ISO 27001 Flussdiagramm für die Zugriffskontrolle (A.5.15)

Was ist iso 27001 flussdiagramm für die zugriffskontrolle (a.5.15)?

Berechtigungsmanagement scheitert selten an der Vergabe selbst. Es scheitert an dem, was danach passiert: Eine Mitarbeiterin wechselt die Abteilung und behält ihre alten Rechte, das Konto eines externen Beraters bleibt drei Monate nach Projektende offen, und niemand kann sagen, wer den Zugriff ursprünglich freigegeben hat. Genau deshalb verlangt Anhang A.5.15 den vollständigen Lebenszyklus eines Zugriffs, und nicht bloß eine Anweisung zum Anlegen von Benutzerkonten.

Ein brauchbares Prozessdiagramm trennt deshalb zwei Freigaben, die in der Praxis regelmäßig verschmelzen: die fachliche Freigabe, in der die System- oder Dateneigentümerin entscheidet, ob eine Rolle den Zugriff überhaupt erhalten darf, und die technische Einrichtung, in der die IT diese Entscheidung nach dem Prinzip der minimalen Rechtevergabe umsetzt. Liegen beide Schritte in getrennten Swimlanes, wird sichtbar, dass die IT nichts ohne eine dokumentierte Entscheidung im Rücken einrichtet.

Ebenso wichtig sind die Ausnahmepfade: ein abgelehnter Antrag, ein Antrag auf privilegierte Rechte mit zusätzlicher Freigabe und eine Berechtigung, die bei der Rezertifizierung entzogen wird. Das sind die Zweige, die ein Auditor als Stichprobe zieht, und die ein Diagramm ohne Verzweigungen schlicht nicht belegen kann.

Was dieses Flussdiagramm abdeckt

In dieser Vorlage

• Antragsphase: wer einen Zugriff beantragen darf, welche Rolle und welche Begründung anzugeben sind und wie der Antrag mit Rückverfolgbarkeit zum Antragsteller erfasst wird
• Fachliche Freigabe durch die System- oder Dateneigentümerin, getrennt von der technischen Umsetzung, damit niemand den eigenen Zugriff freigeben und zugleich einrichten kann
• Identitäts- und Rollenverwaltung nach A.5.16: eine eindeutige Identität je Person und Rechtevergabe nach dem Minimalprinzip statt Kopieren der Berechtigungen einer Kollegin
• Umgang mit Authentifizierungsinformationen nach A.5.17: Übergabe von Passwort oder Schlüssel, MFA-Pflicht und ein eigener Zweig für privilegierte Konten
• Regelmäßige Rezertifizierung der Berechtigungen nach A.5.18 mit Bestätigung durch die Eigentümerin und einem Zweig, in dem nicht begründbare Rechte entzogen und dokumentiert werden
• Änderung und Beendigung: Rollenanpassung beim internen Wechsel und Entzug sämtlicher Zugriffe beim Austritt innerhalb einer festen Frist, einschließlich externer Dienstleister und Servicekonten

Wann Sie diese Vorlage verwenden sollten

• Sie bereiten eine ISO-27001-Zertifizierung oder ein Überwachungsaudit vor und müssen die Zugriffskontrolle als gelenkten, freigegebenen Prozess vorlegen
• Berechtigungen werden in der Praxis über Chat oder auf dem Flur vergeben, und im Nachhinein lässt sich nicht belegen, wer was freigegeben hat
• Sie führen Rezertifizierungen durch, haben aber kein Diagramm, das zeigt, was tatsächlich passiert, wenn eine Berechtigung nicht mehr begründet werden kann
• Mitarbeitende wechseln die Abteilung, ohne ihre alten Rechte zu verlieren, und Sie müssen sehen, wo der Ablauf beim internen Wechsel Lücken hat
• ISO 27001 und SOC 2 fragen beide nach der Zugriffskontrolle, und Sie wollen den Prozess einmal dokumentieren statt zweimal

Dokumentierte Controls

• A.5.15
• A.5.16
• A.5.17
• A.5.18

So funktioniert es

1. Zeichnen Sie die Swimlanes, die der Prozess wirklich hat

   Antragsteller, Führungskraft, System- oder Dateneigentümer und IT-Betrieb. Wenn bei Ihnen ein Servicedesk die Einrichtung übernimmt, gehört er in eine eigene Bahn: An genau dieser Übergabe geht die Nachvollziehbarkeit üblicherweise verloren.

