In einem Berechtigungskonzept wird beschrieben, welche Zugriffsregeln für einzelne Benutzer oder Benutzergruppen auf die Daten eines IT-Systems gelten.[1]
Obwohl ursprünglich aus dem organisatorischen Umfeld kommend, spielen Berechtigungskonzepte bei der Nutzung von Ressourcen in der Informationstechnik eine wichtige Rolle. Ressourcen sind neben Daten und Informationen auch die technische Infrastruktur wie Systemzugänge, Speicherplatz, Rechnerleistung oder Computerprogramme. Ein Berechtigungskonzept soll diese Ressourcen vor Veränderung oder Zerstörung schützen (Informationssicherheit) und ihren unrechtmäßigen Gebrauch verhindern (Datenschutz), ohne die Produktivität der Organisation zu hemmen.[2]
Neben den zu schützenden Ressourcen beschreibt und regelt das Berechtigungskonzept auch die zum Schutz dieser Ressourcen anzuwendenden Hilfsmittel, die zur Systemsoftware bzw. zur systemnahen Software gehören sowie deren Einsatz, zum Beispiel wie sich die Benutzer von Computer-Systemen mit Passwörtern oder Zugangscodes identifizieren.
Grundkonzept
Ein einfaches Berechtigungskonzept weist jedem potenziellen Benutzer von Ressourcen eine Anzahl Ressourcen zu, die er tatsächlich nutzen darf, oder umgekehrt jeder Ressource eine Liste der jeweils zugelassenen Benutzer. Dabei kann noch die Art der Autorisierung spezifiziert werden, beispielsweise lesen, verändern, löschen, verwenden. Auch die Beschränkung auf Obergrenzen kann definiert sein, so für Speicherplatz oder transferierte Datenmengen.
Rollen
Rein benutzerbezogene Konzepte neigen zur Unübersichtlichkeit und sind deshalb oft nur rudimentär ausgeprägt. Besser ist ein Konzept über Rollen oder Benutzergruppen.[3] Damit lassen sich Berechtigungen zusammenfassen, beispielsweise alle Berechtigungen, die Mitarbeiter in der Personalbuchhaltung benötigen, wie es sich aus den dortigen Geschäftsprozessen eben ergibt. Jedem Mitarbeiter, der nun konkret in der Personalbuchhaltung arbeitet, wird diese Rolle zugeordnet. Ein Mitarbeiter kann aber durchaus mehrere Rollen haben, wenn er mehrere Funktionen bekleidet. Auf diese Weise wird erreicht, dass sowohl Veränderungen in den Zuständigkeiten der einzelnen Mitarbeiter, als auch Veränderungen im Geschäftsprozess, nur an jeweils einer Stelle im Berechtigungskonzept nachvollzogen werden müssen und dieses konsistent und überschaubar bleibt.
Die Definition von Benutzerrollen gehört zum Aufgabenfeld der Berechtigungsadministration, die Zuordnung von Rollen an Benutzer dagegen als Teil der Benutzeradministration.
Überprüfung
Um unberechtigte Zugriffe zu vermeiden, ist das Berechtigungskonzept regelmäßig zu prüfen. Diese Überprüfung geschieht durch einen Soll/Ist-Vergleich. Der Soll-Stand entspricht dabei einem dokumentierten Stand, der Ist-Stand wird aus dem System bestimmt. Im Rahmen der Prüfung werden Abweichungen festgestellt und dokumentiert. Je nach Klassifizierung der Abweichung wird im Nachgang entweder das Soll-Konzept aktualisiert oder der Ist-Stand im System angeglichen.
Siehe auch
Weblinks
- Identitäts-Management: Berechtigungskonzept für die Nutzung von IT-Diensten Dokument der Universität Freiburg, verabschiedet vom Rektorat am 24. Juni 2009
Einzelnachweise
- ↑ Berechtigungskonzept Institut für Sicherheit und Datenschutz im Gesundheitswesen, abgerufen am 19. Dezember 2017
- ↑ Oliver Schonschek: Schritt für Schritt zum Berechtigungskonzept 10. Februar 2017
- ↑ Unzureichendes Rollen- und Berechtigungskonzept Bundesamt für Sicherheit in der Informationstechnik, Stand 2014