Wer darf was, und ist das noch richtig so? Diese Frage stellt sich in jedem Unternehmen, spätestens bei der nächsten Revision oder Prüfung nach NIS2 oder DORA.
Das Integrationspaket Governance gibt darauf eine belastbare Antwort. Es verbindet vier Bereiche, die ineinandergreifen:
Governance ist das Thema, mit dem daccord entstanden ist. Entsprechend tief sind diese Bereiche im IP Governance ausgearbeitet: Sie gehen weit über das hinaus, was klassische IAM-Lösungen leisten. Vordefinierte Richtlinien und Standard-Reports machen das Paket sofort einsatzbereit.
In Zertifizierungsläufen bestätigen Verantwortliche, ob Zugriffe weiterhin erforderlich sind. Geprüft werden können Personen, Accounts, die Berechtigungen einzelner Accounts, die Rollenzuweisungen von Personen sowie Überberechtigungen aus der Funktionstrennung.
Wer zertifiziert, legen Sie flexibel fest: die zuständige Führungskraft, die Verantwortlichen der jeweiligen Berechtigung oder eine fest benannte Person, auf Wunsch im Vier-Augen-Prinzip. Nicht bestätigte Einträge werden als Handlungsbedarf gekennzeichnet. Einträge, die bewusst nicht zertifiziert werden, sind klar dokumentiert, und der Lauf kann trotzdem vollständig abgeschlossen werden. Erinnerungsmails und ein Ampelstatus im Portal zeigen jederzeit den Fortschritt. Kommen während eines Laufs neue Personen oder Berechtigungen hinzu, nimmt daccord sie automatisch in die Prüfung auf.
Manche Tätigkeiten dürfen nicht in einer Hand liegen. In daccord legen Sie dafür Funktionsbereiche an und ordnen ihnen die passenden Berechtigungen zu. Anschließend kennzeichnen Sie, welche Funktionsbereiche zueinander in Konflikt stehen.
daccord prüft daraufhin automatisch, ob eine Person Berechtigungen aus zwei unverträglichen Bereichen besitzt, auch wenn sich der Konflikt erst über mehrere Accounts dieser Person ergibt. Die Prüfung läuft ereignisbasiert: Sobald eine Berechtigung vergeben, entfernt oder einem Funktionsbereich neu zugeordnet wird, ist das Ergebnis aktuell. In einer eigenen Ansicht sehen Verantwortliche, welche Personen wie viele Konflikte haben und welche Funktionsbereiche betroffen sind. Überberechtigungen können zudem in Zertifizierungsläufe übernommen und dort geprüft werden.
Grundlage der Risikoanalyse sind Datenbereiche, etwa Lohndaten oder Kontaktdaten. Für jeden Datenbereich wird festgelegt, wie kritisch er in Bezug auf Vertraulichkeit, Integrität und Verfügbarkeit ist.
Berechtigungen werden den Datenbereichen zugeordnet, jeweils mit dem Umfang von Lese- und Schreibzugriff. Daraus berechnet daccord für jede Person einen Risikoscore. In der Übersicht lassen sich Personen nach Risikoscore, Datenbereich oder Schwachstelle filtern. Per Detailansicht wird nachvollziehbar, welche Datenbereiche zur Kritikalität beitragen. Führungskräfte erkennen so gezielt, welche Risiken bei den Personen in ihrem Verantwortungsbereich bestehen. Ändert sich eine Berechtigung, wird der Score sofort neu berechnet.
Was in Ihrem Unternehmen als Schwachstelle gilt, bestimmen Sie selbst: über frei konfigurierbare Regeln, die sich vor dem Aktivieren testen lassen.
daccord prüft den Bestand fortlaufend und weist jede erkannte Schwachstelle einem Bearbeiter zu: der direkten Führungskraft der betroffenen Person, der nächsthöheren Führungsebene oder einer fest benannten Person. Wechselt die Zuständigkeit, wird automatisch umgehängt. Ist die Ursache behoben, löst sich die Schwachstelle von selbst auf. Schwachstellen fließen direkt in die Risikoanalyse ein und erhöhen den Risikoscore der betroffenen Person. Beide Bereiche sind damit eng verzahnt: Wer Schwachstellen beseitigt, senkt unmittelbar das Risiko.
