Berechtigungsrezertifizierung: Zugriffsrechte unter Kontrolle halten

• Strategie & Umsetzung
• Sicherheit und Compliance

Identity & Access Management sorgt dafür, dass Mitarbeiter die Zugriffsrechte erhalten, die sie für ihre Arbeit benötigen. Mit HelloID von Tools4ever lassen sich Benutzerkonten und Berechtigungen sogar anhand definierter Regeln automatisiert verwalten. 

Mitarbeiter erhalten im Laufe ihrer Tätigkeit jedoch zusätzliche Zugriffsrechte: für Projekte, Anwendungen, Daten, Vertretungen oder kostenpflichtige Lizenzen, die nicht durch ihr reguläres Berechtigungsprofil abgedeckt sind. 

Zum Zeitpunkt der Vergabe sind diese zusätzlichen Rechte begründet. Monate später kann die Grundlage entfallen sein. So entsteht ein wachsender Bestand an Zugriffsrechten, deren fachliche Grundlage nicht mehr eindeutig ist. 

Mit der Berechtigungsrezertifizierung in HelloID Governance prüfen Organisationen regelmäßig, ob bestehende Zugriffe weiterhin erforderlich und gerechtfertigt sind. 

Warum Zugriffsrechte regelmäßig geprüft werden müssen 

Das Risiko entsteht durch Veränderung: 

Ein Projekt endet. Ein Mitarbeiter wechselt die Abteilung. Eine Aufgabe entfällt. Eine Anwendung wird nicht mehr genutzt. Standardberechtigungen werden meistens entfernt, zusätzliche Zugriffe bleiben aber oft bestehen. 

Die Folge ist ein Berechtigungsbestand, der mit der tatsächlichen Organisation nicht mehr übereinstimmt.  

Dieser Effekt wird als Permission Creep bezeichnet. Unsere Kunden reden diplomatisch von einer "gewachsenen Berechtigungsstruktur" 

Regelmäßige Access Reviews schaffen Transparenz und unterstützen das Least-Privilege-Prinzip. Somit werden die Compliance-Anforderungen im Rahmen von ISO 27001, NIS2, DSGVO, KRITIS, usw. unterstützt. 

So funktioniert die Rezertifizierung in HelloID Governance 

HelloID organisiert die Überprüfung über Rezertifizierungskampagnen. 

Für jede Kampagne wird festgelegt: 

• welche Berechtigungen geprüft werden, 

• welche Benutzer betroffen sind, 

• wer die Entscheidung trifft, 

• wie häufig die Prüfung erfolgt. 

Der Prüfzyklus kann sich am Risiko orientieren. Zugriffe auf sensible Daten oder administrative Funktionen lassen sich häufiger prüfen als Rechte mit geringem Schadenspotenzial. 

Der zuständige Verantwortliche bewertet die Berechtigungen und entscheidet, ob sie bestehen bleiben oder entzogen werden. 

Abgelehnte Rechte werden durch HelloID entfernt. 

Damit endet der Prozess nicht bei einer Liste oder einem Prüfbericht. Die Entscheidung wird technisch umgesetzt. 

Ausnahmen erkennen 

HelloID kann auch Berechtigungen identifizieren, die ein Mitarbeiter früher erhalten hat, nach seiner aktuellen Position oder Abteilungszugehörigkeit heute aber nicht mehr beantragen dürfte. 

Dadurch werden Zugriffe sichtbar, deren ursprüngliche Grundlage entfallen ist. 

Zusätzlich lassen sich Berechtigungen erfassen, die keiner individuellen Rezertifizierungskampagne zugeordnet wurden. So bleiben auch diese Zugriffe Bestandteil des Kontrollprozesses. 

Unterstützung für ISO 27001, NIS2 und DSGVO

HelloID dokumentiert: 

• welche Berechtigungen geprüft wurden, 

• wer die Prüfung durchgeführt hat, 

• wann die Entscheidung erfolgte, 

• welche Rechte bestätigt oder entzogen wurden. 

Damit entsteht ein nachvollziehbarer Prozess für interne Kontrollen, Zertifizierungen und Audits. 

Eine strukturierte Rezertifizierung unterstützt Anforderungen im Umfeld von ISO 27001, NIS2, DSGVO, KRITIS und weiteren Regelwerken. 

Nutzen für CIO und IT-Management 

Berechtigungsrezertifizierung schafft Klarheit über bestehende Ausnahmen. 

Für das IT-Management bedeutet das: 

• weniger unnötige Berechtigungen, 

• geringerer Prüfaufwand, 

• nachvollziehbare Entscheidungen, 

• automatisierter Entzug, 

• belastbare Auditnachweise. 

Provisioning steuert die Vergabe von Standardrechten. Service-Automation regelt zusätzliche Anforderungen. Rezertifizierung kontrolliert, ob diese Rechte weiterhin bestehen dürfen. 

So entsteht ein geschlossener Prozess für die Verwaltung von Zugriffsrechten. 

HelloID Governance 

HelloID Governance unterstützt Organisationen dabei, Berechtigungen regelmäßig zu prüfen, Entscheidungen zu dokumentieren und nicht mehr benötigte Zugriffe zu entziehen. Das vereinfacht Auditprozesse, erhöht Compliance und entlastet die IT. 

• governance