EN
Services de conseil IT et sécurité SAP à Genève
Conseil IT & Sécurité SAP

Nos Services de Conseil

Meylan Technologies & Consulting est un cabinet de conseil IT et SAP basé à Genève, au service des entreprises en Suisse Romande (Genève, Lausanne, Neuchâtel, Fribourg), en Suisse alémanique et à l'international. Nous proposons des services couvrant la migration SAP S/4HANA, la sécurité ERP et SAP, SAP GRC, les contrôles IT, l'audit IT, la cybersécurité, la gouvernance IA et l'analyse de données.

Grâce à notre expertise approfondie en gestion des risques IT et en audit, combinée à une connaissance étendue de l'écosystème SAP (ECC, S/4HANA, SAP BTP, RISE with SAP, GROW with SAP), nous garantissons à nos clients un accompagnement efficace et performant, depuis le cadrage stratégique jusqu'au go-live.

En bref

Partenariats

Pour les programmes de grande ampleur (transformation S/4HANA complète, déploiement SAP GRC à l'échelle d'un groupe, audits internationaux), nous collaborons avec des cabinets internationaux de premier plan en audit, risque et technologie. Cela vous garantit une équipe senior basée en Suisse, concentrée sur vos enjeux de sécurité et d'autorisations, adossée à la capacité de delivery fonctionnelle d'un grand cabinet lorsque le périmètre l'exige.

Services SAP

Voir notre page dédiée Sécurité SAP pour le périmètre complet de la spécialité, SAP GRC, autorisations, Firefighter/EAM et cybersécurité de la plateforme, sur ECC et S/4HANA.

1. Migration SAP S/4HANA

  • Assessment de readiness S/4HANA : diagnostic du code personnalisé, baseline SoD, préparation Fiori, évaluation de l'intégration et recommandation d'approche (Greenfield, Brownfield, Selective Data Transition).
  • Refonte des autorisations S/4HANA : conception des business roles, catalogue de rôles sans conflit SoD, processus Firefighter, intégration avec les fournisseurs d'identité.
  • Support au cutover et post-go-live : tests d'autorisations, préparation des accès d'urgence, revue des accès post-migration.
  • SAP Cloud, RISE et GROW with SAP : conseil sur le choix d'édition (Private Edition, Public Edition), modèle d'exploitation et implications sur le contrôle interne.

Plus d'informations dans notre guide Migration SAP S/4HANA en Suisse.

2. Sécurité et Autorisations SAP

  • Conception du concept d'autorisation : des rôles construits autour des fonctions réelles, sans conflit SoD par construction, documentés pour que vos auditeurs et votre support puissent les suivre. Pour S/4HANA, cela inclut les business roles, les catalogues et spaces Fiori, et les nouveaux objets d'autorisation.
  • Refonte des rôles : en greenfield ou en brownfield, nous refondons les rôles existants pour supprimer les conflits SoD structurels et les accès excessifs, avec un plan de bascule transparent pour vos utilisateurs.
  • Revue de la configuration de sécurité SAP : paramètres système, utilisateurs à privilèges (SAP_ALL, SAP_NEW, accès Basis), gestion des utilisateurs et baseline de sécurité SAP, avec une remédiation priorisée.
  • Sécurité RFC et des interfaces : durcissement des connexions RFC et de l'accès gateway, y compris UCON pour limiter les modules fonction appelables à distance.
  • Intégration des identités : raccorder le provisioning des utilisateurs SAP et les demandes d'accès à votre IAM (ServiceNow, Omada, Microsoft Entra ID, SuccessFactors) pour traiter de façon cohérente les arrivées, mobilités et départs.

