+BER Berechtigung
---+BER.1 Grundlagen
------+BER.1.1 Verfahren und Regelungen
---------+BER.1.1.1 Dokumentation
---------+BER.1.1.2 Zuweisung der Aufgaben
---------+BER.1.1.3 Bekanntgabe
------+BER.1.2 Regelmäßige Überprüfung
------+BER.1.3 Inventar Authentifizierungs- und Autorisierungssysteme
------+BER.1.4 Inventar der Berechtigungen
---+BER.2 Identitätsmanagement
------+BER.2.1 Person-Identität
------+BER.2.2 Einschränkung
------+BER.2.3 Stammdatenprüfung
------+BER.2.4 Protokollierung von Stammdatenänderungen
------+BER.2.5 Deaktivierung bei Weggang
------+BER.2.6 Löschen nach Fristablauf
---+BER.3 Zugangskonten
------+BER.3.1 Zentrales Management
------+BER.3.2 Autorisierung neuer Zugangskonten
------+BER.3.3 Einschränkung des Managements
------+BER.3.4 Protokollierung von Änderungen
------+BER.3.5 Identität-Zugangskonto
------+BER.3.6 Privilegierte Zugangskonten
------+BER.3.7 Single-Sign-On
------+BER.3.8 Hinweise bei Anmeldefehlern
------+BER.3.9 Ereignisgesteuerte Deaktivierung
------+BER.3.10 Anmeldeversuchsgrenze am System
------+BER.3.11 Anmeldeversuchsgrenze an der Anwendung
------+BER.3.12 Systemsperre bei Inaktivität
------+BER.3.13 Sperre der Anwendung bei Inaktivität
------+BER.3.14 Kein Recycling von Zugängen
------+BER.3.15 Zugang löschen nach Fristablauf
------+BER.3.16 Keine Gruppenkonten
------+BER.3.17 Gruppenkonten - MFA
------+BER.3.18 Gruppenkonten - Wechsel dokumentieren
------+BER.3.19 Gruppenkonten - Passwortwechsel bei Weggang
------+BER.3.20 Zwischenspeicherung von Zugangsdaten
------+BER.3.21 Dienstekonten
------+BER.3.22 Notfallzugang
------+BER.3.23 Notfallzugang Verzeichnisdienst
------+BER.3.24 Alternative Authentifizierung am IT-System
------+BER.3.25 Alternative Authentifizierung an der Anwendung
---+BER.4 Berechtigungsmanagement
------+BER.4.1 Prinzip der geringsten Berechtigungen
---------+BER.4.1.1 Rollenbasierte Berechtigung
---------+BER.4.1.2 JIT‑/JEA‑Berechtigungen
------+BER.4.2 Autorisierung von Berechtigungen
------+BER.4.3 Begründung von Berechtigungen
------+BER.4.4 Überprüfung von Berechtigungen
---------+BER.4.4.1 Überprüfung tatsächlicher Berechtigungen
------+BER.4.5 Systemfunktionen ohne Authentifizierung
------+BER.4.6 Anwendungsfunktionen ohne Authentifizierung
------+BER.4.7 IT-System-Zugangskonto
------+BER.4.8 Entzug von Berechtigungen
---+BER.5 Umgang mit Authentisierungsmitteln
------+BER.5.1 Ausgabe, Registrierung und Zuordnung
---------+BER.5.1.1 Identität der vorgesehenen Empfänger
------+BER.5.2 Zurücksetzung und Ersetzung von Authentifizierungsmitteln
------+BER.5.3 Vorgehensweise zum Widerruf
------+BER.5.4 Nur etablierte Kryptographie
------+BER.5.5 Deaktivierung einfacher Biometrie auf IT-Systemen
------+BER.5.6 Vorkonfigurierte Authentisierungsmittel von IT-Systemen
------+BER.5.7 Vorkonfigurierte Authentisierungsmittel von Anwendungen
------+BER.5.8 Mehr-Faktor-Authentisierung am Perimeter
------+BER.5.9 Mehr-Faktor-Authentisierung für weitreichende Berechtigungen
------+BER.5.10 Zugriffsbeschränkung pro IT-System
------+BER.5.11 Zugriffsbeschränkung pro Anwendung
------+BER.5.12 Zugang nur durch zwei Personen
------+BER.5.13 Identität vor Zurücksetzung und Ersetzung
------+BER.5.14 Kompromittierte Authentifizierungsmittel
---+BER.6 Passwortgebrauch
------+BER.6.1 Passwortmanager
------+BER.6.2 Blockieren von Passwort Recycling
------+BER.6.3 Trivialpasswörter
------+BER.6.4 Kriterien für die Qualität von Passwörtern
------+BER.6.5 Anlassbezogene Passwortwechsel
------+BER.6.6 Monitoring von Zugangsdaten
---+BER.7 Schlüsselmanagement
------+BER.7.1 Etablierte Algorithmen bei der Schlüsselerzeugung
------+BER.7.2 Schlüssellänge
------+BER.7.3 Verzeichnis öffentlicher Schlüssel
------+BER.7.4 Erzeugung auf sicheren IT-Systemen
------+BER.7.5 Kriterien für die Qualität von Zufallszahlen
------+BER.7.6 Etablierte Algorithmen beim Transport
------+BER.7.7 Kein Transport privater Schlüssel
------+BER.7.8 Etablierte Algorithmen bei der Schlüsselnutzung
------+BER.7.9 Zweckbindung
------+BER.7.10 Abgelaufene Schlüssel
------+BER.7.11 Integrität
------+BER.7.12 Authentizität
------+BER.7.13 Gültigkeit
------+BER.7.14 Schlüssel vor Ablauf prüfen
------+BER.7.15 Vorgehensweise nach Nutzung
------+BER.7.16 Vorgaben für die Schlüsselbeglaubigung
---------+BER.7.16.1 Zertifizierungsstelle
---------+BER.7.16.2 Beglaubigung
---------+BER.7.16.3 Erneuerung
---------+BER.7.16.4 Revocation
---------+BER.7.16.5 Beglaubigungsstatus
---------+BER.7.16.6 Revocationstatus

BER Berechtigung

Die Praktik Berechtigung stellt sicher, dass ausschließlich autorisierte Personen und IT-Systeme Zugriff auf sensible Informationen und Ressourcen erhalten. Sie regelt die Verwaltung von Identitäten und Berechtigungen, um die Vertraulichkeit, Integrität und Verfügbarkeit von Informationen zu gewährleisten. Dabei bildet die Praktik Berechtigung eine zentrale Schnittstelle zwischen den Praktiken Personal, Dienstleistersteuerung, Asset Management und Gebäudemanagement. Während IT-Systeme den Zugriff regeln, behandeln die Praktik Personal den Umgang mit Mitarbeitenden. Die Praktik Berechtigung vereint diese organisatorischen und technischen Aspekte, um Zugriffsrechte sicher und effizient zu verwalten.

1. Übersicht

1.1 Referenzen

1.2 Identifizierte Anforderungen

1.3 Zugehörige Regulierungen

2. Identifizierte Anforderungen

Anforderungen
Quelle Anforderung

3. Zugehörige Regulierungen

Regulierungen
Quelle Regulierung