{"id":59590,"date":"2025-01-17T12:06:55","date_gmt":"2025-01-17T11:06:55","guid":{"rendered":"https:\/\/www.cubeserv.com\/?p=59590"},"modified":"2025-01-17T12:30:47","modified_gmt":"2025-01-17T11:30:47","slug":"sicherheit-und-compliance-in-ihrem-unternehmen-wie-gehen-sie-die-vergabe-ihrer-berechtigungen-am-besten-an","status":"publish","type":"post","link":"https:\/\/www.cubeserv.com\/de\/sicherheit-und-compliance-in-ihrem-unternehmen-wie-gehen-sie-die-vergabe-ihrer-berechtigungen-am-besten-an\/","title":{"rendered":"Sicherheit und Compliance in Ihrem Unternehmen \u2013 Wie gehen Sie die Vergabe Ihrer Berechtigungen am besten an?"},"content":{"rendered":"\t\t
F\u00fcr viele Mitarbeiter ist das Wort Berechtigungen eher mit dem Gef\u00fchl einer gewissen Frustration verbunden, denn es gilt zu Warten auf den Zugriff, den man endlich haben m\u00f6chte und immer ganz dringend braucht. Doch im Hintergrund eines (hoffentlich) gut ge\u00f6lten Vergabeprozesses geschehen viele Schritte die essenziell f\u00fcr die Sicherheit des Unternehmens<\/strong> sind.<\/p> Leider gibt es in vielen Unternehmen Defizite beim Thema Berechtigungen und dem dazugeh\u00f6rigen Berechtigungsmanagement, da die m\u00f6glichen Ausma\u00dfe dieses komplexen Themas oft untersch\u00e4tzt werden.<\/p> \u00c4rgern Sie sich daher nicht weiter, falls das Thema auch in Ihrem Unternehmen einen Pain Point darstellt, sondern lesen sie sich im nachfolgenden einmal in eine Zusammenfassung an wichtigen Tipps und Punkten, die Sie f\u00fcr ihren Vergabeprozess<\/strong> mitnehmen k\u00f6nnen.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t Weit verbreitet ist der Einsatz von RBAC (Role based access control),<\/strong> welcher \u00fcber einzelne Rollen die Zugriffsrechte der individuellen User steuert. Hierbei k\u00f6nnen bei Bedarf auch gewisse Usergruppen zusammengefasst werden, die alle einheitliche Rechte erhalten sollen. So muss nicht f\u00fcr jeden einzelnen User fallbasiert entschieden werden, sondern es gibt eine designierte Rolle f\u00fcr diese Gruppe User. Wie Schl\u00fcssel eines Mietshauses k\u00f6nnen beispielsweise User 1 und User 2 mit ihrem jeweiligen Schl\u00fcsselset die gemeinsame Haust\u00fcr entsperren, doch die Wohnungst\u00fcr f\u00fcr User 1 kann nur durch dessen Schl\u00fcssel ge\u00f6ffnet werden.<\/strong><\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t Starten wir thematisch nun mit dem Vergabeprozess dieser Rollen. Dieser sollte sicherstellen, dass Nutzer nur die notwendigsten Berechtigungen<\/strong> im System erhalten, um nicht nur ihre sensiblen Daten zu sch\u00fctzen, sondern auch Compliance Anforderungen erf\u00fcllen zu k\u00f6nnen.<\/p> Der Vergabeprozess f\u00fcr die einzelnen Berechtigungen kann hierbei schon viele der oben genannten Punkten abdecken. Ein beispielhafter Ablauf k\u00f6nnte Folgender sein:<\/strong><\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t Erste Antragstellung<\/p><\/li> Antragpr\u00fcfung<\/p><\/li> Genehmigung\/Ablehnung<\/p><\/li> Finale Vergabe<\/p><\/li> Information\/Anweisungen an den Anwender<\/p><\/li> Regelm\u00e4\u00dfige \u00dcberpr\u00fcfung<\/p><\/li><\/ol>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t Um die ben\u00f6tigten Berechtigungen zu erhalten, sollte der Anwender zu Beginn einen schriftlichen