DSGVO + IT Dokumentation + Tätigkeits Dokumentation
Hallo,
mich würde einmal interessieren was bei euch so alles seit Einführung der neuen DSGVO passiert ist. Unser Chef nicht IT´ler dreht nach meiner Meinung völlig am Rad mal auf deutsch gesagt.
Als erstes wurden den Administratoren 3 an der Zahl die Rechte genommen, wir sind somit bis auf eine ausgewählte Person nicht mehr als jeder andere User berechtigt. Wenn wir erweiterte Rechte
benötigen müssen wir fragen und dann darf der eine auserwählte das PW seines Accounts eingeben und man darf mal kurz arbeiten. Damit soll unterbunden werden das immer mehr als eine Person weiß das gerade etwas am System gemacht wird. Diese Tätigkeiten müssen dann auch alle Dokumentiert werden.
Nach meiner Meinung ist das mehr als übertrieben, entweder ich bin Admin und habe die Rechte oder nicht.
Wie ist das bei euch ?gab es auch so gravierende Einschnitte. Man muß ja schonsagen das man so gar nicht mehr arbeiten kann. Die Dokumentation jeglicher Tätigkeit finde ich auch etwas übertrieben. Soweit ich die DSGWO versetehe geht ews doch um das verarbeiten Personenbezogener Daten somit Accountdaten, Mails, usw. aber nicht wenn ich ein Backup einrichte, einen Applikationsserver ein Update verpasse oder so etwas.
Setzt ihr Tools ein mit denen ihr mehr oder weniger alles in einem System dokumentiert. Bin hier aif der Suche einmal ein Tool zur IT Dokumentation, Inventarisierung usw. und einmal ein Tool mit welchen man die IT Tätigkeiten gut und einfach dokumentieren könnte. Der aktuelle Weg in einer Excel Liste ist nicht gerade sehr schön.
Hat jemand Tipps für Programme, gerne auch auf OpenSource, Kostenloser Basis.
Wie überwacht ihr die Tätigkeiten im AD und im Exchange. Man kann ja die AD Protokollierung nutzen habe hier auch schonmächtige, teure Tools gesehen die alles dokumentieren und man sich eigentlich nur im Bedarfsfall um die Auswertung kümmern muss, aber halt selbst nichts mehr dokumentiert da diesautomatisiert passiert. Empfehlungen wärenauchhier gerne gesehen.
Bin auch eure Rückmeldungen gespannt.
Gruß
mich würde einmal interessieren was bei euch so alles seit Einführung der neuen DSGVO passiert ist. Unser Chef nicht IT´ler dreht nach meiner Meinung völlig am Rad mal auf deutsch gesagt.
Als erstes wurden den Administratoren 3 an der Zahl die Rechte genommen, wir sind somit bis auf eine ausgewählte Person nicht mehr als jeder andere User berechtigt. Wenn wir erweiterte Rechte
benötigen müssen wir fragen und dann darf der eine auserwählte das PW seines Accounts eingeben und man darf mal kurz arbeiten. Damit soll unterbunden werden das immer mehr als eine Person weiß das gerade etwas am System gemacht wird. Diese Tätigkeiten müssen dann auch alle Dokumentiert werden.
Nach meiner Meinung ist das mehr als übertrieben, entweder ich bin Admin und habe die Rechte oder nicht.
Wie ist das bei euch ?gab es auch so gravierende Einschnitte. Man muß ja schonsagen das man so gar nicht mehr arbeiten kann. Die Dokumentation jeglicher Tätigkeit finde ich auch etwas übertrieben. Soweit ich die DSGWO versetehe geht ews doch um das verarbeiten Personenbezogener Daten somit Accountdaten, Mails, usw. aber nicht wenn ich ein Backup einrichte, einen Applikationsserver ein Update verpasse oder so etwas.
Setzt ihr Tools ein mit denen ihr mehr oder weniger alles in einem System dokumentiert. Bin hier aif der Suche einmal ein Tool zur IT Dokumentation, Inventarisierung usw. und einmal ein Tool mit welchen man die IT Tätigkeiten gut und einfach dokumentieren könnte. Der aktuelle Weg in einer Excel Liste ist nicht gerade sehr schön.
