Ein tiefer Einblick in NetSuite-Rollen und -Berechtigungen

Ein klares und sicheres Verständnis der Benutzerrollen ist entscheidend für das erfolgreiche Management von NetSuite. Ob Sie ein neues Konto einrichten, ein altes aufräumen oder die Trennung der Zuständigkeiten für SOX-Compliance einrichten, Sie müssen einige Grundlagen fest im Griff haben.

Verständnis der Benutzerrollen

NetSuite verfügt über ein rollenbasiertes Zugriffskontrollsystem. Das bedeutet, dass jedem Benutzer eine Rolle zugewiesen werden muss, um Zugang zu erhalten, und diese Rolle bestimmt, was sie im System sehen und tun können.

Es gibt 636 unterschiedliche Berechtigungen, die 4923 separate Aufgaben, Suchvorgänge und Datensätze regeln. Zusätzlich kann jede Rolle eine bevorzugte oder erforderliche Listenansicht oder Formular für jeden Datensatz und Transaktionstyp haben. Und darüber hinaus gibt es alle kontextbezogenen Einstellungen, die steuern, welche Daten ein Benutzer von verschiedenen Segmenten und Tochtergesellschaften sieht. Je nach Art Ihres Kontos könnten das Hunderttausende möglicher Kombinationen sein.

Allerdings ist die Realität selten so komplex. Einfach ausgedrückt bestehen Rollen aus drei Dingen:

• Berechtigungen: Benutzern das Recht geben, Daten einzusehen und damit zu arbeiten.
• Einschränkungen: Beschränken Sie die Nutzung einer Berechtigung auf Daten, die sich auf Ihre Tochtergesellschaft, Abteilung oder Klasse beziehen.
• Schnittstellen: wie Formulare, Listenansichten und Dashboards, sowie das allgemeine Navigationsthema, bekannt als 'Center', definieren wie Benutzer Dinge sehen.

Verständnis der Benutzerberechtigungen

Jede Benutzerrolle (außer Administrator) benötigt mindestens eine Berechtigung. Im Wesentlichen ist eine Berechtigung ein Bündel von Rechten, das regelt, was ein Benutzer im System tun darf und was nicht.

Die meisten Berechtigungen haben auch eine Reihe von Berechtigungsstufen, von Anzeigen bis Vollzugriff. Sie sind:

• Anzeigen: Der Benutzer kann die Daten sehen, aber nicht ändern
• Erstellen: Der Benutzer kann AUCH einen Datensatz oder eine Transaktion erstellen, darf diesen jedoch nicht bearbeiten
• Bearbeiten: Der Benutzer kann auch einen Datensatz oder eine Transaktion nach der Erstellung ändern
• Voll: Der Benutzer kann AUCH einen Datensatz oder eine Transaktion LÖSCHEN

Seien Sie äußerst vorsichtig damit, nahezu jedem und für nahezu alles Vollzugriffsrechte zu erteilen. Fast keine operativen Rollen sollten eine auf Vollzugriff eingestellte Berechtigung haben.

Vier häufig gestellte Fragen zu Benutzerberechtigungen

Welche Berechtigungen hat die Admin-Rolle?

Administratoren haben alle Berechtigungen UND die Fähigkeit, jedem Zugriff zu gewähren UND die Möglichkeit, Ihr gesamtes Konto zu löschen. Daher sollten Sie sehr vorsichtig sein, wem Sie Admin-Zugang geben. Ein wichtiger Punkt, der nicht vergessen werden darf, ist, dass fast alle Fähigkeiten, die in der Administratorrolle enthalten sind, als separate Berechtigungen verfügbar sind. Die beste Art, über eine Berechtigung nachzudenken, ist als eine Abkürzung, die es Administratoren ermöglicht, einer Rolle eine Gruppe von Fähigkeiten in einem Schritt zu geben.

Was ist eine Aufgabe?

Viele Berechtigungen werden in Bezug auf eine Aufgabe beschrieben. Diese Beziehung ist eine der Hauptquellen der Verwirrung rund um Berechtigungen. Also, was ist eine Aufgabe?

Eine Aufgabe ist im Grunde ein Weg, um etwas in NetSuite zu tun. Sie wird immer durch eines oder mehrere Interface-Elemente dargestellt. Diese Elemente können etwas in der Navigation oder in einer Datensatz- oder Transaktions-Schnittstelle sein.

