Mehr als nur Datenschutz: Berechtigungsüberwachung in Jira

Die täglichen Herausforderungen für Systemadministrator*innen

Als Systemadministrator*in warten und konfigurieren Sie unter anderem Benutzerkonten, Berechtigungen oder Zugriffsrechte. Bei Ihrer regelmäßigen Arbeit halten Sie ausgefeilte Systeme in top Zustand und tragen stets eine besonders hohe Verantwortung – nicht zuletzt, um mit Ihren Tätigkeiten auch dem Datenschutz zu entsprechen. Schließlich drohen selbst bei kleineren Verstößen hohe Strafen. Und als zuständige Person sind Sie für sämtliche Fehler zuständig, die sich in Ihrem System ereignen.

Um die Sicherheit des Systems zu garantieren, ist es essenziell, schnell Einblick zu erhalten, welche Benutzer-(Gruppen), welche Rechte besitzen, um gegebenenfalls Missstände zurückverfolgen zu können. Das Verwalten von Berechtigungen für einzelne Benutzer-IDs in Jira kann jedoch sehr unübersichtlich sein, besonders wenn viele Benutzer*innen verwaltet werden.

Viele Klicks sind notwendig, um zu erfahren, welche/r Mitarbeiter*in Zugriff auf welchen Datensatz hat und wie genau die Berechtigungen verteilt sind.

Was sind (Jira) Berechtigungen?

Generell legen Berechtigungen den Zugriff fest, den ein Benutzer oder eine Benutzergruppe auf eine bestimmte Ressource (ein Projekt, ein Vorgang, usw.) besitzt. Berechtigungen können sich von Objekttyp zu Objekttyp unterscheiden. Die üblichen Berechtigungen sind jedoch: lesen, editieren, Eigentümer*in ändern und löschen.

In Jira sind Berechtigungen die Einstellungen, die steuern, was Benutzer*innen innerhalb bestimmter Anwendungen sehen und tun können.

Berechtigungen behandeln unter anderem folgende Fragen:

• Wer kann neue Projekte erstellen?

• Wer hat Einsicht auf welches Projekt?

• Wer kann Vorgänge erstellen?

• Wer kann einen Kommentar posten?

• Wer kann einen Sprint starten?

• Wer kann welchen Vorgang beobachten?

• Wer kann Tickets löschen?

Die Art der Berechtigungen unterscheidet sich innerhalb der Jira-Anwendungen und von Projekt zu Projekt. Folglich existieren zahlreiche Rechte, die eine Person besitzen kann. Anstatt jedem Benutzer einzelne Berechtigungen direkt zuzuweisen, werden sie in Rollen gruppiert. Wenn einem Benutzer eine Rolle zugewiesen wird, verfügt er oder sie also über alle Berechtigungen der Rolle, sobald er sich anmeldet.

Und hier wird unser Datenschutz-Tool für Systemadministrator*innen interessant.

Berechtigungsüberwachung in Jira

Stellen Sie sich vor, Sie als Systemadministrator*in wollen in Erfahrung bringen, für welche Projekte eine Mitarbeiterin Zugriff hat. Wenn Sie Jira ohne unsere App benutzen, sehen Sie im User Management in Jira nicht, in welchen Projekten die Mitarbeiterin beigetreten ist. Auch Gruppenzuweisungen sind nicht auf einen Blick ersichtlich. Sie können nicht einfach eine spezifische Gruppe auswählen und sich alle Berechtigungen im System anzeigen lassen.

Es steckt viel Arbeit dahinter, von einer Person alle Rechte im System herauszufinden. Ohne Data Protection and Security Toolkit for Jira müssen Systemadministrator*innen in jedem einzelnen Projekt nachsehen. Viele Klicks und noch mehr Zeit sind erforderlich, um an die gewünschte Information zu kommen – und dann ist sie noch nicht ansprechend visuell aufbereitet.

