4 Benutzerkonten und Berechtigungen
Antrag in Textform, Vergabe über Gruppen oder Rollen, Entzug bei Aufgabenwechsel und Austritt mit Fristen. Gesperrte Konten werden nach einer festgelegten Zahl von Tagen gelöscht, ungenutzte Konten gesperrt.
Vorlage aus beiden Paketen
Vorlage Richtlinie Zugriffskontrolle: Berechtigungen, Passwörter, Mehr-Faktor-Anmeldung
Die Richtlinie regelt, wer worauf zugreifen darf, wie Konten vergeben und entzogen werden und wie die Anmeldung abgesichert ist. Im Lieferantenaudit-Paket steht alles in einem Dokument, im NIS2-Paket verteilt auf die Zugriffskontrolle und eine eigene Richtlinie für MFA und gesicherte Kommunikation.
- IS-RL-02 Word, 6 Seiten
- NIS-RL-18 Word, 6 Seiten
- NIS-RL-20 Word, 5 Seiten
- Voll bearbeitbar, ohne Kopierschutz
Das Dokument
Was Richtlinie Zugriffskontrolle und MFA regelt
Grundlage ist das Prinzip der geringsten Rechte. Konten und Berechtigungen werden nur auf Antrag der zuständigen Führungskraft in Textform eingerichtet, über Gruppen oder Rollen vergeben und bei einem Aufgabenwechsel am Tag des Wechsels entzogen; eine begründete Übergangsfrist ist befristet zulässig. Beim Austritt wird spätestens am letzten Arbeitstag gesperrt, bei fristloser Trennung sofort. Konten externer Personen sind befristet und einer internen verantwortlichen Person zugeordnet.
Für Passwörter nennt die Vorlage Mindestlänge, einen vom Unternehmen bereitgestellten Passwortmanager, die Sperre nach Fehlversuchen und den Verzicht auf einen regelmäßigen Wechsel ohne Anlass. Mehr-Faktor-Anmeldung ist für E-Mail, VPN und andere Fernzugänge, Cloud-Dienste mit Unternehmens- oder Kundendaten, administrative Konten und den Passwortmanager verpflichtend. SMS und E-Mail als zweiter Faktor sind nur zulässig, wenn der Dienst nichts anderes anbietet.
Ein eigener Abschnitt behandelt privilegierte Konten: getrennte Konten für Administration und Alltag, eine von der Geschäftsleitung genehmigte Liste der Personen mit administrativen Rechten, keine lokalen Administratorrechte für Beschäftigte und Notfallzugänge, die versiegelt oder im Passwortmanager hinterlegt sind. Die regelmäßige Überprüfung der Berechtigungen durch die Führungskräfte und eine Regel für befristete Ausnahmen schließen die Richtlinie ab.
Vorschau
So sieht die Vorlage aus
Verkleinerte Darstellung aus der Datei im Paket. Eckige Klammern markieren die Stellen, die Sie anpassen.
IS-RL-02: Deckblatt mit Dokumentenlenkung
IS-RL-02: Inhalt und Änderungshistorie
NIS-RL-18: Deckblatt mit Dokumentenlenkung
NIS-RL-20: Deckblatt mit Dokumentenlenkung
Gliederung
Inhalt der Dateien
Die Gliederung stammt aus der ausgelieferten Datei. Jedes Word-Dokument hat zusätzlich Deckblatt mit Dokumentenlenkung, Inhaltsverzeichnis und Änderungshistorie.
WordIS-RL-02 Richtlinie Zugriffskontrolle, Passwörter und MFA
- 1 Zweck
- 2 Geltungsbereich
- 3 Rollen und Verantwortung
- 4 Benutzerkonten und Berechtigungen
- 5 Passwörter und Mehr-Faktor-Anmeldung
- 6 Privilegierte Konten
- 7 Überprüfung der Berechtigungen
- 8 Ausnahmen
- 9 Mitgeltende Dokumente
WordNIS-RL-18 Richtlinie Zugriffskontrolle
- 1 Zweck
- 2 Geltungsbereich
- 3 Rollen und Verantwortung
- 4 Benutzerkonten und Berechtigungen
- 5 Passwörter und Anmeldung
- 6 Privilegierte Konten
- 7 Überprüfung der Berechtigungen
- 8 Ausnahmen
- 9 Mitgeltende Dokumente
WordNIS-RL-20 Richtlinie MFA und gesicherte Kommunikation
- 1 Zweck
- 2 Geltungsbereich
- 3 Rollen und Verantwortung
- 4 Mehr-Faktor-Anmeldung (MFA)
- 5 Gesicherte Kommunikation
- 6 Notfallkommunikation
- 7 Ausnahmen
- 8 Mitgeltende Dokumente
5 Passwörter und Mehr-Faktor-Anmeldung
Mindestanforderungen an Passwörter, die Liste der Dienste mit MFA-Pflicht und die zulässigen zweiten Faktoren. Der Verlust eines Faktors wird gemeldet, zurückgesetzt wird erst nach Prüfung der Identität.
