Zugriffsattestierung

Was ist Zugriffsattestierung?

Die Zugriffsattestierung ist der förmliche Akt, mit dem eine namentlich benannte, verantwortliche Person aktenkundig bestätigt, dass eine bestimmte Berechtigung korrekt und weiterhin begründet ist. Sie ist die Unterschrift am Ende des Prozesses: Die Überprüfung untersucht den Zugriff, die Attestierung ist die Erklärung, dass jemand dafür einsteht. Diese Erklärung, mit Datum und Identität versehen, ist das, was eine prüfende Stelle als Nachweis akzeptiert.

Was eine Attestierung enthalten muss

• Die genaue betroffene Berechtigung, nicht einen vagen Verweis auf ein System.
• Die Identität der attestierenden Person und die Grundlage ihrer Verantwortung.
• Die getroffene Entscheidung: bestätigen, ändern oder entziehen, mit Begründung bei sensiblen Berechtigungen.
• Einen Zeitstempel sowie die Kampagne oder den Auslöser, zu der die Attestierung gehört.
• Den Nachweis, dass ein beschlossener Entzug im Zielsystem tatsächlich ausgeführt wurde.

Überprüfung, Zertifizierung, Attestierung: der Unterschied

Die drei Begriffe werden in Herstellerunterlagen austauschbar verwendet, was niemandem hilft. Die Überprüfung ist die Untersuchung, wer was hält. Die Zertifizierung ist der Prozess, der diese Untersuchung über einen definierten Umfang und Zyklus führt. Die Attestierung ist die einzelne Verantwortungserklärung darin. Ein Unternehmen kann seine Zugriffe fortlaufend überprüfen und einer prüfenden Stelle trotzdem nichts vorlegen können, weil nie jemand attestiert hat.

Beispiele und Anwendungsfälle

Ein Finanzleiter attestiert jedes Quartal, dass die zwölf Personen mit Zahlungsfreigaberechten die richtigen zwölf sind, und entzieht einer Person das Recht, die das Team gewechselt hat. Diese eine datierte und unterzeichnete Zeile wiegt im Audit mehr als ein vollständiger Export der Berechtigungsdatenbank, weil sie Verantwortung begründet statt lediglich einen Zustand zu beschreiben. Corma erfasst diese Attestierungen zeilenweise und bewahrt sie zusammen mit dem Nachweis ihrer Ausführung auf.

Verwandte Begriffe

• Automatisierte und konforme Access Reviews
• Automatisierte Identity Governance und Administration
• IAM-Lösung für Sicherheitsteams

FAQ

Worin unterscheiden sich Attestierung und Zertifizierung?

Die Zertifizierung ist der Prozess, der die Überprüfung über einen Umfang und einen Zyklus organisiert. Die Attestierung ist die einzelne Bestätigung, die eine verantwortliche Person innerhalb dieses Prozesses abgibt.

Wer darf eine Berechtigung attestieren?

Die Person, die das damit verbundene Risiko verantwortet, normalerweise die direkte Führungskraft oder die fachlich verantwortliche Person der Anwendung, und nicht die IT-Administration, die sie umgesetzt hat.

Ist eine Zugriffsattestierung rechtlich bindend?

Sie ist kein Rechtsakt, begründet aber interne Verantwortung und ist der Nachweis, den prüfende Stellen nach ISO 27001, SOC 2 und den Governance-Pflichten von NIS2 erwarten.

Was geschieht, wenn eine attestierte Berechtigung sich als falsch erweist?

Der Eintrag zeigt, wer sie wann bestätigt hat, und genau darum geht es. Die Attestierung existiert, um Verantwortung ausdrücklich zu machen statt sie zu verteilen.

Demo anfragen