SAP S/4HANA Rollen- und Berechtigungskonzept für Universitätsklinikum Heidelberg

Die ausgeschriebenen Leistungen umfassen die Analyse der Anforderungen an die Rollen und Berechtigungen im SAP S/4HANA-System unter Berücksichtigung der Vorarbeiten. Weiterhin die Erstellung und Abstimmung eines SAP Rollen- und Berechtigungskonzepts zur Gewährleistung eines sicheren und effizienten Arbeitsumfeldes in der zukünftigen SAP S/4HANA-Umgebung. Die Umsetzung bzw. Implementierung des erarbeiteten Rollen- und Berechtigungskonzepts in die zukünftige SAP S/4HANA-Umgebung des Auftraggebers ist ebenfalls Bestandteil. Unterstützung bei Einführung und Inbetriebnahme des Rollen- und Berechtigungskonzepts in der SAP S/4HANA-Umgebung ist gefordert. Zudem sind Wartung und Pflege, Service und Support sowie ergänzende Unterstützungsleistungen in der Wirkbetriebsphase zu erbringen. Das Konzept soll das Risiko von Datenverlusten, Manipulationen oder unbefugten Änderungen minimieren und die Datenqualität verbessern. Es soll die Durchführung von Audits und Reviews erleichtern und die Benutzerverwaltung vereinfachen. Das Konzept und die Implementierung müssen die Empfehlungen des BSI und die Verordnungen für kritische Infrastrukturen (KRITIS) erfüllen. Die Summe aus Administrationskosten und Lizenzkosten soll minimiert werden. Die Komplexität soll reduziert werden, indem möglichst viele Benutzer mit einer Standard-Rolle ausgestattet werden. Die Systemanalyse umfasst die Ermittlung der vorliegenden Rahmenbedingungen und die Analyse und Bewertung von Schwachstellen. Das Konzept soll funktionsbasierte Rollen, Businessrollen, FIORI-Rollen und SoD-Konfliktfreie-Rollen berücksichtigen. Es ist eine sehr granulare Berechtigungsunterscheidung erforderlich, einschließlich Transaktionsberechtigungen, Objekt-Berechtigungen und Autorisationsobjekten. Es sind Rollenprofile und Userprofile zu erstellen sowie ein Batch- und RFC-Benutzerkonzept. Ein auditsicheres Notfalluserkonzept ist zu spezifizieren und zu dokumentieren. Es werden organisatorische Bereiche unterschieden, die im Konzept zu behandeln sind, wie Berechtigungsbereich und Unternehmensbereiche. Die Prozesse umfassen Rollenpflegeprozess und Berechtigungsüberprüfung. Der Bieter wird gebeten, seine Präferenz für eine FIORI-First- oder FIORI-Last-Strategie zu erläutern und zu begründen. Der Zugriff auf die Archive muss in entsprechenden Rollen vergeben werden (Role Based Access Control – RBAC). Der Auftraggeber erwartet eine detaillierte Behandlung potenzieller Sicherheitsbedrohungen mit Blick auf das Rollen- und Berechtigungskonzept. Eine gut strukturierte und aktuelle Dokumentation des Rollen- und Berechtigungskonzeptes ist erforderlich. Der Zugriff auf Tabellen/Daten (per SAP-Queries/Quick Viewer etc.) muss konzeptionell geregelt sein. Die Dateiablagen der Bereiche sind in unterschiedlichen Verzeichnissen zu strukturieren. Die Erzeugung von Kundentransaktionen sowie die Pflege der SU24 ist durch den Auftragnehmer zu leisten. Die User haben nur Berechtigungen auf ihre eigenen Spoolaufträge. Die Drucker im SAP-System haben eine Namenskonvention. Die User dürfen nur auf den für sie vorgesehenen Druckern drucken.