Documento interno

1. VERSIÓN1
FECHA: JUNIO 2020
DOCUMENTO DE ACCIÓN
INFORMEDENORMATIVAS Y POLITICAS DE
SEGURIDAD ABSIDE
NOMBRE DEL CLIENTE: INTERDIN S.A.INTERDIN S.A.
CÓDIGO DEL CLIENTE:
NÚMERO DE TICKET:
CARACAS – VENEZUELA

2. INFORMACIÓN DE ROLES
Cliente Solicitante Correo Teléfono Celular
Interdin S.A. Interdin S.A.
Service Manager Correo Teléfono Celular
Gustavo Muller
Técnico Responsable Correo Teléfono Celular
Norelis Santander

3. 1. DESCRIPCIÓN DE LA ACTIVIDAD
SE REALIZÓ UNA EVALACIÓN DE LOS SIGUIENTES ASPECTOS DE SEGURIDAD EN EL
SISTEMA SOLMAN ABSIDE SMA.
 RECOMENDACIONES DE SEGURIDAD DEL SISTEMA
 LOG DE AUDITORÍA DE SEGURIDAD
 SEGURIDAD DE GATEWAY RFC
 SEGURIDAD MESSAGE SERVER
 PASSWORD POLICY
 PROTECCIÓN DE CONTRASEÑAS EN CONEXIONES DE BASE DE DATOS
 AUTORIZACIONES CRITICAS
 ESTÁNDARES DE SEGURIDAD DE SERVIDORES EN AMAZON WEB SERVICES
(AWS)
 SERVICIOS DE SEGURIDAD, IDENTIDAD Y CONFORMIDAD DE AWS.
 GESTIÓN DE AUTENTICACIÓN.
 GESTIÓN DE AUTORIZACIONES.
 SEGURIDAD DE SISTEMAS.
 CANALES DE SEGURIDAD.
 SEGURIDAD DE LA DATA, DATA FLOW Y PROCESOS.
2. ACCIONES REALIZADAS
RECOMENDACIÓNES DE SEGURIDAD DEL SISTEMA
SE HAN APLIZADO LAS RECOMENDACIONES DE SEGURIDAD EL SISTEMA DE
ACUERDO A LA GUÍA DE SEGURIDAD SYSTEM RECOMMENDATIONS (ABAP)
LOG DE AUDITORÍA DE SEGURIDAD

4. SE MANTIENE ACTIVO EL LOG DE AUDITORIA DE SEGURIDAD SIN PRESENTAR
VULNERABILIDADES.
SEGURIDAD DE GATEWAY RFC
EL PARÁMETRO DE PERFIL GW/ACL_MODE ESTÁ ESTABLECIDO EN 1 DE ACUERDO A
LA RECOMENDACIÓN DE SAP, BASADA EN LAS MEJORES PRÁCTICAS DE LA NOTA
SAP 1480644, LO CUAL GARANTIZA COMPORTAMIENTO PREDETERMINADO SEGURO
EN CUALQUIERA DE LAS LISTAS DE CONTROL DE ACCESO DEFINIDAS POR LOS
PARÁMETROS DE PERFIL GW/SEC_INFO Y GW/REG_INFO.
SEGURIDAD MESSAGE SERVER
LA COMUNICACIÓN INTERNA DEL SISTEMA SE ENCUENTRA PROTEGIDA DADA LA
CONFIGURACIÓN DEL PARÁMETRO DE PERFIL SYSTEM/SECURE_COMMUNIC ATIO N
DE ACUERDO A LA NOTA SAP 821875.
PASSWORD POLICY
LA POLITICA DE CONTRASEÑAS SE ENCUENTRA ESTABLECIDA DE ACUEDO A LAS
MEJORES PRACTICAS DE LA NOTA SAP 862989 Y SAP NETWEAVER AS ABAP
SECURITY GUIDE, QUE INCLUYEN ASIGNACIÓN DE UN VALOR MÍNIMO DE 8 AL
PARÁMETRO DE PERFIL LOGIN/MIN_PASSWORD_L NG, EL MANEJO DE USUARIOS DE
TIPO C (COMUNICACIÓN) CON CONTRASEÑAS INICIALES Y LA REESTRICCIÓN DE LA
VALIDEZ DE LAS CONTRASEÑAS A 14 DÍAS O MENOS.
PROTECCIÓN DE CONTRASEÑAS EN CONEXIONES DE BASE DE DATOS

