|
Installierte Module: |
Modul Complianceregeln
Modul Attestierung |
Tabelle 4: Konfigurationsparameter für die Berechnung des Risikoindex von Regelverletzungen
| QER\CalculateRiskIndex\MitigatingControlsPerViolation |
Der Konfigurationsparameter regelt die Berechnung von Risikoindizes für Regelverletzungen. Ist der Parameter aktiviert, können Ausnahmegenehmiger risikomindernde Maßnahmen an Regelverletzungen zuweisen. Die Risikoindexberechnung berücksichtigt nur diese risikomindernden Maßnahmen. Ist der Parameter deaktiviert, berücksichtigt die Risikoindexberechnung die risikomindernden Maßnahmen, die an Complianceregeln zugewiesen sind. |
Um das Risiko von Regelverletzungen zu bewerten, können an Complianceregeln Risikoindizes angegeben werden. Jeder Regel können risikomindernde Maßnahmen zugewiesen werden, die umgesetzt werden sollen, sobald eine Regel verletzt wird. Wenn eine Regelverletzung genehmigt wird, kann der Ausnahmegenehmiger der Regelverletzung eine konkrete risikomindernde Maßnahme zuweisen. Risikomindernde Maßnahmen vermindern den Risikoindex der Complianceregeln.
Über den Konfigurationsparameter "QER\CalculateRiskIndex\MitigatingControlsPerViolation" steuern Sie, ob risikomindernde Maßnahmen bei einer Ausnahmegenehmigung an Regelverletzungen zugewiesen werden können. Wenn der Konfigurationsparameter aktiviert ist, werden bei der Risikoindexberechnung nur die risikomindernden Maßnahmen berücksichtigt, die den Regelverletzungen zugewiesen sind. Der Konfigurationsparameter ist standardmäßig deaktiviert.
Der Risikoindex von verletzten Regeln wird bei der Berechnung des Risikoindex von Personen berücksichtigt.
Tabelle 5: Berechnung des Risikoindex für Complianceregeln und Regelverletzungen
| Complianceregeln (ComplianceRule. RiskIndexReduced) |
Der reduzierte Risikoindex wird aus dem Risikoindex der Complianceregel und den Signifikanzminderungen aller zugewiesenen risikomindernden Maßnahmen berechnet. |
Der Risikoindex wird nicht reduziert. Damit entspricht der reduzierte Risikoindex dem Risikoindex der Complianceregel. |
| Verletzte Regeln (BaseTree. RiskIndexCalculated) |
Der Risikoindex entspricht dem reduzierten Risikoindex der verletzten Regel. |
| Personen mit Regelverletzungen (PersonInBaseTree. RiskIndexCalculated) |
Der Risikoindex entspricht dem berechneten Risikoindex der verletzten Regel. |
| Personen mit genehmigten Regelverletzungen (PersonInBaseTree. RiskIndexCalculated) |
Der Risikoindex wird um einen festen Betrag gemindert, wenn die Regelverletzung genehmigt wurde. |
| Personen mit attestierten Regelverletzungen (PersonInBaseTree. RiskIndexCalculated) |
Der Risikoindex wird um einen festen Betrag gemindert, wenn die Regelverletzung attestiert und genehmigt wurde. |
| Personen mit genehmigten Regelverletzungen und zugewiesenen risikomindernden Maßnahmen (PersonInBaseTree. RiskIndexReduced) |
Der Risikoindex wird nicht weiter reduziert. Damit entspricht der reduzierte Risikoindex dem Risikoindex der Regelverletzung (PersonInBaseTree. RiskIndexCalculated). |
Der reduzierte Risikoindex wird aus dem Risikoindex der Regelverletzung (PersonInBaseTree. RiskIndexCalculated) und den Signifikanzminderungen der risikomindernden Maßnahmen berechnet, die bei der Ausnahmegenehmigung zugewiesen wurden.