6 Privilegierte Konten
Administrative Rechte nur für Personen, die sie brauchen, mit getrenntem Konto, längerem Passwort und MFA; ein System ohne MFA läuft nur als befristete Ausnahme mit Ersatzmaßnahme. Zugänge von IT-Dienstleistern sind personenbezogen und mit MFA gesichert.
7 Überprüfung der Berechtigungen
Die IT-Verantwortlichen stellen eine Liste aller Konten je System bereit, die Führungskräfte bestätigen oder korrigieren sie in Textform. Privilegierte und externe Konten werden in kürzerem Abstand geprüft.
5 Gesicherte Kommunikation
In NIS-RL-20 legt eine Tabelle für E-Mail, Telefon, Videokonferenz, Kurznachrichten und Dateiaustausch fest, wofür der Weg freigegeben ist und welche Anforderung gilt. Ungewöhnliche Anweisungen zu Zahlungen werden über einen zweiten Weg zurückgeprüft.
6 Notfallkommunikation
Ein Notfallweg, der unabhängig von der eigenen Technik betrieben wird, ein zweiter unabhängiger Weg und die Erreichbarkeiten des Krisenstabs zusätzlich auf Papier. Der Notfallweg wird gemeinsam mit der Notfallübung erprobt.
Auszug
Wörtlich aus der Vorlage
Berechtigungen werden nach dem Prinzip der geringsten Rechte vergeben: so viel wie nötig, so wenig wie möglich.
Anfragen zur Bestätigung einer Anmeldung, die die Person nicht selbst ausgelöst hat, werden abgelehnt und als Sicherheitsvorfall nach der IS-RL-04 Richtlinie Umgang mit Sicherheitsvorfällen gemeldet.
Ist ein System verschlüsselt worden, wird angenommen, dass Angreifer mitlesen können.
Was Sie anpassen
| Platzhalter | Was Sie festlegen | Dokument |
|---|---|---|
[16] | Die Mindestlänge für Passwörter privilegierter Konten in Zeichen. | IS-RL-02 |
[90] | Nach wie vielen Tagen ohne Nutzung ein Konto gesperrt wird. | IS-RL-02 |
[180] | Nach wie vielen Tagen ein gesperrtes Konto gelöscht wird, sofern keine Aufbewahrungspflicht entgegensteht. | IS-RL-02 |
[Produkt] | Den Passwortmanager, den Ihr Unternehmen bereitstellt. | IS-RL-02 |
[Authenticator-App, Hardware-Schlüssel] | Welche zweiten Faktoren bei Ihnen zulässig sind. | IS-RL-02 |
[halbjährlich] | Wie oft privilegierte Konten und Konten externer Personen überprüft werden. | IS-RL-02 |
[Freigegebener Dienst] | Den freigegebenen Dienst für Videokonferenzen und für Kurznachrichten. | NIS-RL-20 |
Einsatz
Wofür Sie eine Richtlinie zur Zugriffskontrolle brauchen
Zugriff, Passwörter und Mehr-Faktor-Anmeldung gehören zu den Themen, die Lieferantenfragebögen regelmäßig abfragen, oft mit der Bitte um einen Nachweis. Die Richtlinie beschreibt die Regeln. Die von den Führungskräften bestätigten Berechtigungslisten aus Abschnitt 7 zeigen, dass sie gelebt werden: Die Vorlage sieht vor, sie als Nachweis aufzubewahren und einzutragen.