5. LAS CONTRASEÑAS EN CONEXIONES DE BASE DE DATOS SE ENCUENTRAN
PROTEGIDAS, DADA LA EJECUCIÓN DEL PASO DE POSPROCESAMIENTO MANUAL
DESCRITO EN LA NOTA DE SEGURIDAD DE SAP 1823566.
AUTORIZACIONES CRITICAS
AUTORIZACIONES CRITICAS ESTABLECIDAS DE ACUERDO A LAS MEJORES PRÁCTIC AS
DE SAP DE ACUERDO A LA NOTA SAP 863362.
ESTÁNDARES DE SEGURIDAD DE SERVIDORES EN AMAZON WEB SERVICES (AWS)
PROTECCIÓN DE DATOS
DE ACUERDO AL COMPLIANCE DE AMAZON WEB SERVICES: AWS PROPORCIONA
SERVICIOS DE PROTECCIÓN DE DATOS QUE INCLUYEN: CIFRADO, ADMINISTRAC IÓ N
DE CLAVES Y DETECCIÓN DE AMENAZAS QUE MONITORIZAN Y PROTEGEN
CONTINUAMENTE LAS CUENTAS Y CARGAS DE TRABAJO.
PROTECCIÓN DE RED Y APLICACIÓN
DE ACUERDO AL COMPLIANCE DE AMAZON WEB SERVICES: AWS INSPECCIONAN Y
FILTRAN EL TRÁFICO PARA IMPEDIR EL ACCESO NO AUTORIZADO A LOS RECURSOS
EN LOS LÍMITES A NIVEL DE HOST, RED Y APLICACIÓN.
DETECCIÓN DE AMENAZAS Y MONITOREO CONTINUO
DE ACUERDO AL COMPLIANCE DE AMAZON WEB SERVICES: AWS IDENTIFICA LAS
AMENAZAS MEDIANTE EL MONITOREO CONTINUO DE LA ACTIVIDAD DE LA RED Y
DEL COMPORTAMIENTO DE LA CUENTA DENTRO DEL ENTORNO DE SU NUBE.
CONFORMIDAD Y PRIVACIDAD DE DATOS
DE ACUERDO AL COMPLIANCE DE AMAZON WEB SERVICES: AWS MONITORIZ A
CONTINUAMENTE EL ENTORNO UTILIZANDO COMPROBACIONES DE CONFORMIDAD
AUTOMATIZADAS BASADAS EN LAS PRÁCTICAS RECOMENDADAS DE AWS.
SERVICIOS DE SEGURIDAD, IDENTIDAD Y CONFORMIDAD DE AWS:

6. CATEGORÍA CASOS DE USO
IDENTITY & ACCESS MANAGEMENT
ADMINISTRACIÓ N DEL ACCESO DE USUARIOS
Y LAS CLAVES DE CIFRADO
SERVICIO DE INICIO DE SESIÓN ÚNICO (SSO)
EN LA NUBE
ADMINISTRACIÓ N DE IDENTIDADES PARA
LAS APLICACIONES
MICROSOFT ACTIVE DIRECTORY
ADMINISTRADO
SERVICIO SIMPLE Y SEGURO PARA
COMPARTIR RECURSOS DE AWS
GOBERNANZA Y ADMINISTRACIÓ N
CENTRALIZAD AS EN CUENTAS DE AWS
DETECCIÓN CENTRO UNIFICADO DE SEGURIDAD Y
CONFORMIDAD
SERVICIO ADMINISTRADO DE DETECCIÓN DE
AMENAZAS
ANALICE LA SEGURIDAD DE LAS
APLICACIONES
REGISTRE Y EVALÚE LAS CONFIGURACIO NES
DE SUS RECURSOS DE AWS
REALICE UN SEGUIMIEN TO DE LA ACTIVIDAD
DE LOS USUARIOS Y EL USO DE LAS API
ADMINISTRACIÓ N DE LA SEGURIDAD PARA
DISPOSITIVOS COMPATI BLES CON IOT
PROTECCIÓN DE INFRAESTRUCTURAS SEGURIDAD DE LA RED
PROTECCIÓN FRENTE A ATAQUES DDOS
FILTRADO DEL TRÁFICO WEB
MALINTENCIO NADO
ADMINISTRACIÓ N CENTRAL DE REGLAS DE
FIREWALL
PROTECCIÓN DE DATOS ADMINISTRACIÓ N Y ALMACENAMI ENTO
CLAVE
ALMACENAMIENTO DE CLAVES EN
HARDWARE A EFECTOS DE CONFORMIDAD
NORMATIVA
APROVISIONAMIENTO , ADMINISTRACIÓ N E
IMPLEMENTACIÓ N DE CERTIFICADOS
PÚBLICOS Y PRIVADOS SSL/TLS
ALTERNE, ADMINISTRE Y RECUPERE DATOS
CONFIDENCIALES

