Need-to-know-Prinzip
Das Sparsamkeitsprinzip besagt, dass nur die Berechtigungen zu genehmigen und einzurichten sind, die für die Erfüllung einer konkreten Aufgabe benötigt werden. Dementsprechend ist es entscheidend, dass bei agilen Arbeitsformen in regelmäßigen Abständen die erteilten und gegebenenfalls noch benötigten Berechtigungen überprüft werden. Diese anlassbezogene Prüfung kann beispielswiese kontinuierlich innerhalb der Sprint-Planung stattfinden. Darüber hinaus ist diese Art der Prüfung auch bei Austritt eines Teammitglieds aus der Organisation oder aus dem Team dringend anzuwenden. Gegebenenfalls gehen mit dem Austritt benötigte Berechtigungen für die Betreuung oder Weiterentwicklung des Produkts innerhalb des Teams verloren und dieses ist letztlich nicht vollumfänglich arbeitsfähig. Damit dieses Problem vermieden wird, ist es sinnvoll Tool-gestützte und/oder automatisierte Prozesse bei der Vergabe und dem Entzug von Berechtigungen zu etablieren. So können über eine Verknüpfung vordefinierter Rollen bzw. Skill-Profile (beispielsweise dem Entwickler) zugehörige Berechtigungen automatisiert erteilt werden.
Ordnungsgemäße Funktionstrennung
Bei der Funktionstrennung muss darauf geachtet werden, dass es nicht zu Interessenkonflikten kommt. Ein Beispiel hierfür ist, wenn das Teammitglied, welches für die Entwicklung zuständig ist, die (Software-) Änderung auch gleichzeitig in Betrieb nehmen könnte. Solche Konflikte müssen umgehend erkannt und entsprechend behandelt werden. Im genannten Fall ist es beispielsweise zwingend notwendig, dass mindestens eine weitere Person die Änderung prüft und freigibt. Wenn sich Finanzinstitute für einen DevOps-Ansatz entscheiden, hierbei werden Development und IT-Operations in einem Team vereint, wird die Herausforderung der ordnungsgemäßen Funktionstrennung, aufgrund der Konzentration verschiedener Verantwortlichkeiten und Rollen in einem Team, noch größer. Ein weiteres Beispiel für einen Interessenkonflikt gäbe es, wenn der Entwickler ebenfalls den Test und/ oder die Abnahme durchführen würde. Diese Rollenkonstellation ist darüber hinaus auch unabhängig von der Projektmethodik (klassisch oder agil) aus regulatorischer Sicht nicht zulässig. Festzuhalten ist, dass die Einhaltung des „Vier-Augenprinzips“ essenziell für eine ordnungsgemäße Funktionstrennung ist. In diesem Zusammenhang ist eine Compliance auch gewährleistet, wenn eine Freigabe systemseitig von mindestens zwei unterschiedlichen und vom Profil her geeigneten Personen erfolgt. Im Zuge der agilen Arbeits- und Rollenverteilung hat die strikte Einhaltung von Rollen und Verantwortlichkeiten innerhalb des agilen Teams eine besondere Wichtigkeit, da nur so eine angemessene kritische Distanz gewahrt wird.
Umgang mit kritischen Berechtigungen
Privilegierte Berechtigungen müssen klar definiert werden und dürfen nur restriktiv Benutzern zugewiesen werden. Bei der Vergabe von Berechtigungen zum Umgang mit sensiblen Daten sind verschiedenste Faktoren zu berücksichtigen. Besonders bei Erteilung dieser Rechte sollte mindestens eine Prüfung der Vergabe durch die fachlich verantwortliche Stelle (Eigentümer der Daten) erfolgen, um eine angemessene Prüfung zu gewährleisten. Aus der Anforderung zum Notfallmanagement (laut MaRisk AT 7.3 Satz II) können kritische Rechtekonstellationen entstehen. So sind auch in agilen Scrum-Teams Vertretungsfunktionen zu etablieren, welche sich zwingend am Skill-Set des Team-Mitglieds orientieren müssen, damit eine Angemessenheit der Vertreterfunktion gewährleistet ist. In diesem Zusammenhang ist besonders auch darauf zu achten, welche privilegierten Berechtigungen mit dem Zugriff auf die IT-Umgebungen wie Entwicklung und Produktion einhergehen. Diese Berechtigungen sollten regelmäßig anhand angemessener Vergabekriterien geprüft werden.
Fazit
Mit einem durchdachten, praktikablen und weitgehend automatisierten Berechtigungsmanagement können Banken auch im Rahmen von agilen Organisationsformen die Compliance zu regulatorischen Anforderungen gewährleisten und gleichzeitig von den Vorteilen agiler Zusammenarbeitsmodelle in einem zunehmend herausfordernden Umfeld profitieren.