3. SAP GRC & Analyse SoD

  • Évaluation et amélioration des rulesets SoD : Fournir une analyse et une optimisation des référentiels SoD au sein des solutions SAP Governance, Risk, and Compliance (GRC), garantissant l'alignement sur les normes de l'industrie et les exigences réglementaires (SOX, ISAE 3402, FINMA suisse).
  • Remédiation et atténuation des conflits SoD : Utiliser nos outils d'analyse de données, dont MTC Skopos, pour identifier et remédier aux conflits de Séparation des Tâches (SoD) sur SAP, S/4HANA et les systèmes non-SAP, réduisant les risques et assurant la conformité.
  • Conception et implémentation des processus Firefighter : Aider les clients à concevoir et à mettre en oeuvre des processus d'accès d'urgence, y compris la configuration des paramètres techniques et le déploiement à travers des structures organisationnelles complexes. Voir notre guide Conception des rôles Firefighter SAP.
  • Alternative à SAP GRC : Pour les organisations qui n'ont pas la taille pour justifier un déploiement SAP GRC complet, nous proposons des approches plus légères basées sur MTC Skopos. Voir SAP GRC ou MTC Skopos.

Sécurité SAP BTP & cloud

Une part croissante du paysage SAP tourne sur SAP Business Technology Platform : launchpads Fiori dans Build Work Zone, applications UI5 et CAP spécifiques, workflows, flux Integration Suite, et les services BTP fournis avec RISE with SAP. Chacun de ces éléments est un chemin vers S/4HANA, et chacun a ses propres comptes, autorisations, fournisseur d'identité et journaux.

Les revues de sécurité SAP classiques s'arrêtent au back-end S/4HANA, et les outils de gestion de la posture de sécurité cloud ne savent généralement pas se connecter à BTP. Nous le couvrons dans le cadre de notre pratique de sécurité SAP, avec la même rigueur que pour les rôles et la séparation des tâches dans l'ERP.

4. Services de sécurité SAP BTP

Revue de sécurité BTP

Une revue en lecture seule, fondée sur des preuves, d'un paysage BTP existant. Elle répond à deux questions : comment un utilisateur s'authentifie et quelle identité atteint réellement chaque système derrière l'application, et ce que l'application appelle réellement, avec quels identifiants. Nous revoyons la trust configuration et la chaîne de fédération, les role collections et les administrateurs, les destinations et appels sortants, l'exposition du Cloud Connector, l'exposition des données applicatives, les paramètres de la plateforme, les pratiques de développement et l'exposition des endpoints. La revue n'envoie aucun trafic d'attaque.

Périmètre complet et livrables de la Revue de sécurité SAP BTP

Conception de la sécurité des projets BTP et programmes RISE

La plupart des problèmes de sécurité BTP naissent pendant la phase de build, lorsque la priorité est de faire fonctionner les intégrations. Nous intervenons tôt dans le programme pour fixer les règles avant qu'elles ne deviennent coûteuses à changer :

  • Modèle de comptes : structure du global account, des directories et des subaccounts, séparation du développement, du test et de la production, et un nombre restreint d'administrateurs nommés.
  • Role collections : conçues par fonction métier, associées aux groupes du fournisseur d'identité plutôt qu'attribuées utilisateur par utilisateur, avec des restrictions par attributs lorsque l'application le permet.
  • Connectivité : exposition du Cloud Connector limitée aux chemins back-end et modules RFC dont les applications ont besoin, principal propagation plutôt qu'utilisateurs techniques partagés, et règles pour les destinations et les service keys.
  • Accès externe à Fiori : architectures basées sur BTP comme alternative à la publication d'un serveur frontal Fiori sur internet.

Identités et accès avec SAP Cloud Identity Services

  • Identity Authentication (IAS) en proxy de votre fournisseur d'identité (Microsoft Entra ID ou autre), avec SSO, MFA et authentification conditionnelle.
  • Identity Provisioning (IPS) pour synchroniser utilisateurs et groupes entre votre annuaire, BTP et les autres applications cloud SAP.
  • Suppression des chemins de connexion non fédérés, comme le SAP ID service par défaut laissé actif pour les utilisateurs métier.

Contrôle continu et préparation à l'audit

  • BTP dans votre gouvernance des accès : role collections intégrées à l'analyse SoD et aux revues d'accès périodiques, aux côtés de l'ERP.
  • Recertification des administrateurs : administrateurs du global account, des subaccounts, des destinations et du Cloud Connector, y compris comptes externes et inactifs.
  • Journaux d'audit : récupération des journaux d'audit BTP avant l'expiration de leur rétention et transfert vers votre SIEM.
  • Preuves ITGC : modifications des destinations et du Cloud Connector intégrées à la gestion des changements, avec les preuves attendues par vos auditeurs.

