Gli impianti di produzione spesso utilizzano computer desktop Windows condivisi, a cui accedono più utenti durante la giornata. Questi dispositivi in genere eseguono applicazioni critiche come SAP, dove vengono utilizzati codici di transazione (Tcode) sensibili per svolgere attività operative. Tuttavia, quando tutti gli utenti accedono utilizzando un singolo account Windows condiviso, le organizzazioni perdono la visibilità su:
- Quale utente ha avuto accesso a quale dispositivo e in quale momento?
- Quali transazioni SAP vengono eseguite?
- Per quanto tempo rimangono connessi?
- L'attività sensibile è stata eseguita da un utente autorizzato?
- Come garantire un'autenticazione adeguata, il controllo delle sessioni e la responsabilizzazione?
Per affrontare queste sfide, miniOrange Data Loss Prevention (DLP) offre una soluzione di accesso condiviso per gli utenti , combinata con SAP Activity Monitoring , che garantisce visibilità, tracciabilità e sicurezza complete per gli ambienti condivisi.
Dichiarazione problema
Un cliente con numerosi computer desktop Windows distribuiti nel proprio stabilimento ha riscontrato i seguenti problemi:
Mancanza di responsabilità a livello utente
A tutte le macchine si accedeva utilizzando lo stesso account utente locale di Windows. Di conseguenza:
- Non c'era modo di identificare quale utente avesse effettivamente effettuato l'accesso a uno specifico sistema.
- Tutte le attività risultavano associate allo stesso nome utente.
- Non è stato possibile risalire a eventuali abusi, violazioni delle norme o falle nella sicurezza.
Nessuna identificazione utente SAP
SAP era installato su queste macchine condivise, ma:
- Gli utenti accedevano a SAP senza alcun monitoraggio o mappatura delle identità.
- Non era possibile tracciare quale utente reale avesse avviato SAP.
- È possibile che le transazioni sensibili vengano eseguite senza supervisione.
Nessun controllo sull'accesso e sulle sessioni degli utenti.
Poiché tutti i dispositivi condividevano un unico login:
- Non era possibile autenticare gli utenti singolarmente.
- L'autenticazione a più fattori non poteva essere applicata.
- Gli utenti inattivi non potevano essere disconnessi automaticamente.
- Non era possibile disconnettere da remoto gli utenti a rischio.
- Queste lacune ponevano sfide significative in termini di sicurezza, conformità e audit.
Dettagli di implementazione
Flusso di accesso basato sull'identità
- miniOrange IdP memorizza tutte le identità degli utenti.
- Successivamente, l'autenticazione dell'utente viene instradata attraverso il modulo di accesso condiviso.
- Il modulo autentica l'utente tramite miniOrange IdP e concede l'accesso all'account Windows locale.
- L'accesso locale a Windows è standardizzato su tutti i sistemi. Pertanto, l'autenticazione a più fattori può essere imposta in base a criteri specifici.
Integrazione del monitoraggio SAP
- Lo scripting SAP GUI viene utilizzato per leggere i codici transazione (Tcode) inseriti dagli utenti.
- Un agente di monitoraggio leggero cattura tutte le azioni dell'utente.
- I log vengono trasmessi in modo sicuro al backend DLP di miniOrange.
Console di visibilità centralizzata: gli amministratori possono visualizzare:
- L'attività di accesso di ciascun utente su tutti i dispositivi.
- Report sull'utilizzo di SAP.
- Avvisi di violazione del codice transazione.
- Eventi di timeout per inattività e disconnessione forzata.
Risultati e benefici principali
Per risolvere queste problematiche, miniOrange ha implementato due componenti coordinate:
Responsabilità e tracciabilità ripristinate
Anche se i dispositivi continuano a utilizzare un account Windows condiviso, miniOrange garantisce:
- Lo saprai sempre quale utente reale ha avuto accesso al sistema.
- Sono disponibili report dettagliati a livello di singolo utente.
Visibilità delle attività SAP
Monitora tutto ciò che accade all'interno dell'interfaccia utente SAP:
- Gli eventi di accesso/disconnessione vengono tracciati.
- Gli eventi di avvio/uscita da SAP vengono tracciati.
- Vengono tracciati i codici transazione sensibili a cui si accede.
- Il flusso della sessione utente viene tracciato.
Forti misure di sicurezza
Con funzionalità miniOrange:
- L'autenticazione a più fattori (MFA) è obbligatoria per tutti gli utenti.
- È possibile effettuare il logout remoto dell'utente.
- Il timeout di inattività della sessione è obbligatorio.
- Viene applicato un controllo degli accessi basato su criteri predefiniti.
Efficienza operativa
- Non è necessario creare account Windows individuali per ogni utente.
- Gli utenti si autenticano utilizzando le credenziali del provider di identità esistente.
- Funziona perfettamente su tutti i dispositivi condivisi.
Navigazione sicura con Chrome su dispositivi aziendali e BYOD.
Controlla l'accesso al web, applica le policy del browser e proteggi i dati aziendali con Chrome protetto da MDM.
Inizia la prova gratuita
Richiedi un demo
Conclusione
Implementando miniOrange Shared User Login e SAP Activity Monitoring, le organizzazioni possono trasformare i desktop condivisi non sicuri in punti di accesso completamente tracciabili e basati sull'identità. La soluzione offre:
- Identità utente verificata per ogni accesso
- Rigidi controlli di autenticazione.
- Visibilità completa sull'utilizzo di SAP.
- Protezione contro attività non autorizzate.
- Reportistica centralizzata per audit e conformità
Ciò garantisce sia l'efficienza operativa che una solida sicurezza per gli ambienti con dispositivi condivisi.
