Aufgabentrennung heisst, dass unvereinbare Aufgaben nicht bei derselben Person liegen, etwa Rechte vergeben und Freigaben erteilen (ISO/IEC 27001, Anhang A 5.3). Die Rechteüberprüfung bestätigt einmal im Jahr, dass alle Personen nur die Rechte haben, die sie brauchen (Anhang A 5.18). Dieser Artikel richtet sich an ISMS-Verantwortliche und Tenant Admins.

Bevor Sie beginnen

  • Die Seite öffnen Personen, die Fachrollen zuweisen oder Fachrollen bearbeiten dürfen, standardmässig die ISMS-Verantwortlichen. Die Rechteüberprüfung abschliessen sowie Regeln und Bewilligungsstelle festlegen darf, wer Fachrollen bearbeiten darf.
  • Varmo berechnet Konflikte aus den aktuellen Fachrollen und den Aufgaben in Abläufen, etwa als Prüfrolle für Risiken oder als Freigabestelle. Tenant Admins zählen mit ihren Verwaltungsrechten plus ihren Fachrollen.
  • Die Funktion ist in allen Paketen enthalten.

Konflikte auflösen oder begründen

  1. Öffnen Sie ISMS-Einstellungen › Organisation & Rollen › Aufgabentrennung & Rechteüberprüfung.
  2. Unter Konflikte sehen Sie je Person, welche Regel sie verletzt und welche Rechte oder Aufgaben auf beiden Seiten stehen.
  3. Wenn möglich, verteilen Sie die Aufgaben auf mehrere Personen: Fachrollen anpassen führt zu den Mitgliedern. Der Konflikt verschwindet, sobald die Rechte getrennt sind.
  4. Ist die Trennung nicht möglich, etwa weil Ihre Organisation zu klein ist, klicken Sie auf Begründen. Beschreiben Sie, warum die Trennung nicht möglich ist und wie das Risiko aufgefangen wird, zum Beispiel durch eine regelmässige Kontrolle der Geschäftsleitung. Speichern Sie mit Ausnahme festhalten.

Mit Zurückziehen nehmen Sie eine Begründung zurück; der Konflikt ist dann wieder offen.

Bewilligungsstelle festlegen

Begründete Ausnahmen genehmigt eine Fachrolle, die Bewilligungsstelle für Ausnahmen, üblicherweise die oberste Leitung. Wählen Sie im gleichnamigen Abschnitt die Fachrolle und klicken Sie auf Speichern.

  • Eine Ausnahme gilt sofort, ist aber bis zur Genehmigung als „Genehmigung ausstehend“ markiert.
  • Niemand genehmigt die eigene Ausnahme (Vier-Augen-Prinzip). Besteht die Bewilligungsstelle nur aus der betroffenen Person, erhält, wer Fachrollen zuweist, die Pendenz, eine weitere Person aufzunehmen.

Rechteüberprüfung abschliessen

  1. Prüfen Sie für jede Person, ob ihre Fachrollen noch zu ihren Aufgaben passen, und entfernen Sie ausgeschiedene Personen, siehe Mitglieder einladen und Zugang verwalten.
  2. Klicken Sie unter Rechteüberprüfung auf Rechteüberprüfung abschliessen. Der Knopf ist erst aktiv, wenn alle Konflikte aufgelöst oder begründet und alle Ausnahmen genehmigt sind.
  3. Bestätigen Sie mit dem Häkchen, dass jede Person nur die nötigen Rechte hat, ausgeschiedene Personen entfernt sind und die Ausnahmen weiterhin gerechtfertigt sind. Optional ergänzen Sie eine Bemerkung und klicken auf Abschliessen.

Varmo hält Datum, Person, Anzahl geprüfter Mitglieder und begründeter Ausnahmen als Nachweis fest.

Was danach passiert

  • Offene Konflikte erscheinen als Team-Pendenz Aufgabentrennung: Konflikt begründen oder auflösen bei den Personen, die Fachrollen zuweisen.
  • Die Mitglieder der Bewilligungsstelle erhalten die Pendenz Ausnahme der Aufgabentrennung genehmigen. Sie genehmigen oder weisen begründet zurück unter ISMS-Einstellungen › Ausnahmen. Eine zurückgewiesene Ausnahme macht den Konflikt wieder offen.
  • Die Rechteüberprüfung ist jährlich fällig. 30 Tage vorher erhalten die Personen, die Fachrollen bearbeiten, die Pendenz Zugangsrechte überprüfen.
  • Begründete Ausnahmen erscheinen in der Managementbewertung; die oberste Leitung trägt sie bewusst mit.

Häufige Fragen

Wir sind nur zu zweit. Ist das ein Problem?

Nein. In kleinen Organisationen sind Konflikte normal. Begründen Sie sie mit Ihren tatsächlichen Ausgleichsmassnahmen, etwa einer Prüfung durch eine Drittperson. Eine Auditorin fragt genau danach. Siehe auch Freigaben regeln mit dem Vier-Augen-Prinzip.

Wann ist die erste Rechteüberprüfung fällig?

Zwölf Monate nach dem Start Ihrer Organisation in Varmo, danach zwölf Monate nach der letzten abgeschlossenen Überprüfung.

Kann ich eine Plattform-Regel löschen?

Nein, die vorgegebenen Regeln sind fest. Eigene Regeln können Sie löschen.