Hat jemand Tipps für Programme, gerne auch auf OpenSource, Kostenloser Basis.
Wie überwacht ihr die Tätigkeiten im AD und im Exchange. Man kann ja die AD Protokollierung nutzen habe hier auch schonmächtige, teure Tools gesehen die alles dokumentieren und man sich eigentlich nur im Bedarfsfall um die Auswertung kümmern muss, aber halt selbst nichts mehr dokumentiert da diesautomatisiert passiert. Empfehlungen wärenauchhier gerne gesehen.
Bin auch eure Rückmeldungen gespannt.
Gruß
Bitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben
Content-ID: 437839
Url: https://administrator.de/contentid/437839
Ausgedruckt am: 14.11.2024 um 17:11 Uhr
5 Kommentare
Neuester Kommentar
Nabend,
also das kommt ganz darauf an, welche Art von Daten ihr da habt. Ich betreue eine Firma die als Auftragsdatenverarbeiter tätig ist und der Auftraggeber macht (für Adressdaten) die ganz große Kiste (Prinzipiell gilt hier was der Auftraggeber wünscht und welchen Aufwand der vergütet) auf und auditiert zudem jährlich.Hier gilt das 4 Augen Prinzip. Einen Admin Account hat der Chef, einen habe ich. Wenn ich vor Ort bin, müsste ich eigentlich immer von jemanden begleitet werden, damit ich keinen Quatsch mache; also zumindest offiziell.
Das Reduzieren der Administratoren auf das nötige Minimum, ist ein Prinzip aus den TOMs. Und bei sensiblen Daten wäre auch das 4 Augen Prinzip anzuwenden, bzw. die temporäre Vergabe von Rechten (so wie ihr das ja scheinbar praktiziert).
Das Problem ist, wenn man Admin auf einem System ist, hat man alle Rechte. Man könnte somit natürlich auch an Daten auf dem System gelangen. Als Domänen-Admin könnte man überall drauf zugreifen was mit der Domäne gekoppelt ist. in größeren Unternehmen mit Helpdesk usw. hat man üblicher Weise für einzelne Systeme fixe Verantwortliche und zumindest einen Stellvertreter und die Tickets werden an die entsprechenden Personen verteilt.
In nicht so strukturierten (in der Firma gewachsene) IT-Abteilungen (was üblicher Weise <300 PCs ist) sitzen da meist 3-4 Leute die "alles" machen. Aber da ist die IT meist eh ein großes Chaos.
In kurz: Entweder ihr fahrt bewusst einen sehr hohen Datenschutz-Standard ODER ihr habt schlicht ein Vertrauensproblem 😉.
Zum Thema Dokumentation gibt die ITIL Anreize wie das umsetzbar wäre (z.B. Changes).
also das kommt ganz darauf an, welche Art von Daten ihr da habt. Ich betreue eine Firma die als Auftragsdatenverarbeiter tätig ist und der Auftraggeber macht (für Adressdaten) die ganz große Kiste (Prinzipiell gilt hier was der Auftraggeber wünscht und welchen Aufwand der vergütet) auf und auditiert zudem jährlich.Hier gilt das 4 Augen Prinzip. Einen Admin Account hat der Chef, einen habe ich. Wenn ich vor Ort bin, müsste ich eigentlich immer von jemanden begleitet werden, damit ich keinen Quatsch mache; also zumindest offiziell.
Das Reduzieren der Administratoren auf das nötige Minimum, ist ein Prinzip aus den TOMs. Und bei sensiblen Daten wäre auch das 4 Augen Prinzip anzuwenden, bzw. die temporäre Vergabe von Rechten (so wie ihr das ja scheinbar praktiziert).
Das Problem ist, wenn man Admin auf einem System ist, hat man alle Rechte. Man könnte somit natürlich auch an Daten auf dem System gelangen. Als Domänen-Admin könnte man überall drauf zugreifen was mit der Domäne gekoppelt ist. in größeren Unternehmen mit Helpdesk usw. hat man üblicher Weise für einzelne Systeme fixe Verantwortliche und zumindest einen Stellvertreter und die Tickets werden an die entsprechenden Personen verteilt.