Wenn keine risikomindernden Maßnahmen zugewiesen sind, entspricht der reduzierte Risikoindex dem berechneten Risikoindex der Regelverletzung (PersonInBaseTree. RiskIndexCalculated). |
| Personen (Person. RiskIndexCalculated) |
Es wird der höchste Risikoindex aller Regelverletzungen der Person ermittelt. Die Berechnung berücksichtigt den reduzierten Risikoindex der Regelverletzungen (PersonInBaseTree.RiskIndexReduced). |
|
Installierte Module: |
Modul Attestierung |
Um die Risikoindizes für Personen zu berechnen, werden die Risikoindizes aller zugewiesenen Unternehmensressourcen ermittelt. Dafür sind Berechnungsvorschriften für die Zuordnungstabellen hinterlegt (beispielsweise für die Tabelle "Ressourcen Zuweisungen"). Diese Werte werden durch einen weiteren Faktor vermindert.
- Die Zuweisung ist attestiert und genehmigt.
Zusätzlich werden die Risikoindizes für alle Mitgliedschaften von Personen in Anwendungsrollen und für Regelverletzungen ermittelt (Tabelle "Personen: Mitgliedschaften in Rollen und Organisationen"). Der Risikoindex der Mitgliedschaften wird durch einen weiteren Faktor vermindert.
- Die Mitgliedschaft ist attestiert und genehmigt.
Aus den Risikoindizes der Zuweisungen, Mitgliedschaften, Regelverletzungen und verbundenen Benutzerkonten ermittelt der One Identity Manager für jede Person den höchsten Risikoindex (Berechnungsart: "Maximum (gewichtet)").
Der Risikoindex einer Person ergibt sich aus dem höchsten Risikoindex dieser berechneten Einzelwerte. Dieser Wert wird durch weitere Faktoren vermindert oder erhöht.
- Die Person ist attestiert und genehmigt.
- Die Person ist Manager anderer Personen.
- Die Person ist deaktiviert und mit aktivierten Benutzerkonten verbunden.
Hinweis: Auch wenn keine Risikoindizes an den Unternehmensressourcen hinterlegt sind, können Personen einen berechneten Risikoindex erhalten. Der Risikoindex berechnet sich in diesem Fall aus den zusätzlichen Faktoren, die den Risikoindex erhöhen. Der Risikoindex einer Person erhöht sich, wenn
- die Person Manager anderer Personen ist oder
- die Person deaktiviert und mit aktivierten Benutzerkonten verbunden ist.
TIPP: Die Standard-Berechnungsvorschrift "Geschäftsrollen und Organisationen" an der Tabelle "Personen: Mitgliedschaften in Rollen und Organisationen" ermittelt die Risikoindizes für alle sekundären Mitgliedschaften von Personen in hierarchischen Rollen und IT Shop Strukturen. Dabei werden auch Risikoindizes für sekundäre Mitgliedschaften in Geschäftsrollen, Abteilungen, Standorten, Kostenstellen und IT Shop Strukturen ermittelt. Die Risikoindizes dieser Mitgliedschaften können Sie für unternehmensspezifische Berechnungen oder Auswertungen nutzen. Implementieren Sie dafür eigene Berechnungsvorschriften oder Prozesse.
Sie können unternehmensspezifische Berechnungsvorschriften definieren und einzelne Eigenschaften der Standard-Berechnungsvorschriften bearbeiten.
Um die Berechnungsvorschriften für Risikoindizes zu bearbeiten
-
Wählen Sie die Kategorie Risikoindex-Berechnungsvorschriften.
-
Erweitern Sie in der Navigationsansicht den Knoten Risikoindex-Berechnungsvorschriften.
In der Navigationsansicht werden alle Tabellen eingeblendet, für die Berechnungsvorschriften definiert sind. Hierbei handelt es sich um Tabellen mit einer Spalte RiskIndexCalculated.
-
Wählen Sie die Tabelle, deren Berechnungsvorschriften Sie bearbeiten möchten, und erweitern Sie den Knoten.
Es werden die Filter Zuweisungen und Eigenschaften angezeigt.
Unter dem Filter Zuweisungen sind alle Berechnungsvorschriften zusammengefasst, die Zuweisungen zur ausgewählten Tabelle behandeln (beispielsweise Mitgliedschaften von Active Directory Benutzerkonten in Active Directory Gruppen).
Unter dem Filter Eigenschaften sind alle Berechnungsvorschriften zusammengefasst, welche die berechneten Risikoindizes zusätzlich erhöhen oder vermindern.
-
Wählen Sie einen Filter.
