IT-Sicherheit / Cybersecurity: Zugriffsmanagement

Offiziell um etwas bitten, meistens schriftlich oder über ein Formular.

„Weil der Zugriff nur für das Projekt nötig ist, beantragt die Teamleiterin ihn gleich befristet bis zum Jahresende.“

Offiziell erlauben, dass etwas gemacht oder vergeben wird.

„Den Zugriff auf die Lohndaten darf nur die Leiterin der Personalabteilung genehmigen.“

Mit der Erlaubnis ausgestattet, etwas zu tun oder auf etwas zuzugreifen.

„Nur berechtigte Mitarbeitende dürfen die Patientenakten der Station öffnen.“

Person, die kontrolliert, ob Regeln und Vorgaben eingehalten werden.

„Der Prüfer möchte sehen, wer die Administratorrechte im letzten Quartal genehmigt hat.“

Regel, dass eine wichtige Aktion erst gültig ist, wenn eine zweite Person sie geprüft und bestätigt hat.

„Neue Administratorrechte vergeben wir nur nach dem Vier-Augen-Prinzip: Eine Kollegin legt sie an, ein Kollege gibt sie frei.“

Besonders geschütztes Administratorkonto, das nur benutzt werden darf, wenn die normale Anmeldung komplett ausgefallen ist.

„Die Zugangsdaten für das Notfallkonto liegen versiegelt im Tresor der Geschäftsführung.“

Offizielle Anfrage, mit der jemand Zugriff auf ein System oder auf bestimmte Daten anfordert.

„Ohne Begründung im Berechtigungsantrag lehnt das IAM-Team die Anfrage ab und schickt sie an den Antragsteller zurück.“

Festlegen, dass etwas nur bis zu einem bestimmten Datum gilt.

„Wir befristen den Zugang der Werkstudentin bis zum Ende ihres Vertrags am 31. März.“

Festgelegter Tag, bis zu dem etwas erledigt sein muss.

„Stichtag für die Rückmeldung ist der 15. Juni; danach werden unbestätigte Rechte entzogen.“

Kleine, zufällig ausgewählte Menge aus einer großen Gesamtheit, die man genauer prüft.

„Die Wirtschaftsprüferin zieht eine Stichprobe von 25 Austritten und verlangt für jeden Fall das Sperrdatum.“

Nach einer festgelegten Zeit automatisch enden oder ungültig werden.

„Der Zugang des externen Beraters läuft am Freitag um 18 Uhr automatisch aus.“

Grundsatz, dass kritische Arbeitsschritte, zum Beispiel das Anlegen eines Lieferanten und die Freigabe einer Zahlung, von verschiedenen Personen erledigt werden müssen.

„Wegen der Funktionstrennung darf in der Kreditorenbuchhaltung niemand neue Lieferanten anlegen und gleichzeitig Zahlungen freigeben.“

Schriftliche Festlegung, welche Rollen es im Unternehmen gibt und welche Berechtigungen zu jeder Rolle gehören.

„Bevor das neue Krankenhausinformationssystem eingeführt wird, stimmen wir das Rollenkonzept mit der Pflegedirektion ab.“

Regelmäßige Überprüfung, bei der Vorgesetzte bestätigen, dass ihre Mitarbeitenden die vergebenen Berechtigungen noch brauchen.

„Die Rezertifizierung im Vertrieb ist seit zwei Wochen überfällig, weil drei Teamleiter ihre Listen noch nicht bestätigt haben.“

Jemandem ein Recht oder einen Zugriff wieder wegnehmen.

„Nach seinem Wechsel in die Logistik haben wir ihm die Rechte für das Personalsystem sofort entzogen.“

Mit mehr Rechten ausgestattet, als für die Aufgabe nötig sind.

„Das Dienstkonto der Zeiterfassung ist überprivilegiert, denn es hat Domänen-Administratorrechte, obwohl es nur eine Datenbank lesen muss.“

Grundsatz, dass jede Person und jedes System nur genau die Rechte bekommt, die für die Arbeit nötig sind (auf Deutsch auch: Prinzip der minimalen Rechte).

„Nach dem Least-Privilege-Prinzip bekommt die neue Sachbearbeiterin zunächst nur Lesezugriff auf die Vertragsdatenbank.“

Bündel von Berechtigungen, das zu einer bestimmten Tätigkeit im Unternehmen passt, zum Beispiel „Disponent“ oder „Einkäuferin“.

„Statt zwölf Einzelrechte zu vergeben, weisen wir dem neuen Disponenten einfach die passende Geschäftsrolle zu.“

Zustand, wenn jemand über Jahre immer neue Rechte bekommt, aber alte nie abgibt.

„Bei Mitarbeitenden mit vielen Abteilungswechseln finden wir fast immer eine deutliche Rechteanhäufung.“

Konto mit weitreichenden Rechten, etwa zur Verwaltung von Servern, Datenbanken oder des ganzen Verzeichnisses.

„Privilegierte Konten dürfen bei uns nicht für E-Mails oder zum Surfen im Internet verwendet werden.“

Recht, das nur für eine kurze, festgelegte Zeit aktiviert wird und danach automatisch wieder verfällt.

„Der Dienstleister bekommt kein dauerhaftes Adminkonto mehr, sondern eine Just-in-Time-Berechtigung für die Dauer des Wartungsfensters.“

Offizielle Erlaubnis, in einem einzelnen Fall von einer Regel abzuweichen.

„Jede Ausnahmegenehmigung von der Passkey-Pflicht wird schriftlich begründet, befristet und vom Informationssicherheitsbeauftragten unterschrieben.“

Alle Rechte zusammen, die eine Person oder ein Konto in einem System hat.

„Vor dem Audit vergleichen wir den tatsächlichen Berechtigungsumfang jedes Administrators mit den Vorgaben im Rollenkonzept.“

Person, die im Antragsprozess entscheidet, ob eine Berechtigung vergeben wird.

„Ist der eingetragene Genehmiger im Urlaub, landet der Antrag automatisch bei seiner Vertretung.“

Entscheidung eines Systems, ob eine Anfrage erlaubt oder abgelehnt wird.

„Bei Zero Trust fließen auch der Zustand des Geräts und der Standort in jede Zugriffsentscheidung ein.“

So, dass zwei Dinge nicht zusammen erlaubt sein dürfen, weil sie gemeinsam ein Risiko bilden.

„Die Rollen „Bestellung anlegen“ und „Wareneingang buchen“ sind unvereinbar und dürfen nicht derselben Person zugewiesen werden.“

Absprache, wer die Aufgaben und Entscheidungen einer Person übernimmt, wenn sie abwesend ist.

„Ohne klare Vertretungsregelung bleiben Berechtigungsanträge während der Sommerferien tagelang liegen.“

Zusätzliche Prüfung, die ein Risiko verringert, solange man eine Regel im Moment nicht einhalten kann.

„Weil am kleinen Standort niemand sonst die Freigaben übernehmen kann, prüft die Teamleitung als kompensierende Kontrolle jeden Monat alle Buchungen des Einkäufers.“