Zum Beispiel schaltet die Berechtigung für die Genehmigung von Verkaufsaufträgen die Aufgabe zur Genehmigung von Verkaufsaufträgen ein und aus. Ohne diese Berechtigung kann ein Benutzer keinen Verkaufsauftrag genehmigen.

Wie beeinflussen Berechtigungen die Navigation?

Die Berechtigungsstufe „Anzeigen“ steuert die Navigation und in einigen Fällen die Möglichkeit, eine Erinnerung an einem Dashboard hinzuzufügen. Die anderen Stufen kontrollieren die Fähigkeit, Daten in Datensätzen, Transaktionen oder Einstellungen zu erstellen, zu ändern oder zu löschen, was wiederum die Funktionalität einer Schnittstelle durch das Hinzufügen eines Buttons oder das Aktivieren eines Genehmigungsstatus verändern kann.

Dies gilt nicht nur für Daten und Transaktionen, sondern auch für alle oben genannten Konfigurationsberechtigungen. Außerdem spielt es keine Rolle, ob die Funktion als Aufgabe oder als Datensatz bezeichnet wird – die funktionale Beziehung zur Berechtigung ist dieselbe.

Welche verschiedenen Kategorien gibt es für NetSuite-Rollen und -Berechtigungen?

• Transaktionen: Diese Berechtigungen steuern den Zugriff auf NetSuite-Transaktionsdatensätze und die Fähigkeit, diese zu genehmigen. Es ist wichtig, begrenzte Berechtigungen basierend auf spezifischen Rollen zuzuweisen, um eine angemessene Funktionstrennung zu gewährleisten. Überlegen Sie, ob bestimmte Rollen Berechtigungen für das Konfigurieren von SuiteFlow-Workflows benötigen, die mit Transaktionen zusammenhängen.
• Berichte: Diese Berechtigungen bestimmen den Zugriff auf umfassendere Finanzberichterstattung innerhalb von NetSuite. Rollen, die in die Finanzberichterstattung involviert sind, haben in der Regel die meisten dieser Berechtigungen zugewiesen.
• Listen: Diese Kategorie umfasst den Zugriff auf alle Nicht-Transaktionsdatensätze in NetSuite, wie Kunden, Lieferanten und Mitarbeiter. Beachten Sie, dass nicht alle Berechtigungen in dieser Kategorie intuitiv benannt sein könnten, überprüfen Sie daher jede Berechtigung sorgfältig, um ihren Zweck zu verstehen. Bestimmte administrative Berechtigungen, wie „Massenaktualisierungen“, sollten nur einer kleinen Benutzergruppe vorbehalten sein.
• Einrichtung: Diese Berechtigungen sind meist administrativer Natur. Einige Berechtigungen in dieser Kategorie können jedoch auch für eine breitere Palette von Rollen relevant sein. Zum Beispiel erlaubt die Berechtigung „Import CSV File“ Endbenutzern, ihre eigenen CSV-Importe für Datensätze, zu denen sie Zugang haben, zu verarbeiten. Zusätzlich ist die Berechtigung „SAML Single Sign-on“ essentiell für Rollen, die die Single-Sign-On-Authentifizierung verwenden.
• Custom Record: Diese Kategorie bezieht sich auf SuiteApps oder benutzerdefinierte Datensätze innerhalb von NetSuite. Der Zugriff auf bestimmte Datensätze oder Datensatzgruppen kann Benutzern basierend auf ihren Rollen gewährt werden. Während der Implementierung einer neuen SuiteApp werden diese Berechtigungen oft angepasst, um den Benutzern die erforderliche Interaktion mit der Lösung zu ermöglichen.

Überwachung des Verhaltens von Administratoren

In NetSuite hat die Administratorrolle umfangreiche Transaktionsbefugnisse — und damit einher geht das Potenzial für Betrug. In einer idealen Welt sollte kein einzelner Benutzer in der Lage sein, Transaktionen in einem Produktionskonto zu erstellen, zu bearbeiten und zu löschen.

Das regelmäßige Überwachen und Überprüfen aller von Benutzern mit Adminrechten vorgenommenen Transaktionsänderungen ist ein wichtiger Teil der Vorbereitung auf die SOX-Konformität – ganz zu schweigen von einer Best Practice für mehr Sicherheit. Allerdings ist das Erkennen dieser Änderungen schwieriger als man vielleicht erwartet. Daher kann selbst wenn Sie Ihrem Team vollständig vertrauen, die Prüfungsbereitschaft eine Herausforderung sein.

