Vor dem Handeln
Person und Organisation identifizieren, die Rolle prüfen und festlegen, welche Informationen und Aktionen verfügbar sind.
Identität und BerechtigungenCatalisa / GovernanceVertrauen hat
Vertrauen hat
Struktur.
Wer handeln darf. Was geprüft werden muss. Wie sich nachvollziehen lässt, was passiert ist. Governance verbindet diese Antworten mit dem Betrieb.
Zuständigkeiten entdecken ↓Mehr Klarheit zum Handeln.
Mehr Kontext für die Antwort.
Mehr Kontext für die Antwort.
Die Basis stellt Mechanismen bereit.
Der Betrieb gibt die Richtung vor.
Governance zeigt sich in der Gestaltung jeder Journey: in den Zugriffen, den Regeln, der Prüfung und den Aufzeichnungen, die helfen, die Arbeit nachzuvollziehen.
Die Plattform verbindet diese Fähigkeiten. Jede Organisation legt ihre Richtlinie fest, konfiguriert die Kontrollen und prüft, ob sie dem Kontext genügen, in dem sie tätig sein wird.
Vorher, währenddessen und danachEine Aktion braucht
Eine Aktion braucht
Sinn ergeben
zu jedem Zeitpunkt.
Wenn die Aktion eine Prüfung erfordert
Festlegen, was eine andere Person benötigt, in welchem Schritt und mit welcher Befugnis. Die Gestaltung der Freigabe ist Teil der Journey.
ZugriffsrichtlinieDanach
Die Aktion mit den verfügbaren Einträgen, der vorgenommenen Änderung und der Regel verknüpfen, die das Ergebnis bestimmt hat.
Verlauf und NachweiseZwei Personen. Unterschiedliche Verantwortlichkeiten.Eine Anfrage muss nicht
Eine Anfrage muss nicht
selbst die Freigabe zu sein.
Erleben Sie die Trennung zwischen
wer beantragt und wer prüft.
Eine Betrachtung des Vier-Augen-PrinzipsVorbereiten.
Vorbereiten.
Prüfen Sie es.
Entscheiden Sie.
Das IAM dokumentiert eine Richtlinie zur Prüfung durch eine zweite Person bei Änderungen sensibler Zugriffsrechte, die unter diese Kontrolle fallen.
Ist die Richtlinie der Organisation aktiviert, erzeugt die Änderung eine Anfrage. Die Prüfung obliegt einer anderen berechtigten Person derselben Organisation.
Dies ist ein lokales, illustratives Beispiel. Es ändert keine Berechtigungen. Der tatsächliche Umfang hängt von der aktivierten Richtlinie und den im IAM abgedeckten Aktionen ab.
Dokumentierten Umfang ansehenBEISPIEL / ÄNDERUNG EINES SENSIBLEN ZUGRIFFSAuftrag noch nicht erstellt
Rolle zuweisen
mit sensiblem Zugriff.
Eine Person stellt den Antrag. Eine andere berechtigte Person prüft ihn – innerhalb derselben Organisation.
AntragstellerBereitet den Antrag vor
PrüferPrüft und entscheidet
Beginnen Sie mit Person A und bereiten Sie den Antrag vor.
Wenn die Frage kommt: Was ist passiert?Der Verlauf muss
Der Verlauf muss
helfen, die Geschichte zu erzählen.
Eine Änderung erhält Kontext, wenn sich nachvollziehen lässt, wer gehandelt hat, was sich geändert hat und welche Referenz verwendet wurde.
ILLUSTRATIVE DARSTELLUNG / KEINE ECHTEN DATENEine Änderung.
Eine Änderung.
Mehr als eine
Frage.
Die Einträge stammen aus den zuständigen Fähigkeiten. Das Beispiel ordnet die Fragen, die eine Untersuchung beantworten muss.
Person, System und Organisation
Der Identitätskontext begleitet die Aktion je nach verwendetem Mechanismus.
Widerspruch und Änderung
Der Verlauf kann den vorherigen Zustand und den Zustand danach zeigen.
Referenz und Version
Eine Bewertung kann der veröffentlichten Version der Richtlinie zugeordnet werden.
Tatsächlich erfasste Ereignisse
Der Audit-Trail hängt von den Events ab, die jede Fähigkeit veröffentlicht. Die Abdeckung muss geprüft werden.
