GAP Analysis — Análisis de Brechas

Análisis de Brechas AS-IS → TO-BE

Identificación y caracterización de las 32 brechas entre el estado actual del sistema de archivado SAP y el estado objetivo sobre Google Cloud Storage. Clasificadas por módulo, criticidad, esfuerzo y plan de remediación.

📅 Abril 2026 🏢 Dirección SAP 🔒 Confidencial 📄 Documento 4 de 4

∑

Dashboard de Brechas Identificadas

8

🔴 Críticas

11

🟠 Altas

9

🟣 Medias

4

🔵 Bajas

32

Total brechas

13

Requieren desarrollo

12

Solo configuración

7

Proceso / Formación

M

Matriz de Priorización de Brechas

🔴 Crítico — Resolver antes del Go-Live

GAP-01Repositorio GCS como destino ArchiveLink

GAP-02Cifrado en reposo CMEK

GAP-03Autenticación OAuth2 Service Account

GAP-04WORM lock objetos archivados

GAP-05Migración histórico SAP CS → GCS

GAP-06TLS 1.3 en comunicación SAP-GCS

GAP-07Alta disponibilidad repositorio

GAP-08Configuración ILM → GCS Lifecycle

🟠 Alto — Resolver en Fase 2

GAP-09Formato PDF/A-3 facturas venta

GAP-10Cloud Audit Logs → SIEM

GAP-11IAM granular por módulo SAP

GAP-12Destrucción certificada automática

GAP-13Monitoreo alertas GCS + SAP

GAP-14Recuperación documentos < 3 segundos

GAP-15Naming convention objetos GCS

GAP-16Backup cross-region GCS EU

GAP-17Runbook operacional archivado

GAP-18DR plan para repositorio GCS

GAP-19Verificación integridad checksum

🟣 Medio — Resolver en Fase 3 / Post Go-Live

GAP-20Indexación Vertex AI para Gemini

GAP-21Interfaz búsqueda semántica Gemini

GAP-22Alertas RGPD destrucción documentos

GAP-23Reporting ciclo de vida GCS a Dirección

GAP-24Formación usuarios FI/MM/SD

GAP-25SD_COND: activar objeto inactivo

GAP-26CO_CCMAST: completar config. parcial

GAP-27LO_LOGSTP: completar config. parcial

GAP-28Cost center: optimización clases storage

🟢 Bajo / Oportunidad — Backlog futuro

GAP-29Gemini: análisis anomalías facturas

GAP-30Gemini: respuesta automática AEAT

GAP-31Dashboard Looker Studio archivado

GAP-32Integración con SAP DMS y GCS

🔴

Brechas Críticas — Detalle

ID	Brecha	Módulo	Criticidad	Tipo	Esfuerzo	Solución Propuesta
GAP-01	Repositorio ArchiveLink no apunta a GCS OAC0 configurado para SAP Content Server. No existe repositorio GCS definido como destino HTTP para ArchiveLink.	Transversal	Crítico	Desarrollo	L (40h)	Desarrollar conector SAP ArchiveLink sobre GCS SDK Java. Registrar nuevo repositorio en OAC0 apuntando al conector GCS. Configurar OAC3 para todos los objetos SARA.
GAP-02	Sin cifrado en reposo en repositorio actual SAP Content Server almacena ficheros sin cifrado AES en disco. Riesgo extracción directa de documentos sensibles.	Seguridad	Crítico	Config.	S (4h)	GCS cifra por defecto con AES-256. Configurar CMEK con Cloud KMS key gestionada por la organización. Activar key rotation anual. Sin desarrollo adicional.
