ISO 27001:2022 · A.5.18 · A.5 Organisatorische Maßnahmen
Zugangsrechte
Zugangsrechte zu Informationen und anderen Werten müssen gemäß der Zugriffskontrollrichtlinie zugewiesen, überprüft, geändert und entzogen werden.
ISO 27001NIS2TISAXBSI
Was fordert dieses Control?
Zugangsrechte zu Informationen und anderen Werten müssen gemäß der Zugriffskontrollrichtlinie zugewiesen, überprüft, geändert und entzogen werden.
Warum ist das wichtig?
Rechte müssen nicht nur vergeben, sondern auch konsequent angepasst und entzogen werden. Sonst entstehen überprivilegierte und verwaiste Zugänge.
Bezug zu anderen Normen
| Norm | Stelle | Thema | Bezug |
|---|---|---|---|
| NIS2 | § 30 Abs. 2 BSIG | Zugriffskontrolle | Direkt |
| TISAX | 4.1.1 | Zugriffsrechte | Direkt |
| BSI | ORP.4.A3 | Vergabe von Berechtigungen | Direkt |
Was der Auditor erwartet
- Geregelte Vergabe und Entzug von Rechten
- Regelmäßige Rezertifizierung von Berechtigungen
- Zeitnaher Entzug bei Austritt und Rollenwechsel
Audit-Checkliste
Dokumente
BerechtigungsprozessBeantragung, Genehmigung, Entzug und Review
Nachweise
RezertifizierungsnachweisDurchgeführte Überprüfungen mit Ergebnis
Berechtigungsanträge mit FreigabenDokumentierte Vergabe über Antrag und Owner-Genehmigung
Offboarding-NachweiseBelegter Rechteentzug beim Ausscheiden
Technisch
Rechte ehemaliger/gewechselter NutzerStichprobe zeigt korrekten Entzug
Praxis-Tipps zur Umsetzung
Genehmigung trennenBeantragung und Freigabe sollten nicht in einer Hand liegen (siehe A.5.3).
Bei Wechsel bereinigenAlte Rechte beim Rollenwechsel aktiv entziehen, nicht nur neue hinzufügen.
Reviews terminierenRezertifizierung fest und wiederkehrend einplanen.
Häufige Fehler
Rechte kumulierenBei Wechseln werden Rechte ergänzt, aber nie entzogen.
Austritt ohne EntzugZugänge bleiben nach dem Ausscheiden bestehen.
Häufig gestellte Fragen
Was ist Rezertifizierung?
Die periodische Überprüfung, ob bestehende Berechtigungen noch erforderlich und korrekt sind.
Wie schnell müssen Rechte entzogen werden?
Bei Austritt spätestens zum letzten Arbeitstag, bei Risiko sofort.
Wer ist für die Rechtevergabe verantwortlich?
Der jeweilige Asset Owner genehmigt, die IT setzt um, getrennt voneinander.
So hilft CompliantDesk bei A.5.18
Planen Sie Berechtigungs-Rezertifizierungen als wiederkehrende Reviews und koppeln Sie den Entzug an das Mitarbeiter-Offboarding.
Bereit für ein ISMS, das nicht bei Excel endet?
Demo buchenKostenlos · unverbindlich · persönliche Einrichtung · 30 Minuten