Seminar One Identity Safeguard for Privileged Passwords: Richtlinien und Workflows

Technisch funktionierende Freigaben sind noch keine gute Zugriffspolitik. Das Seminar übersetzt Schutzbedarf, Funktionstrennung und betriebliche Zuständigkeiten in Richtlinien, die verständlich, prüfbar und im Alltag handhabbar bleiben.

Zielsetzung

Die Teilnehmenden entwickeln abgestufte Zugriffsmodelle, konfigurieren vollständige Anforderungsabläufe und prüfen sie aus Sicht von Antragsteller, Genehmiger, Reviewer und Auditor.

Zielgruppe

PAM-Administratoren, IAM- und Security-Architekten, Revisoren, Compliance-Verantwortliche, Systemverantwortliche und Prozessdesigner.

Voraussetzungen

Kenntnisse der grundlegenden SPP-Administration und ein Verständnis der internen Rollen- und Freigabeprozesse.

Seminarinhalte

Policy-Modell und Verantwortlichkeiten

• Entitlements, Kontogruppen, Antragsteller, Richtlinien und Rollen sauber voneinander abgrenzen.
• Schutzklassen und Anwendungsfälle in wiederverwendbare Richtlinienmuster übersetzen.
• Policy-Owner, technische Administration, Genehmigung und Revision funktional trennen.

Kennwort- und Sitzungsanforderungen

• Freigabe, Anzeige, Kopieren und Rückgabe privilegierter Kennwörter passend zum Risiko steuern.
• Sitzungsanforderungen mit geeigneten Zielkonten und Startverfahren verbinden.
• Dauer, Zeitfenster, Begründung, Ticketbezug und Nutzungsbedingungen konsistent festlegen.

Genehmigung und Review

• Ein- und mehrstufige Genehmigungen an Schutzbedarf und Verfügbarkeit ausrichten.
• Vier-Augen-Prinzip und nachgelagerte Reviews ohne unklare Sammelzuständigkeiten umsetzen.
• Vertretung, Eskalation und ausbleibende Entscheidung als reguläre Prozessfälle behandeln.

Just-in-time und Notfallzugriff

• Zeitlich eng begrenzte Zugriffe und minimale Kontenmengen als Standard etablieren.
• Notfall- und Break-Glass-Verfahren mit erhöhtem Audit- und Review-Niveau gestalten.
• Offline-Situationen und Rückkehr in den Normalbetrieb in den Prozess aufnehmen.

Test, Nachweis und Pflege

• Positiv-, Negativ- und Randfälle für jede Richtlinie vor Produktivsetzung prüfen.
• Auditdaten und Berichte für Stichproben, Rezertifizierung und Kontrollnachweise nutzen.
• Richtlinien regelmäßig auf Eigentümer, Gruppenauflösung, technische Konten und nicht mehr benötigte Ausnahmen prüfen.

Praxis und Übungen

Die Übungen entwickeln drei Risikoklassen mit unterschiedlichen Genehmigungs- und Review-Verfahren. Anschließend werden Normalzugriff, Ablehnung, Zeitüberschreitung und Notfallzugriff vollständig getestet.