Rezertifizierung

Bei einer Rezertifizierung prüfen Verantwortliche, ob bestehende Zugriffe noch benötigt werden, und bestätigen oder entziehen sie. Nova bündelt diese Prüfung in Kampagnen. Administratoren verwalten Kampagnen unter „Compliance“ → „Rezertifizierung“.

Kampagne anlegen

„Neue Kampagne“ legt eine Kampagne an:

• „Scope“ – wessen Zugriffe geprüft werden: „Alle Benutzer“, eine „Abteilung“, eine „Organisationseinheit“ (ohne Untereinheiten), alle Identitäten mit Konto in einem „System“ oder „KI-Agenten“. Deaktivierte und gelöschte Identitäten schließt Nova aus.
• „Reviewer“ – wer prüft: der „Manager“ der Identität, der „Rollen-Owner“ der Rolle, ein „Bestimmter Benutzer“ oder bei KI-Agenten deren „Agent-Owner (KI-Identität)“.
• „Frist“ – optional.
• „Kampagnentyp“ und „Standard“ (z. B. ISO 27001) dienen der Einordnung.

Nova erzeugt sofort je Identität und Zuweisung einen Eintrag. Geprüft werden die am Tag der Anlage gültigen Zuweisungen von Business-Rollen und direkten Berechtigungen; Berechtigungen, die eine Identität über eine Business-Rolle erhält, deckt die Prüfung der Business-Rolle ab. Jeder Eintrag hält Identität, Rolle, System und Risikobewertung zum Zeitpunkt der Anlage fest. Einen Scope ohne Einträge lehnt Nova ab. Beim Scope „KI-Agenten“ kommen die Fähigkeiten verknüpfter Routinen-Agenten als eigene Einträge hinzu.

Lässt sich für einen Eintrag kein Reviewer ermitteln, prüft ihn die Person, die die Kampagne angelegt hat.

Hinweise an den Einträgen

Nova markiert Einträge, die besondere Aufmerksamkeit verdienen; der Filter „Markiert“ zeigt sie gesammelt:

• „SoD-Konflikt“ – die Zuweisung ist Teil eines Konflikts nach einer aktiven SoD-Regel.
• „Externer mit hohem Recht“ – eine externe Identität hält eine als „Kritisch“ bewertete Rolle.
• „Kein Peer hält diese Rolle“ – im Scope hält nur diese eine Identität die Rolle.
• „Reviewer auf Admin zurückgefallen“ – für den Eintrag war kein Reviewer ermittelbar.

Starten und entscheiden

Eine Kampagne beginnt als „Entwurf“. „Starten“ setzt sie auf „In Prüfung“; Nova benachrichtigt jeden Reviewer über die Zahl seiner Einträge.

• Jeder Eintrag wird mit „Bestätigen“ oder „Entziehen“ entschieden. Ein Entzug verlangt eine Begründung.
• Reviewer entscheiden nur die ihnen zugeordneten Einträge, Administratoren alle.
• Mehrere Einträge lassen sich auswählen und gemeinsam entscheiden. „Alle bestätigen“ bestätigt alle offenen Einträge – bei Reviewern nur die eigenen.
• Eine Entscheidung ist endgültig. Nova speichert sie mit Person, Zeitpunkt und Begründung am Eintrag.
• Entscheiden lässt sich nur, solange die Kampagne „In Prüfung“ ist.

Die „Frist“ schließt eine Kampagne nicht automatisch. Der Hintergrundjob „Rezertifizierungs-Fristerinnerung“ erinnert Reviewer mit offenen Einträgen höchstens einmal täglich, sobald die Frist innerhalb von „Erinnern innerhalb (Tage)“ – Voreinstellung 7 – liegt oder überschritten ist. Nova legt diesen Job nicht selbst an; Administratoren richten ihn unter „Monitoring“ → „Hintergrund-Jobs“ ein.

Abschluss und Entzug

Sind alle Einträge entschieden, schließen Administratoren die Kampagne mit „Kampagne abschließen“ ab. Nova fragt dabei, ob die Entzüge jetzt ausgeführt werden sollen:

• Ausführen: Nova entfernt die entzogenen Zuweisungen in Nova – bei einer Business-Rolle einschließlich der darüber erhaltenen Berechtigungen. Ist „Zielsysteme automatisch provisionieren“ eingeschaltet, startet Nova für die betroffenen Identitäten Provisionierungsläufe, um die Rollen auch in den Zielsystemen zu entfernen. Werden die Fähigkeiten eines Routinen-Agenten entzogen, schaltet Nova diesen Routinen-Agenten ab.
• Nicht ausführen: Die Entscheidungen bleiben dokumentiert, der Zugriff bleibt bestehen. Die Kampagne ist trotzdem abgeschlossen; über sie lassen sich die Entzüge später nicht mehr ausführen.

Entzug nur beim Abschluss

Ein „Entziehen“ wirkt erst, wenn die Entzüge beim Abschluss ausgeführt werden. Bis dahin bleibt der Zugriff unverändert.

Nach dem Abschluss benachrichtigt Nova die Person, die die Kampagne angelegt hat, und die Administratoren. „CSV herunterladen“ liefert Administratoren alle Einträge mit Reviewer, Entscheidung, Begründung, Zeitpunkt, Hinweisen und Entzugsstatus als Nachweis. Abgeschlossene Kampagnen zeigen unter „Risikoreduktion (entzogen)“, wie viele entzogene Zuweisungen welche Risikobewertung hatten. Anlage, Start, Entscheidungen und Abschluss einer Kampagne protokolliert Nova.