Prüfern einen Lesezugang geben und ihre Zugriffe nachvollziehen

Interne Revision und Aufsicht wollen sich selbst ein Bild machen: Register lesen, Vorgänge ansehen, Protokolle prüfen, ohne etwas ändern zu können. In knooing gibt es dafür eine eigene Rolle mit reinem Lesezugriff. Jeder Lesezugriff auf Register und Kennzahlen landet im Sicherheitsprotokoll, bei Personen mit dieser Rolle zusätzlich jeder Blick auf einzelne Vorgänge. So können Sie später belegen, wer was gesehen hat. Das Protokoll selbst ist gegen nachträgliche Änderung geschützt.

Julia Beispiel verwaltet bei der Beispiel GmbH die Rechte. Die interne Revisorin Lena Beispiel prüft in dieser Woche die Register. Julia gibt ihr die Prüferrolle und sieht danach im Sicherheitsprotokoll nach, was Lena gelesen hat.

Die wichtigsten Begriffe

• Rolle: ein Bündel von Rechten. Eine Person kann mehrere Rollen haben; die Rechte addieren sich.
• DORA-Prüfer: die vorgefertigte Rolle für Prüfer. Sie liest Vorgänge, Konfigurationsverwaltung, Lieferanten und Nachweise sowie das Sicherheitsprotokoll und darf nichts ändern. Der Name kommt von einer EU-Verordnung; die Rolle passt für jede Art von Prüfung.
• Lesen, Bearbeiten, Versteckt: die Stufen je Bereich in einer Rolle.
• Sicherheitsprotokoll: die Liste sicherheitsrelevanter Ereignisse. Lesezugriffe stehen dort in der Kategorie Datenvertraulichkeit.
• Hash-Kette: Jeder Eintrag des Protokolls enthält eine Prüfsumme des vorherigen. Ändert jemand nachträglich einen Eintrag, passt die Kette nicht mehr.

In den Bildern markieren Zahlen, wo Sie klicken. (i) markiert, wo Sie etwas ablesen.

Schritt 1: Die Prüferrolle öffnen

Klicken Sie in der Seitenleiste unten auf Einstellungen und dann auf Nutzer & Rechte (1). Klicken Sie in der zweiten Spalte auf Rollen & Rechte (2) und in der Liste auf DORA-Prüfer. Öffnen Sie den Reiter Berechtigungen (3).

123

Danach sehen Sie je Bereich die Stufe der Rolle. Bei der Prüferrolle steht überall Lesen oder Versteckt, nie Bearbeiten. Weiter unten stehen die sensiblen Rechte; die Rolle hat davon nur Audit-Log einsehen. Ändern Sie hier nichts, wenn die Rolle so passt.

Warum eine eigene Rolle? So bleibt der Prüferzugang von der normalen Arbeit getrennt, und knooing erkennt Prüfer an ihrer Rolle.

Beispiel: Julia prüft, dass die Rolle Servicedesk - Vorgänge bearbeiten, Lieferanten und CMDB nur lesen darf.

Schritt 2: Die Person zuweisen

Öffnen Sie den Reiter Zuweisungen (1). Klicken Sie unter Benutzer zuweisen auf Benutzer wählen… und wählen Sie die Person (2). Klicken Sie auf Hinzufügen (3).

123

Danach steht die Person in der Liste der Zuweisungen mit dem Zeichen Von Hand vergeben (i). Der Reiter heißt jetzt Zuweisungen (1). Nach der Prüfung nehmen Sie die Rolle mit Entfernen wieder weg.

i

Warum befristet denken? Ein Prüferzugang soll nur so lange bestehen wie die Prüfung. Danach entfernen Sie die Zuweisung.

Beispiel: Julia weist Lena Beispiel die Rolle DORA-Prüfer zu.

Schritt 3: Die Sicht der Prüferin prüfen

Diesen Schritt sieht die prüfende Person. Sie öffnet in der Seitenleiste unter Servicedesk den Menüpunkt Major Incidents / DORA, den Reiter Register (1) und darin etwa Risikoregister (2).

12i

Danach sieht sie alle Inhalte, kann sie filtern und exportieren. Knöpfe zum Ändern wie Risiko erfassen oder Neue Version fehlen. Oben rechts steht ihr Name (i).

Warum diese Sicht? Prüfer sollen alles sehen, was sie für ihr Urteil brauchen, aber nichts verändern können.

Beispiel: Lena öffnet das Risikoregister und exportiert die Liste für ihre Arbeitspapiere.

Schritt 4: Die Zugriffe im Sicherheitsprotokoll lesen

Klicken Sie unter Einstellungen auf Sicherheit & Compliance und dann auf Sicherheitsprotokoll. Wählen Sie bei Kategorie (1) den Eintrag Datenvertraulichkeit.

1i

Danach sehen Sie die Einträge mit Zeitpunkt, Kategorie, Akteur (die E-Mail-Adresse), Ziel und Aktion. Die Lesezugriffe der Prüferin stehen mit ihrer E-Mail-Adresse und dem gelesenen Bereich (i), etwa „GET /risk-register“ für das Risikoregister. Mit Von und Bis grenzen Sie den Zeitraum ein, mit CSV exportieren geben Sie die Liste weiter. Zwischen den Einträgen stehen auch Abfragen anderer Personen, die die App im Hintergrund stellt; achten Sie auf die Spalte Akteur.

knooing prüft die Hash-Kette des Protokolls jeden Tag. Findet die Prüfung eine Lücke, steht im Protokoll ein Eintrag der Kategorie Datenintegrität, und Personen mit dem Recht Audit-Log einsehen erhalten die Benachrichtigung „Sicherheitsprotokoll: Kettenbruch entdeckt“.

Warum das Protokoll? Damit belegen Sie gegenüber Aufsicht und Revision, welche Daten wann von wem gelesen wurden.

Beispiel: Julia sieht, dass Lena Beispiel um 19:45 Uhr die Lieferantenbeziehungen, den Risikoappetit und das Risikoregister gelesen hat.

Wenn etwas nicht klappt

• Ein roter Hinweis verlangt eine Zwei-Faktor-Anmeldung, oder es steht „Rolle nicht gefunden.“ Für die Rollenverwaltung braucht Ihr Konto eine eingerichtete Zwei-Faktor-Anmeldung. Richten Sie sie ein und melden Sie sich neu an.
• Die Menüpunkte unter Nutzer & Rechte fehlen. Ihnen fehlen die sensiblen Rechte Rollen verwalten oder Benutzer verwalten.
• Der Menüpunkt Sicherheitsprotokoll fehlt. Ihnen fehlt das sensible Recht Audit-Log einsehen.
• Die Prüferin kann doch etwas ändern. Sie hat noch eine zweite Rolle mit Bearbeitungsrechten. Rechte mehrerer Rollen addieren sich. Prüfen Sie unter Rollen & Rechte ihre übrigen Zuweisungen.
• Im Protokoll stehen viele Einträge derselben Person. Die App fragt Zahlen wie offene Vorgänge regelmäßig im Hintergrund ab, auch diese Abfragen werden protokolliert. Grenzen Sie mit Von und Bis ein oder exportieren Sie die Liste und filtern Sie nach Akteur.