Die Überprüfung ist einfach. Schwierig ist zu wissen, was überprüft werden muss.

Aus den Attributen, die an der Berechtigung selbst erfasst sind. Das Ergebnis ist ein Wert von 0 bis 11. Der Kontotyp trägt bis zu 2 bei (Mitarbeitende 0, Auftragnehmer 1, Drittdienstleister oder Dienstkonto 2), die Unterstützung einer kritischen oder wichtigen Funktion 2, die Datenklassifizierung bis zu 2, die Zugriffsebene bis zu 2, privilegierter Zugriff 2 und Fernzugriff 1. Kompensierende Kontrollen senken den Wert: Multi-Faktor-Authentifizierung um 2, Aktivitätsprotokollierung um 1 und eine strenge Passwortrichtlinie um 1. Die Gewichtungen sind veröffentlicht, die Berechnung erfolgt in der Datenbank, und Sie können jeden Wert im Register von Hand nachrechnen.

Weil der Wert die Aufmerksamkeit auf die tatsächliche Gefährdung lenken soll, statt notwendige Zugriffe zu bestrafen. Ein privilegierter Administrator eines Drittdienstleisters, der auf vertrauliche Daten zugreift und eine kritische Funktion unterstützt, kommt auf 11. Aktivieren Sie für dieselbe Berechtigung MFA, Aktivitätsprotokollierung und eine Passwortrichtlinie, und der Wert sinkt auf 7. Das Modell belohnt es, die zugrunde liegende Schwachstelle zu beheben, statt nur häufiger zu überprüfen.

Er wird abgeleitet statt gespeichert. Venvera berechnet ihn bei jedem Öffnen des Registers für jede Zeile aus dem Datum der letzten Überprüfung: „nie überprüft“, wenn kein Datum vorliegt, „aktuell“ unter 335 Tagen, „bald fällig“ zwischen 335 und 365, „überfällig“ bei mehr als 365 und „nicht zutreffend“ bei entzogenen Einträgen. Da nichts von Hand gepflegt werden muss, kann der Status nicht veralten, wie es eine Tabellenspalte tut.

Ja, und zwar als vollwertige Kontotypen, nicht als Nachgedanke. Dienstkonten und Zugriffe von IKT-Drittdienstleistern tragen im Bewertungsmodell das höchste Grundgewicht, weil sie meist Administratorrechte besitzen, keinen Vorgesetzten haben, den man fragen könnte, und nie in einem Joiner-Mover-Leaver-Prozess auftauchen. In den meisten Registern stehen sie ganz oben auf der nach Risiko sortierten Liste.

Einen datierten Nachweis über den Umfang des Zyklus, die überprüfenden Personen, die Entscheidung zu jeder Position (genehmigen, ändern oder entziehen), die Begründung und den Risikowert zum Zeitpunkt der Entscheidung. Dieses letzte Feld macht eine alte Genehmigung vertretbar, wenn jemand ein Jahr später danach fragt. Der gesamte Zyklus lässt sich für den Prüfer als CSV exportieren.

Dasselbe Register und derselbe Zyklus belegen die Zugriffskontrolle nach ISO 27001 Anhang A, die Common Criteria von SOC 2 zum logischen Zugriff, NIS2 Art. 21(i) zu Konzepten für die Zugriffskontrolle, DORA Art. 9 zu Schutz und Prävention sowie PCI DSS Anforderung 7. Nachweise werden jeder Kontrolle zugeordnet, statt je Rahmenwerk einmal abgelegt zu werden, sodass ein einziger Zyklus sie alle beantwortet.

Nein. Sie sind in jedem Venvera-Plan enthalten, ab 399 EUR pro Monat, statt separat verkauft oder einer höheren Stufe vorbehalten zu werden.

Ja. Ist Microsoft Azure verbunden, liest Venvera die Konten, Verzeichnisrollen und Anmeldemethoden in Ihrer Entra ID aus und zeigt, was ins Register aufzunehmen ist, was sich geändert hat und wo es kein aktives Konto gibt. Zugriffe auf andere Systeme kommen per CSV-Import hinzu, sodass Exporte, die Sie bereits erzeugen, geladen statt abgetippt werden können. Venvera durchforstet nicht jede Anwendung nach Berechtigungen, wie es eine spezialisierte Identity-Governance-Suite tut. Das ist der ehrliche Preis dafür, deutlich schneller zu einem belastbaren ersten Zyklus zu kommen.