Vertrauen brauchteinen Verlauf.
Eine unterschriebene Verpflichtung am ersten Arbeitstag genügt nicht. Die Sicherheitsanforderungen an eine Person verändern sich mit ihrer Rolle, ihrem Zugang zu Informationen und ihrem Austritt. Der Prozess hält diesen Verlauf nachvollziehbar, ohne Human Resources, IAM und Awareness in einer Stelle zu vermischen.
Rolle, Ereignis,
Verantwortung.
Personalsicherheit wird dort sichtbar, wo sich etwas ändert: beim Eintritt, bei einer neuen Funktion, bei auffälligen Ereignissen und beim Austritt. Der Prozess prüft jeweils, ob die personellen Voraussetzungen zur Rolle noch stimmen.
Einordnen
Aufgabe, Schutzkontext, besondere Zugriffe, Arbeitsort und notwendige Vertraulichkeit bestimmen.
rollenbezogener Bedarf
Bestätigen
Voraussetzungen, Verpflichtungen, Unterweisung und Eskalationswege nachweisbar machen.
zulässiger Start
Begleiten
Sicherheitsrelevante Änderungen, Meldungen und Auffälligkeiten in den passenden Prozess geben.
aktiver Sicherheitsstatus
Neu prüfen
Neue Rolle, neue Verantwortung oder neue Arbeitsform auf zusätzliche Massnahmen prüfen.
bestätigte Anpassung
Abschliessen
Verpflichtungen, Rückgabe, Übergabe und Information der technischen Prozesse bestätigen.
belegter Abschluss
Personen sind keine
Berechtigungen.
Der Prozess entscheidet nicht über technische Rechte. Er dokumentiert, ob die Voraussetzungen für die konkrete Rolle erfüllt sind und ob ein Ereignis eine erneute Beurteilung auslöst.
Kontext
Funktion, Führung, kritische Aufgaben und erhöhte Vertrauenspositionen.
Verstanden
Vertraulichkeit, akzeptierte Regelwerke und klare Meldewege.
Geeignet
Rollenbezogene Kenntnisse und bei Bedarf bestätigte Befähigung.
Erkannt
Rollenwechsel, längere Abwesenheit, auffällige Situation oder Austritt.
Ausgelöst
Informationen für IAM, Awareness, Monitoring, Vorfälle und Compliance.
Bestätigt
Datum, Verantwortliche, offene Ausnahme und nächster Review.
Der Anlass muss
ankommen.
Ein sorgfältiger Eintritts oder Austrittsprozess verliert seinen Wert, wenn die technische oder organisatorische Übergabe nicht stattfindet. Deshalb wird jede relevante Statusänderung als klarer Auftrag übergeben.
| Empfänger | Personalprozess liefert | Empfänger verantwortet |
|---|---|---|
| Identitäten | Eintritt, Rollenwechsel, besondere Rollen und bestätigter Austritt. | Provisionierung, Änderung und Entzug technischer Berechtigungen. |
| Awareness | Rollen, Zielgruppen und erforderliche Nachweise zu Sicherheitsbewusstsein. | Konzeption, Durchführung und Wirksamkeitsbewertung von Lernmassnahmen. |
| Monitoring | Legitime Rollen und relevante organisatorische Veränderungen. | Technische Überwachung und Behandlung auffälliger Signale. |
| Vorfälle | Ansprechpartner, arbeitsrechtliche Schnittstelle und dokumentierte Verpflichtungen. | Bewertung, Reaktion, Beweissicherung und Lessons Learned. |
| Compliance | Nachweise zu Verpflichtungen, Rollen und Prozessausnahmen. | Anwendbare arbeitsrechtliche, regulatorische und interne Anforderungen. |
Die Rolle bleibt
bestätigt.
Das Ziel ist kein lückenloses Personenprofil. Entscheidend ist, ob die sicherheitsrelevanten Voraussetzungen einer konkreten Rolle erfüllt sind und ob Veränderungen zuverlässig bei den zuständigen Prozessen ankommen.
| Statussignal | Was bestätigt sein muss | Folge bei Abweichung |
|---|---|---|
| Rolle verändert | Neue Verantwortung, Schutzkontext und besondere Vertrauensposition sind bekannt. | HR und Linie lösen eine erneute personelle Einordnung aus, IAM erhält den Anlass für die technische Überprüfung. |
| Verpflichtung offen | Vertraulichkeit, geltende Regeln und Meldeweg sind für die Rolle nachvollziehbar bestätigt. | Die Tätigkeit oder der vorgesehene Zugriff wird erst nach einer begründeten Klärung aufgenommen. |
| Besondere Eignung | Für kritische Aufgaben liegen die erforderlichen rollenbezogenen Voraussetzungen vor. | Die Linie entscheidet über Begleitung, Ersatz, zusätzliche Massnahmen oder eine befristete Ausnahme. |
| Austritt ausgelöst | Übergabe, Rückgabe und die Benachrichtigung der technischen und organisatorischen Empfänger sind belegt. | Der Vorgang bleibt offen, bis IAM, Betrieb und zuständige Owner den Abschluss rückmelden. |
Rollen werden
verlässlich.
Der Prozess schafft die organisatorische Voraussetzung für sicheres Handeln. Er klärt Rollen, Eignung, Verpflichtungen und Übergaben. Technische Zugriffe bleiben Aufgabe von IAM und Betrieb.
| Referenz | Beitrag zum Prozess | Grenze |
|---|---|---|
| ISO/IEC 27001:2022 | Ordnet Rollen, Auswahl, Vertragsbedingungen, Sensibilisierung, Fernarbeit und Austritt den People Controls zu. | Ersetzt keine arbeitsrechtliche oder datenschutzrechtliche Einzelfallbeurteilung. |
| NIS2 | Verlangt für erfasste Einrichtungen Cyberhygiene und Schulung der Leitungsorgane. | Die konkrete Reichweite folgt der nationalen Umsetzung und dem Anwendungsbereich. |
| IKT-Minimalstandard und FINMA | Unterstützen die Einordnung von Verantwortlichkeiten, kritischen Funktionen und Resilienz in der Schweiz. | FINMA-Erwartungen sind institutions- und proportionalitätsabhängig. |
| Inhalt | Beitrag für Personal | Weiter |
|---|---|---|
| 01 Steuerung | Legt Verantwortlichkeiten, Policy und Zielsetzung des ISMS verbindlich fest. | Prozess öffnen → |
| IAM | Übersetzt Rollenwechsel, Eintritt und Austritt in kontrollierte Berechtigungsprozesse. | Prozess öffnen → |
| Incident | Benötigt geklärte Meldewege, Verantwortungen und verlässliche Übergaben im Ereignisfall. | Prozess öffnen → |
Security Tool Navigator · Werkzeuge zum Prozess
Werkzeuge nach Gebiet einordnen.
Die Werkzeugklassen dieses Prozesses sind im Security Tool Navigator nach Sicherheitsgebieten geordnet. Die Gebietsseiten zeigen Abgrenzung, Auswahlfragen für CIO und CISO und alle Werkzeugklassen im Zusammenhang.