GAP-03	Autenticación HTTP básica SAP → Content Server La comunicación actual usa autenticación HTTP Basic (usuario/contraseña) sin tokens renovables. Credenciales almacenadas en OAC0 en texto plano.	Seguridad	Crítico	Desarrollo	M (16h)	Implementar OAuth 2.0 con Google Service Account (JSON key). El conector GCS obtiene access token de Google IAM con TTL 1 hora. Rotación automática sin intervención manual. Eliminar credenciales de OAC0.
GAP-04	Sin protección WORM para documentos archivados Los documentos en SAP Content Server son modificables y borrables sin restricción técnica. No existe mecanismo de inmutabilidad que garantice la integridad legal.	Legal	Crítico	Config.	S (4h)	Activar GCS Object Lock con Retention Policy. El conector asigna retention period según clase ILM SAP al hacer PUT del objeto. Ninguna API permite modificar/borrar el objeto hasta expiración.
GAP-05	Histórico ~4TB en SAP Content Server sin plan de migración Al dar de baja el SAP Content Server, el histórico acumulado de archivado quedaría inaccesible desde SAP. Los índices OAAD apuntan a URLs del servidor antiguo.	Transversal	Crítico	Desarrollo	XL (80h)	Script de migración por lotes: leer archivos de SAP CS → verificar checksum → PUT a GCS con metadatos ILM → actualizar tabla OAAD con nueva URL GCS. Ejecutar en ventanas de mantenimiento. SAP CS permanece activo en readonly hasta migración 100%.
GAP-06	TLS 1.0 en comunicación SAP → Content Server La configuración OAC0 actual usa TLS 1.0 (deprecado por RFC 8996). Vulnerable a POODLE, BEAST. No cumple PCI DSS ni ENS Alto.	Seguridad	Crítico	Config.	S (2h)	GCS API solo acepta TLS 1.2/1.3. El conector GCS hereda TLS 1.3 automáticamente al usar la librería Google HTTP Client. Configurar JVM del servidor de aplicación SAP para TLS_MIN_PROTOCOL=TLSv1.2.
GAP-07	Sin alta disponibilidad ni DR para repositorio SAP Content Server es un punto único de fallo. No hay replicación, no hay plan de recuperación documentado. RPO/RTO no definidos.	Infraestructura	Crítico	Config.	S (4h)	GCS Multi-region EU bucket proporciona replicación geográfica automática (mínimo 2 regiones). SLA 99.99% uptime. RPO = 0 (replicación síncrona). RTO < 1 minuto (failover automático). Sin configuración adicional.
GAP-08	Políticas ILM SAP no se propagan al repositorio SAP ILM gestiona retenciones internamente pero el SAP Content Server no recibe ni aplica estas políticas. La transición de clases de storage y destrucción son procesos manuales.	ILM	Crítico	Desarrollo	M (24h)	El conector GCS lee la clase ILM del documento SAP en el momento del archivado y establece los metadatos de retención GCS. Las reglas de lifecycle GCS se configuran para transicionar automáticamente Standard→Nearline→Coldline→Delete según antigüedad. Sincronización validada en SAP ILM_OBJECT.

