Benutzer:innen, Rollen und Clients dokumentieren

Zu jedem Datenverarbeitungssystem dokumentieren Sie in vier Unterlisten, wer mit welchen Rechten über welche Endgeräte zugreift und welche externen Stellen den Betrieb verantworten. Das ist die Nachweisgrundlage, die interne wie externe Auditor:innen zur Zugangssteuerung nach ISO 27001 beziehungsweise BSI IT-Grundschutz stichprobenartig prüfen.

Voraussetzungen

• Sie haben Zugriff auf das übergeordnete Datenverarbeitungssystem.
• Sie verfügen über die Berechtigung, das Datenverarbeitungssystem zu bearbeiten.
• Legen Sie zuerst die „Rollen“ an: Beim Anlegen von Benutzer:innen wählen Sie die Rollen aus den bereits im System definierten Rollen aus.

Rollen mit Rechten anlegen

Der Abschnitt „Rollen“ trägt das Berechtigungskonzept mit den Spalten „Bezeichnung“, „Rechte“ und „Weitere Rechte“.

1. Klicken Sie im Abschnitt „Rollen“ auf „Neu“.
2. Tragen Sie die „Bezeichnung“ ein (Pflichtfeld, zum Beispiel Administrator, Einkauf, Lager) und ergänzen Sie die „Beschreibung“.
3. Setzen Sie unter „Rechte“ die Häkchen für „Recht zu lesen“, „Recht zu bearbeiten“, „Recht zu erstellen“ und „Recht zu löschen“. Vergeben Sie nur, was die Rolle tatsächlich braucht – das ist der Beleg für das Least-Privilege-Prinzip.
4. Erfassen Sie rollenspezifische Sonderrechte unter „Weitere Rechte“ und die geltenden „Passwortakzeptanzregeln“ (Mindestlänge, Komplexität, Wechselintervall).
5. Beschreiben Sie im Feld „Prozess um Benutzern Zugang zu diesem Datenverarbeitungssystem zu gewähren / zu verweigern“, wie Zugänge vergeben und wieder entzogen werden.
6. Klicken Sie auf „Erstellen“.

Benutzer:innen erfassen

1. Klicken Sie im Abschnitt „Benutzer:innen“ auf das Pfeilsymbol neben „Neu“ und wählen Sie „Benutzer:in erstellen“ oder „Aus Kontakten laden“, um mehrere vorhandene Kontakte gleichzeitig zu übernehmen.
2. Füllen Sie „Name des Unternehmens“, „Vorname“, „Nachname“, „Position“ und „Benutzername“ aus – der Benutzername ist der im System hinterlegte Login-Name und damit der Ankerpunkt jeder Berechtigungsprüfung.
3. Wählen Sie unter „Rollen“ die zutreffenden Rollen aus und hinterlegen Sie die „Verpflichtungen“, etwa die IT-Nutzungsordnung.
4. Klicken Sie auf „Erstellen“.

Clients und externe Beteiligte dokumentieren

1. Klicken Sie im Abschnitt „Clients“ auf „Neu“. Tragen Sie die „Bezeichnung“ ein und wählen Sie „Type“ (etwa „Mobile“, „Desktop“, „Thin Client“), „Verwaltung“ („Managed (zentral verwaltet)“, „Unmanaged“ oder „BYOD“) und das „Betriebssystem“.
2. Setzen Sie „Endpoint-Schutz / MDM vorhanden?“ auf „Ja“ oder „Nein“ und ergänzen Sie die „Referenz zur Dokumentation“, zum Beispiel die Inventarnummer.
3. Klicken Sie im Abschnitt „Administration und Management“ auf das Pfeilsymbol neben „Neu“, wählen Sie „Administration erstellen“ und setzen Sie den „Typ des Kontakts“ auf „Hoster“, „Support“, „Zulieferer“, „Systemkoordinator“ oder „Andere“.
4. Klicken Sie jeweils auf „Erstellen“. Zum Ändern klicken Sie eine Tabellenzeile an und wählen rechts oben „Bearbeiten“ oder im Auswahlmenü „Aktionen“ den Eintrag „Löschen“.

Tipp aus der Praxis

• Das Feld „Prozess um Benutzern Zugang zu diesem Datenverarbeitungssystem zu gewähren / zu verweigern“ ist im Audit regelmäßig der erste Stichprobenpunkt, und der häufigste Befund lautet: es gibt keinen dokumentierten Prozess. Schon ein Satz wie Vergabe und Entzug durch IT-Service-Desk auf Basis schriftlicher Genehmigung des Vorgesetzten, dokumentiert im Ticketsystem schließt die Lücke.
• Erfassen Sie jeden Hoster und jeden externen Dienstleister mit Datenkontakt und verknüpfen Sie ihn über „Aus Kontakten laden“ mit dem Modul „Kontakte“. Bei einem Sicherheitsvorfall ist damit sofort am betroffenen System sichtbar, wen Sie technisch erreichen müssen.
• Jede Änderung an den vier Unterlisten wird in der Aktivitätshistorie des Datenverarbeitungssystems protokolliert – Sie können die Pflege der Zugriffsstruktur also lückenlos nachweisen.