Sie befinden sich hier: Start » IKOR » Kunden und Partner » Referenzen » ISB: Redesign Berechtigungskonzeption

Schaffung eines revisionssicheren Berechtigungskonzepts

Projektbegleitung und Freigabe durch die Wirtschaftsprüfung PWC

Ausgangssituation:
Die Investition- und Strukturbank Rheinland-Pfalz (ISB) hat als zentrales Kernbanksystem mit Haupt- und Nebenbuchfunktion ein SAP®-System mit dem branchenspezifischen SAP® Add-on ABAKUS zur Unterstützung wesentlicher Geschäftsprozesse im Einsatz. Für diese Systeme wurde im Jahr 2005 ein Berechtigungskonzept entwickelt und implementiert, welches im Laufe der folgenden Jahre zu datenschutzrelevanten Mängeln geführt hat und daher aus Sicht der Revision grundlegend angepasst bzw. überarbeitet werden sollte.

Lösung:
Die Voranalyse des Berechtigungskonzepts ergab, dass eine „einfache“ Anpassung der bestehenden Rollen und Rollenzuordnungen aufgrund konzeptioneller Schwächen im Rollendesign nur kurzfristig eine Lösung darstellen konnte. Um die Nachhaltigkeit der Berechtigungskonzeption zu gewährleisten, war das Ziel daher eine komplette Überarbeitung der bestehenden Rollenkonzeption unter Einhaltung aller relevanten Anspruchsgrundlagen. Spezielle Anforderungen der ISB an die Informationssicherheit und Datenschutz im SAP-System sollten durch das neue Berechtigungskonzept nachhaltig abgedeckt sein und die bankinternen Daten vor zufälliger oder vorsätzlicher Zerstörung und Manipulation durch unberechtigte Zugriffe geschützt werden.

Nach einer Analyse des systemtechnischen und betriebswirtschaftlichen Umfeldes der ISB wurde zunächst eine an die MaRisk angelehnte Segregation of Duties (SoD) Matrix erstellt, die die notwendigen Funktionstrennungsanforderungen in der ISB abbildet. Parallel dazu wurden die notwendigen Sammelrollen (Arbeitsplätze) durch Interviews mit Experten der jeweiligen Fachbereiche festgelegt und in einer Rollenmatrix (Rollen-Transaktionen-Matrix) dokumentiert. Ausgehend von diesen Anforderungen konnten schließlich Einzelrollen (Funktionen) ausgearbeitet werden. Dabei hatten die Faktoren hohe Wiederverwertbarkeit in den Sammelrollen sowie Transparenz und Wartbarkeit des Berechtigungskonzeptes oberste Priorität.

In der zweiten Phase des Projektes wurden die neuen konsistenten und konfliktfreien Einzel- und Sammelrollen mit dem Profilgenerator im SAP-System implementiert und anschließend durch das Projektteam und die jeweiligen Fachbereiche auf ihre Funktionsfähigkeit hin getestet. Die Testergebnisse wurden revisionssicher protokolliert und die Rollen nach dem Transport in das Produktivsystem in die Stammsätze der Benutzer eingetragen. 

Um die Sicherheit, Transparenz und Prüfbarkeit des Berechtigungskonzepts nachhaltig zu sichern, wurden für die Berechtigungsadministration Ablauf- und Dokumentationsprozesse definiert. Diese sogenannten Change-Management-Verfahren schreiben vor, wie Rollen- und Benutzeränderungen künftig beantragt, genehmigt, umgesetzt und dokumentiert werden. Zusätzlich wurden für das Berechtigungswesen relevante organisatorische Voraussetzungen wie das Notfalluserkonzept und Vertretungsregelungen zusammen mit der ISB ausgearbeitet und implementiert.

Erfolg:
Das Vorgehen zur Erstellung der Berechtigungskonzeption wurde durch die Wirtschaftsprüfung PWC begleitet und abgesegnet.

Informationen

Ausgeübte Tätigkeiten:

  • Projektleitung
  • Fach- und DV-Konzeption
  • Customizing

Technische Umgebung:

  • SAP® ERP

 

Top