Seminar PDV VIS-Suite – Rechte, Rollen, Datenschutz und Revision

Das Seminar entwickelt ein prüfbares Berechtigungs- und Kontrollkonzept für die VIS-Suite. Rollen, Vererbung, Ausnahmen, sensible Daten, administrative Zugriffe, Protokollierung, Rezertifizierung und revisionsbezogene Nachweise werden in einem vollständigen Schutzmodell zusammengeführt.

Inhaltsübersicht

1. Zielgruppe
2. Voraussetzungen
3. Lernziele
4. Seminarinhalte
5. Praxisübungen
6. Methodik und Qualitätsrahmen

Zielgruppe

Fachadministration, Systemadministration, Datenschutz, Informationssicherheit, Revision, Organisation und Projektleitung

Voraussetzungen

Kenntnisse der Organisationsstruktur, der schutzbedürftigen Informationsbestände und der grundlegenden VIS-Objekte

Lernziele

• Rollen und Rechte aus Aufgaben, Zuständigkeiten und Schutzbedarf ableiten
• Vererbung, Sonderrechte, Vertretung und zeitliche Zugriffe beherrschbar gestalten
• Datenschutz- und Revisionsanforderungen in konkrete Kontrollen übersetzen
• Berechtigungen mit Positiv-, Negativ- und Rezertifizierungstests nachweisen

Seminarinhalte

1. Schutzziele und Kontrollrahmen

Vertraulichkeit, Integrität, Verfügbarkeit, Nachvollziehbarkeit und Zweckbindung werden auf Akten- und Prozessszenarien übertragen.

1. Ausgangslage, Ziel, Rollen und betroffene Informationsobjekte für „Schutzziele und Kontrollrahmen“ erfassen.
2. Fachliche Regeln und technische Einstellungen in einer dokumentierten Reihenfolge aufbauen; Schwerpunkt: Vertraulichkeit, Integrität, Verfügbarkeit, Nachvollziehbarkeit und Zweckbindung werden auf Akten- und Prozessszenarien übertragen.
3. Normalfall, Grenzfall und Fehlerfall mit repräsentativen Testdaten ausführen und die erwarteten Zustände vergleichen.
4. Abnahme, offene Punkte, Verantwortlichkeit und Übergabe in die Nutzung oder den Regelbetrieb nachvollziehbar festhalten.

2. Rollenmodell und Minimalprinzip

Fachrollen, technische Rollen, administrative Aufgaben und Funktionstrennung werden mit minimal erforderlichen Rechten modelliert.

1. Ausgangslage, Ziel, Rollen und betroffene Informationsobjekte für „Rollenmodell und Minimalprinzip“ erfassen.
2. Fachliche Regeln und technische Einstellungen in einer dokumentierten Reihenfolge aufbauen; Schwerpunkt: Fachrollen, technische Rollen, administrative Aufgaben und Funktionstrennung werden mit minimal erforderlichen Rechten modelliert.
3. Normalfall, Grenzfall und Fehlerfall mit repräsentativen Testdaten ausführen und die erwarteten Zustände vergleichen.
4. Abnahme, offene Punkte, Verantwortlichkeit und Übergabe in die Nutzung oder den Regelbetrieb nachvollziehbar festhalten.

3. Rechte auf Akten, Vorgänge und Dokumente

Lesen, Bearbeiten, Anlegen, Löschen, Freigeben und Weitergeben werden objekt- und statusbezogen abgegrenzt.

1. Ausgangslage, Ziel, Rollen und betroffene Informationsobjekte für „Rechte auf Akten, Vorgänge und Dokumente“ erfassen.
2. Fachliche Regeln und technische Einstellungen in einer dokumentierten Reihenfolge aufbauen; Schwerpunkt: Lesen, Bearbeiten, Anlegen, Löschen, Freigeben und Weitergeben werden objekt- und statusbezogen abgegrenzt.
3. Normalfall, Grenzfall und Fehlerfall mit repräsentativen Testdaten ausführen und die erwarteten Zustände vergleichen.
4. Abnahme, offene Punkte, Verantwortlichkeit und Übergabe in die Nutzung oder den Regelbetrieb nachvollziehbar festhalten.

4. Vererbung und Ausnahmen

Standardvererbung, geschützte Teilbereiche, Sonderzuständigkeiten und kontrollierte Durchbrechungen werden analysiert.

1. Ausgangslage, Ziel, Rollen und betroffene Informationsobjekte für „Vererbung und Ausnahmen“ erfassen.
2. Fachliche Regeln und technische Einstellungen in einer dokumentierten Reihenfolge aufbauen; Schwerpunkt: Standardvererbung, geschützte Teilbereiche, Sonderzuständigkeiten und kontrollierte Durchbrechungen werden analysiert.
3. Normalfall, Grenzfall und Fehlerfall mit repräsentativen Testdaten ausführen und die erwarteten Zustände vergleichen.
4. Abnahme, offene Punkte, Verantwortlichkeit und Übergabe in die Nutzung oder den Regelbetrieb nachvollziehbar festhalten.

5. Vertretung und zeitlich begrenzter Zugriff

Beginn, Ende, Umfang, Genehmigung und Widerruf von Vertretungen und Sonderzugriffen werden geregelt.

1. Ausgangslage, Ziel, Rollen und betroffene Informationsobjekte für „Vertretung und zeitlich begrenzter Zugriff“ erfassen.
2. Fachliche Regeln und technische Einstellungen in einer dokumentierten Reihenfolge aufbauen; Schwerpunkt: Beginn, Ende, Umfang, Genehmigung und Widerruf von Vertretungen und Sonderzugriffen werden geregelt.
3. Normalfall, Grenzfall und Fehlerfall mit repräsentativen Testdaten ausführen und die erwarteten Zustände vergleichen.
4. Abnahme, offene Punkte, Verantwortlichkeit und Übergabe in die Nutzung oder den Regelbetrieb nachvollziehbar festhalten.

