Identitäten, Berechtigungen & PAM

Identitätslebenszyklus, Least Privilege, starke Authentisierung und privilegierte Zugriffe.

DORA Art. 9(4)(c)–(d) · RTS 2024/1774 Art. 20–218 FragenFramework: IAM & PAM

Die Fragen sind als Gesprächs- und Stichprobenhilfe gedacht. Ein belastbarer Auditnachweis entsteht aus der Kombination von Dokumenten, tatsächlicher Umsetzung, Stichproben und Wirksamkeitsbelegen.

Auditfragen

Existenz · Frage 1

Gibt es einen geregelten Identitäts- und Berechtigungslebenszyklus für Eintritt, Wechsel und Austritt?

Worauf achten?Automatisierung ist hilfreich, entscheidend sind Vollständigkeit, Fristen und Verantwortungen.

Mögliche NachweiseIAM-Prozess; HR-Workflow; Tickets; Stichproben

Regulatorischer BezugDORA Art. 9; RTS 2024/1774 Art. 20–21

Passendes Framework-ThemaIAM

Umsetzung · Frage 2

Werden Berechtigungen nach Need-to-know und Least Privilege vergeben?

Worauf achten?Rollen, Einzelrechte und Ausnahmen prüfen.

Mögliche NachweiseRollenmodell; Berechtigungsanträge; Rezertifizierungen

Regulatorischer BezugRTS 2024/1774 Art. 21

Passendes Framework-ThemaIAM

Existenz · Frage 3

Sind privilegierte Konten getrennt, besonders geschützt und nachvollziehbar verwaltet?

Worauf achten?Dedizierte Admin-Konten und erhöhte Überwachung betrachten.

Mögliche NachweisePAM-System; Admin-Konzept; Kontenlisten

Regulatorischer BezugRTS 2024/1774 Art. 21

Passendes Framework-ThemaPAM

Umsetzung · Frage 4

Werden Zugriffsrechte regelmäßig überprüft und nicht mehr benötigte Rechte entfernt?

Worauf achten?Kritische Systeme und privilegierte Rechte besonders betrachten.

Mögliche NachweiseAccess Reviews; Rezertifizierungsprotokolle

Regulatorischer BezugRTS 2024/1774 Art. 21

Passendes Framework-ThemaIAM

Umsetzung · Frage 5

Wird starke Authentisierung risikogerecht eingesetzt?

Worauf achten?Remote-, privilegierte und kritische Zugriffe einbeziehen.

Mögliche NachweiseMFA-Konfiguration; Conditional Access; Policies

Regulatorischer BezugDORA Art. 9(4)(d); RTS 2024/1774 Art. 21

Passendes Framework-ThemaIAM

Wirksamkeit · Frage 6

Wie wird erkannt, wenn privilegierte Rechte missbräuchlich oder ungewöhnlich verwendet werden?

Worauf achten?PAM-Logging, SIEM und Alarmierung zusammen betrachten.

Mögliche NachweisePAM Logs; SIEM Use Cases; Alerts

Regulatorischer BezugDORA Art. 10; RTS 2024/1774 Art. 12, 21

Passendes Framework-ThemaSecurity Monitoring

Umsetzung · Frage 7

Sind physische Zugriffsrechte zu IKT-relevanten Bereichen ebenfalls kontrolliert?

Worauf achten?Logische und physische Zugriffe nicht isoliert betrachten.

Mögliche NachweiseZutrittslisten; Reviews; Besucherprotokolle

Regulatorischer BezugRTS 2024/1774 Art. 18, 21

Passendes Framework-ThemaPhysische Sicherheit

Wirksamkeit · Frage 8

Ergeben Stichproben ausgeschiedener oder versetzter Beschäftigter noch unberechtigte Zugriffe?

Worauf achten?Reale Stichprobe ist aussagekräftiger als reine Prozessbeschreibung.

Mögliche NachweiseHR-Liste; IAM-Auszug; Stichprobenprotokoll

Regulatorischer BezugRTS 2024/1774 Art. 20–21

Passendes Framework-ThemaIAM

← Zurück zur Übersicht DORA Audit & Selbstprüfung