Die Schritte
- Die Systeme wählen: mit denen beginnen, die sensible Daten halten, und mit Administratorrechten.
- Die aktuellen Konten und Rechte aus dem System selbst exportieren.
- Jeder Führungskraft oder jedem Systemverantwortlichen die zu prüfende Liste schicken.
- Jeden Eintrag behalten, ändern oder entfernen lassen.
- Die Entfernungen umsetzen und prüfen, dass sie erfolgt sind.
- Die Nachweise aufbewahren: die Liste, die Entscheidungen und die Änderungen.
Wie oft
Die Häufigkeit folgt dem Risiko: Vierteljährlich ist für privilegierte Zugriffe und kritische Systeme üblich, alle sechs bis zwölf Monate für den Rest. Was immer Sie entscheiden, schreiben Sie es in Ihre Richtlinie und halten Sie sich daran.
Was Prüfer übersehen
- Ausgeschiedene und Versetzte, deren Zugriffe nie entfernt wurden.
- Dienstkonten ohne Verantwortlichen.
- Direkt vergebene Rechte außerhalb des Rollenmodells.
- Prüfer, die alles genehmigen: Ziehen Sie Stichproben ihrer Entscheidungen.
Was die Regeln sagen
Maßnahme 5.18 aus Anhang A der ISO/IEC 27001:2022 behandelt Zugriffsrechte einschließlich ihrer Überprüfung. Auch PCI-DSS-Anforderung 7 und die HIPAA Security Rule verlangen, Zugriffe zu verwalten und zu überprüfen.
Fragen
- Wer sollte Zugriffe überprüfen?
- Jemand, der den Bedarf kennt: die Führungskraft der Person oder der Systemverantwortliche, nicht allein die Person, die das System administriert.
- Welche Nachweise wollen Auditoren sehen?
- Eine vollständige, aus dem System gezogene Liste, die datierten Entscheidungen des Prüfers und den Beleg, dass die Entfernungen umgesetzt wurden.