Berechtigungsmanagement
Wozu ein Berechtigungsmanagement?
In dieser Situation einfach bestimmte Referenz-Konten undokumentiert zu kopieren, stellt vor dem Hintergrund individueller „Berechtigungskarrieren“ ein Risiko für die Sicherheit der Daten dar!
Häufig werden die angefragten Berechtigungen nicht rechtzeitig umgesetzt sowie deren Dokumentation in den verschiedenen Systemen vernachlässigt. Meist fehlt eine zentrale Ablage und Aktualität sowie Integrität der Daten sind nicht gewährleistet.
Bei vielen Tätigkeiten, die in Unternehmen im Benutzer- und Berechtigungsmanagement zu erledigen sind, handelt es sich um Routineaufgaben. Diese sind gleichwohl mühselig, zeitraubend und fehleranfällig. Dazu zählt das aufwändige manuelle Anlegen einzelner Benutzer in einer unübersichtlichen Active Directory-Welt, die von vererbten Berechtigungen, Berechtigungsvergaben über Gruppen, direkt gesetzten Rechten, Wegfall von Berechtigungen, toten SIDs etc. gekennzeichnet ist. Darüber hinaus benötigen die Mitarbeiter Systemzugänge und Berechtigungen in weiteren Business-Anwendungen wie Exchange und SharePoint oder in ERP- (z.B. SAP®) und CRM-Systemen – und das sowohl On-Premise als auch in der Cloud.
Wie pflegt man Berechtigungen?
Da sich die üblichen Bordmittel (beispielsweise von Microsoft) als ungeeignet erweisen, um die Userberechtigungen im Unternehmen effizient und revisionssicher zu managen und zu dokumentieren, wird ein geeignetes Drittsystem für das Management der Berechtigungen benötigt. Eine derartige Software sollte gemäß BSI folgendes bereitstellen:
- eine Unterstützung des gesamten Lebenszyklus aller Konten und der dazugehörenden Prozesse – beginnend mit der Registrierung und Einrichtung von Benutzern, über interne Änderungen bei Abteilungswechsel oder temporärer Projektmitarbeit bis hin zum Mitarbeiteraustritt;
- Werkzeuge, die sowohl die Einrichtung von Systemzugängen und Berechtigungen, als auch die Anpassungen, welche mit einer Benutzerkarriere und der -kennung typischerweise verbundenen sind, möglichst automatisieren;
- Genehmigungsverfahren abbilden, die den Zugriff auf Daten und IT -Ressourcen steuern und kontrollieren;
- Möglichkeiten, die Berechtigungsstrukturen verständlich zu visualisieren und einfach zu dokumentieren.
Gibt es regulatorische Anforderungen?
Im Mai 2018 tritt die europäische Datenschutzgrundverordnung EU-DSGVO für alle Unternehmen in der EU verbindlich in Kraft. Sie enthält ein klares Regelwerk zum Schutz der personenbezogenen Daten von EU-Bürgern vor Missbrauch oder Diebstahl. Die Unternehmen müssen mittels eines geeigneten Berechtigungsmanagements sicherstellen und nachweisen, dass dieser Schutz durch entsprechende Zugriffsberechtigungen garantiert ist.
Die Verfahren der Berechtigungsvergabe sind ebenfalls Bestandteil der Datenschutzregularien: im Rahmen der Prozesse muss gewährleistet sein, dass Entscheidungsverantwortliche die Zuweisung von Rechten genehmigen.
Welche Software für das Berechtigungsmanagement?
Den Markt kennzeichnen vor allem Insellösungen. Diese decken entweder nur Teile der Systemlandschaften ab (z.B. nur Microsoft Verzeichnisdienst) oder sie beschränken sich lediglich auf Teilaspekte des Berechtigungsmanagements (z.B. nur Dokumentationsaufgaben).
Derartige Insellösungen sind aus unserer Sicht nicht ausreichend, denn sie gewährleisten keine vollumfängliche Unterstützung aller Verfahren und Systeme, in denen Berechtigungen eine Rolle spielen.
Bei der Recherche nach geeigneten Produkten, die diese Anforderungen erfüllen, haben wir uns für eine pragmatische und schnell einzuführende Software-Lösung entschieden. Mit tenfold sind Sie für die technischen und organisatorischen Anforderungen im Bereich Berechtigungsmanagement bestens gewappnet.