Eine Person verlässt das Unternehmen, ein Projekt endet, eine externe Zusammenarbeit läuft aus. Die zugehörigen Zugriffe bleiben ohne klaren Ablauf manchmal länger bestehen als nötig.
Mit einer wichtigen Ablage beginnen
Sie müssen nicht alle Systeme gleichzeitig prüfen. Wählen Sie einen Bereich mit wichtigen Unternehmensinformationen und benennen Sie eine fachlich verantwortliche Person. Diese kann beurteilen, wer die Daten für seine Arbeit benötigt.
Die technische Ansicht allein reicht dafür häufig nicht. Eine Gruppe kann einen plausiblen Namen haben und trotzdem ehemalige Projektmitglieder enthalten. Die Prüfung sollte deshalb technische und fachliche Sicht verbinden.
Die richtigen Fragen stellen
- Welche Personen und Gruppen können die Inhalte sehen?
- Wer kann Inhalte ändern oder neue Freigaben erteilen?
- Welche externen Gäste sind noch beteiligt?
- Welche Konten werden für administrative Aufgaben verwendet?
- Wer überprüft die Liste beim nächsten Personal- oder Projektwechsel?
Geräte gehören mit dazu
Ein berechtigtes Konto ist nur ein Teil des Zugriffs. Wichtig ist auch, von welchen Geräten gearbeitet wird und wie diese verwaltet werden. Microsoft beschreibt in der Dokumentation zu Business Premium den Schutz und die Verwaltung von Geräten als Bestandteil der Sicherheitsstrategie.
Prüfen Sie deshalb, wie neue Geräte eingerichtet und verlorene oder ausgemusterte Geräte behandelt werden. Halten Sie fest, wer die entsprechenden Schritte ausführt und wie sie dokumentiert werden.
Aus der Prüfung einen Ablauf machen
Die erste Bereinigung hilft. Nachhaltig wird sie erst durch einen wiederholbaren Prozess. Verbinden Sie die Zugriffsprüfung mit Ereignissen, die ohnehin stattfinden: Eintritt, Rollenwechsel, Austritt und Projektabschluss. So muss niemand erst an eine zusätzliche Sonderprüfung denken.
Ein kurzes Übergabeprotokoll kann bereits festhalten, welche Konten geändert wurden und wer offene Fragen beantwortet. Für besonders wichtige Ablagen ist zusätzlich ein regelmässiger Termin sinnvoll.
Die wichtigste Frage lautet nicht nur «Wer kann zugreifen?», sondern auch «Wer entscheidet, ob dieser Zugriff weiterhin nötig ist?»
Irontec unterstützt Sie bei Identitäten, Geräten und IT-Sicherheit sowie bei der Betreuung Ihrer Microsoft-365-Umgebung.
