3.31 Identity and Access Management (Prüfansätze)

1.

Werden in dem Unternehmen bereits Rollenkonzepte genutzt, also Benutzerrollen anstelle von Einzelprivilegien vergeben?

2.

Wurden alle erforderlichen Rollen im Unternehmen definiert (Basis können oftmals Stellenbeschreibungen sein)?

3.

Werden bei den Rollen System- und Fachaufgaben getrennt?

4.

Werden Rollen nach dem Vier-Augen-Prinzip definiert?

5.

Werden den Rollen nur die für die Aufgabe zwingend erforderlichen Berechtigungen zugeordnet?

6.

Werden die Rollendefinitionen regelmäßig aktualisiert?

7.

Werden Rollenkonflikte gleich bei der Rollendefinition vermieden bzw später bei der Rollenzuordnung überprüft (Warnmeldung bei Widersprüchen)?

8.

Wurde die Möglichkeit einer automatischen Unterstützung durch IAM-Lösungen (Identity and Access Management) geprüft?

9.

Hat die vorgesehene oder eingesetzte IAM-Lösung Schnittstellen zu allen erforderlichen Systemen, die eine eigene Benutzerverwaltung enthalten?

10.

Unterstützt die IAM-Lösung einen Freigabe-Workflow für Benutzer, Rollen und Privilegien?

11.

Können in der IAM-Lösung bereits bestehende Benutzersysteme importiert werden?

12.

Können Benutzer oder Vorgesetzte aktiv einen Rollenwechsel im IAM-System beantragen?

13.

Bietet die IAM-Lösung eine visuelle Darstellung des Berechtigungs- und Benutzerkonzepts?

14.

Lassen sich die zugeordneten Rollen zeitlich befristen?

15.

Lassen sich die intern notwendigen Berichte generieren?

16.

Ist auch die Notfallvorsorge und Wiederherstellung der IAM-Lösung geregelt?

17.

Kann die IAM-Lösungen auch die Nutzung von Cloud-Diensten berücksichtigen?

18.

Falls eine IAM als Cloud-Dienst genutzt wird: Erfüllt der Provider die Datenschutzanforderungen an Cloud Computing?