7. GESTIÓN DE AUTENTICACIÓN:
DE ACUERDO A LA GUIA DE SEGURIDAD DE SAP (SECURITY OPTIMIZATION GUIDE -
SAP SOLUTION MANAGER 7.2) SE SIGUEN LAS SIGUIENTES RECOMENDACIONES:
 PROTECCIÓN DE CONTRASEÑAS Y CLAVES DE ENCRIPTACIÓN.
 CAMBIO DE NOMBRES DE USUARIO Y CONTRASEÑAS PREDETERMINADOS.
 RESTRICCIÓN DEL ACCESO AL ALMACENAMIENTO DE CREDENCIALES.
 DEFINICIÓN DE DIFERENTES CREDENCIALES EN DESARROLLO Y SISTEMAS
PRODUCTIVOS.
 USO DE CREDENCIALES AJUSTADAS CON PRECISIÓN EN LOS NIVELES DE
USUARIO (SEGREGACIÓN DE FUNCIONES).
 ALMACENAJE DE LAS CREDENCIALES EN ALMACENAMIENTOS PROTEGIDOS.
 VERIFICACIÓN CONSTANTE A TODOS LOS USUARIOS EN BUSCA DE USUARIOS
OBSOLETOS A FIN DE ELIMINARLOS EN CONSECUENCIA.
GESTIÓN DE AUTORIZACIONES:
DE ACUERDO A LA GUIA DE SEGURIDAD DE SAP (SECURITY OPTIMIZATION GUIDE -
SAP SOLUTION MANAGER 7.2) SE SIGUEN LAS SIGUIENTES RECOMENDACIONES:
 DIVISIÓN DE RESPONSABILIDADES CON RESPECTO A LA GESTIÓN DE ROLES Y
USUARIOS.
 IMPLEMENTACIÓN DE LA SEGREGACIÓN DE FUNCIONES COMO PARTE DEL
CONCEPTO DE AUTORIZACIÓN
 IMPLEMENTACIÓN DE UN CONTROL DE ACCESO ESTRICTO CON
AUTORIZACIONES MÍNIMAS PARA LAS TAREAS.
 PROTECCIÓN DEL ACCESO DE AUTORIZACIÓN Y AUTENTICACIÓN.
SEGURIDAD DE SISTEMAS:
DE ACUERDO A LA GUIA DE SEGURIDAD DE SAP (SECURITY OPTIMIZATION GUIDE -
SAP SOLUTION MANAGER 7.2) SE SIGUEN LAS SIGUIENTES RECOMENDACIONES:
 PROTECCIÓN DE RED Y CIERRE DE PUERTOS.
 SEPARACIÓN DE LOS SISTEMAS PRODUCTIVOS DE LOS SISTEMAS DE
DESARROLLO Y PRUEBA.
 CONFIGURAR Y ACTUALIZACIÓN DE ACUERDO A LAS MEJORES PRÁCTICAS.
 IMPLEMENTACIÓN REGULAR DE PARCHES DE SEGURIDAD.
CANALES DE SEGURIDAD:
DE ACUERDO A LA GUIA DE SEGURIDAD DE SAP (SECURITY OPTIMIZATION GUIDE -
SAP SOLUTION MANAGER 7.2) SE SIGUEN LAS SIGUIENTES RECOMENDACIONES:
 RELACIÓN DE CONFIANZA EN SAP SOLUTION MANAGER UNILATERAL.

8.  CONFIGURACIÓN DE RELACIONES DE CONFIANZA ENTRE EL SISTEMA
GESTIONADO Y SAP SOLUTION MANAGERA A TRAVÉS DE LLAMADAS
CONFIABLES DE SOLUTION MANAGER A UN SISTEMA GESTIONADO.
SEGURIDAD DE LA DATA, DATA FLOW Y PROCESOS:
DE ACUERDO A LA GUIA DE SEGURIDAD DE SAP (SECURITY OPTIMIZATION GUIDE -
SAP SOLUTION MANAGER 7.2) SE SIGUEN LAS SIGUIENTES RECOMENDACIONES:
 AJUSTE DE CUALQUIER OBJETO DE AUTORIZACIÓN QUE SE ENCUENTRE CON
VALOR DE CAMPO GENÉRICO.
3. OBSERVACIÓN Y/O RECOMENDACIONES ADICIONALES