Daten im PCS (und anderen Systemen) dürfen nur für Benutzer zugänglich sein, die dazu berechtigt sind. In der Praxis kommt es vor, dass Benutzer, die aus dem Dienstverhältnis ausgeschieden sind, nicht gelöscht wurden. Dadurch können sie im Namen des Unternehmens immer noch Handlungen durchführen und sensible Daten ansehen, ändern oder löschen.
Quartalskontrollen sind ein Hilfsmittel, um dies regelmäßig zu überprüfen. Da es auch Daten von anderen Community-Mitgliedern betrifft, haben wir als Community beschlossen, diese Kontrollen für alle Organisationen verbindlich zu machen. Dies ist eine der Verbesserungen im Rahmen des Programms Gemeinsam Sicher Daten Teilen.
Die Quartalskontrollen werden vom Hauptadministrator/-in durchgeführt, eventuell in Zusammenarbeit mit den Nutzerrechteverwaltern.
Quartalskontrollen sind nicht notwendig, wenn außer dem Hauptadministrator/-in keine weiteren Mitarbeiter registriert sind. Organisationen mit nur einem registrierten Mitarbeiter sind somit von den Quartalskontrollen ausgenommen.
Die Kontrolle muss jedes Quartal innerhalb von zwei Wochen durchgeführt werden. Sowohl der/die Hauptadministrator/-in als auch der/die Nutzerrechteverwalter/-in erhalten zu Anfang des neuen Quartals eine E-Mail zur Erinnerung.
Sie können Ihre Mitarbeiter auf zwei Arten überprüfen:
Auf dem Bildschirm funktioniert es folgendermaßen:
Auf der Seite Quartalskontrollen finden Sie eine Liste mit den noch zu überprüfenden Mitarbeitern. Mit dem kleinen Pfeil hinter dem Mitarbeiter öffnen Sie die Details des jeweiligen Mitarbeiters und können ihn auf suspendiert setzen oder löschen.
Zum Validieren wählen Sie die Mitarbeiter aus, die Sie validieren wollen. Klicken Sie die Checkbox vor dem Namen an. Klicken Sie anschließend auf Mitarbeiter validieren. Sobald dies abgeschlossen ist, erhalten Sie eine Bestätigung auf den Bildschirm. Außerdem verschwinden die überprüften Mitarbeiter aus der Liste.
Sobald alle Mitarbeiter validiert sind, erscheint die Meldung Quartal erledigt.
Ältere Quartalskontrollen finden Sie unter Frühere Kontrollen. Diese finden Sie unten auf der Seite Quartalskontrollen.
Achtung: Nur der/die Hauptadministrator/-in kann Nutzerrechteverwalter überprüfen. Nutzerrechteverwalter können sich nicht selbst überprüfen.
Die zweite Vorgehensweise eignet sich vor allem für die Kontrolle von größeren Mitarbeiterzahlen.
Schritt 1: Liste der Mitarbeiter herunterladen
Unter der Registerkarte Mitarbeiter können Sie mit dem Button Download Benutzerübersicht die Mitarbeiterliste herunterladen. Diesen Download können Sie z.B. in Excel öffnen oder in ein eigenes Kontrolltool einlesen.
Tipp: Vergleichen Sie die Liste (automatisch) mit einer aktuellen internen Mitarbeiterliste. Dazu verwenden Sie die E-Mail-Adresse als Suchschlüssel. In Excel nutzen Sie dazu die Funktion VLOOKUP.
Schritt 2: Änderungen bei Mitarbeitern
Kontrollieren Sie, ob alle Mitarbeiter in der Liste noch immer den Zugang benötigen. Löschen Sie die Mitarbeiter, die keinen Zugang zu IAMconnected mehr brauchen. Gehen Sie zur Registerkarte Mitarbeiter. Suchen Sie den entsprechenden Mitarbeiter und klicken Sie auf den Pfeil hinter seinem Namen, um die Detailseite zu öffnen. Hier können Sie diesen Mitarbeiter löschen.
