ISO 27001 Flussdiagramm für die Zugriffskontrolle (A.5.15)
Auditsicheres Prozessdiagramm für die Zugriffskontrolle nach ISO 27001 Anhang A.5.15 — Antrag, fachliche Freigabe, technische Einrichtung, Rezertifizierung und Entzug, versioniert und freigabegesteuert.
So funktioniert es
Zeichnen Sie die Swimlanes, die der Prozess wirklich hat
Antragsteller, Führungskraft, System- oder Dateneigentümer und IT-Betrieb. Wenn bei Ihnen ein Servicedesk die Einrichtung übernimmt, gehört er in eine eigene Bahn — an genau dieser Übergabe geht die Nachvollziehbarkeit üblicherweise verloren.
Trennen Sie fachliche Freigabe und technische Einrichtung
Die Entscheidung, ob eine Rolle den Zugriff erhalten darf, und deren Umsetzung müssen zwei Schritte mit unterschiedlichen Verantwortlichen sein. Fallen sie zusammen, fehlt die Funktionstrennung — und das ist das Erste, was ein Auditor prüft.
Ergänzen Sie den Zweig für privilegierte Zugriffe
Administratorrechte, Produktionsdaten und Servicekonten brauchen eine zusätzliche Freigabe und eine kürzere Gültigkeit. Schreiben Sie die Gültigkeitsdauer direkt an den Knoten statt in eine Fußnote.
Setzen Sie Fristen für den Entzug
Halten Sie fest, wie schnell Zugriffe beim Austritt entzogen werden — bei privilegierten Konten üblicherweise noch am selben Tag. Eine Frist ohne Zahl ist keine Kontrolle, sondern eine Absichtserklärung.
Verknüpfen Sie jeden Schritt mit seinem Nachweis
Notieren Sie im Kommentarfeld, welches System den Nachweis für Antrag, Freigabe, Einrichtung und Rezertifizierung liefert. Damit wird das Diagramm zur Übersicht, aus der der Auditor seine Stichproben zieht.
Häufig gestellte Fragen
Was muss ein ISO-27001-Flussdiagramm zur Zugriffskontrolle abdecken?
Anhang A.5.15 verlangt den vollständigen Lebenszyklus eines Zugriffs: Antrag, fachliche Freigabe, technische Einrichtung, regelmäßige Rezertifizierung, Rollenänderung sowie Entzug bei Austritt oder internem Wechsel. Jeder Statuswechsel braucht eine verantwortliche Rolle und einen dokumentierten Nachweis.
Reicht ein Prozessdiagramm als Nachweis für ein ISO-27001-Audit?
Der Auditor will das Diagramm sehen, die Freigabe, die es als gelenkte aktuelle Version ausweist, und den Nachweis, dass der Betrieb sich tatsächlich daran hält. Die ersten beiden liefert QueryChart mit — freigabegesteuert, versioniert und auditbereit.
Worin unterscheiden sich A.5.15, A.5.16, A.5.17 und A.5.18?
A.5.15 ist die Zugriffsrichtlinie und der Prozess dahinter. A.5.16 regelt die Identitätsverwaltung: eine eindeutige Identität je Person über die gesamte Beschäftigungsdauer. A.5.17 betrifft Authentifizierungsinformationen — Passwörter, Schlüssel und MFA sowie deren Übergabe und Wechsel. A.5.18 behandelt die Berechtigungen selbst: Vergabe, regelmäßige Überprüfung und Entzug. Die vier Maßnahmen gehören zu einem einzigen Ablauf und sollten deshalb in einem Diagramm stehen statt auf vier getrennte Richtlinien verteilt zu werden.
Wie oft müssen Berechtigungen überprüft werden?
Die Norm nennt kein Intervall — sie verlangt, dass Sie selbst eines festlegen und einhalten. In der Praxis rezertifizieren die meisten Organisationen privilegierte Konten quartalsweise und normale Zugriffe halbjährlich oder jährlich. Entscheidend für den Auditor ist, dass das Intervall im gelenkten Prozess steht und für jede Periode eine dokumentierte Überprüfung vorliegt.