Segregation of duties when assigning roles: prevent, detect, resolve

Wer Vorfälle bearbeitet, sollte nicht zugleich die Regeln freigeben, nach denen diese Vorfälle eingestuft werden. Diese Funktionstrennung (englisch Segregation of Duties) schützt vor Fehlern und Missbrauch. knooing setzt sie bei der Rollenvergabe durch. Würde eine Zuweisung einer Person beide Seiten einer riskanten Kombination geben, lehnt knooing sie ab. Fälle, die schon vorher bestanden, zeigt knooing mit einer Frist an und eskaliert sie, wenn niemand handelt.

Am Ende wissen Sie, welche Kombinationen verboten sind, wo Sie Verstöße sehen und wie Sie sie auflösen.

Julia Beispiel verwaltet bei der Beispiel GmbH die Rollen. Sie hat die Rolle „Servicedesk-Leitung“ angelegt, die Vorgänge bearbeiten und den Regelkatalog pflegen darf.

Die wichtigsten Begriffe

• Riskante Kombination: zwei Bereiche, die eine Person nicht beide bearbeiten soll. knooing prüft zwei Paare. Das erste: Servicedesk - Vorgänge bearbeiten mit Servicedesk-Konfiguration - Fristen, Eskalation, Regelkatalog. Das zweite: CMDB mit CMDB-Verwaltung.
• Verstoß: Eine Person darf über alle ihre Rollen zusammen in beiden Bereichen eines Paars bearbeiten. Lesen allein zählt nicht.
• Altfall: ein Verstoß, der schon bestand, bevor knooing die Regel bei der Vergabe durchgesetzt hat. Er bekommt eine Frist von 30 Tagen ab Erkennung.
• Eskalation: Ist die Frist abgelaufen und der Fall noch offen, schreibt knooing einmalig ein Ereignis ins Sicherheitsprotokoll.

Die Rolle Tenant Admin ist ausgenommen. Sie darf bewusst alles. Kleine Unternehmen, in denen wenige Personen alles tun, können die Funktionstrennung über den knooing-Betrieb für ihr Unternehmen aussetzen lassen.

In den Bildern markieren Zahlen, wo Sie klicken. (i) markiert, wo Sie etwas ablesen.

Schritt 1: Die Hinweise auf Rollen & Rechte lesen

Klicken Sie in der Seitenleiste unten auf Einstellungen. Wählen Sie links den Bereich Nutzer & Rechte (1) und darin Rollen & Rechte (2).

12ii

Danach sehen Sie oben zwei gelbe Hinweise, wenn es Verstöße gibt (i):

• Der erste nennt Rollen, die für sich schon beide Seiten einer Kombination enthalten, mit der Begründung je Paar.
• Der zweite nennt Personen, die durch ihre Rollen zusammen beide Seiten halten. Daneben steht „Frist bis …“ oder, wenn sie abgelaufen ist, „Frist überschritten seit …“.

Die Hinweise werden bei jedem Öffnen der Seite neu berechnet. Zusätzlich prüft knooing jeden Tag alle Personen.

Warum Rollen und Personen getrennt? Eine Rolle kann unbedenklich sein und erst mit einer zweiten Rolle derselben Person zum Verstoß werden.

Beispiel: Die Rolle „Servicedesk-Leitung“ steht im ersten Hinweis. Lena Beispiel hält diese Rolle schon länger und steht im zweiten Hinweis mit „Frist bis 16.11.2026“.

Schritt 2: Eine Zuweisung versuchen

Klicken Sie auf den Namen der Rolle und öffnen Sie den Reiter Zuweisungen. Wählen Sie unter Benutzer zuweisen eine Person (2) und klicken Sie auf Hinzufügen (3).

i23i

Danach erscheint unten die Meldung „Diese Rollenzuweisung würde eine Person gleichzeitig beide Seiten einer als riskant geführten Modulkombination halten lassen (Funktionstrennung).“ (i). Die Person erhält die Rolle nicht. Oben unter Zuweisungen stehen weiter nur die bisherigen Personen (i).

Dieselbe Prüfung greift, wenn Sie die Rechte einer Rolle ändern, die schon Personen zugewiesen ist.

Warum abgelehnt statt nur gewarnt? Ein neuer Verstoß soll gar nicht erst entstehen. Eine Warnung wird leicht weggeklickt.

Beispiel: Julia will Tobias Beispiel die Rolle „Servicedesk-Leitung“ geben. knooing lehnt ab, denn Tobias dürfte dann Vorgänge bearbeiten und den Regelkatalog freigeben.

Schritt 3: Einen bestehenden Fall auflösen

Lösen Sie jeden Altfall bis zur Frist auf: Öffnen Sie die Rolle, die zum Verstoß führt, und klicken Sie im Reiter Zuweisungen bei der Person auf Entfernen. Braucht die Person einen Teil der Rechte weiter, geben Sie ihr anschließend eine Rolle, die nur eine Seite enthält.

i

Danach verschwindet die Person aus dem zweiten Hinweis, sobald Sie die Seite Rollen & Rechte neu öffnen (i). Der Fall bleibt als erledigt nachgewiesen. Der Hinweis zur Rolle selbst bleibt, solange die Rolle beide Seiten enthält.

Lösen Sie den Fall nicht bis zur Frist, schreibt knooing einmalig ein Ereignis ins Sicherheitsprotokoll. Die Rolle nimmt knooing nicht von selbst weg, damit niemand mitten in einem Vorgang Rechte verliert.

Warum eine Frist für Altfälle? Alte Rollen lassen sich nicht immer sofort umbauen. 30 Tage reichen, um Aufgaben neu zu verteilen.

Beispiel: Lena arbeitet nicht mehr in der Leitung des Servicedesks. Julia entfernt sie aus der Rolle „Servicedesk-Leitung“.

Wenn etwas nicht klappt

• „Diese Rollenzuweisung würde eine Person gleichzeitig beide Seiten einer als riskant geführten Modulkombination halten lassen (Funktionstrennung).“ Die Person darf diese Rolle nicht zusätzlich erhalten. Wählen Sie eine Rolle, die nur eine Seite enthält.
• Die gelben Hinweise fehlen. Es gibt keinen Verstoß, oder Ihnen fehlt das Recht Rollen verwalten.
• Eine Person steht mit „Frist überschritten seit …“. Die 30 Tage sind abgelaufen, das Ereignis steht im Sicherheitsprotokoll. Lösen Sie den Fall wie in Schritt 3.
• Der Tenant Admin steht im ersten Hinweis. Diese Rolle darf bewusst alles und wird bei der Vergabe nicht geprüft.