3.31 Identity and Access Management (Prüfansätze)
Prüfansätze | Ja | Nein | |
1. | Werden in dem Unternehmen bereits Rollenkonzepte genutzt, also Benutzerrollen anstelle von Einzelprivilegien vergeben? | ||
2. | Wurden alle erforderlichen Rollen im Unternehmen definiert (Basis können oftmals Stellenbeschreibungen sein)? | ||
3. | Werden bei den Rollen System- und Fachaufgaben getrennt? | ||
4. | Werden Rollen nach dem Vier-Augen-Prinzip definiert? | ||
5. | Werden den Rollen nur die für die Aufgabe zwingend erforderlichen Berechtigungen zugeordnet? | ||
6. | Werden die Rollendefinitionen regelmäßig aktualisiert? | ||
7. | Werden Rollenkonflikte gleich bei der Rollendefinition vermieden bzw später bei der Rollenzuordnung überprüft (Warnmeldung bei Widersprüchen)? | ||
8. | Wurde die Möglichkeit einer automatischen Unterstützung durch IAM-Lösungen (Identity and Access Management) geprüft? | ||
9. | Hat die vorgesehene oder eingesetzte IAM-Lösung Schnittstellen zu allen erforderlichen Systemen, die eine eigene Benutzerverwaltung enthalten? | ||
10. | Unterstützt die IAM-Lösung einen Freigabe-Workflow für Benutzer, Rollen und Privilegien? | ||
11. | Können in der IAM-Lösung bereits bestehende Benutzersysteme importiert werden? | ||
12. | Können Benutzer oder Vorgesetzte aktiv einen Rollenwechsel im IAM-System beantragen? | ||
13. | Bietet die IAM-Lösung eine visuelle Darstellung des Berechtigungs- und Benutzerkonzepts? | ||
14. | Lassen sich die zugeordneten Rollen zeitlich befristen? | ||
15. | Lassen sich die intern notwendigen Berichte generieren? | ||
16. | Ist auch die Notfallvorsorge und Wiederherstellung der IAM-Lösung geregelt? | ||
17. | Kann die IAM-Lösungen auch die Nutzung von Cloud-Diensten berücksichtigen? | ||
18. | Falls eine IAM als Cloud-Dienst genutzt wird: Erfüllt der Provider die Datenschutzanforderungen an Cloud Computing? | ||
