Alle Daten gleich stark zu schützen, ist teuer und wirkungslos. Die Klassifizierung bestimmt, wo sich der Schutz konzentrieren soll.
01. Zahl der Klassen
Drei oder vier Klassen genügen: öffentlich, intern, vertraulich und bei Bedarf streng vertraulich. Mehr erzeugt Verwirrung, und niemand wählt das richtige Etikett.
02. Eigentümerschaft
Jeder Datenbestand braucht einen fachlichen Eigentümer. Zugriffsanträge sollte der Dateneigentümer freigeben, nicht die IT. Wo die IT genehmigt, weiten sich Rechte mit der Zeit unkontrolliert aus.
03. Geringste Rechte
Ein Nutzer sollte nur die für seine Arbeit nötigen Daten erreichen. In der Praxis wird dieses Prinzip am häufigsten verletzt, besonders in ERP-Einführungen, wo der Einfachheit halber breite Rollen vergeben werden.
04. Rollenentwurf
Rechte gehören an Rollen, nicht an Personen. Wechselt Personal, wird die Rolle übergeben und es entsteht kein persönlicher Rechtestapel. Wo Funktionstrennung nötig ist, dürfen sich Rollen nicht in einer Person bündeln.
05. Regelmäßige Prüfung
Rechte sind mindestens jährlich zu prüfen. Alte Rechte von Mitarbeitenden nach Abteilungswechsel gehören zu den häufigsten Prüfungsfeststellungen.
06. Der Austrittsprozess
Alle Zugänge ausscheidender Mitarbeitender sind am selben Tag zu schließen. Ist dieser Ablauf zwischen Personal und IT nicht automatisiert, bleiben Konten monatelang offen.