Schritt 3: Alle übrig gebliebenen Mitarbeiter können in einem Durchgang validiert werden.
Wenn Sie sicher sind, dass alle Mitarbeiter noch im Unternehmen arbeiten, dann können Sie die gesamte Mitarbeiterliste auf einmal validieren. Gehen Sie zur Registerkarte Quartalskontrollen. Klicken Sie die oberste Checkbox neben den Spaltenbezeichnungen an, um die gesamte Liste auszuwählen. Klicken Sie auf Mitarbeiter validieren, um alle Mitarbeiter zu validieren. Es erscheint ein Pop-up, auf dem Sie bestätigen können, dass Sie die gesamte Liste validieren möchten. Klicken Sie zur Bestätigung auf Alle Mitarbeiter validieren. Sobald alle Mitarbeiter überprüft sind, erscheint die Meldung Quartal erledigt.
Bitte beachten Sie: Nutzerrechteverwalter können sich selbst oder andere Nutzerrechteverwalter nicht validieren. Nur der/die Hauptadministrator/-in kann Nutzerrechteverwalter validieren.
Nur der/die Hauptadministrator/-in kann Nutzerrechteverwalter validieren. Nutzerrechteverwalter können also weder sich selbst noch andere Nutzerrechteverwalter validieren.
Der/die Hauptadministrator/-in kann sich selbst nicht validieren. Dafür ist der/die Bevollmächtigter Vertreter/-in verantwortlich, was zu einem späteren Zeitpunkt möglich sein wird. Der/die Hauptadministrator/-in muss zurzeit also noch nicht validiert werden.
Sie haben zwei Wochen Zeit, die Kontrollen durchzuführen. Nach zwei Wochen erhalten Sie eine Erinnerung.
Wenn nichts unternommen wird, werden Mitarbeiter, die sich mehr als 6 Monate lang nicht eingeloggt haben, auf suspendiert gesetzt. Mit dieser Maßnahme soll die Sicherheit erhöht werden, indem inaktive Konten, die möglicherweise missbraucht werden können, blockiert werden. Dies passiert, wenn die Quartalskontrolle nicht innerhalb von 4 Wochen abgeschlossen wird.
Hauptadministratoren und Nutzerrechteverwalter werden mit dieser Maßnahme niemals auf suspendiert gesetzt.
Diese Maßnahme ist in Übereinstimmung mit Artikel 7.3 und 7.5 der Allgemeinen Geschäftsbedingungen von Portbase.
Hier können Sie für vergangene Quartale sehen, (1) ob eine Quartalskontrolle durchgeführt wurde, (2) wer eine Quartalskontrolle durchgeführt hat und (3) wann eine Quartalskontrolle durchgeführt wurde.
Diese Übersicht ist praktisch, wenn es mehrere Nutzerrechteverwalter gibt. Außerdem können diese Informationen auf Wunsch einem (internen/externen) Auditor oder dem CISO vorgelegt werden.
Quartalskontrollen dienen als zusätzliches Instrument zur Sicherung des ordnungsgemäßen Zugangs. Die löschung von Mitarbeitern sollte über Ihren Prozess zur Beendigung des Dienstverhältnisses laufen.
Zwei Beispiele, wie Sie dies einrichten können:
Tipp: Sie können Mitarbeiter in IAMconnected zu einem zukünftigen Zeitpunkt löschen, indem Sie ein Enddatum eingeben. An diesem Datum wird der Mitarbeiter automatisch gelöscht.
Quartalskontrollen sind somit ein weiteres Sicherheitsschloss. Finden Sie doch einen Mitarbeiter, der bereits die Organisation verlassen hat? Dann fragen Sie sich auch, weshalb er nicht aufgrund Ihres eigenen regulären Prozesses bei Beendigung eines Dienstverhältnisses entfernt wurde.