5
DSGVO + IT Dokumentation + Tätigkeits Dokumentation
Hallo,
mich würde einmal interessieren was bei euch so alles seit Einführung der neuen DSGVO passiert ist. Unser Chef nicht IT´ler dreht nach meiner Meinung völlig am Rad mal auf deutsch gesagt.
Als erstes wurden den Administratoren 3 an der Zahl die Rechte genommen, wir sind somit bis auf eine ausgewählte Person nicht mehr als jeder andere User berechtigt. Wenn wir erweiterte Rechte
benötigen müssen wir fragen und dann darf der eine auserwählte das PW seines Accounts eingeben und man darf mal kurz arbeiten. Damit soll unterbunden werden das immer mehr als eine Person weiß das gerade etwas am System gemacht wird. Diese Tätigkeiten müssen dann auch alle Dokumentiert werden.
Nach meiner Meinung ist das mehr als übertrieben, entweder ich bin Admin und habe die Rechte oder nicht.
Wie ist das bei euch ?gab es auch so gravierende Einschnitte. Man muß ja schonsagen das man so gar nicht mehr arbeiten kann. Die Dokumentation jeglicher Tätigkeit finde ich auch etwas übertrieben. Soweit ich die DSGWO versetehe geht ews doch um das verarbeiten Personenbezogener Daten somit Accountdaten, Mails, usw. aber nicht wenn ich ein Backup einrichte, einen Applikationsserver ein Update verpasse oder so etwas.
Setzt ihr Tools ein mit denen ihr mehr oder weniger alles in einem System dokumentiert. Bin hier aif der Suche einmal ein Tool zur IT Dokumentation, Inventarisierung usw. und einmal ein Tool mit welchen man die IT Tätigkeiten gut und einfach dokumentieren könnte. Der aktuelle Weg in einer Excel Liste ist nicht gerade sehr schön.
Hat jemand Tipps für Programme, gerne auch auf OpenSource, Kostenloser Basis.
Wie überwacht ihr die Tätigkeiten im AD und im Exchange. Man kann ja die AD Protokollierung nutzen habe hier auch schonmächtige, teure Tools gesehen die alles dokumentieren und man sich eigentlich nur im Bedarfsfall um die Auswertung kümmern muss, aber halt selbst nichts mehr dokumentiert da diesautomatisiert passiert. Empfehlungen wärenauchhier gerne gesehen.
Bin auch eure Rückmeldungen gespannt.
Gruß
mich würde einmal interessieren was bei euch so alles seit Einführung der neuen DSGVO passiert ist. Unser Chef nicht IT´ler dreht nach meiner Meinung völlig am Rad mal auf deutsch gesagt.
Als erstes wurden den Administratoren 3 an der Zahl die Rechte genommen, wir sind somit bis auf eine ausgewählte Person nicht mehr als jeder andere User berechtigt. Wenn wir erweiterte Rechte
benötigen müssen wir fragen und dann darf der eine auserwählte das PW seines Accounts eingeben und man darf mal kurz arbeiten. Damit soll unterbunden werden das immer mehr als eine Person weiß das gerade etwas am System gemacht wird. Diese Tätigkeiten müssen dann auch alle Dokumentiert werden.
Nach meiner Meinung ist das mehr als übertrieben, entweder ich bin Admin und habe die Rechte oder nicht.
Wie ist das bei euch ?gab es auch so gravierende Einschnitte. Man muß ja schonsagen das man so gar nicht mehr arbeiten kann. Die Dokumentation jeglicher Tätigkeit finde ich auch etwas übertrieben. Soweit ich die DSGWO versetehe geht ews doch um das verarbeiten Personenbezogener Daten somit Accountdaten, Mails, usw. aber nicht wenn ich ein Backup einrichte, einen Applikationsserver ein Update verpasse oder so etwas.
Setzt ihr Tools ein mit denen ihr mehr oder weniger alles in einem System dokumentiert. Bin hier aif der Suche einmal ein Tool zur IT Dokumentation, Inventarisierung usw. und einmal ein Tool mit welchen man die IT Tätigkeiten gut und einfach dokumentieren könnte. Der aktuelle Weg in einer Excel Liste ist nicht gerade sehr schön.
