Wer im Zscaler-Betrieb mitarbeiten soll, braucht Berechtigungen. Weil abgestufte Rechte Arbeit machen und volle Rechte sofort funktionieren, entsteht in vielen Häusern ein Bestand an Administratorkonten, der weit über den Bedarf hinausgeht. Abgestufte Rollen lösen das nicht nur als Sicherheitsfrage: Sie machen es überhaupt erst möglich, Aufgaben an den Helpdesk oder an Junior-Kolleginnen zu geben, ohne bei jeder Übergabe neu über das Risiko nachzudenken.
Warum volle Rechte so verlockend sind
Eine neue Kollegin soll im Zscaler-Betrieb mitarbeiten. Sie braucht Zugriff, sonst kann sie nicht anfangen. Die Frage, welche Rechte genau, ist zeitaufwendig zu beantworten und muss bei jedem Sonderfall neu gestellt werden.
Volle Rechte lösen das Problem sofort und vollständig. Sie funktionieren immer, für jede Aufgabe, ohne Nachjustieren. Diese Bequemlichkeit ist der eigentliche Grund, warum Administratorkonten sich vermehren, nicht Nachlässigkeit.
Der Preis fällt erst später an, und er fällt an anderer Stelle an: in einem Prüfgespräch, in einer Störungsanalyse oder in dem Moment, in dem jemand versehentlich etwas ändert, das er gar nicht anfassen wollte.
Der eigentliche Nutzen ist nicht die Sicherheit
Abgestufte Rollen werden meist als Sicherheitsthema behandelt. Das greift zu kurz. Ihr größerer Nutzen liegt darin, dass sie Delegation überhaupt möglich machen.
Solange jede Mitarbeit volle Rechte voraussetzt, ist jede Übergabe einer Aufgabe eine Risikoentscheidung. Kann der Helpdesk diese Diagnose übernehmen? Nur wenn er dafür Administrator wird, also lieber nicht. Die Aufgabe bleibt beim Zweit-Level, obwohl sie dort nicht hingehört.
Mit abgestuften Rechten wird aus der Risikofrage eine Zuschnittsfrage: Welche Sicht braucht diese Rolle, um diese Aufgabe zu erledigen? Das lässt sich beantworten, und danach kann die Aufgabe dorthin, wo sie effizient erledigt wird.
Lesen ist die häufigste Anforderung
Ein großer Teil der täglichen Arbeit besteht aus Nachsehen. Wo hängt es, welche Regel greift, wie ist der Zustand dieses Geräts. Für all das braucht niemand Schreibrechte.
Diese Beobachtung ist die praktischste Abkürzung zu einem sinnvollen Rollenzuschnitt. Wer die lesenden Tätigkeiten von den schreibenden trennt, hat den größten Teil des Problems gelöst, ohne ein feingliedriges Rechtemodell entwerfen zu müssen.
Was mit den schreibenden Rechten passiert
Für Änderungen bleibt die Frage bestehen, wer sie ausführen darf. Hier hilft eine zweite Ebene: Nicht jede Änderung muss unmittelbar wirksam werden. Kritische Eingriffe lassen sich an eine Vier-Augen-Freigabe knüpfen.
Damit entkoppelt sich das Recht, eine Änderung vorzubereiten, vom Recht, sie freizugeben. Eine Junior-Kollegin kann arbeiten, ohne dass jede ihrer Änderungen sofort produktiv wird, und lernt dabei an echten Fällen.
Was der Bestand über die Organisation sagt
Ein guter erster Schritt ist eine schlichte Frage: Wie viele Konten mit vollen Rechten gibt es, und wie viele Menschen brauchen sie tatsächlich täglich? Die Lücke zwischen beiden Zahlen ist meist größer als erwartet.
Diese Lücke ist kein Vorwurf an die Beteiligten. Sie ist das erwartbare Ergebnis davon, dass volle Rechte der Weg des geringsten Widerstands sind. Sie zu schließen, ist deshalb weniger eine Frage der Disziplin als eine Frage des Werkzeugs.
Zählen Sie die Konten mit vollen Administratorrechten und daneben die Menschen, die sie täglich brauchen. Die Differenz ist der Umfang der Aufgabe.
Häufige Fragen
Warum sind viele Super-Admin-Konten ein Problem?
Weil jedes davon vollen Zugriff auf alles bedeutet, auch auf Bereiche, mit denen die Person nie zu tun hat. Ein versehentlicher Eingriff oder ein kompromittiertes Konto wirkt damit unbegrenzt.
Was ist der praktischste erste Schritt?
Die lesenden Tätigkeiten von den schreibenden trennen. Ein großer Teil der täglichen Arbeit besteht aus Nachsehen und braucht keine Schreibrechte.
Was hat Rechtevergabe mit Delegation zu tun?
Solange Mitarbeit volle Rechte voraussetzt, ist jede Aufgabenübergabe eine Risikoentscheidung. Abgestufte Rechte machen aus dieser Risikofrage eine Zuschnittsfrage und ermöglichen Delegation.
Wie gehe ich mit Änderungsrechten um?
Über eine zweite Ebene: Kritische Änderungen lassen sich an eine Vier-Augen-Freigabe knüpfen. Damit trennt sich das Recht, eine Änderung vorzubereiten, vom Recht, sie freizugeben.
Muss ich dafür ein feingliedriges Rechtemodell entwerfen?
Nein. Der größte Teil des Nutzens entsteht bereits durch die Trennung von lesenden und schreibenden Tätigkeiten. Feinere Abstufungen können später folgen.
Quellen
Den Arbeitsablauf im Kontext ansehen
Wählen Sie im Demo-Launcher die passende Rolle. Die Demo verwendet vorbereitete Beispieldaten.
Demo-Launcher öffnen