Zum Hauptinhalt springen
Alle Maßnahmen

Maßnahme · ISO 27001 und weitere Standards

Zugriffsrechte prüfen und bereinigen

Vergleiche tatsächlich eingerichtete Zugriffsrechte mit den aktuellen Aufgaben. Entscheide über Abweichungen und verfolge nötige Änderungen bis zur wirksamen Umsetzung.

Verantwortlich: Fachlich Verantwortliche mit AdministrationFachlich geprüft am

Vorhandene Unterlagen nutzen

Nutze den vorhandenen Rechtebestand, das führende Rollenmodell und eure bisherigen Antrags- oder Änderungsvorgänge. Eine zusätzliche Entscheidungsliste ist nur nötig, wenn die Angaben dort fehlen. Konten und Rechte werden weiter im Verzeichnisdienst oder in der Anwendung geführt.

Was du konkret tun musst

  1. 1

    Den aktuellen Rechtebestand heranziehen

    Wähle eine Anwendung und kläre, wer fachlich über ihre Zugriffe entscheidet. Nutze den aktuellen Bestand aus der Anwendung oder dem Verzeichnisdienst. Halte Quelle, Stand und betrachteten Umfang fest. Berücksichtige direkt vergebene Rechte, Gruppen und administrative Zugriffe sowie relevante externe und technische Identitäten.

  2. 2

    Rechte mit der Aufgabe abgleichen

    Vergleiche die wirksamen Rechte mit der heutigen Aufgabe, dem führenden Rollenmodell und genehmigten Ausnahmen. Entscheide über Beibehalten, Ändern, Entziehen oder Klären und halte den Grund im vorhandenen Vorgang fest. Prüfe bei Rollenwechseln auch die bisherigen Rechte und beachte unvereinbare Aufgaben.

  3. 3

    Änderungen umsetzen und ihren Abschluss prüfen

    Lass genehmigte Änderungen durch die Administration ausführen. Prüfe im Zielsystem, ob die betreffenden Rechte tatsächlich angepasst sind. Verknüpfe das Ergebnis mit dem vorhandenen Vorgang. Offene Klärungen erhalten eine zuständige Person und einen Termin. Plane die nächste Prüfung passend zum Risiko und berücksichtige Änderungen von Aufgaben oder Beschäftigung zusätzlich.

Praxisbeispiel

Ein abgelaufener Supportzugang bleibt berechtigt

Ein externer Dienstleister hat nach Projektabschluss noch administrative Rechte im CRM. Seine befristete Freigabe ist abgelaufen.

Administrative Supportrechte
FestlegungDie zuständige Fachrolle veranlasst den Entzug. Die Administration berücksichtigt die Gruppenzuordnung und zusätzliche Einzelrechte und prüft den wirksamen Stand danach.
NachweisDer bestehende Supportvorgang enthält Entscheidung, ausgeführte Änderung und Verweis auf den geprüften Rechtebestand.

Ergebnis festhalten

  • Quelle, Stand und Umfang des tatsächlichen Rechtebestands mit den fachlichen Entscheidungen.
  • Ausgeführte Änderungen und ihr geprüfter Abschluss im vorhandenen Vorgang. Offene Punkte haben Zuständigkeit und Termin.

Häufige Fehler bei der Umsetzung

Nur die frühere Freigabe prüfen

Vergleiche die tatsächlich wirksamen Rechte mit der aktuellen Aufgabe. Direkte Zuweisungen und verschachtelte Gruppen können vom genehmigten Modell abweichen.

Den Auftrag mit dem Entzug verwechseln

Eine versendete Aufforderung ändert noch keinen Zugriff. Prüfe die ausgeführte Änderung, bevor du die Bereinigung abschließt.

Eine Umsetzung für mehrere Anforderungen nutzen

Die Zuordnungen zeigen, zu welchen Anforderungen diese Maßnahme beiträgt.

Controls und Standards ansehen
  • A.5.18 · Zugangsrechte

    Der Ablauf unterstützt die Überprüfung und Bereinigung logischer Zugriffsrechte. Die weiteren Vergabeprozesse und physischen Zugangsrechte sind im jeweils passenden Betriebsablauf zu behandeln.

  • TISAX · 4.2.1

    VDA ISA 6.0.3 · Teilweise Überschneidung

    Die Prüfung und Bereinigung unterstützt die regelmäßige Überprüfung wirksamer Zugriffsrechte. Der gesamte Vergabeprozess, die technische Durchsetzung und weitere Anforderungen zum jeweiligen Schutzbedarf bleiben zusätzlich zu bearbeiten.

    Referenz

Vorlagen für die Umsetzung

Dazu passend

Quellen und weiterführende Informationen