Seminar GADS – Datenzugriff, Rollen und Berechtigungen

Beschreibung

Die Schulung entwickelt ein belastbares Zugriffsmodell für interne Teams, globale Standorte, automatisierte Dienste und externe Partner. Rollen und Richtlinien werden aus Datenverantwortung, Zweck, Schutzbedarf, Projektzugehörigkeit und Lebenszyklus abgeleitet, statt unkontrollierte Einzelrechte zu verteilen.

Seminarziel

Ein Least-Privilege-Berechtigungskonzept mit Rollen, Attributen, Freigaben, technischen Kontrollen und regelmäßiger Überprüfung soll entworfen und geprüft werden können.

Lernziele

• Den Themenbereich „Identitäten und Vertrauensgrenzen erfassen“ fachlich einordnen, strukturiert planen und kontrolliert umsetzen.
• Den Themenbereich „Rollen- und Attributmodell entwickeln“ fachlich einordnen, strukturiert planen und kontrolliert umsetzen.
• Den Themenbereich „Policy-basierte Entscheidungen formulieren“ fachlich einordnen, strukturiert planen und kontrolliert umsetzen.
• Den Themenbereich „Authentifizierung und Sitzungen absichern“ fachlich einordnen, strukturiert planen und kontrolliert umsetzen.
• Den Themenbereich „Servicekonten und Geheimnisse verwalten“ fachlich einordnen, strukturiert planen und kontrolliert umsetzen.

Inhaltsübersicht

1. 1. Identitäten und Vertrauensgrenzen erfassen
2. 2. Rollen- und Attributmodell entwickeln
3. 3. Policy-basierte Entscheidungen formulieren
4. 4. Authentifizierung und Sitzungen absichern
5. 5. Servicekonten und Geheimnisse verwalten
6. 6. Rezertifizierung und Audit betreiben

Zielgruppe

IAM- und Plattformadministratoren, Security Architects, Data Owner, Compliance- und Betriebsverantwortliche

Voraussetzungen

Grundkenntnisse in Authentifizierung, Autorisierung, Verzeichnisdiensten und Rollenmodellen

Seminarinhalte

1. Identitäten und Vertrauensgrenzen erfassen

Kapitelinhaltsverzeichnis: menschliche Nutzer; Servicekonten und Workloads; Standorte und Organisationen; externe Partner; Föderation und Vertrauensstellung; Identitätslebenszyklus

1. Ausgangslage, Datenquellen und Verantwortlichkeiten für menschliche Nutzer erfassen.
2. Anforderungen, Abhängigkeiten und Qualitätskriterien für Servicekonten und Workloads festlegen.
3. Zielmodell, Regeln und technische Umsetzung für Standorte und Organisationen entwerfen.
4. externe Partner schrittweise konfigurieren oder anhand eines Referenzablaufs modellieren.
5. Normalbetrieb, Fehlerfälle und Grenzbedingungen für Föderation und Vertrauensstellung prüfen.
6. Ergebnis anhand von Identitätslebenszyklus verifizieren und nachvollziehbar dokumentieren.

Praxis: Eine Identitätslandkarte für interne und externe Nutzung erstellen.

2. Rollen- und Attributmodell entwickeln

Kapitelinhaltsverzeichnis: fachliche Rollen; technische Betriebsrollen; Daten- und Projektattribute; Umgebung und Standort; Trennung kritischer Aufgaben; Standardverweigerung und Ausnahmen

1. Ausgangslage, Datenquellen und Verantwortlichkeiten für fachliche Rollen erfassen.
2. Anforderungen, Abhängigkeiten und Qualitätskriterien für technische Betriebsrollen festlegen.
3. Zielmodell, Regeln und technische Umsetzung für Daten- und Projektattribute entwerfen.
4. Umgebung und Standort schrittweise konfigurieren oder anhand eines Referenzablaufs modellieren.
5. Normalbetrieb, Fehlerfälle und Grenzbedingungen für Trennung kritischer Aufgaben prüfen.
6. Ergebnis anhand von Standardverweigerung und Ausnahmen verifizieren und nachvollziehbar dokumentieren.

Praxis: Eine Rollenmatrix mit erlaubten Aktionen und Datenbereichen entwerfen.