Audit Trail befindet sich in der Beta-Phase. Eine angegebene Aufbewahrungsdauer bedeutet keine automatische Löschung; Konfiguration, Erfassung und betriebliche Verfahren müssen aktiv sein. Die überprüfbare Integrität des Protokolls unterliegt dokumentierten Einschränkungen.
Abdeckung und Grenzen ansehenDie Governance geht mit
die Art der Arbeit.
Ein Überblick über die ZugriffePersonen, Rollen
Personen, Rollen
und Status müssen
verständlich sein.
Eine Oberfläche hilft dem Team zu prüfen, wer am Vorgang beteiligt ist und in welcher Rolle. Die Berechtigung wird weiterhin von der zuständigen Fähigkeit durchgesetzt.
Referenzoberfläche des Banking-Leitfadens: Prototyp mit Beispieldaten. Der Bildschirm belegt nicht die Verfügbarkeit aller gezeigten Abläufe.
Banking-Plattform entdeckenKonsole / Personen und ZugriffVergrößern ↗
Fähigkeiten hinter den KontrollenJeder Mechanismus hat
Jeder Mechanismus hat
eine Rolle und einen Reifegrad.
Erkunden Sie den Zweck der Fähigkeit
und prüfen Sie die Grenzen vor der Integration.
IAMProduktion↗API KeysProduktion↗Decision EngineProduktion↗Audit TrailBeta↗BiometrieAlpha↗Feature FlagsProduktion↗
Identität und Zugriff
Die Person, die Organisation und die mit der Aktion verbundenen Berechtigungen erkennen.
Zugriff zwischen Systemen
Festlegen, was eine Integration abfragen oder ausführen darf.
Regeln mit Referenz
Die in einer Bewertung verwendete Richtlinienversion identifizieren.
Änderungsverlauf
Veröffentlichte Events abfragen, mit Kontext dazu, was sich geändert hat.
Identitätsprüfung
Die Bewertung und ihre Nachweise der Verifizierungssitzung zuordnen.
Schrittweise Veränderung
Die Sichtbarkeit einer Funktion entsprechend der Produktkonfiguration steuern.
Für eine klare BewertungVertrauen auch
Vertrauen auch
ist, den Umfang zu kennen.
Bedeutet ein Audit-Trail, alles zu protokollieren?
Nein. Der Audit-Trail hängt von den Events ab, die die Fähigkeiten veröffentlichen. Prüfen Sie, welche Aktionen abgedeckt sind, ob die Erfassung aktiviert ist und welche Einträge in Ihrer Komposition verfügbar sind.
Gilt das Vier-Augen-Prinzip für jede Aktion?
Der im IAM dokumentierte Mechanismus deckt die in der Richtlinie vorgesehenen Änderungen sensibler Zugriffe ab, sofern aktiviert. Die Freigabe von Zahlungen, Dokumenten oder anderen Aktionen erfordert eine eigene Konzeption und Validierung.
Darf ein Agent alles nutzen, nur weil er eine Anweisung erhalten hat?
Anweisungen steuern das Verhalten. Der Zugriff auf Tools und Aktionen braucht eigene Kontrollen, die auf die Rolle und den Kontext abgestimmt sind, in dem der Agent mitwirkt.
Löscht die Festlegung einer Aufbewahrungsfrist die Einträge bereits?
Nein. Die Dokumentation zum Audit Trail unterscheidet zwischen der festgelegten Richtlinie und der Durchführung des Löschverfahrens. Der Betrieb muss diesen Prozess unter Berücksichtigung der dokumentierten Grenzen konfigurieren und überwachen.
Gewährleisten diese Mechanismen für sich allein Compliance?
Sie stellen Ressourcen für die Gestaltung von Kontrollen bereit. Richtlinie, Konfiguration, Abdeckung, Betrieb und die Beurteilung der Angemessenheit hängen vom Kontext der Organisation ab. Sie sind keiner automatischen Zertifizierung gleichzusetzen.
Wo beginnt die Bewertung?
Wählen Sie eine Journey. Legen Sie fest, wer handelt, welche Informationen genutzt werden, welche Aktionen eine Prüfung erfordern und welche Aufzeichnungen verfügbar sein müssen. Gleichen Sie diesen Bedarf mit dem Reifegrad und den Grenzen der ausgewählten Fähigkeiten ab.
Autonomie, die auf Verantwortung trifftGestalten Sie den nächsten Schritt.