Antrag<\/strong> (dieser kann so simpel wie ein vorgefertigtes Excel-Formular sein) stellen. Im Anschluss l\u00e4sst sich dieser auch gut f\u00fcr Dokumentationszwecke<\/strong> archivieren, somit kann er einerseits als Orientierungshilfe<\/strong> f\u00fcr vergleichbare User dienen oder aber als Nachweis\/Schulung f\u00fcr potenziell falsch vergebene Rechte. Wie der Antrag auszuf\u00fcllen ist, sollte idealerweise in einem Unternehmens-Wiki oder Leitfaden<\/strong> hinterlegt sein, zus\u00e4tzlich zu einer Schulung der direkten Vorgesetzten. So kann hier bereits viel Zeit eingespart werden durch einen korrekt ausgef\u00fcllten Antrag und gute Wissensvermittlung<\/strong> an neue Mitarbeiter.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t Bei der Pr\u00fcfung eines Antrags sollte ein Vier-Augen-Prinzip<\/strong> verwendet werden, um zu gew\u00e4hrleisten das kein Missbrauch<\/strong> entsteht. Dieses k\u00f6nnte beispielsweise umgesetzt werden durch einen direkten Vorgesetzten des Antragsstellers in erster Instanz und an zweiter Stelle Verantwortliche des betroffenen Fachbereichs, f\u00fcr welchen die Berechtigungen beantragt wurden. Alternativ m\u00f6glich w\u00e4re auch an zweiter Stelle eine Person, die sowohl einen fachlichen als auch technischen \u00dcberblick verf\u00fcgt, um so allen bereits get\u00e4tigte Einsch\u00e4tzungen der Kritikalit\u00e4t<\/strong> unabh\u00e4ngig zu pr\u00fcfen.<\/p> Die aufmerksame Pr\u00fcfung der Antr\u00e4ge ist essenziell f\u00fcr die Gew\u00e4hrleistung der korrekten Vergabe<\/strong>, daher sollten die beteiligten Personen regelm\u00e4\u00dfig hierauf geschult werden. Zu oft schleicht sich hier eine \u201ceinfach genehmigen – wird schon passen\u201d-Mentalit\u00e4t ein, meistens aufgrund von mangelndem Wissen und Durchblick bez\u00fcglich der Thematik.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t Unternehmen k\u00f6nnen ein sogenanntes \u201cIdentity Access Management\u201d-Tool f\u00fcr den Vergabeprozess verwenden. An dieses sind dann die einzelnen Systeme ihrer Systemlandschaft angebunden und die einzelnen Berechtigungen k\u00f6nnen \u00fcber dieses Tool bestellt werden. Der Genehmigungsprozess ist hierbei dann integriert. F\u00fcr diesen sollte wieder ein Vier-Augen-Prinzip<\/strong> angewendet werden, entweder durch die gleiche Konstellation wie im Punkt zuvor oder aber durch die Erstellung gewisser Genehmigungsgruppierungen<\/strong> f\u00fcr ganze (Teil-)Bereiche um die Personen Anzahl, die hier beispielsweise in einem Tool hinterlegt werden m\u00fcsste zu reduzieren. Auch auf die zuvor angesprochene Mentalit\u00e4t gegen\u00fcber der Genehmigung muss weiterhin geachtet werden.<\/p> Falls ein Grund zur Ablehnung besteht, so sollte der Antragsteller schriftlich \u00fcber diesen informiert werden, falls hier beispielsweise die falschen Rechte beantragt wurden, so kann dies direkt als \u201cLerneffekt\u201d<\/strong> r\u00fcckgemeldet werden.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t Im Fall einer Verwendung von bereits erw\u00e4hnten Identity Access Management Tools werden die genehmigten Berechtigungen \u00fcber dieses auf den gew\u00fcnschten Systemen vergeben. Falls kein solches Tool eingesetzt wird, sollte ein spezielles Usermanagement<\/strong> Team (idealerweise \u00fcber ein Ticketsystem f\u00fcr eine konstante Dokumentation) mit der manuellen Vergabe der jeweiligen Rechte beauftragt werden.