Kurz gesagt

  • Berechtigungen brauchen Rollen und Eigentümer, nicht nur eine Benutzerliste.
  • Administrative Konten werden von Alltagskonten getrennt.
  • Eintritt, Wechsel und Austritt müssen denselben dokumentierten Ablauf nutzen.

Ein Berechtigungskonzept muss keine hundertseitige Richtlinie sein. Es muss erklären, welche Rollen auf welche Systeme zugreifen, wer das genehmigt und wie Änderungen sowie Ausnahmen kontrolliert werden.

Rollen aus Arbeit ableiten

Beginnen Sie mit wenigen stabilen Rollen wie Buchhaltung, Vertrieb, Technik und Geschäftsführung. Ordnen Sie Systeme und Daten zu, nicht einzelne Menüpunkte. Spezielle Rechte werden als begründete Ausnahme ergänzt.

Jedes System braucht einen fachlichen Eigentümer. Die IT setzt Rechte um, aber der Prozessverantwortliche entscheidet, wer sie für die Arbeit benötigt.

Privilegien trennen

Administratoren verwenden ein separates Konto für administrative Aufgaben. MFA und starke Authentisierung sind Pflicht. Gemeinsame Admin-Konten werden auf technisch unvermeidbare Fälle reduziert und besonders protokolliert.

Notfallkonten werden sicher verwahrt, getestet und bei jeder Nutzung nachbearbeitet.

Lebenszyklus beherrschen

Eintritt, Rollenwechsel und Austritt werden aus einer verlässlichen Quelle angestoßen. Austritte behandeln auch Tokens, Weiterleitungen, mobile Geräte, externe Freigaben und Dienstleisterportale.

Für kritische Systeme ist eine halbjährliche Bestätigung durch den Eigentümer ein guter Start.

Konkrete nächste Schritte

  1. Fünf bis zehn Geschäftsrollen definieren.
  2. Systeme und fachliche Eigentümer zuordnen.
  3. Admin- von Alltagskonten trennen.
  4. Austrittsprozess und erste Berechtigungsprüfung testen.

Ein IT-Check von vetosec kann technische Konten, Gruppen und privilegierte Wege sichtbar machen. Die fachliche Entscheidung über notwendige Zugriffe bleibt beim jeweiligen Prozesseigentümer.

Passende Inhalte von vetosec

Primärquellen