6. Sensible Daten und Datenschutz

Besondere Kategorien, Zweckbindung, Informationsminimierung, Auskunft und Löschbezug werden in Berechtigungsregeln überführt.

1. Ausgangslage, Ziel, Rollen und betroffene Informationsobjekte für „Sensible Daten und Datenschutz“ erfassen.
2. Fachliche Regeln und technische Einstellungen in einer dokumentierten Reihenfolge aufbauen; Schwerpunkt: Besondere Kategorien, Zweckbindung, Informationsminimierung, Auskunft und Löschbezug werden in Berechtigungsregeln überführt.
3. Normalfall, Grenzfall und Fehlerfall mit repräsentativen Testdaten ausführen und die erwarteten Zustände vergleichen.
4. Abnahme, offene Punkte, Verantwortlichkeit und Übergabe in die Nutzung oder den Regelbetrieb nachvollziehbar festhalten.

7. Administrative Zugriffe

Privilegierte Konten, Notfallzugriff, Vier-Augen-Freigaben und technische Dienstkonten werden besonders abgesichert.

1. Ausgangslage, Ziel, Rollen und betroffene Informationsobjekte für „Administrative Zugriffe“ erfassen.
2. Fachliche Regeln und technische Einstellungen in einer dokumentierten Reihenfolge aufbauen; Schwerpunkt: Privilegierte Konten, Notfallzugriff, Vier-Augen-Freigaben und technische Dienstkonten werden besonders abgesichert.
3. Normalfall, Grenzfall und Fehlerfall mit repräsentativen Testdaten ausführen und die erwarteten Zustände vergleichen.
4. Abnahme, offene Punkte, Verantwortlichkeit und Übergabe in die Nutzung oder den Regelbetrieb nachvollziehbar festhalten.

8. Protokollierung und Revision

Relevante Ereignisse, Auswertungsrechte, Aufbewahrung, Manipulationsschutz und Prüfpfade werden festgelegt.

1. Ausgangslage, Ziel, Rollen und betroffene Informationsobjekte für „Protokollierung und Revision“ erfassen.
2. Fachliche Regeln und technische Einstellungen in einer dokumentierten Reihenfolge aufbauen; Schwerpunkt: Relevante Ereignisse, Auswertungsrechte, Aufbewahrung, Manipulationsschutz und Prüfpfade werden festgelegt.
3. Normalfall, Grenzfall und Fehlerfall mit repräsentativen Testdaten ausführen und die erwarteten Zustände vergleichen.
4. Abnahme, offene Punkte, Verantwortlichkeit und Übergabe in die Nutzung oder den Regelbetrieb nachvollziehbar festhalten.

9. Berechtigungstest und Rezertifizierung

Testidentitäten, Negativfälle, Rollenvergleich, periodische Bestätigung und Entzug nicht mehr benötigter Rechte werden operationalisiert.

1. Ausgangslage, Ziel, Rollen und betroffene Informationsobjekte für „Berechtigungstest und Rezertifizierung“ erfassen.
2. Fachliche Regeln und technische Einstellungen in einer dokumentierten Reihenfolge aufbauen; Schwerpunkt: Testidentitäten, Negativfälle, Rollenvergleich, periodische Bestätigung und Entzug nicht mehr benötigter Rechte werden operationalisiert.
3. Normalfall, Grenzfall und Fehlerfall mit repräsentativen Testdaten ausführen und die erwarteten Zustände vergleichen.
4. Abnahme, offene Punkte, Verantwortlichkeit und Übergabe in die Nutzung oder den Regelbetrieb nachvollziehbar festhalten.

10. Sicherheitsfall

Ein komplexer Schutzfall wird modelliert, getestet, protokolliert und mit einem Prüfbericht abgeschlossen.

1. Ausgangslage, Ziel, Rollen und betroffene Informationsobjekte für „Sicherheitsfall“ erfassen.
2. Fachliche Regeln und technische Einstellungen in einer dokumentierten Reihenfolge aufbauen; Schwerpunkt: Ein komplexer Schutzfall wird modelliert, getestet, protokolliert und mit einem Prüfbericht abgeschlossen.
3. Normalfall, Grenzfall und Fehlerfall mit repräsentativen Testdaten ausführen und die erwarteten Zustände vergleichen.
4. Abnahme, offene Punkte, Verantwortlichkeit und Übergabe in die Nutzung oder den Regelbetrieb nachvollziehbar festhalten.

Praxisübungen

• Erstellung einer Rollen- und Rechte-Matrix für einen geschützten Aktenbereich
• Durchführung von Positiv- und Negativtests mit mehreren Testidentitäten
• Entwurf eines Rezertifizierungs- und Notfallzugriffsverfahrens

Methodik und Qualitätsrahmen

Kurze Fachimpulse, moderierte Demonstrationen und aufeinander aufbauende Übungen wechseln sich ab. Jeder Konfigurations- oder Bearbeitungsschritt wird zunächst an einem Referenzfall erklärt, anschließend selbstständig ausgeführt und zuletzt mit einer Prüfliste kontrolliert.

Für die Qualitätssicherung werden Rollen, Ausgangsdaten, erwartete Ergebnisse, Negativfälle und Abnahmekriterien vor der Übung festgelegt. Änderungen und Entscheidungen werden so dokumentiert, dass der Ablauf in einer weiteren Umgebung oder durch eine andere verantwortliche Stelle reproduziert werden kann.