 해당 트랜잭션 코드 조합으로 정의됩니다. 이름만이 아니라 무엇을 근거로 위험하다고 판정하는지가 그대로 드러나므로, 조직의 기준과 다르면 수정할 수 있습니다.
규칙 없이는 판정이 없습니다. 기본 룰셋으로 즉시 시작하고, 조직의 기준에 맞게 다듬어 갑니다.
어디에 있는 위반인지에 따라 조치가 다릅니다.
Single Role · Composite Role · 사용자
Role 설계의 문제라면 Role을 고쳐야 하고, 부여 운영의 문제라면 그 사용자에게 부여된 조합을 조정해야 합니다. 같은 위반이라도 층위에 따라 조치 대상이 다릅니다.
위반 항목을 펼치면 충돌하는 두 직무의 권한이 좌우로 대조됩니다. 어떤 권한 객체의 어떤 필드에 어떤 값이 들어 있어 위반으로 판정됐는지가 그대로 표시되므로, 결과를 신뢰할 수 있고 그대로 조치·증빙에 쓸 수 있습니다.
언제·어느 시스템·어느 클라이언트를 분석했는지 남아, 시점 간 비교와 감사 대응의 기준이 됩니다.
치명적·높음으로 구분되어, 수많은 항목 중 무엇부터 볼지 정해집니다.
직무분리만·접근 제한만·둘 다 중에서, 그리고 Profile이 생성된 Role만으로 좁혀 볼 수 있습니다.
분석 결과를 파일로 내려받아 감사 제출과 조치 관리에 사용합니다.
'위반이 있다'에서 끝나지 않고, 어디에·무엇 때문에·얼마나 위험한지까지 확인해 조치로 이어집니다.
