Berechtigungsprüfungen: Wer hat noch die Schlüssel
Wir prüfen regelmäßig, wer Zugang zu Ihren Verzeichnissen, Cloud-Konten und wichtigen Anwendungen hat und ob das noch so sein sollte. Sie erhalten die Bereinigung und die Nachweise, nach denen ein Auditor fragt.
Überblick
Warum Berechtigungen ausufern
Menschen kommen, wechseln die Rolle und gehen. Externe beenden ihre Projekte. Dienstkonten überleben die Systeme, für die sie angelegt wurden. Jede Änderung ist klein, und niemand entzieht Zugriffe so eilig, wie er sie vergibt. Nach einem Jahr entspricht die Liste, wer worauf zugreifen kann, selten noch irgendeiner Absicht.
Black Fox führt regelmäßige Berechtigungsprüfungen in den Systemen durch, auf die es ankommt: Ihrem Verzeichnisdienst, Ihren Cloud-Plattformen und den Anwendungen, die Ihre Daten oder Ihr Geld verwalten. Wir erfassen Konten und Rechte, gleichen sie mit Ihren Unterlagen ab, wer wo arbeitet, und legen jeden fragwürdigen Eintrag der Person vor, die entscheiden kann.
Privilegierte Zugriffe erhalten mehr Aufmerksamkeit als der Rest. Administrator-, Root- und Eigentümerrechte sind die Stelle, an der ein einziges vergessenes Konto den größten Schaden anrichtet, und die Auditoren als Erstes ansehen.
Für wen es gedacht ist
Organisationen, die sich auf ISO/IEC 27001, SOC 2, PCI DSS oder Vergleichbares vorbereiten oder diese aufrechterhalten, wo regelmäßige Berechtigungsprüfungen eine erwartete Maßnahme sind, und alle Teams, die gewachsen sind, sich umorganisiert oder Systeme gewechselt haben und nicht mehr sicher sind, wer worauf zugreifen kann.
Die Arbeit, von der Abgrenzung des Umfangs bis zu den Nachweisen.
Was wir tun
Betroffene Systeme
Wir legen fest, welche Systeme wie oft geprüft werden, zum Beispiel Verzeichnisdienst, Cloud-Konten, Quellcode-Plattform sowie Finanz- und Personalanwendungen.
Konten und Rechte
Wir erfassen, wer mit welchen Rechten Zugang hat, aus Exporten oder Lesezugriffen, die Sie bereitstellen, und ordnen Konten realen Personen zu.
Eintritte, Wechsel und Austritte
Wir gleichen Zugriffe mit Ihren Personal- und Vertragsunterlagen ab: Ausgeschiedene mit aktiven Konten, Wechsler mit alten Rechten, Neue mit mehr als ihre Rolle braucht.
Privilegierte Zugriffe
Administrator- und Eigentümerrechte, geteilte Konten, Notfallkonten und Dienstkonten werden einzeln geprüft und ihren Verantwortlichen zugeordnet.
Bestätigung durch Verantwortliche
Führungskräfte und Systemverantwortliche bestätigen oder entziehen jeden Eintrag, und ihre Entscheidungen werden mit Datum festgehalten.
Prozessprüfung
Wir betrachten, wie Zugriffe beantragt, genehmigt und entzogen werden, und empfehlen Änderungen, damit die nächste Prüfung weniger findet.
So läuft der Auftrag ab
Auftakt
Wir vereinbaren Systeme, Prüfintervall, Verantwortliche und die Nachweise, die Ihre Auditoren erwarten, und unterzeichnen auf Wunsch vorab eine Vertraulichkeitsvereinbarung.
Erfassung
Wir sammeln die Daten zu Konten und Rechten sowie Ihre Unterlagen zu aktuellen Mitarbeitenden und Externen.
Analyse
Wir gleichen ab und markieren: verwaiste Konten, überhöhte Rechte, Konflikte bei der Funktionstrennung und unerklärte privilegierte Zugriffe.
Bestätigung
Jeder Verantwortliche erhält seine Liste, bestätigt oder entzieht, und wir haken nach, wenn Antworten ausbleiben.
Bereinigung und Nachweis
Ihre Teams entfernen, was entzogen wurde, wir prüfen das, und die Prüfung wird als Nachweis aufbereitet. Danach beginnt der Zyklus im vereinbarten Intervall von vorn.
Was Sie erhalten
- Übersicht der Konten und Rechte pro System
- Bericht mit Feststellungen: verwaiste Konten, überhöhte Rechte, Konflikte
- Verzeichnis privilegierter Zugriffe mit benannten Verantwortlichen
- Bestätigungen der Verantwortlichen mit Entscheidungen und Datum
- Nachweis, dass entzogene Zugriffe entfernt wurden
- Empfehlungen für Eintritts-, Wechsel- und Austrittsprozesse
Fragen
Wie oft sollten Berechtigungen geprüft werden?
Das hängt vom System und Ihrem Rahmenwerk ab. Privilegierte Zugriffe und auditrelevante Systeme werden üblicherweise häufiger geprüft als der Rest. Wir helfen Ihnen, ein Intervall festzulegen, das Sie begründen und tatsächlich einhalten können.
Entfernen Sie die Konten?
Das tun Ihre Teams, denn ihnen gehören die Systeme und der Änderungsprozess. Wir sagen, was zu entfernen ist, haken nach und prüfen, dass es erledigt wurde.
Reicht das unserem Auditor?
Für Ihren Auditor können wir nicht sprechen. Wir erstellen die Nachweise, mit denen Berechtigungsprüfungen üblicherweise getestet werden: wer geprüft wurde, von wem, was entschieden wurde und dass die Entscheidung umgesetzt wurde. Ob das die Anforderung erfüllt, entscheidet Ihr Auditor.
Brauchen Sie Administratorzugriff auf unsere Systeme?
Nein. Exporte oder Lesezugriff genügen in der Regel, und wir vereinbaren vor dem Erhalt, wie die Daten behandelt und gelöscht werden.
Verwandte Leistungen
- Managed SecurityKontinuierliche ComplianceKontinuierliche Compliance mit Black Fox Security: Nachweiskalender, interne Audits, Kontrolltests, Richtlinienprüfung und Unterstützung bei Überwachungsaudits.
- Compliance und ZertifizierungSOC 2SOC 2 mit Black Fox Security: Abgrenzung nach Trust Services Criteria, Gap-Analyse, Kontrolldesign und Vorbereitung der Nachweise für die Prüfung durch Ihre CPA-Firma.
- Compliance und ZertifizierungISO/IEC 27001ISO/IEC 27001 mit Black Fox Security: ISMS-Geltungsbereich, Risikobeurteilung, Erklärung zur Anwendbarkeit, internes Audit und Vorbereitung auf die Zertifizierung.
- Governance und RisikoInformationssicherheits-AuditUnabhängige Audits der Informationssicherheit von Black Fox Security nach ISO/IEC 27001, 27002, DSGVO, PCI DSS, Ihren Richtlinien oder einem Kundenfragebogen.
Finden Sie heraus, wer noch die Schlüssel hat
Sagen Sie uns, welche Systeme am wichtigsten sind und wann Ihr nächstes Audit ansteht. Wir schlagen eine Prüfung vor, die zu beidem passt.