3. Policy-basierte Entscheidungen formulieren

Kapitelinhaltsverzeichnis: Subjekt und Rolle; Datenprodukt und Klassifikation; Aktion und Zweck; Kontext und Zeit; Freigabe und Bedingung; Entscheidungsprotokoll

1. Ausgangslage, Datenquellen und Verantwortlichkeiten für Subjekt und Rolle erfassen.
2. Anforderungen, Abhängigkeiten und Qualitätskriterien für Datenprodukt und Klassifikation festlegen.
3. Zielmodell, Regeln und technische Umsetzung für Aktion und Zweck entwerfen.
4. Kontext und Zeit schrittweise konfigurieren oder anhand eines Referenzablaufs modellieren.
5. Normalbetrieb, Fehlerfälle und Grenzbedingungen für Freigabe und Bedingung prüfen.
6. Ergebnis anhand von Entscheidungsprotokoll verifizieren und nachvollziehbar dokumentieren.

Praxis: Zugriffsrichtlinien für Entwicklung, Analytics und Partneraustausch formulieren.

4. Authentifizierung und Sitzungen absichern

Kapitelinhaltsverzeichnis: starke Authentifizierung; Föderation und Single Sign-on; Token und Sitzungsdauer; Geräte- und Netzwerkbezug; Notfallzugang; Fehler und Sperre

1. Ausgangslage, Datenquellen und Verantwortlichkeiten für starke Authentifizierung erfassen.
2. Anforderungen, Abhängigkeiten und Qualitätskriterien für Föderation und Single Sign-on festlegen.
3. Zielmodell, Regeln und technische Umsetzung für Token und Sitzungsdauer entwerfen.
4. Geräte- und Netzwerkbezug schrittweise konfigurieren oder anhand eines Referenzablaufs modellieren.
5. Normalbetrieb, Fehlerfälle und Grenzbedingungen für Notfallzugang prüfen.
6. Ergebnis anhand von Fehler und Sperre verifizieren und nachvollziehbar dokumentieren.

Praxis: Ein Authentifizierungs- und Notfallzugangskonzept für privilegierte Rollen erstellen.

5. Servicekonten und Geheimnisse verwalten

Kapitelinhaltsverzeichnis: nichtpersonalisierte Identität; Schlüssel und Zertifikate; Secret Store und Rotation; Berechtigungsumfang; Nutzungserkennung; Deaktivierung und Übergabe

1. Ausgangslage, Datenquellen und Verantwortlichkeiten für nichtpersonalisierte Identität erfassen.
2. Anforderungen, Abhängigkeiten und Qualitätskriterien für Schlüssel und Zertifikate festlegen.
3. Zielmodell, Regeln und technische Umsetzung für Secret Store und Rotation entwerfen.
4. Berechtigungsumfang schrittweise konfigurieren oder anhand eines Referenzablaufs modellieren.
5. Normalbetrieb, Fehlerfälle und Grenzbedingungen für Nutzungserkennung prüfen.
6. Ergebnis anhand von Deaktivierung und Übergabe verifizieren und nachvollziehbar dokumentieren.

Praxis: Den Lebenszyklus eines Integrationskontos einschließlich Rotation und Widerruf modellieren.

6. Rezertifizierung und Audit betreiben

Kapitelinhaltsverzeichnis: Rechtebestand und Owner; regelmäßige Bestätigung; verwaiste und überhöhte Rechte; Ausnahme und Befristung; Auditereignisse und Nachweis; Entzug und Wirksamkeitsprüfung

1. Ausgangslage, Datenquellen und Verantwortlichkeiten für Rechtebestand und Owner erfassen.
2. Anforderungen, Abhängigkeiten und Qualitätskriterien für regelmäßige Bestätigung festlegen.
3. Zielmodell, Regeln und technische Umsetzung für verwaiste und überhöhte Rechte entwerfen.
4. Ausnahme und Befristung schrittweise konfigurieren oder anhand eines Referenzablaufs modellieren.
5. Normalbetrieb, Fehlerfälle und Grenzbedingungen für Auditereignisse und Nachweis prüfen.
6. Ergebnis anhand von Entzug und Wirksamkeitsprüfung verifizieren und nachvollziehbar dokumentieren.

Praxis: Eine vierteljährliche Rezertifizierung mit Stichprobe und Eskalation planen.

Praxisanteile

Die Übungen bauen auf einem konsistenten Automotive-Datenszenario auf. Konfigurationen, Architekturentscheidungen, Prüfprotokolle und Betriebsmaßnahmen werden so dokumentiert, dass sie in ein eigenes Einführungs- oder Betriebskonzept übertragen werden können.