🟠

Brechas de Prioridad Alta — Detalle

ID	Brecha	Módulo	Criticidad	Tipo	Esfuerzo	Solución Propuesta
GAP-09	Facturas venta no almacenadas en PDF/A-3 SD_VBRK archiva facturas en PDF estándar. Para conservación legal de larga duración (>5 años) se requiere PDF/A-3 (ISO 19005-3) que garantiza auto-contenido y reproducibilidad.	SD	Alto	Config.	M (8h)	Configurar formulario SAP Smart Forms/Adobe Forms para SD_VBRK en formato PDF/A-3. Configurar tipo documento OAC2 para PDF/A-3. Validación automática conformidad PDF/A al archivar.
GAP-10	Logs de acceso archivo no integrados en SIEM SAP Content Server no genera logs estructurados compatibles con SIEM corporativo. No se puede auditar quién accedió/modificó documentos archivados.	Seguridad	Alto	Config.	M (12h)	Cloud Audit Logs de GCS captura automáticamente todas las operaciones. Exportar logs a BigQuery mediante Log Sink. Integrar BigQuery con SIEM vía conector Pub/Sub. Dashboard de auditoría en Looker Studio.
GAP-11	Control de acceso repositorio no granular por módulo Todos los usuarios SAP con perfil OAAD tienen acceso a todos los documentos archivados independientemente del módulo. No hay segregación FI/MM/SD.	Seguridad	Alto	Config.	M (8h)	Crear prefijos de bucket GCS por módulo: `/fi/`, `/mm/`, `/sd/`. Definir roles IAM GCS Custom con permisos storage.objects.get restringidos a prefijo del módulo. Mapeo con roles SAP en el conector.
GAP-12	Sin proceso de destrucción certificada al expirar retención Actualmente los documentos se acumulan indefinidamente en el repositorio al no existir proceso de eliminación al vencimiento de retención legal (RGPD Art. 17 incumplido).	Legal	Alto	Desarrollo	M (20h)	GCS Object Lifecycle Rule con acción Delete al expirar retención configurada en metadatos. Cloud Functions notifica a custodio legal + genera certificado de destrucción PDF. Registro en BigQuery para auditoría RGPD.
GAP-13	Sin monitoreo ni alertas del proceso de archivado Los jobs SARA se ejecutan sin monitoreo activo. Los errores de archivado (p.ej. fallo PUT Content Server) solo se detectan en revisión manual posterior.	Operacional	Alto	Config.	M (12h)	Cloud Monitoring: alertas sobre errores de escritura GCS. SAP: job monitor SARA con notificación email/ticket en fallo. Dashboard unificado GCS + SARA en Cloud Monitoring. SLA objetivo: 0 errores de archivado sin notificación en < 15 minutos.
GAP-14	Latencia de recuperación documentos archivados no medida No existe SLA definido para recuperación de documentos archivados desde SAP (FB03, ME23N, VF03). El sistema AS-IS no tiene métricas de performance del repositorio.	Performance	Alto	Desarrollo	S (8h)	Implementar tracing en conector GCS (Cloud Trace). Métricas de latencia p50/p95/p99 en Cloud Monitoring. Alerta si p95 > 3 segundos para clase Standard. Test de carga pre-go-live con 100 usuarios concurrentes.
GAP-15	Sin naming convention para objetos en repositorio SAP Content Server usa identificadores internos opacos. Imposible navegar o gestionar el repositorio directamente. Dificulta las políticas de lifecycle GCS por prefijo.	Arquitectura	Alto	Desarrollo	S (4h)	Definir e implementar naming: `{module}/{year}/{month}/{sar-object}/{doc-id}.{ext}`. Ejemplo: `fi/2024/01/fi_documnt/100000001234.arc`. Permite lifecycle rules por prefijo, búsqueda directa y auditoría por módulo/periodo.

