Ein Zugriffskonzept legt fest, welche Personen auf welche Informationen, Systeme und Räume zugreifen dürfen. Es basiert auf dem Prinzip der geringsten Rechte und wird rollenbasiert umgesetzt. Es schützt Daten vor unbefugtem Zugriff und Missbrauch.
Definition
Ein Zugriffskonzept regelt systematisch, wer unter welchen Bedingungen auf welche Informationen, IT-Systeme und physischen Bereiche zugreifen darf. Es folgt dem Prinzip der geringsten Rechte (Need-to-know), wonach jeder nur die Rechte erhält, die er für seine Aufgabe benötigt. Zugriffsrechte werden rollenbasiert vergeben und dokumentiert. Das Konzept umfasst die Authentisierung der Nutzer, die Autorisierung von Rechten und die Protokollierung von Zugriffen. Es unterscheidet Lese-, Schreib- und Verwaltungsrechte und sieht für kritische Aktionen das Vier-Augen-Prinzip vor. Zugriffsrechte müssen bei Änderungen der Aufgaben und beim Ausscheiden von Mitarbeitern aktualisiert werden. Das Zugriffskonzept ist eine zentrale technisch-organisatorische Maßnahme und Bestandteil eines ISMS nach ISO/IEC 27001.
Praxisbezug
Ein Ingenieurbüro führt ein Zugriffskonzept für sein Projektmanagementsystem ein. Jeder Mitarbeiter erhält nur Zugriff auf die Projekte, an denen er arbeitet. Die Geschäftsführung hat vollständige Rechte, die Buchhaltung nur auf Finanzdaten. Beim Ausscheiden eines Mitarbeiters werden dessen Zugriffe sofort deaktiviert. Die Rechte werden halbjährlich überprüft.
Normbezug
ISO/IEC 27001:2022, Anhang A (A.5.15, A.8.2); DSGVO Artikel 32