Risikobewertung

Nova kennt zwei Arten von Risikoinformation:

• die Risikobewertung einer Berechtigung oder Business-Rolle – eine feste Einstufung, die Administratoren pflegen;
• Risiko-Befunde – Konflikte, die Nova bei einem Antrag aus Regeln ermittelt. Sie sind unter Funktionstrennung beschrieben.

Die Stufen

Eine Rolle ist „Kritisch“, „Mittel“, „Niedrig“ oder „Kein Risiko“ bewertet. „Nicht bewertet“ steht für eine fehlende Einstufung und ist die Voreinstellung für neue Rollen. Eine Stufe „Hoch“ gibt es bei Rollen nicht; sie kommt nur bei Risiko-Befunden vor.

Pflege

• Administratoren setzen die Bewertung im Feld „Risiko“ einer Berechtigung oder Business-Rolle.
• Die Bewertung einer Business-Rolle ist eigenständig: Nova leitet sie nicht aus den enthaltenen Berechtigungen ab. Ausnahme: Legt Role Mining eine Business-Rolle an, übernimmt Nova die höchste Bewertung ihrer Berechtigungen.
• Mit dem Zusatzmodul „GRC-Berechtigungsanalyse (SAP Access Control)“ können Administratoren die anhand des GRC-Regelwerks ermittelten Risiken als Bewertung auf die SAP-Rollen in Nova übertragen. Je Rolle zählt das höchste Risiko; „Hoch“ wird dabei zu „Kritisch“. Eine vorhandene Bewertung überschreibt Nova.

Wo die Bewertung erscheint

• unter „Rollen“ in Liste und Detail jeder Berechtigung und Business-Rolle;
• an den Zuweisungen einer Identität;
• in einer Anfrage bei den beantragten Rollen;
• in der Rezertifizierung an jedem Eintrag – festgehalten bei Anlage der Kampagne – und nach dem Abschluss unter „Risikoreduktion (entzogen)“;
• auf dem „Dashboard“:
  • „Risiko-Exposition“ – Zahl der Zuweisungen kritisch bewerteter Berechtigungen und wie viele Identitäten sie halten;
  • „Risikoverteilung“ – alle Zuweisungen von Berechtigungen, direkt und über Business-Rollen, nach Stufe;
  • „Users mit höchstem Risiko“ – bis zu fünf Identitäten mit den meisten Zuweisungen kritisch bewerteter Berechtigungen;
  • „Risikobewertung“ im „Compliance-Status“ – der Anteil der Berechtigungen mit einer Bewertung.

Was die Bewertung bewirkt

Die Risikobewertung allein ändert keinen Genehmigungsablauf und löst keinen Prüfschritt aus. Welche Schritte ein Antrag durchläuft, bestimmt der Genehmigungs-Workflow der Rolle; zusätzliche Schritte entstehen nur aus Risiko-Befunden. Die Bewertung fließt in den Rezertifizierungs-Hinweis „Externer mit hohem Recht“ ein und dient Role Mining und KI-Analysen als Kontext.

KI-Analyse einer Identität

Ist ein KI-Modus aktiv, können Administratoren für eine Identität eine KI-Analyse erstellen lassen. Sie schätzt ein Risikoniveau ein und nennt Auffälligkeiten und Empfehlungen. Das Ergebnis lässt sich bearbeiten und speichern; Bewertungen und Zuweisungen ändert es nicht. Mehr dazu unter Überblick und Betriebsarten.