Hat jemand Tipps für Programme, gerne auch auf OpenSource, Kostenloser Basis.
Wie überwacht ihr die Tätigkeiten im AD und im Exchange. Man kann ja die AD Protokollierung nutzen habe hier auch schonmächtige, teure Tools gesehen die alles dokumentieren und man sich eigentlich nur im Bedarfsfall um die Auswertung kümmern muss, aber halt selbst nichts mehr dokumentiert da diesautomatisiert passiert. Empfehlungen wärenauchhier gerne gesehen.
Bin auch eure Rückmeldungen gespannt.
Gruß
Share on Facebook
Share on Twitter
Share on Reddit
Share on LinkedinPlease also mark the comments that contributed to the solution of the article
Content-Key: 437839
Url: https://administrator.de/contentid/437839
Printed on: April 19, 2024 at 22:04 o'clock
5 Comments
Latest comment
Nabend,
also das kommt ganz darauf an, welche Art von Daten ihr da habt. Ich betreue eine Firma die als Auftragsdatenverarbeiter tätig ist und der Auftraggeber macht (für Adressdaten) die ganz große Kiste (Prinzipiell gilt hier was der Auftraggeber wünscht und welchen Aufwand der vergütet) auf und auditiert zudem jährlich.Hier gilt das 4 Augen Prinzip. Einen Admin Account hat der Chef, einen habe ich. Wenn ich vor Ort bin, müsste ich eigentlich immer von jemanden begleitet werden, damit ich keinen Quatsch mache; also zumindest offiziell.
Das Reduzieren der Administratoren auf das nötige Minimum, ist ein Prinzip aus den TOMs. Und bei sensiblen Daten wäre auch das 4 Augen Prinzip anzuwenden, bzw. die temporäre Vergabe von Rechten (so wie ihr das ja scheinbar praktiziert).
Das Problem ist, wenn man Admin auf einem System ist, hat man alle Rechte. Man könnte somit natürlich auch an Daten auf dem System gelangen. Als Domänen-Admin könnte man überall drauf zugreifen was mit der Domäne gekoppelt ist. in größeren Unternehmen mit Helpdesk usw. hat man üblicher Weise für einzelne Systeme fixe Verantwortliche und zumindest einen Stellvertreter und die Tickets werden an die entsprechenden Personen verteilt.
In nicht so strukturierten (in der Firma gewachsene) IT-Abteilungen (was üblicher Weise <300 PCs ist) sitzen da meist 3-4 Leute die "alles" machen. Aber da ist die IT meist eh ein großes Chaos.
In kurz: Entweder ihr fahrt bewusst einen sehr hohen Datenschutz-Standard ODER ihr habt schlicht ein Vertrauensproblem 😉.
Zum Thema Dokumentation gibt die ITIL Anreize wie das umsetzbar wäre (z.B. Changes).
also das kommt ganz darauf an, welche Art von Daten ihr da habt. Ich betreue eine Firma die als Auftragsdatenverarbeiter tätig ist und der Auftraggeber macht (für Adressdaten) die ganz große Kiste (Prinzipiell gilt hier was der Auftraggeber wünscht und welchen Aufwand der vergütet) auf und auditiert zudem jährlich.Hier gilt das 4 Augen Prinzip. Einen Admin Account hat der Chef, einen habe ich. Wenn ich vor Ort bin, müsste ich eigentlich immer von jemanden begleitet werden, damit ich keinen Quatsch mache; also zumindest offiziell.
Das Reduzieren der Administratoren auf das nötige Minimum, ist ein Prinzip aus den TOMs. Und bei sensiblen Daten wäre auch das 4 Augen Prinzip anzuwenden, bzw. die temporäre Vergabe von Rechten (so wie ihr das ja scheinbar praktiziert).
Das Problem ist, wenn man Admin auf einem System ist, hat man alle Rechte. Man könnte somit natürlich auch an Daten auf dem System gelangen. Als Domänen-Admin könnte man überall drauf zugreifen was mit der Domäne gekoppelt ist. in größeren Unternehmen mit Helpdesk usw. hat man üblicher Weise für einzelne Systeme fixe Verantwortliche und zumindest einen Stellvertreter und die Tickets werden an die entsprechenden Personen verteilt.
