Berechtigungsmanagement im Zeitalter der DSGVO

Berechtigungsmanagement – klingt nicht sonderlich aufregend? Keine Tätigkeit, bei der Sie viel Optimierungspotential orten? Sie sagen sich „die IT macht das schon“?

Natürlich weiß die IT was sie tut, aber würden SIE nicht auch gerne wissen, WER bei Ihnen im Unternehmen WORAUF Zugriff hat, vor allem, wenn Sie das Berechtigungsmanagement auch auditieren möchten?

Stichwort auditieren

Gerade in Zeiten von DSGVO, NIS und ISO 27001 rücken Tools in den Fokus, mit denen es möglich ist, nachweislich mit Hilfe eines hinterlegten automatisierten Workflows, die Berechtigungen regelmäßig zu hinterfragen.
Es geht also um die Sicherheit innerhalb eines Unternehmens und dabei um den Schutz vertraulicher Informationen innerhalb der Organisation.

Abteilungsübergreifend denken

Vor allem wenn Mitarbeiter in unterschiedlichen Abteilungen eingesetzt werden, muss genau darauf geachtet werden, dass sie nur auf diejenigen Daten, die für sie auch relevant sind, zugreifen können. So wird beispielsweise vermieden, dass ein Praktikant, der in allen Abteilungen geschnuppert und gearbeitet hat, am Ende derjenige mit den meisten Berechtigungen im Unternehmen ist. Oder, dass sich die Berechtigungen eines einzelnen Mitarbeiters, quasi „historisch gewachsen“ nur mehr minimal von denen eines Administrators unterscheiden. Aufgrund fehlender Kontrollen und Überprüfungen, kann es schon einmal vorkommen, dass dies über einen längeren Zeitraum nicht auffällt. Kann, muss aber nicht!

Zusammenarbeit erleichtern

Berechtigungsmanagement ist eine bereichsübergreifende Aufgabe und deswegen ist hier eine Zusammenarbeit besonders wichtig, aber sie soll effizient und transparent erfolgen. Benötigt man wirklich immer die Expertise der IT wenn es darum geht, wer auf welche Inhalte Zugriff haben soll oder gibt es nicht sehr viel besser geeignete Personen im Unternehmen,  die fachlich genau wissen, wer welche Daten benötigt?
Sollte es idealerweise nicht so sein, dass ein Mitarbeiter, wenn er Zugriff auf einen Ordner benötigt, die Anfrage mit einem simplen Mausklick auslösen kann? Der Vorgesetzte wird dann darüber informiert und kann dann darüber entscheiden,  ob die Anfrage angenommen wird oder nicht. Dies geschieht ebenfalls über einen einfachen Mausklick und somit kann der Prozess deutlich verschlankt werden.

Gelebte Prozesse

Wichtig anzumerken ist: Ein gut durchdachtes Berechtigungsmanagement ist keine rein technische Übung. Viel mehr ist es ein Prozess, der eng mit den Fachbereichen und verschiedenen Abteilungen eines Unternehmen verknüpft ist und nicht nur von dieses mitgetragen wird, sondern durch seine klare Strukturierung auch den Mitarbeitern zu Gute kommt.