Ausführliche Informationen zur Risikobewertung finden Sie im One Identity Manager Administrationshandbuch für Risikobewertungen.
Mit dem One Identity Manager können Sie die Risiken von Regelverletzungen bewerten. Dazu legen Sie an den Regeln einen Risikoindex fest. Der Risikoindex gibt an, welches Risiko für Ihr Unternehmen besteht, wenn die Regel verletzt wird. Der Risikoindex wird als numerischer Wert mit dem Wertebereich 0 ... 1 angegeben. Dabei legen Sie fest, ob mit einer Regelverletzung für Ihr Unternehmen kein Risiko verbunden ist (Risikoindex = 0) oder ob jede Regelverletzung ein Problem darstellt (Risikoindex = 1).
Der Risikoindex von Systemberechtigungen kann als Objekteigenschaft bereits beim Erstellen von Regelbedingungen berücksichtigt werden. Durch solche Regeln kann beispielsweise verhindert werden, dass Systemberechtigungen, die einen festgelegten Risikoindex übersteigen, im IT Shop bestellt werden können.
Um Objekte, Zuweisungen und Regelverletzungen abhängig vom Risikoindex auszuwerten, können Sie mit dem Report Editor verschiedene Berichte erstellen. Ausführliche Informationen zum Erstellen von Berichten finden Sie im One Identity Manager Konfigurationshandbuch.
Für die Risikobewertung einer Regelverletzung im Rahmen des Identity Audits erfassen Sie auf dem Tabreiter Bewertungskriterien Werte für die Einstufung der Regel.
Tabelle 13: Bewertungskriterien einer Regel
| Schweregrad |
Gibt an, welche Auswirkung Verletzungen dieser Regel für das Unternehmen haben. Stellen Sie über den Schieberegler einen Wert zwischen 0 und 1 ein.
0 ... keine Auswirkung
1 ... Jede Regelverletzung ist ein Problem. |
| Auswirkung |
Gibt in verbaler Beschreibung an, welche Auswirkung Verletzungen dieser Regel für das Unternehmen haben. In der Standardinstallation werden die Werte Niedrig, Mittel, Hoch und Kritisch angezeigt. |
| Risikoindex |
Gibt an, wie riskant Verletzungen dieser Regel für das Unternehmen sind. Abhängig vom Wert der Auswirkung wird per Bildungsregel ein Risikoindexwert vorgegeben.
Tabelle 14: Risikoindex in Abhängigkeit der Auswirkungen
| Niedrig |
0,0 |
| Mittel |
0,33 |
| Hoch |
0,66 |
| Kritisch |
1,0 |
Dieser Wert kann geändert werden. Stellen Sie über den Schieberegler einen Wert zwischen 0 und 1 ein.
0 ... kein Risiko
1 ... Jede Regelverletzung ist ein Problem.
Sobald sich die Auswirkung ändert, passt die Bildungsregel den Risikoindex wieder an.
Das Eingabefeld ist nur sichtbar, wenn der Konfigurationsparameter QER | CalculateRiskIndex aktiviert ist. |
| Risikoindex (reduziert) |
Gibt den Risikoindex unter Berücksichtigung der zugewiesenen risikomindernden Maßnahmen an. Der Risikoindex einer Regel wird um die Signifikanzminderung aller zugewiesenen risikomindernden Maßnahmen reduziert. Der Risikoindex (reduziert) wird für die originale Regel berechnet. Um diesen Wert in die Arbeitskopie zu übernehmen, führen Sie die Aufgabe Arbeitskopie erstellen aus.
Das Eingabefeld ist nur sichtbar, wenn der Konfigurationsparameter QER | CalculateRiskIndex aktiviert ist. Der Wert wird durch den One Identity Manager berechnet und kann nicht bearbeitet werden. |
| Transparenzindex |
Gibt an, wie nachvollziehbar Zuweisungen sind, die durch die Regel geprüft werden. Stellen Sie über den Schieberegler einen Wert zwischen 0 und 1 ein.
0 ... keine Transparenz
1 ... volle Transparenz |
| Max. Anzahl Regelverletzungen |
Anzahl der Regelverletzungen, die für diese Regel zugelassen sind. |
Detaillierte Informationen zum Thema
Verwandte Themen
Auf dem Tabreiter Erweitert erfassen Sie zusätzliche Anmerkungen zur Regel sowie die Revisionsdaten.
Tabelle 15: Erweiterte Stammdaten einer Regel
|
Regelnummer |
Zusätzliche Bezeichnung der Regel. |
|
Anmerkungen zur Implementierung |
Freitextfeld für zusätzliche Erläuterungen. Die Anmerkungen zur Implementierung können beispielsweise inhaltliche Erläuterungen zur Regelbedingung umfassen. |
|
Zeitplan der Prüfung |
Zeitplan, durch den die regelmäßige Überprüfung der Regel gestartet wird.