In nicht so strukturierten (in der Firma gewachsene) IT-Abteilungen (was üblicher Weise <300 PCs ist) sitzen da meist 3-4 Leute die "alles" machen. Aber da ist die IT meist eh ein großes Chaos.
In kurz: Entweder ihr fahrt bewusst einen sehr hohen Datenschutz-Standard ODER ihr habt schlicht ein Vertrauensproblem 😉.
Zum Thema Dokumentation gibt die ITIL Anreize wie das umsetzbar wäre (z.B. Changes).
Changelog geht mit Ticketsystemen oder auch mit einer Excel Tapete. =)
Je nach MA Anzahl oder Komplexität.
Wer die Komplexität hochtreiben will sollte sich mal das RedForest aka "Enhanced Security Administrative Environment" Konstrukt von MS anschauen.
Da läuft nix ohne Changes und JEDER Furz ist irgendwo Dokumentiert. Sei es automatisiert oder min. über ein Ticket im Ticketsystem.
VG
Je nach MA Anzahl oder Komplexität.
Wer die Komplexität hochtreiben will sollte sich mal das RedForest aka "Enhanced Security Administrative Environment" Konstrukt von MS anschauen.
Da läuft nix ohne Changes und JEDER Furz ist irgendwo Dokumentiert. Sei es automatisiert oder min. über ein Ticket im Ticketsystem.
VG
Liegt nicht am Chef, liegt an der DSGVO. Abmahnanwälte und Co werden nicht gegen Google / FB und Co vorgehen, gegen kleine Firmen schon …
Da ist es für den Chef besser "am Rad zu drehen"... Für bestimmte Dinge sind auch 4 Augen vorgeschrieben.
Da ist es für den Chef besser "am Rad zu drehen"... Für bestimmte Dinge sind auch 4 Augen vorgeschrieben.
Hi,
jadie DSGVO ist nicht gerade was tolles. Trotzdem denke ich immer noch den Admin alle Rechte zu klauen ist der falsche Weg.
Wir sind ein Mittelständisches Software Unternehmen, wir entwicklen Software. Somit sind die Daten dies es zu schützen gibt
erst einmal nur die der Mitarbeiter inkl. Mail wo die private Nutzung in einer Betreibsvereinbarung ausgeschlossen wurde. Es wird
geduldet aber es kann sich hier niemand sollte es mal zu einer Prüfung kommen auf sein Postgeheimnis berufen.
Die jenigen die durch ihre Hotline oder Entwicklungstätigkeiten eher täglich mit Daten von Kunden in Kontakt kommen arbeiten
weiter als wenn es die DSGVO nicht geben würde. Nur bei den Admin´s ist auf einmal alles böse und kann auf keinen Fall mehr
so laufen wie früher ( es ist noch nie etwas passiert )
Ich denke auch hier geht es gerade eher um eine Vertrauensfrage als um die Umsetzung der DSGVO. Denn wenn man seine
laut Arbeitsvertrag definierten Aufgaben nicht mehr nachkommen kann da man einfach nur noch einen " normalen " Useraccount
ohne Rechte hat passt was nicht.
Sicherlich kann das PW geholt werden aber euch Admins brauche ich nicht erzählen wie oft man dann diesen einen Kollegen fragen
muss ober nicht mal das PW eingibt in der täglichen Arbeit.
Kämpfe mich gerade durch Anmeldalternativen an Windows Servern und 2 Faktor Auth. eventuell kann man ja durch ein durchdachtes
Konzept überzeugen und einen normalen Arbeitsalltag wieder herstellen. Die DSGVO will ja eh alles dokumentiert haben, gelich wieder
was erledigt
Tipps für 2 Faktor Auth. an Windows Servern, Dokumentationstools oder auch Erfahrungen aus euren Tätigkeiten sind weiterhin gerne gesehen.
schönen Sonntag noch
jadie DSGVO ist nicht gerade was tolles. Trotzdem denke ich immer noch den Admin alle Rechte zu klauen ist der falsche Weg.
