Eine Prüfung – durch das BSI nach § 61 oder § 62 BSIG, im Audit nach § 39 BSIG oder in einer Zertifizierung nach
ISO/IEC 27001 – fragt nach dem Zugang zu den Datenbanken, die über WKL Database Gateway erreichbar sind. Dieses
Beispiel zeigt sechs typische Fragen. Zu jeder nennt es den Nachweis, den Weg dorthin in der Verwaltungsanwendung und
die Grenze des Nachweises, die Sie offen ansprechen sollten.
Die Namen, Daten und Zahlen im Beispiel sind erfunden.
Vorbereitung
Erzeugen Sie im Bereich Protokoll unter Weitere > Nachweisberichte die Rechteübersicht
und die MFA-Abdeckung am Tag vor der Prüfung, dazu Austritte und Sperren und
Verwaltungsänderungen für den Prüfzeitraum, etwa die letzten zwölf Monate.
Legen Sie die Excel- und PDF-Dateien dort ab, wo auch das Protokoll hingehört, und nehmen Sie die
Berichte früherer Stichtage dazu, die Sie regelmäßig erzeugt haben.
Halten Sie die Verwaltungsanwendung geöffnet, um Einzelfälle live zu zeigen.
Bericht Rechteübersicht: jede Person mit Zustand, zweitem Faktor, Windows-Konto, SQL-Anmeldung, Regeln und Zahl der gültigen Schlüssel; jede Regel mit ihren Einträgen
Weg
PDF übergeben; für Rückfragen in der Excel-Datei nach Regel oder Person filtern. Für eine einzelne Person live: Personen und Schlüssel, Person markieren, Rechte > Anmeldung und Rechte … zeigt, was sie von welchem Netz aus darf
Grenze
Mitglieder von Windows-Gruppen und Berechtigungen innerhalb der Datenbanken stehen nicht im Bericht; die zeigen Active Directory und SQL Server
Frage 2: Melden sich alle Personen mit Multi-Faktor-Authentifizierung an?
Nachweis
Bericht MFA-Abdeckung: Summen und Namen der aktiven Personen nach Stand des zweiten Faktors, die Anmelderegeln, die einen Code verlangen, und die gültigen Schlüssel mit Ohne zweiten Faktor
Weg
Die Summen zeigen die Abdeckung; die Liste der Schlüssel ohne zweiten Faktor ist die Liste der begründeten Ausnahmen, etwa ein Schlüssel für Power BI. Für die Verwaltung selbst verlangt der Datendienst den Code bei jedem Anmeldeverfahren
Grenze
Ob eine Anmelderegel greift, hängt zusätzlich vom Netz und vom Anmeldeverfahren ab; die Regeln stehen im Bericht, die Prüfung je Netz zeigt Anmeldung und Rechte …
Frage 3: Wurde der Zugang von Herrn Beispiel bei seinem Austritt am 30. Juni entzogen?
Nachweis
Bericht Austritte und Sperren für den Zeitraum: deaktiviertes Konto, gesperrte Schlüssel, beendete Sitzungen, entzogene Regeln, je mit Zeitpunkt in UTC und Akteur
Weg
Im Bericht die Zeilen der Person zeigen. Live: Protokoll, Register Änderungsprotokoll, Tag und Akteur aufklappen; jede Zeile zeigt die Werte vorher und nachher
Grenze
Das Windows-Konto und SQL-Anmeldungen sperrt der Betreiber dort, wo sie verwaltet werden; diese Sperre steht nicht im Bericht
Frage 4: Wer hat die Anmelderichtlinie geändert, und was war vorher eingestellt?
Nachweis
Bericht Verwaltungsänderungen für den Zeitraum: jede Änderung an Regeln, Anmelderichtlinie, Datenquellen, Identitäten, Zuordnungen, Einstellungen und Mailvorlagen mit Werten vorher und nachher
Weg
Im Bericht nach der Menge der Anmelderegeln filtern. Lange Werte sind im Bericht nach 1 500 Zeichen gekürzt; vollständig zeigt sie das Register Änderungsprotokoll
Grenze
Das Änderungsprotokoll ist nicht fälschungssicher: Wer die Speicherdatei des Datendienstes am Server schreiben darf, kann es ändern. Belegen Sie deshalb, wer dort Schreibrechte hat, und legen Sie Berichte außerhalb des Servers ab
Frage 5: Zeigen Sie mir einen abgewiesenen Zugriffsversuch und seine Ursache.
Nachweis
Register Audit im Bereich Protokoll: je Zugriff Zeit, Aufrufer, Ressource, Ergebnis und Status, bei einer Abweisung durch eine Anmelderegel deren Nummer und Version. Bereich Anmeldungen: abgewiesene Anmeldungen und falsche Codes nach Herkunft
Weg
Auf der Übersicht die Karte Abgewiesene Anfragen anklicken; das Register Audit öffnet sich, gefiltert auf die Antworten 401, 403 und 429. Tag und Aufrufer aufklappen; die Spalte Grund nennt die Ursache
Grenze
Das Audit reicht so weit zurück, wie der Datendienst es aufbewahrt (Vorgabe 365 Tage). Für ältere Zeiträume braucht es eine Sicherung der Protokolldatei des Dienstes
Frage 6: Wie erfahren Sie von Schwachstellen in der Software, und wie schnell spielen Sie Korrekturen ein?
Version im Eintrag version der Datei deploy/app-manifest.json zeigen; Ihren Ablauf zum Einspielen neuer Versionen zeigen (Eine neue Version einspielen)
Grenze
Wie schnell Korrekturen eingespielt werden, entscheidet Ihr Patch-Prozess; die Anwendung lädt keine Version selbst nach
Was die Prüfung danach oft verlangt
Regelmäßigkeit: Berichte mehrerer Stichtage zeigen, dass Rechte und die Abdeckung mit
Multi-Faktor-Authentifizierung laufend geprüft werden, nicht nur zur Prüfung.
Zuständigkeiten: wer das Recht admin hat (Rechteübersicht) und wer am Server die Speicherdatei
schreiben darf (Rechte im Dateisystem des Servers).
Löschkonzept: wie lange Änderungsprotokoll, Audit und abgelegte Berichte aufbewahrt werden; siehe
Sicherheit und Datenschutz.
