Weiterentwicklung des IDM-Systems
Prozess zum Anforderungsmanagement
Zusätzliche Anforderungen an das IDM-System und Änderungswünsche sind unter Verwendung des IDM-Antragformulars einzureichen und werden per Mail unter der Adresse entgegengenommen. In dieser Mail sollte bereits eine umfassende Beschreibung der Anforderung geliefert werden, wobei der Abschnitt [Fragen zur Anforderung] als Leitfaden benutzt werden kann. Nach dem Eingang der Anforderung erfolgen eine Rücksprache zur Klärung der noch offenen Fragen und eine Bewertung durch das IDM-Team. Die Entscheidung über die Umsetzung und Priorisierung der eingegangenen Anforderungen trifft anschließend die ZIH-Leitung.
Aus welchen Bereichen können die Anforderungen und Änderungswünsche stammen?
- Anschluss eines zusätzlichen Zielsystems an das IDM-System
- Änderung von existierenden Schnittstellen zum IDM-System
- Verwaltung zusätzlicher Daten im IDM-System
- Überarbeitung von Prozessen im IDM-System
- Überarbeitung von Rollen im IDM-System
Nach welchem Prozess werden Anforderungen und Änderungswünsche umgesetzt?
- Versand der Anforderung per Mail an unter Verwendung des IDM-Antragformulars
- Dokumentation der Anforderung im OTRS der TU Dresden
- Kurzfristige Rücksprache beim im IDM-Antragsformular genannten Ansprechpartner zur Klärung von noch offenen Fragen
- Bewertung der Anforderung durch das IDM-Team
- Ergänzung der Dokumentation der Anforderung im OTRS der TU Dresden
- Entscheidung zur Umsetzung durch die ZIH-Leitung
- Priorisierung und Einordnung der Umsetzung in den Zeitplan
- Erstellung und Ratifizierung eines Designdokuments
- Vervollständigung und Ratifizierung des IDM-Antragformulars
Welche Unterlagen müssen vor der Umsetzung der Anforderung vorliegen?
- Verfahrensbeschreibung gemäß der MPrP 2/2015 und IT-Sicherheitskonzept, eine detaillierte Beschreibung gibt es hier unter Punkt 6.: BSI IT Grundschutz (insbesondere IDM-Anbindung)
- Prozessbeschreibung inklusive der Zuständigkeiten und Verantwortlichkeiten für die einzelnen Prozessschritte je Prozess
- Prozessbeschreibung für Beantragung, Vergabe und Entzug inklusive der Verantwortlichkeiten und Zuständigkeiten je Rolle
Wessen Zustimmung muss vor der Umsetzung der Anforderung vorliegen?
- Stabsstelle für Informationssicherheit (Datenschutzbeauftragter, IT-Sicherheitsbeauftragter)
- Leitung des ZIH
Welche Regeln gelten für die Anbindung von Zielsystemen?
- Eine Direktanbindung von Zielsystemen erfolgt nur im Ausnahmefall
- Stattdessen erfolgt die Anbindung über eines der Authentifizierungssysteme
- Windows-Systeme über das zentrale Active Directory
- Web-Anwendungen über den Shibboleth IDP
- Linux-Systeme über den zentralen LDAP-Verzeichnisdienst
Fragen zur Anforderung
Um eine optimale Lösung für die Umsetzung der Anforderung zu finden, werden umfassende Informationen benötigt. Die hier aufgeführten Fragen sollen als Leitfaden für die Beschreibung der Anforderung dienen.
Informationen über das Zielsystem
- Beschreibung des Zielsystems:
- Welchen Zweck erfüllt das Zielsystem?
- Werden derzeit Benutzerdaten aus anderen Systemen importiert und ggf. über welche Schnittstellen?
- Wie werden die Benutzerdaten im Zielsystem verwaltet?
- Wie unterstützt die Umsetzung der Anforderung an das IDM-System diesen Zweck?
- Schnittstellen des Zielsystems:
- Welche Schnittstellen stellt das Zielsystem für die Anbindung an das IDM-System zur Verfügung? (Beispiele: LDAP, Datei, Datenbank, Shibboleth)
- Welches ist die bevorzugte Schnittstelle des Zielsystems für die Anbindung an das IDM-System?
- Datenschutz und IT-Sicherheit:
- Existiert für das Zielsystem ein Verfahrensverzeichniseintrag?
- Existiert für das Zielsystem ein IT-Sicherheitskonzept?
Modalitäten der Anbindung
- Wer ist nach der Anbindung für das Zielsystem verantwortlich?
- Welche IP-Adresse benutzt das Zielsystem zur Verbindung mit dem IDM-System?
- Wird ein Manager-Account benötigt der Leserechte auf die Daten besitzt?
- In welchem Zeitraum ist die Anbindung erforderlich?
Informationen zu benötigten Daten, Rollen und Prozessen
- Eingrenzung des betroffenen Benutzerkreises:
- Werden die Daten von Mitarbeitern, Studenten und / oder Gästen benötigt?
- Kann die Menge der betroffenen Mitarbeiter anhand der zugeordneten Struktureinheit (Institut, Sachgebiet, ...) weiter eingegrenzt werden?
- Kann die Menge der betroffenen Studenten anhand der Studiengänge weiter eingegrenzt werden?
- Kann der betroffene Benutzerkreis anhand gemeinsamer Attributwerte weiter eingegrenzt werden?
- Eingrenzung der benötigten Informationen:
- Welche Attribute werden zu welchem Benutzerkreis benötigt?
- Sind statt der Attribute eventuell daraus abgeleitete Informationen ausreichend? (z.B. Volljährigkeit statt Geburtstag)
- Beschreibung von Zielsystem-Spezifika:
- Welche zielsystemspezifischen Prozesse müssen implementiert werden?
- Wie sind die Verantwortlichkeiten für die einzelnen Prozessschritte geregelt?
- Welche zielsystemspezifischen Rollen sind notwendig?
- Wie sind die Verantwortlichkeiten für Beantragung, Vergabe und Entzug der Rollen geregelt?