Im NIS2-Paket deckt die Richtlinie Zugriffskontrolle (NIS-RL-18) einen Teil von Bereich Nr. 9 des § 30 Abs. 2 BSIG ab, Personalsicherheit, Zugriffskontrolle und Verwaltung der IT-Systeme. Die Richtlinie MFA und gesicherte Kommunikation (NIS-RL-20) ist dem Bereich Nr. 10 zugeordnet, Multi-Faktor-Authentifizierung und gesicherte Kommunikation, einschließlich der Kommunikation im Notfall.
Systeme ohne Mehr-Faktor-Anmeldung werden nicht verschwiegen, sondern als befristete Ausnahme mit der ersatzweise getroffenen Schutzmaßnahme festgehalten, zum Beispiel Zugriff nur aus dem Firmennetz. Im Lieferantenaudit-Paket geschieht das in der Maßnahmenübersicht, im NIS2-Paket im Risikoregister. So können Sie im Audit eine Lücke benennen und zeigen, wie Sie mit ihr umgehen.
Die Fassungen in beiden Paketen
Die Lieferantenaudit-Fassung (IS-RL-02, Richtlinie Zugriffskontrolle, Passwörter und MFA) regelt alles in einem Dokument, die MFA-Regeln stehen in Abschnitt 5.2. Im NIS2-Paket heißt Abschnitt 5 der Richtlinie Zugriffskontrolle (NIS-RL-18) „Passwörter und Anmeldung“ und verweist für die Mehr-Faktor-Anmeldung auf die eigene Richtlinie MFA und gesicherte Kommunikation (NIS-RL-20). Diese enthält dieselben MFA-Regeln und zusätzlich die Abschnitte zur gesicherten Kommunikation und zur Notfallkommunikation. Bestätigte Berechtigungslisten und Systeme ohne MFA werden im NIS2-Paket im Risikoregister eingetragen, im Lieferantenaudit-Paket in der Maßnahmenübersicht.
Im Lieferantenaudit-Paket enthalten
490 €netto, zzgl. USt. Einmalig, 10 Dokumente in Word und Excel
Im NIS2-Paket enthalten
1.490 €netto, zzgl. USt. Einmalig, 25 Dokumente in Word und Excel
Häufige Fragen
Fragen zur Vorlage
Welche Werte schlägt die Vorlage vor?
In eckigen Klammern stehen Vorschläge, zum Beispiel 12 Zeichen für Passwörter, 16 Zeichen für privilegierte Konten, Sperre nach 10 Fehlversuchen und Sperre ungenutzter Konten nach 90 Tagen. Sie tragen ein, was Ihre Systeme tatsächlich erzwingen. Eine Richtlinie, die strengere Werte nennt als die Technik umsetzt, fällt im Audit auf.
Warum schreibt die Vorlage keinen regelmäßigen Passwortwechsel vor?
Ein Passwort wird sofort geändert, wenn der Verdacht besteht, dass es anderen bekannt geworden ist. Ein regelmäßiger Wechsel ohne Anlass ist ausdrücklich nicht vorgeschrieben. Verlangt Ihr Kunde etwas anderes, passen Sie den Satz an.
Wie umfangreich sind die Dokumente?
Die Lieferantenaudit-Fassung hat 6 Seiten. Im NIS2-Paket hat die Richtlinie Zugriffskontrolle 6 Seiten, die Richtlinie MFA und gesicherte Kommunikation 5 Seiten. Alle liegen als Word-Datei (DOCX) vor.
Gibt es die Richtlinie einzeln?
Nein, sie ist im Paket enthalten: im Lieferantenaudit-Paket für 490 € netto, im NIS2-Paket zusammen mit der Richtlinie MFA und gesicherte Kommunikation für 1.490 € netto. Die Richtlinien eines Pakets verweisen aufeinander, etwa bei den Zugängen von Dienstleistern oder den Konten für Sicherungssysteme.
Die Vorlagen sind Arbeitshilfen und keine Rechtsberatung. Sie müssen an Ihr Unternehmen angepasst werden. Eine Zusage, dass ein Audit oder eine Prüfung bestanden wird, geben wir nicht.
Weiterlesen
Passende Seiten
Frist im Nacken?
Auslieferung als Download nach Zahlungseingang. Eckige Klammern markieren die Stellen, die Sie anpassen.