Constats fréquents

Schémas rencontrés dans des subaccounts BTP, formulés de manière générale :

  • Le fournisseur d'identité SAP par défaut est toujours activé à côté du fournisseur d'identité de l'entreprise, ce qui offre un chemin qui contourne la fédération et le MFA.
  • Le back-end est atteint avec un utilisateur technique et un mot de passe stocké, de sorte que les autorisations S/4HANA s'appliquent à l'utilisateur technique et non à la personne qui utilise l'application.
  • Les applications chargent des jeux de données complets dans le navigateur et les filtrent côté client.
  • Des role collections d'administration sont attribuées directement à de nombreux utilisateurs, souvent externes et souvent inactifs.
  • Des identifiants personnels de consultants actuels ou passés restent stockés dans des destinations.
  • Les journaux d'audit BTP ne sont pas récupérés.

À lire : Sécurité SAP BTP : role collections, IAS et Cloud Connector.

Contrôles IT & Audit

5. Conception et Implémentation de Contrôles IT

  • Contrôles IT basés sur les risques : Concevoir et implémenter des contrôles IT liés aux objectifs de reporting financier et aux priorités opérationnelles. Nous construisons des cadres de contrôle adaptés à la taille, la maturité et le contexte réglementaire de votre entreprise.
  • Automatisation des contrôles : Rationaliser et automatiser les contrôles pour réduire les coûts, l'effort manuel et les taux d'erreur. Nous exploitons les outils et technologies existants pour rendre la conformité durable.
  • Implémentation de programmes de sécurité : Déployer des initiatives de sécurité pragmatiques couvrant la gestion des accès, la gestion des changements et les opérations IT.
  • Gestion des risques fournisseurs : Mettre en place et moderniser les processus de gestion des risques fournisseurs, y compris les évaluations de sécurité des tiers et le support aux questionnaires de sécurité.
  • Adaptation des cadres de conformité : Adapter les cadres de conformité (SOX, ISAE 3402, FINMA suisse) à la phase de croissance et au modèle d'affaires de votre organisation, en évitant la sur-ingénierie tout en répondant aux exigences réglementaires.

6. Audit IT & Préparation SOC

  • Audit IT et évaluation des contrôles internes : Réaliser des audits IT et des évaluations des contrôles internes alignés sur les objectifs métier. Nous identifions les faiblesses et fournissons des plans de remédiation concrets.
  • Préparation SOC 1 & SOC 2 : Préparer votre organisation aux examens SOC par une analyse des écarts par rapport aux critères SOC, la définition du périmètre et la documentation des contrôles. Nous vous aidons à comprendre les attentes des auditeurs et à combler les lacunes avant l'examen.
  • Remédiation et atténuation d'audit : Traiter les constats et recommandations d'audit, élaborer des plans de remédiation et mettre en oeuvre des actions correctives pour répondre aux faiblesses identifiées dans les systèmes et processus.
  • Conception et test des contrôles : Concevoir et implémenter des contrôles de première et deuxième ligne de défense, puis tester leur efficacité opérationnelle. Nous livrons une documentation claire et prête pour l'audit.
  • Évaluation de la posture de sécurité : Évaluer votre posture de sécurité actuelle, identifier les risques et fournir des recommandations priorisées pour l'amélioration.

Détection de fraude, monitoring & gouvernance IA

7. Détection de fraude et monitoring continu

  • Détection de fraude et d'anomalies : Exploiter l'analyse de données et l'IA pour repérer les schémas de fraude, les transactions anormales et les accès suspects dans vos données SAP (documents de modification, journaux d'accès, écritures comptables) et vos systèmes non-SAP.
  • Monitoring continu des accès et des contrôles : Mettre en place une analyse régulière des accès, des conflits SoD et des contrôles clés pour passer d'un contrôle ponctuel à une surveillance continue.
  • Reporting de conformité : Concevoir des tableaux de bord Power BI qui donnent à la direction et aux auditeurs une visibilité sur les risques d'accès et l'état des contrôles.

