SF Buchungsplan und Budgetierung 3.0

1. SF Buchungsplan und Budgetierung 3.0 Sicherheit und Zugriffsrechte

2. Grundsätzliches • Sicherheit ist in BPL 3.0 von vornherein mitgeplant und konsequent implementiert worden • Sicherheit gibt es in BPL 3.0 überall • Strikt überwachte, feingranulare Zugriffsrechte • Sichere Implementierung auf aktuellem Stand der Technik • Ständige Fortentwicklung und Tests

3. Sicherheit für jeden • Für Administratoren • BPL 3.0 sicher zu installieren ist einfach • Für Anwender • Robust, fehlertolerant und zuverlässig • Zugriffsrechte werden strikt eingehalten • Keine „Hintertüren“ • Selbst wenn an BPL vorbei direkt auf die Datenbank zugegriffen wird

4. Durchgehende Sicherheit • Installation • Anwender brauchen keine besonderen Rechte im Betriebssystem • Standard-Benutzerrechte genügen völlig • Anwender haben nur die absolut notwendigen Rechte in der Datenbank • Die Datenbank schützt sich damit selbst • Extrem konsequent umgesetzt • BPL 3.0 führt keine Kennwörter • Windows-Anmeldung wird mit verwendet • Alle mit der Verwaltung von Kennwörtern verbundenen Sicherheitsprobleme entfallen einfach

5. Sicherheitsrollen • Von Netzwerkadministratoren festgelegte Gruppenmitgliedschaften • Legen bestimmte Berechtigungen als auch das Verhalten der Benutzeroberfläche fest • Ausblenden von Befehlen und Optionen, für die der angemeldete Benutzer sowieso keine Rechte hätte

6. Sicherheitsrollen in BPL 3.0 • Standardbenutzer • Haben keine besonderen systemweiten Berechtigungen • Können unterschiedliche Rechte auf Teile des Datenbestandes haben • Details dazu folgen auf weiteren Folien • Importer • Nächtlicher automatischer Zeitbuchimport vom Rechenzentrum • Sicherheitsadministratoren • Können Benutzer zur Verwaltung der Berechtigungen innerhalb von Kassengemeinschaften zulassen • Administration • EDV-Abteilung, Support • Dürfen auf alle Daten zugreifen, um zu helfen • Dürfen besondere Befehle aufrufen • Nur extrem kleiner, vertrauenswürdiger Personenkreis

7. Was darf ein Standardbenutzer? • Berechtigungen auf Teile des Datenbestandes auf mehreren Ebenen • Kassengemeinschaft • Rechtsträger • Bewirtschafter • Haushaltsstellen, Ansätze und Ergebnisse je nach Bewirtschafternummer und Planvariante • Verwaltung der Berechtigungen kann nach unten delegiert werden • EDV-Abteilung  Sicherheitsadministratoren  Kassengemeinschaft  Rechtsträger  Bewirtschafter

8. Wie werden Zugriffsrechte erteilt? • EDV-Abteilung erteilt Mitgliedschaft in den „Sicherheitsadministratoren“ • Delegiert die Verwaltung von Kassengemeinschaften z. B. an die Finanzleitung • EDV-Abteilung oder Sicherheitsadministratoren erteilen ggf. das Recht, Kassengemeinschaften zu verwalten/pflegen

9. Wie werden Zugriffsrechte erteilt? • Sicherheits-administratoren gewähren Rechte auf Kassen-gemeinschaften • Delegieren die Verwaltung von Rechtsträgern z. B. an die Amtsleiter • Insbesondere das Recht „darf Systembenutzer Rechtsträgern zuordnen“

10. Das Recht „darf Systembenutzer Rechtsträgern zuordnen“ • Erlaubt es z. B. Amtsleitern, Berechtigungen auf Rechtsträger an Buchhalter zu erteilen • Am einfachsten über Extras / Administration / Rechtsträgeranmeldungen pflegen…

11. Rechtsträgeranmeldungen pflegen • Schnelle Möglichkeit, Benutzern Rechte auf viele Rechtsträger einer Kassengemeinschaft zu erteilen oder zu entziehen • Gruppen von Rechtsträgern, z. B. „42*“ • Differenzierte Berechtigungen einzeln verwaltbar • Szenarios wie „Alle RTR außer 42*“ leicht realisierbar • Bericht über erteilte Berechtigungen verfügbar • Insbesondere das Recht „darf Systembenutzer Bewirtsschaftern zuordnen“

12. Das Recht „darf Systembenutzer Bewirtsschaftern zuordnen“ • Erlaubt es, Anwender von BPL 3.0 mit Bewirtschafternummern zu verknüpfen • Die betreffenden Anwender dürfen damit auf bestimmte Haushaltsstellen, Ansätze und Ergebnisse zugreifen • Haushaltsstellen mit einer dieser BEW-Nummern einsehen • Deren Ergebnisse sehen • Deren Ansätze sehen (alle Planvarianten) • Deren Ansätze pflegen (nur zur Planung durch Bewirtschafter freigegebene Planvarianten)

13. Wie kontrolliert man Berechtigungen? • Bericht „Berechtigungen“ aufrufen • Das darf jeder BPL-Benutzer • Jeder Benutzer kann nur die Berechtigungen sehen, die er selbst hat oder die er verwalten darf • Normaler Benutzer sieht „Was darf ich?“ • Amtsleiter sieht „Wem habe ich alles Berechtigungen erteilt?“

14. Ablauf der Berechtigungserteilung (1) • EDV-Abteilung erstellt Benutzerkonto • In Active Directory • Aufnahme in Standardbenutzer, Sicherheitsadministratoren und/oder Administration • Benutzer ruft BPL 3.0 ein Mal auf • BPL „kennt“ diesen Benutzer jetzt • Erspart manuelles Eintragen

15. Ablauf der Berechtigungserteilung (2) • Sicherheitsadministrator legt Kassengemeinschaftsverwalter fest • Befehl Datei / Systembenutzer… • Kassengemeinschaftsverwalter erteilt Berechtigungen auf Rechtsträgerebene • Befehl Extras / Administration / Rechtsträgeranmeldungen pflegen…

16. Ablauf der Berechtigungserteilung (3) • Optional Erteilung von Rechten an Bewirtschafter • Befehl Datei / Anmelderecht an Rechtsträger… • Prüfung der erteilten Berechtigungen • Bericht „Berechtigungen“ • Sinnvoll auch für die turnusmäßige Prüfung • Sind die Berechtigungen noch so, wie sie sein sollten, oder müssen sie an neue Gegebenheiten angepasst werden?

17. Zusammenfassung • Sicherheit in BPL beginnt schon bei der Installation • Keine Chance für Installationsfehler • Implementiert auf aktuellem Stand der Technik • Keine Hintertüren • Hierarchisch delegierbar bis hin zum Bewirtschafter • Auch große Installationen mit vielen Benutzern bleiben verwaltbar • Fein zu steuern • Detaillierte Berechtigungen können erteilt werden • Einfach zu pflegen und zu überwachen • Wenig Aufwand, leicht zu kontrollieren • Weitere Informationen: • http://www.ct-systeme.com/sf/bpl/ • sfalk@ct-systeme.com • Telefon 07243/5874-11