Das Grundproblem ist, dass in NetSuite einige Skripte und Workflows als Administrator ausgeführt werden, auch wenn sie nicht von einem Benutzer mit Admin-Rechten ausgelöst werden. Das Ergebnis sind Hunderte oder sogar Tausende von falsch positiven Ergebnissen, wenn Sie eine Suche von Systemnotizen für Transaktionsaktivitäten durchführen.

Bereinigung ungenutzter Rollen

Das Access Management in NetSuite ist wesentlich schwieriger, wenn Sie ungenutzte Rollen in Ihrem System haben. Wie andere Formen von technischer Verschuldung erschweren genutzte Rollen jede Entscheidung über Zugriffskontrolle. Und je länger Sie ein Aufräumprojekt aufschieben, desto schlimmer wird das Problem.

Zwei Arten von Rollen kommen für die Bereinigung in Frage:

• Nicht zugewiesene Rollen die niemandem zugewiesen sind
• Unbenutzte Rollen die zugewiesen, aber nicht in Gebrauch sind

Um nicht zugewiesene Rollen zu finden, führen Sie einfach eine Suche in den Mitarbeiterdatensätzen durch und gruppieren Sie die Ergebnisse nach Rolle. Jede Benutzerrolle, die nicht auf der Liste steht, ist niemandem zugewiesen.

Um ungenutzte Rollen zu finden, führen Sie eine Suche in der Login Audit Trail (Setup>Manage Users>View User Login Audit Trail) für alle Anmeldungen der letzten sechs Monate durch. Wenn die Rolle nicht auf dieser Liste steht, wird sie nicht verwendet.

Bei einem stark frequentierten Konto können diese Suchvorgänge ablaufen. Um das Problem zu umgehen, beschränken Sie Ihre Suche auf die Rollen, die Sie betreffen.

Warum es mit Netwrix Platform Governance (ehemals Netwrix Strongpoint) einfacher ist

Netwrix Platform Governance (formerly Netwrix Strongpoint) wird mit vordefinierten Suchen geliefert, um ungenutzte und nicht zugewiesene Rollen in NetSuite zu identifizieren.

Netwrix Platform Governance bietet eine zusätzliche Sicherheitsebene und Seelenfrieden, indem automatisch gelöschte Rollen in einem permanenten Archiv gespeichert werden, das jederzeit wiederhergestellt werden kann.

Wie wir oben erwähnt haben, ist Netwrix Platform Governance die einzige Lösung, die Skripte findet, die als eine bestimmte Rolle ausgeführt werden.

Überprüfung der Berechtigungsnutzung

Jedes Mal, wenn ein Datensatz bearbeitet wird, erstellt NetSuite eine Systemnotiz, die beschreibt, was geändert wurde, wann es geändert wurde, von wem und in welcher Rolle. Mit diesen Informationen können wir rückwärts arbeiten, um herauszufinden, welche Berechtigungen verwendet werden, um Daten zu ändern.

Wenn der Datensatz Systemnotizen enthält und es keine Systemnotizen gibt, die sich auf Benutzer beziehen, die den relevanten Datensatz erstellen oder bearbeiten, wird die Berechtigung nicht aktiv genutzt (d.h., sie wird nicht verwendet, um Daten/Einstellungen einzugeben oder zu ändern).

Allerdings kann eine Berechtigung, die nicht aktiv genutzt wird, Navigationselemente enthalten, die nicht in Systemnotizen erfasst sind. Wenn Sie also diese Methode verwenden, um NetSuite-Berechtigungen aufzuräumen, sollten alle Kandidaten, die Sie identifizieren, auf Ansicht gesetzt werden — nicht gelöscht — um Navigationsprobleme zu vermeiden. 

Schließlich, wenn Sie feststellen, dass Sie einer Gruppe von benutzerdefinierten Rollen die Berechtigung zum Anzeigen (oder zum Entfernen einer Berechtigung) erteilen müssen, können Sie diese Änderung mit einem Massenupdate durchführen. Seien Sie jedoch SEHR VORSICHTIG, dass Sie die richtigen Rollen auswählen.

