Kleine Sektflaschen Hochzeit
Die Zugriffsrechte (z. Lesen, Schreiben, Ausführen) auf IT-Anwendungen, Teilanwendungen oder Daten sind von der Funktion abhängig, die die Person wahrnimmt, z. Anwenderbetreuung, Arbeitsvorbereitung, Systemprogrammierung, Anwendungsentwicklung, Systemadministration, Revision, Datenerfassung, Sachbearbeitung. Dabei sollten immer nur so viele Zugriffsrechte vergeben werden, wie es für die Aufgabenwahrnehmung notwendig ist ("Need-to-know-Prinzip"). Wofür benötige ich es? Sind Rollen nicht oder nur unzureichend definiert, kann es dazu führen, dass Mitarbeiter Zugriff auf Systeme und Daten erhalten, zu denen sie keine Berechtigung benötigen. Dies kann zu einer Verletzung der Vertraulichkeit und Integrität der Daten führen. Mit einem unzureichenden Berechtigungskonzept entsteht eine unübersichtliche Zugriffslage, sodass Daten u. U. Prozessbasierte Gestaltung von (Aufbau-)Organisation und Berechtigungskonzept am Beispiel von SAP R/3 | SpringerLink. ganz unbemerkt entwendet werden können. So können z. Auszubildende, die während ihrer Zeit im Unternehmen verschiedene Abteilungen durchlaufen, am Ende einen ähnlichen Umfang an Zugriffsrechten erlangt haben wie der Systemadministrator.
Fachbeitrag Generell sind Unternehmen was die Vermeidung des Zugriffs auf Unternehmensdaten anbelangt, heutzutage schon recht gut sensibilisiert. Sie setzen IT-Sicherheitsmaßnahmen wie Intrusion-Detection-Systeme und Firewalls als Hürden für unberechtigte Dritte ein. Die meisten Unternehmen schützen sich hingegen nicht ausreichend gegen Gefahren von innen. Ein detailliertes schriftliches Berechtigungskonzept kann dagegen Abhilfe schaffen. Was ist ein Berechtigungskonzept? In einem Berechtigungskonzept werden Zugriffsregeln für einzelne Benutzer oder Benutzergruppen auf Datensätze eines IT-Systems festgelegt. Außerdem werden dort alle Prozesse, die die Umsetzung des Berechtigungskonzepts betreffen beschrieben, wie z. B. das Löschen und Erstellen von Nutzern, oder Passwortrestriktionen. In der Regel müssen in Berechtigungskonzepten Rollen definiert werden, denen Berechtigungen erteilt oder entzogen werden können. Über Zugriffsrechte wird geregelt, welche Person im Rahmen ihrer Funktion bevollmächtigt wird, IT-Anwendungen oder Daten zu nutzen.
Regelmäßige Rezertifizierungen Eingeräumte Berechtigungen für Anwender sind regelmäßig dahingehend zu überprüfen, ob sie weiterhin für die Erfüllung der betrieblichen Aufgaben erforderlich sind. Im Rahmen regelmäßiger und risikoorientierter Rezertifizierungen sind auch die zugrunde liegenden Konzepte angemessen auf Anpassungsbedarf hin zu untersuchen. Die Überwachung der Rezertifizierungsprozesse und -ergebnisse erfolgt durch unabhängige Funktionen im Unternehmen (z. B. den Informationssicherheitsbeauftragten). PRAXISTIPPS Ein umfassendes und risikoorientiertes Berechtigungsmanagement ist erforderlich, um einen angemessenen Schutz Ihrer Unternehmenswerte sicherzustellen. Beachten Sie das Need-To-Know-Prinzip und stellen Sie eine ausreichende Funktionstrennung sicher. Für privilegierte Rechte bestehen besondere Anforderungen an Prüfung, Überwachung und (zeitliche) Limitierung. Der Rezertifizierungsprozess ist risikoorientiert aufzusetzen und beinhaltet sämtliche Bestandteile des Berechtigungsmanagements.