2. Trennen Sie fachliche Freigabe und technische Einrichtung

   Die Entscheidung, ob eine Rolle den Zugriff erhalten darf, und deren Umsetzung müssen zwei Schritte mit unterschiedlichen Verantwortlichen sein. Fallen sie zusammen, fehlt die Funktionstrennung, und das ist das Erste, was ein Auditor prüft.

3. Ergänzen Sie den Zweig für privilegierte Zugriffe

   Administratorrechte, Produktionsdaten und Servicekonten brauchen eine zusätzliche Freigabe und eine kürzere Gültigkeit. Schreiben Sie die Gültigkeitsdauer direkt an den Knoten statt in eine Fußnote.

4. Setzen Sie Fristen für den Entzug

   Halten Sie fest, wie schnell Zugriffe beim Austritt entzogen werden (bei privilegierten Konten üblicherweise noch am selben Tag). Eine Frist ohne Zahl ist keine Kontrolle, sondern eine Absichtserklärung.

5. Verknüpfen Sie jeden Schritt mit seinem Nachweis

   Notieren Sie im Kommentarfeld, welches System den Nachweis für Antrag, Freigabe, Einrichtung und Rezertifizierung liefert. Damit wird das Diagramm zur Übersicht, aus der der Auditor seine Stichproben zieht.

Häufig gestellte Fragen

Was muss ein ISO-27001-Flussdiagramm zur Zugriffskontrolle abdecken?

Anhang A.5.15 verlangt den vollständigen Lebenszyklus eines Zugriffs: Antrag, fachliche Freigabe, technische Einrichtung, regelmäßige Rezertifizierung, Rollenänderung sowie Entzug bei Austritt oder internem Wechsel. Jeder Statuswechsel braucht eine verantwortliche Rolle und einen dokumentierten Nachweis.

Reicht ein Prozessdiagramm als Nachweis für ein ISO-27001-Audit?

Der Auditor will das Diagramm sehen, die Freigabe, die es als gelenkte aktuelle Version ausweist, und den Nachweis, dass der Betrieb sich tatsächlich daran hält. Die ersten beiden liefert QueryChart mit: freigabegesteuert, versioniert und auditbereit.

Worin unterscheiden sich A.5.15, A.5.16, A.5.17 und A.5.18?

A.5.15 ist die Zugriffsrichtlinie und der Prozess dahinter. A.5.16 regelt die Identitätsverwaltung: eine eindeutige Identität je Person über die gesamte Beschäftigungsdauer. A.5.17 betrifft Authentifizierungsinformationen: Passwörter, Schlüssel und MFA sowie deren Übergabe und Wechsel. A.5.18 behandelt die Berechtigungen selbst: Vergabe, regelmäßige Überprüfung und Entzug. Die vier Maßnahmen gehören zu einem einzigen Ablauf und sollten deshalb in einem Diagramm stehen statt auf vier getrennte Richtlinien verteilt zu werden.

Wie oft müssen Berechtigungen überprüft werden?

Die Norm nennt kein Intervall: Sie verlangt, dass Sie selbst eines festlegen und einhalten. In der Praxis rezertifizieren die meisten Organisationen privilegierte Konten quartalsweise und normale Zugriffe halbjährlich oder jährlich. Entscheidend für den Auditor ist, dass das Intervall im gelenkten Prozess steht und für jede Periode eine dokumentierte Überprüfung vorliegt.