Probleme bei der Jira Berechtigungsüberwachung

• Fehlender Überblick über tausende von Berechtigungen

• Auftreten von Sicherheitslücken durch falsch vergebene Berechtigungen

• Kritische Audit Findings bei Prüfungen, wenn Berechtigungszuweisungen nicht nachvollziehbar sind

• Fehlende Akzeptanz des Rollenmodells in den Abteilungen

Die Implementierung von Actonics Data Protection-Tool kann Licht in all die Dunkelheit der Jira-Berechtigungsüberwachung bringen.

Berechtigungsüberwachung mit Data Protection and Security Toolkit

Das Modul „Permission Monitoring“ bietet die Möglichkeit, 2 Arten von Berechtigungen zu verfolgen und anzuzeigen:

• Aktuelle Berechtigungen: Hierbei handelt es sich um eine Liste aller aktuellen Projektberechtigungen für einen bestimmten Benutzer, eine Gruppe oder ein gesamtes Projekt.

• Historische Berechtigungen zeigen einen Verlauf aller Berechtigungsänderungen für einen Benutzer, eine Gruppe oder ein Projekt.

Aktuelle Berechtigungen – Filteroptionen

Filtern Sie nach Benutzer, Benutzer in Gruppen oder Projekten.

Historische Berechtigungen – Filteroptionen

In der historischen Ansicht sehen Sie Benutzer (in Gruppen), Projekte, Ereignistypen und Zeiträume.

Über das Dropdown Menü können Sie nach Datum, Person oder Ereignistyp filtern. Auf diese Weise erkennen Sie direkt, wann ein User welche Rechte hatte.

Um die Informationen adäquat abzuspeichern, exportieren Sie sie beispielsweise als CSV.

Anwendungsfall: Onboarding

Die Vorteile von Data Protection and Security Toolkit for Jira sind am ehesten an einem typischen Anwendungsfall ersichtlich, dem Onboarding. Stellen Sie sich vor, ein neuer Mitarbeiter wurde eingelernt und Sie wollen kontrollieren, ob er in den entsprechenden Projekten die richtigen Rechte besitzt.

Wie gehen Sie vor?

1. Jira-Style: Klicken Sie sich durch die komplette Jira Instanz von Projekt zu Projekt und sehen nach, ob alles passt, was insgesamt mehrere Minuten, wenn nicht sogar Stunden dauert.

2. Actonic-Style: Oder filtern Sie nach dem neu angelegten Benutzer und sehen auf einen Blick, welche Rechte er im kompletten System besitzt.

Am einfachsten und schnellsten ist es, wenn Sie das Modul „View Permission” von Data Protection and Security Toolkit for Jira benutzen. Bei dieser Ansicht sehen Sie nicht erst die wenig aussagekräftigen Gruppentitel, sondern direkt die einzelnen Berechtigungen.

Fazit

Eine der wichtigsten Anforderungen der DSGVO und anderen Datenschutzgesetzen wie CCPA ist, dass Sie als Systemadministrator*in immer wissen müssen, wer Zugang zu personenbezogenen Daten hat. Diese Berechtigungen müssen Sie dokumentieren, was Ihnen dank der visuellen Berechtigungsanalyse leichtfällt. Mit der Benutzerüberwachung können Sie unkompliziert nachvollziehen, wer wann welche Rechte besaß oder noch besitzt.

Mit Data Protection and Security Toolkit for Jira garantieren Sie eine datenschutzkonforme Arbeit in Jira und lösen ganz nebenbei andere Probleme, für die Sie verantwortlich sind. Mit unserem Add-on arbeiten Sie noch effizienter, agiler und risikoärmer. So steigern Sie nicht nur die Leistung und Sicherheit Ihres Unternehmens, sondern reduzieren auch den stetigen Termindruck Ihrer Analysen. Sie sehen also, unsere Datenschutz-Suite kann viel mehr als nur Datenschutz!