Wichtige Netwrix Platform Governance Berichte:

Netwrix Platform Governance wird mit drei sofort einsatzbereiten Berichten geliefert, um Ihnen die Überprüfung der Berechtigungsnutzung zu erleichtern:

• Transaktionsaktivität nach Rolle: Der Bericht ‘Transaktionsaktivität nach Rolle’ umfasst alle Transaktionen, einschließlich benutzerdefinierter Transaktionen
• Unternehmensaktivität nach Rolle: Der Bericht ‘Unternehmensaktivität nach Rolle’ umfasst Leads, Kunden, Interessenten, Lieferanten, Partner und andere Unternehmen
• Andere Aufzeichnungsaktivitäten nach Rolle: Der Bericht ‘Other record activity by role’ umfasst alle Aufzeichnungen und Einstellungen, die Systemnotizen haben

Anwendung des Prinzips der geringsten Rechte auf NetSuite

Um die Data Security zu gewährleisten und das Risiko unbefugten Zugriffs zu minimieren, ist es entscheidend, das Prinzip der geringsten Rechte bei der Konfiguration von Benutzerberechtigungen und -rollen innerhalb von NetSuite anzuwenden. Indem Benutzern die minimal notwendigen Privilegien gewährt werden, um ihre Arbeitsfunktionen auszuführen, können Organisationen das Potenzial für Missbrauch und unbefugte Aktionen im System reduzieren.

Das Prinzip der geringsten Berechtigung befürwortet, den Benutzern das geringstmögliche Maß an Privilegien zu gewähren, das für die wirksame Ausführung ihrer beruflichen Verantwortlichkeiten erforderlich ist. Es rät von der Praxis ab, übermäßige Privilegien oder Rollen zuzuweisen, insbesondere in den frühen Phasen einer Organisation, wenn Geschwindigkeit und Agilität betont werden. Die Gewährung unnötiger Privilegien kann das System anfällig für Missbrauch machen und die Sicherheit gefährden. Eine regelmäßige Überprüfung der Benutzerprivilegien ist wesentlich, um sicherzustellen, dass sie mit den aktuellen beruflichen Verantwortlichkeiten übereinstimmen.

Bei der Konfiguration von Benutzerprivilegien und -rollen in NetSuite ist es entscheidend, sich an das Prinzip der geringsten Rechte zu halten, um eine sichere Umgebung zu gewährleisten. Hier sind einige wichtige Überlegungen:

1. Rollenbasierte Berechtigungen: Richten Sie Berechtigungen für ähnliche Rollen aus, um Konsistenz zu gewährleisten und die laufende Wartung zu erleichtern. Indem Sie Benutzer mit ähnlichen Jobfunktionen unter entsprechenden Rollen gruppieren, können Sie die Zuweisung von Berechtigungen vereinfachen und das Risiko übermäßiger Zugriffsrechte reduzieren.
2. Durchdachte Rollenerstellung: Beim Erstellen neuer Rollen sollten die erforderlichen Berechtigungen für jede Rolle sorgfältig bewertet werden. Berücksichtigen Sie das Prinzip der geringsten Rechte und weisen Sie nur die notwendigen Privilegien basierend auf den spezifischen Aufgaben der Benutzer in diesen Rollen zu.
3. Laufende Wartung: Überprüfen und aktualisieren Sie regelmäßig Benutzerprivilegien und -rollen, wenn sich die Arbeitsverantwortlichkeiten ändern. Diese Praxis hilft sicherzustellen, dass Benutzer über die notwendigen Privilegien verfügen, um ihre Aufgaben effektiv auszuführen, ohne unnötigen Zugriff auf sensible Daten oder Systemfunktionen.
4. Kontrollierte Migration von Benutzerrollen: Bei der Durchführung von großangelegten Benutzerrollenmigrationen innerhalb von NetSuite sollten Alternativen zur manuellen Migration in Betracht gezogen werden. Bewerten Sie Optionen, die effiziente und sichere Rollenübergänge ermöglichen und gleichzeitig das Potenzial für Fehler oder unbeabsichtigte Privilegienerhöhungen minimieren.

Risiken von Geschäftsprozessen: Sicherstellung korrekter NetSuite-Berechtigungen

Die Zuweisung von Rollenberechtigungen und Berechtigungsstufen in NetSuite ist entscheidend für die Kontrolle des Benutzerzugriffs und die Aufrechterhaltung der Systemsicherheit. Das Gewähren von falschen Berechtigungen oder unangemessenen Stufen kann jedoch Geschäftsprozessrisiken einführen. Zum Beispiel können übermäßige Berechtigungen ohne angemessene Kontrollen zu Betrug oder Fehlern führen, während unzureichende Berechtigungen wichtige Aufgaben wie den Abschluss von Finanzprozessen behindern können. Durch sorgfältige Bewertung und Ausrichtung der Rollenberechtigungen auf das Prinzip der geringsten Berechtigung können Organisationen Risiken mindern und eine sichere NetSuite-Umgebung gewährleisten.

