ISO 27001:2022 · A.5.16 · A.5 Organisatorische Maßnahmen
Identitätsmanagement
Der gesamte Lebenszyklus von Identitäten muss verwaltet werden, von der Erstellung über die Nutzung bis zur Deaktivierung.
ISO 27001TISAXBSINIS2
Was fordert dieses Control?
Der gesamte Lebenszyklus von Identitäten muss verwaltet werden, von der Erstellung über die Nutzung bis zur Deaktivierung.
Warum ist das wichtig?
Eindeutige, kontrollierte Identitäten sind Voraussetzung für jede Zugriffskontrolle und Nachvollziehbarkeit. Verwaiste oder geteilte Identitäten untergraben die Sicherheit.
Bezug zu anderen Normen
| Norm | Stelle | Thema | Bezug |
|---|---|---|---|
| TISAX | 4.1.1 | Identitätsmanagement | Direkt |
| BSI | ORP.4.A1 | Einrichtung von Benutzern | Direkt |
| NIS2 | § 30 Abs. 2 Nr. 9 BSIG | Zugriffskontrolle & Assets | Direkt |
| NIS2 | § 30 Abs. 2 Nr. 10 BSIG | MFA & gesicherte Kommunikation | Indirekt |
Was der Auditor erwartet
- Eindeutige Identitäten je Person
- Lebenszyklusprozess von Anlage bis Deaktivierung
- Kontrolle über technische und geteilte Konten
Audit-Checkliste
Dokumente
Identitätsmanagement-ProzessAnlage, Änderung und Deaktivierung von Identitäten
Nachweise
Account-LebenszyklusBeispiele für Anlage und zeitnahe Deaktivierung
HR-Abgleich der KontenVerzeichnis-Export gegen die HR-Personalliste abgeglichen
Review verwaister und privilegierter KontenDokumentierte Überprüfung inaktiver, technischer und hochprivilegierter Konten
Technisch
VerzeichnisdienstEindeutige Konten, kontrollierte Service-/Shared-Accounts
Praxis-Tipps zur Umsetzung
Eindeutigkeit erzwingenJede Person eigene Identität, keine geteilten Logins.
Service-Konten kontrollierenTechnische Konten dokumentieren und Verantwortliche zuweisen.
An Joiner-Mover-Leaver koppelnIdentitäten automatisch mit HR-Prozessen synchronisieren.
Häufige Fehler
Geteilte KontenMehrere Personen nutzen dasselbe Login, Nachvollziehbarkeit geht verloren.
Verwaiste IdentitätenKonten ausgeschiedener Personen bleiben aktiv.
Häufig gestellte Fragen
Sind geteilte Konten erlaubt?
Möglichst vermeiden. Wo unvermeidbar, müssen sie dokumentiert, begründet und besonders überwacht werden.
Wie verwaltet man Service-Accounts?
Mit eindeutigem Verantwortlichen, dokumentiertem Zweck und regelmäßiger Überprüfung.
Was ist der Unterschied zu A.5.17?
A.5.16 betrifft die Identität selbst, A.5.17 die zugehörigen Authentisierungsinformationen wie Passwörter.
So hilft CompliantDesk bei A.5.16
Über die M365-Integration werden Identitäten beim Onboarding und Offboarding automatisch angelegt und deaktiviert, lückenlos dokumentiert.
Bereit für ein ISMS, das nicht bei Excel endet?
Demo buchenKostenlos · unverbindlich · persönliche Einrichtung · 30 Minuten