In nicht so strukturierten (in der Firma gewachsene) IT-Abteilungen (was üblicher Weise <300 PCs ist) sitzen da meist 3-4 Leute die "alles" machen. Aber da ist die IT meist eh ein großes Chaos.
In kurz: Entweder ihr fahrt bewusst einen sehr hohen Datenschutz-Standard ODER ihr habt schlicht ein Vertrauensproblem 😉.
Zum Thema Dokumentation gibt die ITIL Anreize wie das umsetzbar wäre (z.B. Changes).
Changelog geht mit Ticketsystemen oder auch mit einer Excel Tapete. =)
Je nach MA Anzahl oder Komplexität.
Wer die Komplexität hochtreiben will sollte sich mal das RedForest aka "Enhanced Security Administrative Environment" Konstrukt von MS anschauen.
Da läuft nix ohne Changes und JEDER Furz ist irgendwo Dokumentiert. Sei es automatisiert oder min. über ein Ticket im Ticketsystem.
VG
Je nach MA Anzahl oder Komplexität.
Wer die Komplexität hochtreiben will sollte sich mal das RedForest aka "Enhanced Security Administrative Environment" Konstrukt von MS anschauen.
Da läuft nix ohne Changes und JEDER Furz ist irgendwo Dokumentiert. Sei es automatisiert oder min. über ein Ticket im Ticketsystem.
VG
Hallo LaBomba,
ich arbeite beim Hersteller der IT-Dokumentationssoftware Docusnap und wir haben hier tagtäglich mit Kunden zu tun, die nicht wissen, wie sie die Anforderungen der DSGVO umsetzen sollen.
Den Admins alle Rechte zu nehmen, ist hierbei bestimmt kein sehr sinnvoller Weg.
Ein Ansatz wäre, als erstes mal zu hinterfragen, wer überhaupt Zugriff auf sensible, personenbezogene Daten benötigt – und wer nicht! Anschließend ein ordentliches Berechtigungskonzept aufsetzen und die Prozesse, wie mit den Daten umgegangen wird skizzieren. Wenn das Ganze jetzt noch aktuell und vollständig dokumentiert ist, hat man schon einen sehr großen Block der DSGVO abgearbeitet.
Und genau da setzen wir mit unserer Software an, indem wir diese Dokumentationsaufgaben automatisieren.
Docusnap inventarisiert und dokumentiert dein IT-Netzwerk automatisch und wiederkehrend, so dass du immer über aktuelle Informationen verfügst.
Wenn du dazu mehr wissen willst, schau mal auf unserer Webseite vorbei oder schreib mir einfach. Ich helfe dir gerne weiter.
Viele Grüße,
Stefan
ich arbeite beim Hersteller der IT-Dokumentationssoftware Docusnap und wir haben hier tagtäglich mit Kunden zu tun, die nicht wissen, wie sie die Anforderungen der DSGVO umsetzen sollen.
Den Admins alle Rechte zu nehmen, ist hierbei bestimmt kein sehr sinnvoller Weg.
Ein Ansatz wäre, als erstes mal zu hinterfragen, wer überhaupt Zugriff auf sensible, personenbezogene Daten benötigt – und wer nicht! Anschließend ein ordentliches Berechtigungskonzept aufsetzen und die Prozesse, wie mit den Daten umgegangen wird skizzieren. Wenn das Ganze jetzt noch aktuell und vollständig dokumentiert ist, hat man schon einen sehr großen Block der DSGVO abgearbeitet.
Und genau da setzen wir mit unserer Software an, indem wir diese Dokumentationsaufgaben automatisieren.
Docusnap inventarisiert und dokumentiert dein IT-Netzwerk automatisch und wiederkehrend, so dass du immer über aktuelle Informationen verfügst.
Wenn du dazu mehr wissen willst, schau mal auf unserer Webseite vorbei oder schreib mir einfach. Ich helfe dir gerne weiter.
Viele Grüße,
Stefan