Bearbeitungsreglement Versicherungswesen - ÖKK

Die Zuordnung der einzelnen Rollen zu Task und Processes ist im System hinterlegt und kann bei der
Centris AG eingefordert werden. Die Liste der Zuordnungen von Personen zu Rollen kann bei ÖKK
eingesehen werden 1 .
Die Vergabeprozess für Zugriffsberechtigungen weitere Subsysteme (auf welche ÖKK
zugriffsberechtigt ist) erfolgt analog dem Zugriffsberechtigungsprozess für Syrius.
5.2.3. Aufhebung der Zugriffsberechtigung
Die Benutzer des ÖKK-Informationssystems Versicherungswesen sind nur so lange zugriffsberechtigt,
als sie die Daten für die Ausübung ihrer Arbeitsfunktion benötigen. Bei Austritten sowie bei
Aufgabenwechseln innerhalb von ÖKK wird die Zugriffsberechtigung entzogen und die für den neuen
Aufgabenbereich benötigten Zugriffsberechtigungen müssen neu beantragt werden.
Die Aufhebung der Zugriffe erfolgt analog der Erteilung der Zugriffsberechtigung durch die
Vorgesetzten mittels formalisiertem Prozess (siehe auch Bearbeitungsreglement VAD [03.0014] und
Liste Rollenverteilung Syrius (vgl. Fussnote 1).
5.2.4. Zugriffskontrolle in der Test-Umgebung
Die Test- und Produktionssysteme werden strikt getrennt. Die Zugriffsberechtigungen auf den
Testsystemen sind analog den Produktionssystemen zu handhaben.
5.2.5. Administrative Zugriffe
Administratoren des ÖKK-Informationssystems Versicherungswesen verfügen über persönliche und
dedizierte Administratoren-Accounts.
Im Rahmen des IKS wird festgelegt, dass Log-Aufzeichnungen von Administratoren-Aktionen geführt
werden müssen (siehe Infrastruktur Benutzerverwaltung, Realisierungskonzept [14.0023])
Administrative Zugriffe auf das Subsystem Syrius und Sumex II hat nur die Centris AG.
5.3. Periodische Kontrollen
Im Rahmen des IKS [14.0023] und dem Realisierungskonzept Syrius Benutzerverwaltung 2 werden
jährlich folgende Kontrollen durchgeführt und Nachweise gefordert:
• Ablage und Nachvollziehbarkeit des formalisierten Zugriffsberechtigungsprozesses.
• Erstellung einer Benutzerliste aus den Subsystemen mit entsprechenden Berechtigungen, die
von den Fachbereichen zu prüfen und zu genehmigen ist.
• Nachweis, dass die Überwachung von Zugriffsverstössen periodisch erfolgt ist.
• Nachweis, dass die Log-Aufzeichnungen von Administratoren-Aktionen periodisch überprüft
werden.
• Nachweis, dass die geforderten Passwort- und Sicherheitseinstellungen erfüllt wurden.
Zusätzlich werden folgenden Kontrollen durchgeführt.
• Stichproben bezüglich der Einhaltung von Weisungen.
• Periodische Stichproben durch die Vorgesetzten.
1 Ersichtlich unter Laufwerk N \ 01_SHP-SYRIUS \ 07_Security \ Syrius_User \ Gesamtliste_Rollen_definiert_Betrieb_R2.xlsx.
2 Dokument ÖKK IKS IT Standards & Prozesse, Syrius Benutzerverwaltung, Realisierungskonzept, vgl. Laufwerk N / IKS-
Betrieb / ITGC / 20_Syrius / IKS_IT_Realisierungskonzept_Benutzerverwaltung_SYRIUS_V6 0_20130814.docx.
ÖKK| Bearbeitungsreglement ÖKK-
Informationssystem Versicherungswesen
Version 4.0 29/44