Erstellung einer Webapplikation zur Dokumentation und Kontrolle der Benutzerberechtigungen in einem Betrieb

Der Lösungsansatz um die Problemstellung zu bewältigen, ist eine Webseite, auf welcher eine Webanwendung läuft. Auf der Webanwendung können sich Mitarbeiter_innen einloggen und ihre Daten einsehen. Je nach Verantwortlichkeit (Bereichsleiter_innen, Abteilungsleiter_innen, usw.) sieht jede Mitarbeiterin/jeder Mitarbeiter die Daten, auf die sie/er, aufgrund der Berechtigungen, Zugriff hat. Die Anwendung soll den jeweiligen Führungspersonen die Vergabe von Rechten für neue Mitarbeiterinnen und Mitarbeiter erleichtern. Darüber hinaus erleichtert die Anwendung auch die Bearbeitung der Rechte für bereits bestehende Mitarbeiter_innen. Neue Mitarbeiter_innen hinzuzufügen und ihre Rollen in den jeweiligen Applikationen festzulegen wird auch möglich sein. Außerdem wird es auch die Funktion geben neue Bereiche, Servicegruppen, Services, Applikationen, Umgebungen und Hardware anzulegen. Wichtig ist auch die Dokumentation aller Änderungen in der Datenbank, d. h., wenn ein Datensatz in die Datenbank eingefügt, geändert oder gelöscht wurde, muss dies dokumentiert werden. Auf der Webseite wird es ein Feld geben um die History anzeigen zu lassen. Der letzte wichtige Punkt, der abgedeckt werden muss, ist die zyklische Kontrolle der Daten, sogenannter „Report“. Um sicherzustellen, dass es keine fehlerhaften Daten in der Schnittstelle gibt, soll es einen Datenabgleich zwischen den Applikationen und der Datenbank via Schnittstelle geben. Um dies für die Userin/den User darzustellen, wird es eine Report-Datei geben, welche die fehlerhaften bzw. nicht vollständigen Daten anzeigt, falls es zu Differenzen kommen sollte.

„Die internationale ISO/IEC 27001 Information technology – security techniques – information security management systems – requirements spezifiziert die Anforderungen für Einrichtung, Umsetzung, Aufrechterhaltung und fortlaufende Verbesserung eines dokumentierten Informationssicherheits-Managementsystems unter Berücksichtigung des Kontexts einer Organisation."
Siehe (ISO/IEC_27001. Online in Internet: URL: https://de.wikipedia.org/wiki/ISO/IEC_27001, 27.02.2018)

Ein Schwerpunkt der Norm ist die Dokumentation und die Kontrolle der verschiedenen Zugriffsberechtigung. Es wird ein System benötigt, welches die einzelnen Mitarbeiterinnen und Mitarbeiter mit deren Berechtigungen (Lese- oder Schreibrecht) aus den verschiedenen Bereichen, Servicegruppen, Services und Applikationen anzeigt. Welches eine Herausforderung durch die Größe des Unternehmens und die Vielzahl an Bereichen darstellt.
Durch den „ISO BerechtigungsManager“ wird erreicht, dass verschiedene Rollen und Rechte auf Applikationen zentral definiert, dokumentiert und veränderbar sind.

Benutzer_innen:
• Login-System
o mit PHP umgesetzt
o Via betriebsinternen Kürzel und Passwort

• Account verwalten
o Benutzer_innen können ihre Rollen in den jeweiligen Applikationen und Verantwortlichkeiten einsehen

System:
• Definition und Aufbau eines Datenbankmodells
o mit OracleDB in der Version 12c

• Rollen und Verantwortlichkeiten der Mitarbeiter_innen verwalten
o neue Mitarbeiter_innen müssen angelegt werden können
o Mitarbeiter_innen müssen bearbeitet werden können
o Berechtigungen der Mitarbeiter verwalten (via Checklisten)

• Jeder Bereich, Servicegruppe, Service und Applikation hat ihre eigenen Rollen

• Nur Verantwortliche und Stellvertreter_innen haben das Recht auf die jeweils darunter stehenden Ebenen zuzugreifen
o „need-to-know“-Prinzip, jeder muss nur das wissen was auch seinen Bereich, Servicegruppe, Service oder Applikation betrifft

• Das Verwalten wird durch eine grafische Benutzeroberfläche ermöglicht
o Java, HTML, CSS, JS
o nach dem Styleguide von GW

• Zyklische Kontrolle: Überprüfen der Daten der Schnittstelle (sind sie identisch mit den Daten der Datenbank)

• Einfügen von vorhandenen Daten von GW

• History über alle Änderungen im System (Mitarbeiter_in angelegt, Mitarbeiter_in geändert, Mitarbeiter_in gelöscht, Rollen hinzugefügt, usw.)
o jeder Mitarbeiter/jede Mitarbeiterin kann nur jene oder die Informationen einsehen die ihn betreffen (Bereichsleiter_innen sieht alles von ihrem/seinem Bereich, Servicegruppenleiter_innen alles von ihrer/seiner Servicegruppe usw.)

User_in/System:
• Definition einer Standardschnittstelle für Applikationen
o um die zyklische Kontrolle zu erleichtern

Zu Beginn unseres Projektes wurden einige Notizen und Mockups erstellt. Dadurch haben der Auftraggeber und das Projektteam einen ersten Eindruck, in welche Richtung sich das Projekt grafisch entwickelt. Der Projektauftraggeber kann diesen Entwürfen zustimmen oder noch Änderungen vorschlagen.
Da es nur ein erster Entwurf ist, kann sich das Design im Laufe des Projektes, falls gewünscht, ändern. Für die folgenden Mockups wurde die Anwendung Adobe InDesign CC in der Test-Version verwendet.
Gebrüder Weiss wollte von uns eine Anwendung, welche einfach zu bedienen ist und in einem Browser läuft. Wir bekamen von Gebrüder Weiss einen StyleGuide für UI-Designs . Diesen wurde zum Zeitpunkt des Mockups bereits ein- und umgesetzt. Der StyleGuide ist sehr sinnvoll, zum einen gibt er vor wie die Seite laut Gebrüder Weiss aussehen soll, zum anderen erspart es uns die Arbeit, ein Design zu entwickeln, welches Gebrüder Weiss zusagt.
Nachdem sich die Userin/der User eingeloggt hat, kommt sie/er auf den Landing-Screen (s. Abb.). Darauf sieht sie/er ihre/seine eigenen Rollen bzw. die Rollen der Mitarbeiter_in für die jeweilige Ebene, alle Abteilungen, Servicegruppen, Services und Applikationen mit den Verantwortlichen bzw. deren Stellvertreter_innen und die Hardwarezuordnung in der drinnen steht, welche Hardware auf welcher Umgebung in welcher Applikation arbeitet. Die Darstellung erfolgt durch eine Tabelle und die Datensätze können durch Eingabe in die Suchleiste gefiltert werden. Um einen Datensatz zu ändern oder zu löschen, muss der jeweilige Datensatz, dann der jeweilige Button angeklickt werden. Mithilfe von der Taskleiste ganz oben, kann man zwischen den Ansichten wechseln.

Mockup