Hana Security - Nuevas dimensiones

Hasta ahora, el nivel de gestión de datos y el nivel de aplicación estaban claramente separados entre sí. Sólo los administradores de la base de datos se creaban como usuarios en la propia base de datos. Los desarrolladores y usuarios finales se encontraban en la pila Abap, donde tenía lugar toda la asignación de autorizaciones.

Distribución de nuevos usuarios

Aunque la mayoría de las aplicaciones del sucesor del ERP S/4 Hana se siguen mapeando a través de la pila Abap, ya se están produciendo muchos desarrollos en la propia base de datos de Hana.

BW/4 Hana, oficialmente no declarado como sucesor de SAP BW sino como un nuevo producto, ya está completamente mapeado en la base de datos Hana. Por lo tanto, ya no sólo los administradores de bases de datos actúan como usuarios en la base de datos Hana, sino también los desarrolladores y, en el futuro, cada vez más los usuarios finales.

Seguridad

Los niveles de seguridad en el funcionamiento de una BD de Hana son múltiples, ya que incluyen la seguridad de la BD y de las aplicaciones. Esto comienza con la seguridad de los servidores en los que se instala Hana.

Sólo puede instalarse en determinados derivados de Unix. El SSFS (Secure Store in the File System) se almacena en el sistema de archivos, en el que, entre otras cosas, se guardan las claves raíz para los cifrados.

Asimismo, los datos persistentes se almacenan en el sistema de archivos. A efectos de recuperación, Hana guarda imágenes de la BD en el disco duro del servidor Hana a intervalos regulares (savepoints) (almacenamiento persistente).

Por defecto, los datos persistentes se escriben en el disco duro sin cifrar. El cifrado debe activarse explícitamente.

La comunicación tampoco está cifrada en la instalación estándar. El protocolo Transport Layer Security (TLS)/Secure Sockets Layer (SSL) puede utilizarse para cifrar la comunicación interna y externa. Las conexiones no cifradas también se aceptan por defecto.

Para la seguridad del sistema, la configuración de los parámetros del sistema relevantes para la seguridad es sustancial. Estos también se almacenan en archivos de texto en Unix. Comparables a los parámetros del sistema de la pila Abap, controlan componentes como la autenticación, el cifrado y el registro.

Regulación del acceso

En cuanto a los usuarios configurados en Hana DB, la principal distinción es si son sólo para ejecutar aplicaciones (usuarios finales) o necesitan acceso a la propia base de datos (administradores, desarrolladores, auditores).

Los usuarios finales se definen como usuarios restringidos. Esto garantiza que no sea posible un inicio de sesión directo en la base de datos a través de ODBC/JDBC (por ejemplo, utilizando Eclipse).

Además, se les deben asignar explícitamente permisos para sus aplicaciones, mientras que a las cuentas de usuario normales ya se les asigna un rol con permisos básicos por defecto cuando se crean (rol de catálogo Público).

El registro también debe configurarse de forma específica para cada empresa. Si se genera automáticamente un gran número de registros sujetos a retención en la pila Abap, esto debe configurarse individualmente en la base de datos Hana.

Por ejemplo, el registro del mantenimiento de usuarios y la asignación de funciones deben activarse explícitamente. Esto también se aplica a los cambios en los parámetros del sistema y los ajustes para el cifrado.

Sólo para los cambios dentro del repositorio, es decir, el entorno de desarrollo, se generan automáticamente registros (versiones).

Un punto importante es, por supuesto, el concepto de autorización. Su funcionalidad se asigna de forma muy transparente en la base de datos de Hana, de modo que las autorizaciones de los usuarios finales pueden separarse claramente y de forma estructurada de las de los administradores y desarrolladores.

¿Volver a las raíces?

Actualmente, comprobar la seguridad de una base de datos de Hana sigue siendo un pequeño reto para los auditores, ya que no existen herramientas de comprobación en el estándar de Hana, excepto el editor SQL. Aquí, es "volver a las raíces" a través de comprobaciones directamente a nivel de tabla.

Afortunadamente, al menos configurar los permisos necesarios para los auditores es considerablemente más fácil de lo que era en la pila Abap.