Das Konzept folgt Least Privilege, Need-to-know und Funktionentrennung. Rollen werden aus Aufgaben abgeleitet, nicht für einzelne Personen improvisiert.
Das Wichtigste auf einen Blick
- Eintritt, Wechsel und Austritt lösen kontrollierte Berechtigungsprozesse aus; privilegierte Rechte werden besonders geschützt und protokolliert.
- Periodische Rezertifizierungen prüfen, ob Zugriffe noch nötig sind.
- Ausnahmen benötigen Genehmigung, Ablaufdatum und kompensierende Überwachung.
Ausführliche Erklärung
Das Konzept folgt Least Privilege, Need-to-know und Funktionentrennung. Rollen werden aus Aufgaben abgeleitet, nicht für einzelne Personen improvisiert. Eintritt, Wechsel und Austritt lösen kontrollierte Berechtigungsprozesse aus; privilegierte Rechte werden besonders geschützt und protokolliert. Periodische Rezertifizierungen prüfen, ob Zugriffe noch nötig sind. Ausnahmen benötigen Genehmigung, Ablaufdatum und kompensierende Überwachung. Auch technische Konten, Schnittstellen und externe Supportzugriffe gehören in den Scope.
Häufige Fehler
- Berechtigungen nicht nach Rollen und Aufgaben vergeben.
- Cloud-Lösungen ohne Prüfung von Datenstandort und Vertrag wählen.
- Verschlüsselung und Zugriffsprotokollierung vernachlässigen.
- KI-Nutzung ohne Datenschutzfolgenabschätzung einführen.
- Datensicherheitsvorfälle nicht dokumentieren und melden.
Verwandte Fragen
swissIKS: Möchten Sie Risiken, Kontrollen, Termine und Kontrollnachweise zentral verwalten? swissIKS unterstützt Organisationen bei der digitalen Umsetzung eines nachvollziehbaren Internen Kontrollsystems.