на правах эксперта по ИБ SAP рекомендую начать с пентеста рутми, освоить базисную часть через администрирование и сдачу пары сертификатиков, посидеть пару - тройку лет в консалтинге пока не прокачается понимание. А потом уже выбирать конкретную область - их я вижу 3, как всегда бумажную, техническую и что-то между, назовем ее аналитической (риски ИБ - разделение полномочий в системах, он же SoD).