Berechtigungskonzept. Es ist auf Basis eines Rechte- und Rollenkonzeptes zu gewährleisten, dass Nutzer von IT-Systemen ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können, insbesondere funktionsbezogene und rollenbasierte Ausgestaltung des Berechtigungskonzepts und der Zugriffsrechte sowie deren Überwachung und Protokollierung • dokumentierte Rechteverwaltung o unterschiedliche Zugriffsberechtigungen, Protokollierung der Zugriffe, schriftliche Regelungen der Befugnisse o dokumentierte Vergabe, regelmäßige Überprüfung und Entziehung der Zugriffsrechte • Nutzer können nur gemäß den ihnen erteilten Berechtigungen auf personenbezogene Daten zugreifen • Administrationskonzept vorhanden
Berechtigungskonzept. 9 Sicherungskonzept inkl. Wiederherstellungsplan
Berechtigungskonzept. Ja, es ist ein dokumentiertes Berechtigungskonzept vorhanden und kann eingesehen werden (Active Directory) Systemtechnische Vergabe von Berechtigungen Ja, Rollenberechtigungen werden vergeben Ja, Gruppenberechtigung werden vergeben Ja, es erfolgt eine Kontrolle der Berechtigungen Ja, es gibt ein geregeltes Verfahren zum Entzug von Berechtigungen Ja, die Administration der IT- Systeme erfolgt intern Ja, es erfolgt eine Prüfung und Wartung auch durch externe Dienstleister vor Ort Ja, es erfolgt eine Prüfung und Wartung auch durch einen externen Dienstleister per Fernwartung Ja, Verträge gem. § 11 BDSG mit externen Dienstleistern liegen vor und können eingesehen werden Anlage 1 Angaben des Auftragnehmers gem. § 11 BDSG zu § 9 BDSG und Anlage Die Weitergabe (elektronische Übertragung, Datentransport, Übermittlungskontrolle etc.) personenbezogener Daten ist zu regeln.
Berechtigungskonzept. 6. Übertragungskontrolle
Berechtigungskonzept. ⬝ Fristen/Kriterien zur Löschung von Beschäftigtendaten § 2 Geltungsbereich – Personell (alle Beschäftigten oder nur bestimmte Bereiche) – Räumlich (→ Berücksichtigung mobiler Nutzung) § 3 Definitionen – Relevante Begriffsdefinitionen von Microsoft 365 – Sonstige Begriffe gemäß den Definitionen in Art. 4 DSGVO
Berechtigungskonzept. Die Zugriffsrechte der Benutzerinnen und Benutzer dienen den im Rahmen dieser Dienstvereinbarung zulässigen Aufgaben im Zusammenhang mit dem Betrieb des Veranstaltungsmanagementsystems. Das Rechte- und Rollenkonzept mit den Details zu den Berechtigungen der verschiedenen Nutzer- gruppen ist in Anlage 3 dargestellt. Ein aktuelles Verzeichnis der den Rollen zugeordneten Personen kann auf Anfrage im Dezernat 1, eingesehen werden.
Berechtigungskonzept. ◻ Verschlüsselung von Datensätzen, die zu demselben Zweck verarbeitet werden
Berechtigungskonzept. Ein detailliertes und dokumentiertes Berechtigungskon- zept liegt vor. Jeder Mitarbeiter erhält nur jene Rechte, die er für seine tägliche Arbeit zwingend benötigt (Um- setzung des Least-Privilege-Prinzips). Jeder Mitarbeiter arbeitet standardmäßig mit reduzierten Rechten. Zusätz- lich können administrative User beantragt werden, wel- che – je nach Notwendigkeit – erweiterte Rechte zuge- wiesen bekommen. Das Berechtigungskonzept orientiert sich auf Basis von Rollen. Der CISO kontrolliert regelmäßig die Berechtigungen und schränkt diese bei Bedarf ein. Zusätzlich ist ein AD- Manager-Prinzip implementiert, wobei bei jeder AD- Gruppe ein AD-Manager hinterlegt ist. Dieser muss jede Veränderung in seiner AD-Gruppe schriftlich freigeben und regelmäßig die Rechte der ihm zugewiesenen AD- Gruppen überprüfen. Für hoch privilegierte Berechtigun- gen (z.B. Domain Admins) ist eine Monitoring- Überwachung implementiert. Finden Veränderungen statt, wird der CISO automatisch darüber informiert. Veränderungen für hoch privilegierte Berechtigungen gibt ausschließlich der CISO schriftlich frei.
Berechtigungskonzept. Die Berechtigung zum Zugriff auf eZeit erhalten: - Mitarbeiterinnen und Mitarbeiter - direkte Vorgesetzte - Zeitbeauftragte und - Zeitassistenten. Alle Zugriffs- und Einsichtsrechte sind im Berechtigungskonzept (Anlage 1) festgelegt. Vorgesetzte erhalten kein Einsichts- oder Eingaberecht auf die Buchungen und die Arbeitszeitkonten der Mitarbeiterinnen und Mitarbeiter (Nr. 3.2). Vorgesetzte haben im Rahmen ihrer Fürsorgepflicht Zugriff auf die Ampelanzeige zum Arbeits- zeitsaldo der jeweils direkt unterstellten Mitarbeiterinnen und Mitarbeiter. Zur Pflege der Stammdaten aller in eZeit erfassten Mitarbeiterinnen und Mitarbeiter sowie u. a. zur Erfassung besonderer Abwesenheitszeiten richtet die Behörde die Funktion eines Zeitbeauftragten ein. Beschäftigte in Vor- bzw. in Geschäftszimmern der Behörden-, Amts-, Abteilungs- und Referatsleitungen werden im Auf- trag der jeweiligen Leitungskräfte als Zeitassistenten tätig. Zeitassistenten übertragen die Krankmeldungen für die Mitar- beiterinnen und Mitarbeiter des jeweiligen Zuständigkeitsbereiches in eZeit.
Berechtigungskonzept. 🗹 Nachweis der Benutzung von IT-Systemen (Protokollierung der Zugänge) 🗹 Protokollierung der fehlgeschlagenen Zugangsversuche (Entsperren eines Benutzers) 🗹 Protokollierung der Vergabe/ Änderung von Zugangsberechtigungen