Standardmäßig ist der Zeitplan Berechnung der Complianceregeln zugeordnet. Sie können einen eigenen Zeitplan zuordnen. |
|
Zeitplan der Befüllung |
Zeitplan, durch den die Neuberechnung der Hilfstabellen für die Regelprüfung gestartet wird.
Standardmäßig ist der Zeitplan Befüllung der Complianceregel Objekte zugeordnet. Sie können einen eigenen Zeitplan zuordnen. |
|
Status |
Status der Regel bezüglich ihres Revisionsstandes. |
|
Revisor |
Person, die die Revision der Regel zuletzt vorgenommen hat. |
|
Revisionsdatum |
Datum der letzten Revision der Regel. |
|
Revisionsbemerkung |
Bemerkungen zur Revision, beispielsweise Ergebnisse, die für die nächste Revision wichtig sind. |
Verwandte Themen
Die Ergebnismengen einer Arbeitskopie und der originalen Regel können in einem Vergleich gegenübergestellt werden. Auf dem Tabreiter Regelvergleich des Stammdatenformulars der Arbeitskopie werden daraufhin die Vergleichswerte dargestellt.
Tabelle 16: Ergebnis des Regelvergleichs
|
Neu enthalten |
erstmalig verletzen würden |
|
Identisch |
weiterhin verletzen würden |
|
Nicht mehr enthalten |
nicht mehr verletzen würden |
TIPP: Im Manager werden in der Kategorie Identity Audit > Regeln > Arbeitskopien von Regeln > Geänderte Arbeitskopien alle Arbeitskopien angezeigt, deren Bedingung nicht identisch ist mit der Bedingung der originalen Regel.
Detaillierte Informationen zum Thema
In die Entscheidungsworkflows im IT Shop können Sie die Prüfung der Bestellungen auf Regelkonformität integrieren. Auf dem Tabreiter IT Shop Eigenschaften legen Sie fest, wie die Verletzungen einer Regel innerhalb eines Genehmigungsverfahrens für IT Shop Bestellungen behandelt werden.
Um IT Shop Eigenschaften für eine Regel zu erfassen
-
Aktivieren Sie im Designer den Konfigurationsparameter QER | ComplianceCheck | EnableITSettingsForRule.
-
Aktivieren Sie im Manager auf dem Stammdatenformular der Regel, auf dem Tabreiter Allgemein die Option Regel für zyklische Prüfung und Risikobewertung im IT Shop.
-
Wählen Sie den Tabreiter IT Shop Eigenschaften.
-
Bearbeiten Sie die Stammdaten.
- Speichern Sie die Änderungen.
Tabelle 17: IT Shop Eigenschaften
|
Erkennung einer Regelverletzung |
Gibt an, welche Regelverletzungen protokolliert werden.
Tabelle 18: Zulässige Werte
|
Neue Regelverletzung durch die Bestellung |
Es werden nur Regelverletzungen protokolliert, die durch die Genehmigung der aktuellen Bestellung neu hinzukommen würden. |
|
Nicht genehmigte Ausnahmen |
Es werden Regelverletzungen protokolliert, die durch die Genehmigung der aktuellen Bestellung neu hinzukommen würden. Zusätzlich werden auch bereits bekannte Regelverletzungen protokolliert, für die noch keine genehmigten Ausnahmen vorliegen. |
|
Jede Verletzung der Compliance |
Es werden alle Regelverletzungen protokolliert, unabhängig davon ob bereits eine Ausnahmegenehmigung vorliegt oder nicht.
Dieser Wert wird automatisch gesetzt, wenn die Option Explizite Ausnahmegenehmigung aktiviert wird. | |
|
Explizite Ausnahmegenehmigung |
Angabe, ob erneute Regelverletzungen einem Ausnahmegenehmiger vorgelegt werden oder ob bereits vorhandene Ausnahmegenehmigungen nachgenutzt werden sollen.
Tabelle 19: Zulässige Werte
|
aktiviert |
Eine erkannte Regelverletzung wird immer zur Ausnahmegenehmigung vorgelegt, auch wenn es bereits eine genehmigte Ausnahme aus einer früheren Verletzung der Regel gibt. |
|
deaktiviert |
Eine erkannte Regelverletzung wird nicht erneut zur Ausnahmegenehmigung vorgelegt, wenn es bereits eine genehmigte Ausnahme aus einer früheren Verletzung der Regel gibt. Diese Ausnahmegenehmigung wird nachgenutzt und für die erkannte Regelverletzung automatisch eine Ausnahme zugelassen. | |
