|
|
Hotel ONLINE English / Italiano / Deutsch Español / Français 日本語 / 中文 |
| ||||||||||||
|
BerechtigungskonzeptPrivilegien für jedermann - leider nur in der EDV EinleitungDarunter versteht man ein Konzept für den Aufbau und die Funktion der Berechtigungsvergabe, Berechtigungsprüfung, -pflege und -entzug bei technischen Systemen, ich betrachte hier EDV-Systeme. Es soll sicherstellen, daß Mitarbieter nicht Einblick in vertrauliche Daten erhalten, nur Authorisierte Datenänderungen vornehmen können, Abläufe nachvollziehbar sind und trotzdem jeder Mitarbeiter seine tägliche Arbeit mit dem System erledigen kann. Nachvollziehbarkeit bedingt allerdings ein Logging, darunter versteht man das Protokollieren von Systemvorgängen. Wozu gleich ein Konzept? Soll halt jeder die Berechtigungen bekommen, die er benötigt. Leider ist das nicht so einfach, da es unterschiedliche Abstufungen von Berechtigungen geben kann. Daten ändern kann für einen Sachbearbeiter bedeuten, nur Zusatzinformationen erfassen zu können, für einen Alphauser jedoch sämtliche Stammdaten ändern zu können. Ein Supervisor oder ein Administrator wiederum kann vielleicht auch die Historie und zugehörige Bewegungsdaten bearbeiten. Weiters müssen Berechtigungen immer wieder gepflegt werden. Mitarbeiter wechseln den Arbeitsplatz oder haben andere Aufgaben, neue Mitarbeiter werden aufgenommen. Aus diesem Grund sind Berechtigungskonzepte meist mehrstufig. Und dies gilt nicht nur für die Produktionssysteme, sondern auch für Test-, Qualitätssicherungs-, Programmier- und andere Systeme. Mehrstufiges KonzeptBei großen EDV-Systemen mit hunderten Transaktionen und noch mehr Anwendern (wie etwa SAP) wäre der Pflegeaufwand für Berechtigungen kaum zu bewältigen. Daher gruppiert man Transaktionen zu Gruppen. Beispiel: Alle Tasks zum Ändern von Fakturen kommen in die Gruppe Fakturen-ändern. Ebenso verfährt man mit Usern. Mitarbeiter (genauer deren User-Kennung) werden zu User-Gruppen zusammengefaßt.Beispiel: Rechnungsleger gehören der User-Gruppe Rechnungslegung an. Nun erhält einfach die User-Gruppe Rechnungslegung die Berechtigung für die Task-Gruppe Fakturen-ändern. Sollte nun ein Mitarbeiter in diese Gruppe wechseln, so wird er einfach der User-Gruppe Rechnungslegung zugeordnet und hat automatisch alle Berechtigungen dieser Gruppe. Sollte eine neue Transaktion zum Ändern von Fakturen hinzukommen, so wird diese in die Task-Gruppe Fakturen-ändern eingefügt und schon haben die richtigen Mitarbeiter die notwendige Berechtigung. Das ist jedoch nicht genug: Es können noch weiter Ebenen eingezogen werden. Zum Beispiel könnten Mitarbeiter der Buchhaltung zu Stellen gruppiert werden. Dies umfaßt aber auch EDV-interne Abläufe wie z.B. das Kopieren von Programmen in das Produktionssystem. Durch ein geschicktes Berechtigungskonzept und geeignete Abläufe kann eine Kontrolle ohne administrative Behinderung gewährleistet werden. Anschauliches Beispiel eines mehrstufigen Konzepts: Eine Person (Mitarbeiter) gehört zu einer Stelle (Buchhaltung) und hat eine Rolle (Kostenrechner) inne. Er verfügt über die Berechtigungen der Berechtigungsgruppe Kostenrechner und jene der Berechtigungsgruppe Buchhaltung/Nur-lesen. Die Berechtigungsgruppe Kostenrechner enthält die Task-Gruppe für Kostenrechnung/Stammdaten-ändern, Kostenrechnung/Berichte-erstellen-und-abrufen. Die Task-Gruppe Kostenrechnung/Stammdaten-ändern verfügt über die Berechtigung zum Ändern von Kostenstellen und Kostenarten sowie zur Pflege von Tarifen. Dieser Mitarbeiter kann nicht die Anlagenbuchhaltung bearbeiten und auch keine Zahlungen verbuchen. Diese Abläufe wären in anderen Task-Gruppen. Er kann jedoch so wie alle Buchhalter gemäß der Berechtigungsgruppe Buchhaltung/Nur-lesen Anlagedaten ansehen und Zahlungsbuchungen ansehen. Er kann keine Programme erstellen und in das Produktionssystem einspielen, da er nicht über die notwendigen Berechtigungen zu einer Berechtigungsgruppe sagen wir namens Customizing verfügt. Alles klar? Ein Berechtigungskonzept ist keine triviale Sachbearbietertätigkeit, sondern kann bei großen Systemen sehr anspruchsvoll sein. Berechtigungskonzepte als Teil einer Sicherheits-StrategieExistieren mehrere Berechtigungskonzepte sollten diese in einem Meta-Berechtigungskonzept als Teil einer Security-Strategie zusammengefaßt werden. Somit können (und sollen) die einzelnen Konzepte aufeinander abgestimmt werden unter Wahrung von Konsistenz, Kompetenz- und funktionaler Abgrenzung. Ich würde empfehlen, von Anfang an (während der Programmier- oder Testphase) ein Berechtigungskonzept zu implementieren, dieses kann dann im Zuge von Programmtests quasi automatisch mitgetestet werden. |