🟣

Brechas Medias y Bajas — Resumen

ID	Brecha	Módulo	Criticidad	Tipo	Esfuerzo	Solución Resumida
GAP-20	Sin indexación para búsqueda semántica Documentos archivados no están indexados para búsqueda por contenido/semántica.	IA	Medio	Desarrollo	L (40h)	Configurar Vertex AI Search sobre bucket GCS. Pipeline de indexación automática en cada PUT.
GAP-21	Sin interfaz de búsqueda natural para documentos archivados Los usuarios solo pueden buscar por número de documento SAP exacto. No hay búsqueda por contenido ni descripción.	IA	Medio	Desarrollo	L (60h)	Web app con Gemini RAG sobre Vertex AI Search. API REST para integración con SAP Fiori.
GAP-22	Sin notificaciones automáticas destrucción RGPD No hay workflow de notificación al custodio legal antes de destruir documentos expirados.	Legal	Medio	Desarrollo	S (8h)	Cloud Pub/Sub + Cloud Functions notifica 30/7/1 días antes de destrucción. Registro en sistema GRC.
GAP-23	Sin reporting de ciclo de vida para Dirección No existe informe periódico del estado del archivado (volumen, costes, cumplimiento retenciones).	Gestión	Medio	Config.	M (12h)	Dashboard Looker Studio: volumen por módulo, costes GCS, próximas destrucciones, alertas. Informe automático mensual a Dirección SAP.
GAP-24	Usuarios FI/MM/SD sin formación en nuevo flujo El cambio de repositorio no es visible en la UX SAP, pero los usuarios clave deben conocer el nuevo flujo para UAT y soporte L1.	Personas	Medio	Proceso	M (16h)	Sesiones de formación de 2h por módulo. Material quick reference. Validación UAT con usuarios clave.
GAP-25	Objeto SD_COND inactivo — sin archivado de condiciones precio El objeto SD_COND está configurado pero inactivo. El histórico de condiciones de precio no se archiva, acumulando registros KONP/KONH en BD productiva.	SD	Medio	Config.	S (4h)	Activar SD_COND en SARA con condición archivado: condición expirada + antigüedad > 36 meses. Liberar espacio BD.
GAP-26	CO_CCMAST: configuración parcial datos maestros Solo se archivan datos maestros de centros de coste cerrados. Falta configuración para versiones históricas de centros activos.	CO	Medio	Config.	S (4h)	Completar configuración SARA CO_CCMAST para incluir versiones históricas (indicador de versión histórica activo).
GAP-27	LO_LOGSTP: configuración parcial pasos logísticos El objeto LO_LOGSTP incluye solo pasos de recepción. Falta configuración para traslados internos y devoluciones.	MM	Medio	Config.	S (4h)	Completar selección criterios LO_LOGSTP para incluir movimientos 311/312/551/552 (traslados y devoluciones).
GAP-28	Sin optimización de costes GCS por volumen por módulo El volumen de archivado varía significativamente por módulo. Una política uniforme de storage class no es óptima para todos.	Coste	Medio	Config.	S (4h)	Lifecycle rules diferenciadas: FI (acceso auditoría frecuente → Standard 2y) vs CO (raro → Nearline 6m).
GAP-29	Sin detección automática anomalías en facturas archivadas	IA	Bajo	Desarrollo	L (80h)	Pipeline Gemini: análisis patrones MM_INVBEL archivadas. Backlog Fase 4.
GAP-30	Sin asistente automático para requerimientos AEAT	FI	Bajo	Desarrollo	L (120h)	Agente Gemini especializado en normativa fiscal española. Backlog Fase 4.
GAP-31	Sin dashboard ejecutivo de archivado	Gestión	Bajo	Config.	S (8h)	Looker Studio con métricas GCS exportadas a BigQuery. Incluido en GAP-23.
GAP-32	Sin integración SAP DMS → GCS para documentos adjuntos	Transversal	Bajo	Desarrollo	L (60h)	Extender conector GCS para cubrir documentos SAP DMS (CV01N/CV02N). Backlog Fase 4.

Σ

Resumen de Esfuerzo y Plan de Remediación

Fase	Brechas incluidas	Tipo trabajo predominante	Esfuerzo estimado	Equipo
Fase 0–1 Diagnóstico + Diseño	GAP-01 diseño, GAP-15, GAP-08 diseño	Diseño arquitectura	~40h	SAP Basis + GCP Admin
Fase 2A Build Core Connector	GAP-01, 03, 06, 08, 15	Desarrollo Java SDK	~84h	GCP Admin + Dev SAP
Fase 2B Seguridad + Compliance	GAP-02, 04, 07, 10, 11, 12, 13, 14	Configuración GCS	~56h	GCP Admin + Legal
Fase 2C Migración Histórico	GAP-05	Script migración	~80h	SAP Basis + GCP Admin
Fase 2D UAT + Funcional	GAP-09, 16–19, 24–28	Config. + Formación	~52h	Funcional FI/MM/SD
Fase 3 Go-Live + Gemini Piloto	GAP-20, 21, 22, 23	IA / Vertex AI	~120h	GCP Admin + Dev IA
TOTAL PROYECTO	32 brechas	Dev: 13 \| Config: 12 \| Proceso: 7	~432h estimadas	Equipo multidisciplinar

* Las horas de GAP-29 a GAP-32 (Backlog Fase 4) no están incluidas en el total del proyecto inicial. Esfuerzo adicional estimado: ~260h para Fase 4 (Gemini avanzado).