Geschäftliche Anforderungen in Bezug auf die Zugangssteuerung

Zugangs-/Zugriffs-Regeln

Die aktuell vergebenen Zugangs-Rechte sind aus der AD-Gruppenverwaltung ersichtlich. Dort werden auch die nicht direkt durch das AD administrierten Zugänge als eigene Gruppe der Übersichtlichkeit halber aufgeführt und gepflegt. Die detaillierten Zugriffs-Konfigurationen innerhalb der einzelnen Systeme werden nicht vollends zentral nachgehalten, da dies die Wartbarkeit erheblich erschweren und zu Inkonsistenzen führen würde.

Welche Rollen und Berechtigungen ein Mitarbeiter zugewiesen bekommt, wird im Einstellungsprozess bzw. bei einem Wechsel der Anstellung durch die IT-Leitung festgelegt. Der Punkt “Zugänge durch IT-Leitung erteilt” im Dokument “Checkliste: Einstellung und Austritt” dient hierfür als Kontrollelement. Siehe auch: Personelle Sicherheit.

Zur initialen Orientierung kann die IT-Leitung folgende “Jobprofile” bei der Anweisung zur Account-Einrichtung mitgeben:

Den Umsetzungs-Auftrag muss die IT-Leitung schriftlich via E-Mail an einen Systemadministrator erteilen. Die Umsetzung / Aktivierung der Zugänge muss sich die IT-Leitung von dem Systemadministrator, der die Umsetzung durchführt, via E-Mail bestätigen lassen.

Erteilung von Zugangs-/Zugriffs-Rechten im laufenden Betrieb

1. Sofern einem Mitarbeiter im laufenden Betrieb Zugänge erteilt / entzogen werden sollen, muss hierfür zunächst ein Mitglied der Geschäftsführung protokolliert (via E-Mail) um Erlaubnis gefragt werden. Anschließend muss - ebenfalls protokolliert - ein Systemadministrator informiert werden, damit dieser die Änderungen im AD nachhält. Rechteänderungen sind grundsätzlich im Ticketsystem zu dokumentieren.

2. Diese Regel wird den Mitarbeitern u.a. im Wiki-Artikel 11 Goldene IS-Regeln aufgezeigt.

Zutritts-Regeln

Regelungen zur Zutrittkonstrolle sind im Abschnitt Sicherheitsbereiche zu finden.