Wir sind ein Mittelständisches Software Unternehmen, wir entwicklen Software. Somit sind die Daten dies es zu schützen gibt
erst einmal nur die der Mitarbeiter inkl. Mail wo die private Nutzung in einer Betreibsvereinbarung ausgeschlossen wurde. Es wird
geduldet aber es kann sich hier niemand sollte es mal zu einer Prüfung kommen auf sein Postgeheimnis berufen.
Die jenigen die durch ihre Hotline oder Entwicklungstätigkeiten eher täglich mit Daten von Kunden in Kontakt kommen arbeiten
weiter als wenn es die DSGVO nicht geben würde. Nur bei den Admin´s ist auf einmal alles böse und kann auf keinen Fall mehr
so laufen wie früher ( es ist noch nie etwas passiert )
Ich denke auch hier geht es gerade eher um eine Vertrauensfrage als um die Umsetzung der DSGVO. Denn wenn man seine
laut Arbeitsvertrag definierten Aufgaben nicht mehr nachkommen kann da man einfach nur noch einen " normalen " Useraccount
ohne Rechte hat passt was nicht.
Sicherlich kann das PW geholt werden aber euch Admins brauche ich nicht erzählen wie oft man dann diesen einen Kollegen fragen
muss ober nicht mal das PW eingibt in der täglichen Arbeit.
Kämpfe mich gerade durch Anmeldalternativen an Windows Servern und 2 Faktor Auth. eventuell kann man ja durch ein durchdachtes
Konzept überzeugen und einen normalen Arbeitsalltag wieder herstellen. Die DSGVO will ja eh alles dokumentiert haben, gelich wieder
was erledigt
Tipps für 2 Faktor Auth. an Windows Servern, Dokumentationstools oder auch Erfahrungen aus euren Tätigkeiten sind weiterhin gerne gesehen.
schönen Sonntag noch
Hallo LaBomba,
ich arbeite beim Hersteller der IT-Dokumentationssoftware Docusnap und wir haben hier tagtäglich mit Kunden zu tun, die nicht wissen, wie sie die Anforderungen der DSGVO umsetzen sollen.
Den Admins alle Rechte zu nehmen, ist hierbei bestimmt kein sehr sinnvoller Weg.
Ein Ansatz wäre, als erstes mal zu hinterfragen, wer überhaupt Zugriff auf sensible, personenbezogene Daten benötigt – und wer nicht! Anschließend ein ordentliches Berechtigungskonzept aufsetzen und die Prozesse, wie mit den Daten umgegangen wird skizzieren. Wenn das Ganze jetzt noch aktuell und vollständig dokumentiert ist, hat man schon einen sehr großen Block der DSGVO abgearbeitet.
Und genau da setzen wir mit unserer Software an, indem wir diese Dokumentationsaufgaben automatisieren.
Docusnap inventarisiert und dokumentiert dein IT-Netzwerk automatisch und wiederkehrend, so dass du immer über aktuelle Informationen verfügst.
Wenn du dazu mehr wissen willst, schau mal auf unserer Webseite vorbei oder schreib mir einfach. Ich helfe dir gerne weiter.
Viele Grüße,
Stefan
ich arbeite beim Hersteller der IT-Dokumentationssoftware Docusnap und wir haben hier tagtäglich mit Kunden zu tun, die nicht wissen, wie sie die Anforderungen der DSGVO umsetzen sollen.
Den Admins alle Rechte zu nehmen, ist hierbei bestimmt kein sehr sinnvoller Weg.
Ein Ansatz wäre, als erstes mal zu hinterfragen, wer überhaupt Zugriff auf sensible, personenbezogene Daten benötigt – und wer nicht! Anschließend ein ordentliches Berechtigungskonzept aufsetzen und die Prozesse, wie mit den Daten umgegangen wird skizzieren. Wenn das Ganze jetzt noch aktuell und vollständig dokumentiert ist, hat man schon einen sehr großen Block der DSGVO abgearbeitet.
Und genau da setzen wir mit unserer Software an, indem wir diese Dokumentationsaufgaben automatisieren.
Docusnap inventarisiert und dokumentiert dein IT-Netzwerk automatisch und wiederkehrend, so dass du immer über aktuelle Informationen verfügst.
Wenn du dazu mehr wissen willst, schau mal auf unserer Webseite vorbei oder schreib mir einfach. Ich helfe dir gerne weiter.
Viele Grüße,
Stefan