-
Um eine Berechnungsvorschrift zu bearbeiten, wählen Sie in der Ergebnisliste die Berechnungsvorschrift und wählen Sie die Aufgabe Stammdaten bearbeiten.
- ODER -
Um eine neue Berechnungsvorschrift zu erstellen, klicken Sie in der Ergebnisliste 
.
-
Bearbeiten Sie die Stammdaten der Berechnungsvorschrift.
Für Standard-Berechnungsvorschriften können folgende Eigenschaften unternehmensspezifisch geändert werden:
-
Deaktiviert
-
Berechnungsart
-
Wichtung/Änderungsbetrag
-
Direkte Berechnung
- Speichern Sie die Änderungen.
Verwandte Themen
Erfassen Sie die folgenden Informationen für eine Berechnungsvorschrift.
Tabelle 6: Stammdaten einer Berechnungsvorschrift
|
Bezeichnung |
Name der Berechnungsvorschrift zur Anzeige in den One Identity Manager-Werkzeugen. |
|
Beschreibung |
Freitextfeld für zusätzliche Erläuterungen. |
|
Deaktiviert |
Angabe, ob die Berechnungsvorschrift bei der Gesamtberechnung der Risikoindizes berücksichtigt werden soll. |
|
Berechnungsart |
Verfahren, mit dem der Risikoindix berechnet wird. Zulässige Werte sind:
| Maximum (gewichtet) |
Aus allen relevanten Risikoindizes wird der höchste Wert ermittelt, gewichtet und für die weitere Berechnung zugrunde gelegt. |
| Maximum (normiert) |
Aus allen relevanten Risikoindizes wird der höchste Wert ermittelt, mit dem normierten Wichtungsfaktor gewichtet und für die weitere Berechnung zugrunde gelegt. |
| Erhöhung |
Der Risikoindex der Tabellenspalte (Ziel) wird um einen festen Wert erhöht. Dieser Wert ist im Eingabefeld Wichtung/Änderungsbetrag festgelegt. |
| Verminderung |
Der Risikoindex der Tabellenspalte (Ziel) wird um einen festen Wert vermindert. Dieser Wert ist im Eingabefeld Wichtung/Änderungsbetrag festgelegt. |
| Mittelwert (gewichtet) |
Aus allen relevanten Risikoindizes wird der Mittelwert ermittelt, gewichtet und für die weitere Berechnung zugrunde gelegt. |
| Mittelwert (normiert) |
Aus allen relevanten Risikoindizes wird der Mittelwert ermittelt, mit dem normierten Wichtungsfaktor gewichtet und für die weitere Berechnung zugrunde gelegt. |
| Abschwächung |
Wird bei der Berechnung des reduzierten Risikoindex für Complianceregeln, SAP Funktionen, Unternehmensrichtlinien und Attestierungsrichtlinien angewendet. Es können keine unternehmensspezifischen Berechnungsvorschriften mit dieser Berechnungsart angelegt werden! |
HINWEIS: Wenn in Berechnungsvorschriften für ein und dieselbe Zielspalte sowohl Berechnungsarten zur Wichtung, als auch Berechnungsarten zur Normierung eingesetzt werden, ermittelt die Risikoindexberechnung keine sinnvollen Werte.
Für alle Berechnungsvorschriften einer Zielspalte gilt: Kombinieren Sie nur Berechnungsvorschriften mit den Berechnungsarten "Maximum (gewichtet)" und "Mittelwert (gewichtet)" oder Berechnungsvorschriften mit den Berechnungsarten "Maximum (normiert)" und "Mittelwert (normiert)"! |
|
Wichtung/Änderungsbetrag |
Wert, um den der berechnete Risikoindex modifiziert wird. Dabei werden drei Fälle unterschieden.
| Maximum (gewichtet) und Mittelwert (gewichtet) |
Wert, mit dem der ermittelte Risikoindex bei der Gesamtberechnung gewichtet wird. |
| Maximum (normiert) und Mittelwert (normiert) |
Wert, mit dem der ermittelte Risikoindex bei der Gesamtberechnung gewichtet wird. Der Wert wird für diese Berechnung zuvor auf 1 normiert. |
| Verminderung und Erhöhung |
Wert, um den der berechnete Risikoindex bei der Gesamtberechnung vermindert oder erhöht wird. | |
Detaillierte Informationen zum Thema