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t In jedem Fall sollte der Anwender \u00fcber die erfolgreiche Vergabe der Rechte informiert werden und zwingend zu einem finalen Test aufgefordert werden. So kann im Falle von bestehenden Zugriffsproblemen direkt nach einer L\u00f6sung<\/strong> gesucht werden, beispielsweise \u00fcber bestimmte Traces. Auch der Zeitraum der Zuweisung f\u00fcr zeitlich befristete Berechtigungen sowie ein Ansprechpartner sind erw\u00e4hnenswert. Zudem kann an dieser Stelle gleich auf das korrekte Vorgehen im Falle von Problemen<\/strong> und dem Bedarf der Verl\u00e4ngerung von zeitlich begrenzten Rechten hingewiesen werden.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t Je nach Kritikalit\u00e4t der jeweiligen Berechtigungen sollten verschiedene Pr\u00fcfzyklen<\/strong> eingeplant werden. Beispielsweise k\u00f6nnte die Kritikalit\u00e4t zwischen Basis-, Lese- und Schreib-\/\u00c4nderungsrechten unterschieden werden. Basisrechte k\u00f6nnen oftmals fast aus dieser Pr\u00fcfung herausfallen, wenn sie keinerlei Kritikalit\u00e4t<\/strong> f\u00fcr die Unternehmenssicherheit darstellen. Schreib-\/\u00c4nderungsrechte hingehen stellen in den meisten F\u00e4llen eine viel gr\u00f6\u00dferes Risiko dar und die bestehenden Zuweisungen daher in regelm\u00e4\u00dfigen Abst\u00e4nden \u00fcberpr\u00fcft<\/strong> werden. Die \u00dcberpr\u00fcfung sollte an dieser Stelle erneut durch die bereits erw\u00e4hnten Instanzen erfolgen.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t Dieser grobe \u00dcberblick sollte ausreichen, um sich eine erste Meinung zum Stand des eigenen Prozesses zu bilden. Neben dem Vergabeprozess ist auch das zugrundeliegenden Berechtigungskonzept f\u00fcr die erfolgreiche Absicherung des Unternehmens entscheidend.<\/p> Was denken Sie zu Ihrem Vergabeprozess bei Berechtigungen? L\u00e4uft dieser wie geschmiert oder birgt er neben Stolpersteinen auch Sicherheitsrisiken?<\/strong><\/p> Checken Sie doch die erl\u00e4uterten Punkte einmal und bei weiteren Fragen stehen wir Ihnen zur Verf\u00fcgung!<\/p> Schauen Sie doch auch einmal bei einem unseren anderen Blogs<\/a> vorbei…<\/strong><\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\tVorab zu ber\u00fccksichtigende Themen sind im Folgenden genannt:<\/h3>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
1. Antragstellung<\/h3>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
2. Antragspr\u00fcfung<\/h3>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
3. Genehmigung\/Ablehnung<\/h3>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
4. Finale Vergabe<\/h3>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
5. Information\/Anweisungen an den Anwender<\/h3>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
6. Regelm\u00e4\u00dfige \u00dcberpr\u00fcfung<\/h3>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t\tVereinbaren Sie jetzt Ihren<\/span>\n\t\t\t\t\n\t\t\t\t\tExpert Call.<\/span>\n\t\t\t\t<\/span>\n\t\t\t\t\tWir freuen uns \u00fcber Ihre Nachricht.<\/span>\n\t\t\t\t\t<\/h3>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t
Sarah Seeleitner<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t\t\t\t