Fiche concept

Architecture SAP Analytics orientée menaces (le T de GSTACK)

À jour au 2026-07-23

Édité par Cédric-Olivier Mâry, éditeur et directeur de la publication — 27 ans d'écosystème SAP. Comment ces pages sont produites, et où intervient l'automatisation.

Qu'est-ce que Architecture SAP Analytics orientée menaces (le T de GSTACK) ?

L'arbre des menaces parcourt chaque flux SAP analytics en quatre étapes — classification des actifs, frontières de confiance d'ECC au partage externe, STRIDE-light par frontière, et score de rayon de souffle — produisant un document d'une page par flux.

L'arbre des menaces en 4 étapes sur les flux SAP analytics

Appliquer à chaque flux de données critique de la mission. La sortie est un document d'une page par flux.

Étape 1 — Inventaire des actifs

Quelles données ce flux transporte-t-il ? Niveaux de classification :

Public — comptages, KPI niveau pays, persona acheteur anonymisé
Interne — revenus groupés par pays, relations partenaires, logos clients nommés
Confidentiel — transactionnel par client, employé individuel, paie, MNPI
Restreint — PII identifiant des personnes physiques, données de santé, données carte de paiement

Plus la classification est élevée, plus le rayon de souffle acceptable est petit.

Étape 2 — Frontières de confiance

Parcourir le flux de l'origine à la consommation. À chaque transition, tracer une frontière :

Source ECC → réplication Datasphere (frontière : confiance RFC SAP)
Datasphere → lakehouse Iceberg BDC (frontière : ACL object-store du lakehouse)
BDC → modèle live SAC (frontière : rôle + espace SAC)
Story SAC → export intégré vers Office (frontière : politique d'export SAC)
Story SAC → partagée à auditeur externe (frontière : lien public SAC)

À chaque frontière, nommer ce que l'attaquant devrait compromettre pour la franchir.

Étape 3 — Arbre d'attaque (STRIDE-light par frontière)

Pourquoi c'est important

La classification des données (public, interne, confidentiel, restreint) fixe le rayon de souffle acceptable avant même de concevoir un contrôle — plus la classification est élevée, plus ce rayon doit être petit.
Chaque transition de frontière de confiance (ECC vers Datasphere, Datasphere vers BDC Iceberg, BDC vers modèle live SAC, SAC vers auditeur externe) nomme exactement ce qu'un attaquant devrait compromettre pour la franchir.
STRIDE-light appliqué par frontière fait remonter des vecteurs d'attaque spécifiques à SAP — réutilisation S-User, contournement RLS via drill-through SAC, agent Joule héritant du scope d'un compte de service.

Points clés

S'applique par flux de données, pas par projet — chaque flux reçoit un arbre de menaces d'une page.
4 étapes : inventaire des actifs · frontières de confiance · STRIDE-light par frontière · scoring du rayon d'impact.
Liste de frontières spécifique aux analytics SAP : ECC→Datasphere, Datasphere→BDC, BDC→SAC, SAC→export, SAC→lien public.
Sortie : une ligne [GSTACK · threat-model · Pn] par constat, alimentant le registre de risques de la mission.
Se combine avec ownership-map (C306) — chaque constat reçoit un propriétaire nommé.
Threat-First SAP Analytics Architecture (the T in GSTACK) n'est maîtrisé que lorsqu'il change une décision d'achat nommée.
Commencer par le contrat sémantique et le modèle de contrôle avant de démontrer l'outil.
Utiliser les signaux SAP, analystes, études, KG et actualités actuels comme preuves, pas comme décoration.
Séparer les faits vérifiés des tendances directionnelles et des hypothèses modélisées.
Définir le propriétaire, la métrique, le seuil, le circuit de support et le plan de retour arrière avant de passer à l'échelle.

Termes employés sur cette page

Trust boundary (frontière de confiance): Point de l'architecture où une entrée contrôlée par l'attaquant rencontre du code ou des données privilégiés.
STRIDE: Cadre de classification des menaces de Microsoft : Spoofing, Tampering, Repudiation, Information disclosure, Denial of service, Elevation of privilege.
Data classification: Étiquetage des données avec un niveau de sensibilité (public/interne/confidentiel/restreint) utilisé pour délimiter le rayon de souffle acceptable.
Asset inventory: La première étape de tout threat model — que protège-t-on ? Sauter cette étape rend le reste théâtral.

Sources

Fiche complète réservée aux abonnés. Ce que la fiche complète ajoute : le cadre de décision complet · la comparaison SAP · Snowflake · Databricks · Fabric · les pièges courants et leur correctif · l'aide-mémoire · les schémas d'architecture · les blocs de code.

Ouvrir dans l'application →