8. Gouvernance IA

  • Cadres de gouvernance IA : Concevoir une gouvernance pragmatique (responsabilités, droits de décision, garde-fous) pour adopter l'IA sans créer de nouveaux risques d'accès ou de conformité.
  • Évaluation des risques et contrôles IA : Évaluer les risques réglementaires et opérationnels de l'IA, et mettre en place politiques et contrôles avant qu'ils ne deviennent des constats d'audit.

Cybersécurité au-delà de l'ERP

Votre ERP ne vit pas isolé. Les personnes, les identités et les fournisseurs qui accèdent à SAP accèdent aussi à votre annuaire, à votre tenant cloud et à vos autres applications métier. Forts de nos certifications CISSP et CISA, nous étendons la rigueur que nous appliquons dans l'ERP à la sécurité qui l'entoure, pour les organisations qui ont besoin d'un accompagnement senior sans disposer d'une équipe sécurité interne complète.

Nous n'exploitons pas de SOC et n'assurons pas de réponse aux incidents 24/7. Pour des tests d'intrusion certifiés ou du red teaming, nous vous aidons à cadrer le besoin et coordonnons avec les spécialistes adéquats.

9. Identités et accès au-delà de l'ERP

  • Gestion des identités et des accès sur vos applications : Étendre le moindre privilège et les processus arrivée / mobilité / départ de l'ERP à votre annuaire (Active Directory / Microsoft Entra ID) et à vos autres applications métier, en cohérence avec votre modèle de rôles ERP.
  • Revues des accès utilisateurs : Concevoir et mener les recertifications périodiques sur l'ERP, l'annuaire et les applications clés, avec des preuves exploitables par vos auditeurs.
  • Accès à privilèges et d'urgence : Appliquer aux comptes administrateurs, techniques et d'urgence hors SAP la même rigueur que le Firefighter SAP.
  • Adoption du MFA et du SSO : Planifier l'authentification forte et l'authentification unique, y compris pour l'ERP et ses services cloud.

10. Gouvernance, risques et conformité cyber

  • Évaluation des risques cyber et analyse d'écarts : Évaluer votre posture de sécurité selon ISO/IEC 27001 ou le NIST Cybersecurity Framework, en partant de vos systèmes critiques, et livrer un plan de remédiation priorisé par impact métier.
  • Préparation à la certification ISO/IEC 27001 : Cadrage, analyse des écarts de contrôle, déclaration d'applicabilité (SoA) et support documentaire jusqu'à l'audit de certification.
  • Protection des données et vie privée : Aligner les contrôles de sécurité sur la nLPD suisse et le RGPD, y compris la cartographie des données et les mesures techniques et organisationnelles, là où les données personnelles résident dans l'ERP et au-delà.
  • Risques tiers et fournisseurs cloud : Évaluer les fournisseurs et hébergeurs, y compris ceux qui opèrent votre ERP (RISE with SAP, services managés), et mettre en place un processus d'évaluation récurrent.

11. Architecture de sécurité et résilience

  • Revue d'architecture de sécurité : Examiner la défense en profondeur sur le réseau, les postes de travail, les identités et le cloud (Microsoft Azure / Microsoft 365), avec des recommandations de durcissement priorisées.
  • Continuité d'activité et préparation à la réponse aux incidents : Élaborer les plans de continuité (PCA/PRA), définir les procédures de réponse aux incidents et animer des exercices sur table pour préparer vos équipes avant qu'un incident ne survienne.
  • Sensibilisation et formation à la sécurité : Déployer des programmes de sensibilisation par rôle et des simulations de phishing pour renforcer le facteur humain.

Discutons de vos besoins

Chaque organisation fait face à des risques différents. Cabinet de conseil en sécurité ERP basé à Genève, spécialiste SAP, nous intervenons dans toute la Suisse Romande (Genève, Lausanne, Neuchâtel, Fribourg, Yverdon, Sion), en Suisse alémanique, en France voisine et à l'international. Que vous planifiez une migration S/4HANA, un projet SAP GRC, une évaluation SoD ou un audit IT, contactez-nous pour un premier échange sans engagement.

Voir nos offres à prix fixe Contactez-nous