Wichtige Dokumente und Entscheide im ISMS werden freigegeben, zum Beispiel der Geltungsbereich, Richtlinien oder die Akzeptanz von Risiken. Dabei gilt in Varmo das Vier-Augen-Prinzip ohne Ausnahme. Dieser Artikel erklärt, wie Sie Freigaben regeln, eine zuständige Person und ihre Vertretung festlegen und warum Einreichen manchmal gesperrt ist.

Bevor Sie beginnen

  • Freigabestellen sind immer Fachrollen, nie einzelne Personen ausserhalb einer Rolle. Wer freigibt, braucht deshalb eine Fachrolle und zählt als User Ihres Pakets.
  • Die Seite Freigaben regeln sehen Personen, die Mitglieder sehen dürfen. Personen festlegen kann, wer Fachrollen zuweisen darf, standardmässig die ISMS-Verantwortlichen. Die Frist der Vertretung ändert, wer Fachrollen bearbeiten darf.
  • Freigaben sind in allen Paketen enthalten.

Wer was freigibt

  • Geltungsbereich und Erklärung zur Anwendbarkeit: die oberste Leitung, standardmässig die Fachrolle Oberste Leitung.
  • Risikoakzeptanz: Risiken, die der Risikoeigentümer nach Ihren Risikoakzeptanzkriterien nicht allein akzeptieren darf, gibt die dort festgelegte Stelle frei, siehe Risikomethodik und Akzeptanzkriterien festlegen.
  • Richtlinien: die Stellen im Freigabeweg des jeweiligen Dokuments, siehe Richtlinien mit Freigabeweg verwalten. Das gilt auch für die Informationssicherheitsleitlinie. Nach ISO/IEC 27001 (Kapitel 5.2) legt die oberste Leitung die Leitlinie fest: Nehmen Sie die Fachrolle Oberste Leitung in deren Freigabeweg auf.
  • Schutzbedarfsanalyse, Sicherheitsverfahren und Ausnahmen: die Stellen im Freigabeweg, den Sie unter ISMS-Einstellungen › Assets festlegen.
  • Dokumente & Nachweise: Personen mit dem Recht, Dokumente freizugeben.

So gehen Sie vor

Oberste Leitung festlegen

  1. Öffnen Sie ISMS-Einstellungen › Organisation & Rollen › Freigaben regeln.
  2. Wählen Sie bei jeder Fachrolle der obersten Leitung unter Person (z. B. aus der Geschäftsleitung) eine Person aus.
  3. Klicken Sie auf Festlegen.

Ist bei einer Fachrolle schon eine Person festgelegt, zeigt die Seite „Festgelegt: …“. Weitere Personen ergänzen oder ändern Sie dann unter Funktionen & Rollen.

Zeigt Varmo einen Konflikt der Aufgabentrennung, etwa weil die Person auch Konten verwaltet, halten Sie kurz eine Begründung fest. Für kleine Organisationen ist eine Begründung vorbereitet. Passen Sie sie an Ihre tatsächlichen Ausgleichsmassnahmen an (z. B. jährliche Rechteüberprüfung, Prüfung durch eine Drittperson): Eine Auditorin fragt nach, wie Sie die fehlende Trennung ausgleichen (ISO/IEC 27001, Anhang A 5.3).

Freigabeweg einer Richtlinie festlegen

  1. Legen Sie den Freigabeweg beim Anlegen der Richtlinie fest oder ändern Sie ihn auf der Seite des Dokuments.
  2. Fügen Sie mit Freigabestelle hinzufügen eine oder mehrere Fachrollen hinzu. Stellen derselben Stufe unterschreiben unabhängig voneinander; die nächste Stufe beginnt, wenn alle Stellen der vorherigen unterschrieben haben.
  3. Hat die Fachrolle mehrere Personen, wählen Sie unter Zuständig optional eine zuständige Person statt Alle Mitglieder der Fachrolle.

