Uno de los mayores casos de éxito de nuestra compañía ha sido la implementación de SAP Single Sign-On en Alpek. Por este motivo, queremos explicaros como ha sido el proceso, y lo más destacable de este caso, comenzando desde el inicio.
Alpek es una empresa petroquímica líder, que opera en dos segmentos de negocio: «Poliéster» (PTA, PET, rPET y fibras de poliéster) y «Plásticos y productos químicos» (polipropileno, estirénicos expandibles y otros productos químicos especiales e industriales). Alpek es uno de los principales productores de PTA, resina de PET y lámina de PET a nivel mundial, uno de los mayores productores de rPET en América, el tercer fabricante de poliestireno expandible a nivel mundial y el único productor de polipropileno en México. En 2021, Alpek reportó ingresos por 7,700 millones de dólares y un EBITDA comparable de 962 millones de dólares. La compañía opera 35 plantas en Estados Unidos, México, Canadá, Brasil, Argentina, Chile, Omán, Arabia Saudita y el Reino Unido, y emplea a más de 7,000 personas. Alpek es una empresa que cotiza en la Bolsa Mexicana de Valores.
EL RETO
Alpek, después de muchos años utilizando el ERP de SAP, decidió habilitar Single Sign-On para simplificar el acceso de los usuarios al sistema SAP, utilizando un método seguro que permite a los usuarios dejar de memorizar la contraseña de acceso.
Si el proceso de autenticación de un usuario en un sistema falla, la organización se puede enfrentar a pérdidas de oportunidad y eficiencia a la hora de ejecutar los procesos de negocio que operan en el sistema. Uno de los problemas de autenticación más frecuentes tiene que ver con el olvido de la contraseña de acceso a los sistemas. El uso de contraseñas por parte de los usuarios puede derivar en los siguientes problemas:
- Almacenamiento de las contraseñas en medios poco seguros o reutilización de contraseñas poco seguras -> Posibles accesos indebidos.
- Imposibilidad de acceder al sistema en caso de no recordar la contraseña -> Pérdida de eficiencia.
- Necesidad de disponer de un equipo de soporte encargado de resetear contraseñas en los sistemas SAP -> Realización de tareas con poco aporte de valor.
SOLUCIÓN INPROSEC
Inprosec propuso a Alpek la implementación de SAP Single Sign-On basado en Kerberos, para aprovechar la integración entre SAP y el Active Directory. De esta forma, el usuario final únicamente necesita recordar la contraseña de Active Directory, para acceder a su equipo personal y acceder a los sistemas SAP, de forma segura, sin necesidad de utilizar contraseñas. Además, también se activó el cifrado de las comunicaciones del sistema SAP (Secure Network Communication), ya que es un requisito indispensable para el funcionamiento de SAP Single Sign-On basado en Kerberos.A continuación, se resumen los hitos alcanzados a lo largo del proyecto:
- Configuración Single Sign-On (SSO) y Secure Network Communication (SNC): se realizó la instalación de la librería de cifrado de SAP, la integración con el Active Directory y el cambio de los parámetros del perfil por defecto para activar SNC y SSO. Para esta última tarea se hizo uso de la transacción SNCWIZARD.
- Instalación del programa Secure Login Client en los equipos de los usuarios: se apoyó al equipo interno de Alpek en el despliegue masivo del programa Secure Login Client. Este programa es el encargado de identificar la sesión de dominio del usuario para que pueda acceder a SAP sin utilizar contraseñas.
- Actualización del SAP Logon de los usuarios: se apoyó al equipo interno de Alpek para modificar el fichero .XML que contiene la configuración del SAP Logon, para permitir el uso de SSO.
- Mapeo de los nombres de dominio (SNC Name) con los usuarios de SAP: utilizando la transacción SNC1 se dio de alta el mapeo automático de nombres de dominio a los usuarios de SAP. El usuario accederá al sistema SAP con el usuario que tenga mapeado el usuario de dominio identificado por el programa Secure Login Client.
- Realización de pruebas de validación (UAT-User Acceptance Testing).
- Definición del manual de administración de la herramienta.
- Formación al equipo interno de Alpek: se capacitó al equipo interno de Alpek para que sea capaz de entender y mantener en el tiempo la nueva funcionalidad.
RESULTADOS
La implementación de SAP Single Sign-On en Alpek nos sirvió para conseguir los siguientes beneficios:
- Mejora de la eficiencia de los usuarios al acceder al sistema SAP: los usuarios ya no tienen que esperar para poder acceder al sistema en caso de no recordar la contraseña de acceso.
- Mejora de la seguridad del sistema SAP (uso de contraseñas): contar con un número menor de contraseñas, que tienen que ser recordadas por los usuarios, reduce la superficie de ataque y permite centrar los esfuerzos en tener una contraseña robusta a nivel centralizado en el Active Directoy. Por el contrario, es necesario concienciar a los usuarios para que bloqueen sus equipos cuando se ausenten de su escritorio.
- Mejora de la seguridad del sistema SAP (cifrado de comunicaciones): la utilización de comunicaciones seguras reduce la posibilidad de sufrir ataques de tipo Man-in-the-Middle (MitM) y de tener fugas de información.
- Menor esfuerzo de soporte: el equipo de soporte de sistemas SAP ya no tiene que ayudar a los usuarios a resetear contraseñas en sistemas SAP, pudiendo dedicar sus esfuerzos a la realización de tareas que aporten un mayor valor.