Zuständige Person und Vertretung

Ist eine zuständige Person festgelegt, erhält nur sie die Pendenz. Die übrigen Mitglieder der Fachrolle können in Vertretung unterschreiben,

  • sobald die Frist abgelaufen ist (Standard 14 Tage) oder
  • sobald die zuständige Person mit An Vertretung übergeben abgibt, etwa vor den Ferien.

Die Frist legen Sie unter Freigaben regeln in der Karte Vertretung zuständiger Personen fest, zwischen 1 und 90 Tagen. Sie gilt sofort, auch für laufende Freigaben. Ist die zuständige Person nicht mehr in der Fachrolle oder deaktiviert, können sofort alle Mitglieder unterschreiben. Die zuständige Person gibt es derzeit im Freigabeweg der Richtlinien.

Vier-Augen-Prinzip

  1. Person AErstellen und einreichen

    Varmo prüft vorher, ob jemand anderes freigeben kann.

  2. FreigabestellePrüfen und unterschreiben

    Mitglieder der Fachrolle, nie Person A.

  3. GültigMit der letzten nötigen Unterschrift.
Zurückgewiesen

Der Vorgang geht mit Begründung an Person A zurück.

Zuständige Person reagiert nicht (Richtlinien)

Nach der Frist (Standard 14 Tage) oder nach der Übergabe unterschreibt die Vertretung.

Niemand sonst kann freigeben

Einreichen ist gesperrt, bis die Fachrolle eine weitere Person hat.

Freigabe im Vier-Augen-Prinzip

Person A erstellt und reicht ein. Die Pendenz geht an die Freigabestelle, eine Fachrolle, deren Mitglieder ausser Person A unterschreiben. Mit der letzten nötigen Unterschrift gilt der Stand. Bei einer Zurückweisung geht der Vorgang mit Begründung an Person A zurück. Bei Richtlinien mit zuständiger Person unterschreibt nach Ablauf der Frist oder nach Übergabe die Vertretung. Könnte ausser den Beteiligten niemand freigeben, ist Einreichen gesperrt.

  • Wer etwas erstellt oder einreicht, gibt es nie selbst frei, auch nicht als Tenant Admin.
  • Fachrollen kann man sich nicht selbst zuweisen. Deshalb wählen Sie unter Freigaben regeln immer eine andere Person.
  • Einreichen ist gesperrt, wenn niemand freigeben könnte. Besteht eine Freigabestelle nur aus Ihnen oder den übrigen Beteiligten, zeigt Varmo „Einreichen nicht möglich“ und nennt die Fachrolle. Sonst bliebe der Vorgang hängen.

Was danach passiert

  • Eingereichte Freigaben erscheinen bei der Freigabestelle unter Meine Pendenzen. Der Kasten oben auf der Seite zeigt allen Beteiligten, wer gerade dran ist, siehe Meine Pendenzen und Team-Warteschlange nutzen.
  • Hat eine Freigabestelle keine Mitglieder, wartet der Ablauf. Wer Fachrollen zuweist, erhält die Pendenz Fachrolle „…“ besetzen. Tenant Admins springen nicht automatisch ein.

Häufige Fragen

Wir sind nur zu zweit. Funktioniert das?

Ja. Es genügt, dass eine andere Person freigibt als die, die erstellt oder eingereicht hat. Freigaben der obersten Leitung übernimmt dann zum Beispiel die Geschäftsführung, während Sie das ISMS führen.

Ein Dokument wurde schon ausserhalb von Varmo freigegeben.

Für Geltungsbereich, Richtlinien und die Erklärung zur Anwendbarkeit übernehmen Sie die bestehende Freigabe mit Angabe, wer wann freigegeben hat. Siehe Die Einrichtung Schritt für Schritt.

Die zuständige Person hat die Organisation verlassen.

Dann können alle Mitglieder der Fachrolle unterschreiben. Wer den Freigabeweg ändern darf, erhält eine Pendenz, eine neue Person festzulegen.