NetSuite bietet verschiedene Arten von Einschränkungen, die innerhalb von Rollen definiert werden können, um den Zugriff auf verschiedene Arten von Datensätzen zu steuern. Dazu gehören Mitarbeiterbeschränkungen, Abteilungsbeschränkungen, Klassenbeschränkungen, Standortbeschränkungen und Tochtergesellschaftsbeschränkungen. Jede Beschränkung limitiert den Zugriff auf spezifische Datensatztypen basierend auf bestimmten Feldwerten und stellt sicher, dass Benutzer mit zugewiesenen Rollen nur relevante Datensätze anzeigen oder bearbeiten können.

Allerdings gibt es potenzielle Geschäftsprozessrisiken, wenn Berechtigungen und Berechtigungsstufen nicht korrekt zugewiesen werden. Übermäßige Berechtigungen zu erteilen, wie beispielsweise einer Benutzerrolle das Erstellen von Lieferantendatensätzen, Lieferantenrechnungen und Lieferantenzahlungen ohne angemessene Kontrollen zu erlauben, kann erhebliche Risiken für die Organisation mit sich bringen. Es ist entscheidend, notwendige Maßnahmen zur Risikominderung zu bewerten und umzusetzen, um potenziellen Betrug oder Fehler zu vermeiden.

Verwaltung der Funktionstrennung in NetSuite

Die Funktionstrennung ist das Konzept, dass dieselbe Person nicht in der Lage sein sollte, aufeinanderfolgende Schritte in derselben Transaktionskette auszuführen. Zum Beispiel könnte eine Person, die Schecks ausstellen und auch das Bankkonto ausgleichen kann, ihre Spuren bei einem Betrug vertuschen.

Die Trennung von Aufgaben ist offensichtlich ein großes Anliegen bei der Überprüfung von NetSuite-Rollen und -Berechtigungen. Sie ist ein kritischer Teil der SOX-Konformität und wird auch zunehmend in privaten Unternehmen gefordert.

Ein Standardverfahren zur Aufrechterhaltung der Funktionstrennung besteht darin, Verantwortlichkeiten zwischen verschiedenen Personen mit unterschiedlichen Rollen aufzuteilen. Dies kann auch durch Hinzufügen eines Kontrollschritts, wie einer sekundären Überprüfung oder Genehmigung, bei einem Teil einer Transaktion erreicht werden.

Der größte Fehler, den Unternehmen bei der Implementierung von SoD machen, ist, dass sie ihre Benutzerrollen nicht zuerst bereinigen. Der zweitgrößte Fehler ist, dass sie zu sehr damit beschäftigt sind, ihre Rollen aufzuräumen. Mit diesem Wissen können wir einen viel einfacheren Weg finden, um SoD in Betrieb zu nehmen:

1. Finden und deaktivieren Sie alle ungenutzten und nicht zugewiesenen Rollen
2. Finden und entfernen Sie alle ungenutzten Rollenzuweisungen
3. Überprüfen Sie auf SoD-Konflikte innerhalb von Rollen mit der Regelnbibliothek von Netwrix Platform Governance
4. Überprüfen Sie, ob die widersprüchlichen Berechtigungen aktiv genutzt werden; falls nicht, setzen Sie diese auf „Anzeigen“, um den Konflikt zu lösen.
5. Lösen Sie verbleibende Konflikte, indem Sie intelligente Steuerungen mit dem Netwrix Platform Governance Agent erstellen.
6. Überprüfen Sie auf Konflikte bei mehreren Rollen und lösen Sie diese mit Agent.

Die Trennung von Zuständigkeiten (SoD) ist entscheidend für die Aufrechterhaltung wirksamer interner Kontrollen und zur Verhinderung von Fehlern und Betrug innerhalb einer Organisation. Es gibt drei Hauptbereiche, die getrennt werden müssen: Autorisierung, Verwahrung und Buchführung.

Die Implementierung der Funktionstrennung verringert das Risiko von Betrug. Betrug tritt typischerweise auf, wenn drei Bedingungen vorhanden sind: Motiv, Rationalisierung und Gelegenheit. Indem man Schlüsselaufgaben trennt, wie zum Beispiel das Anlegen von Lieferanten und das Bezahlen von Rechnungen, das Erstellen von Kunden und das Ausstellen von Gutschriften oder das Erstellen von Buchungssätzen und deren Genehmigung, wird die Gelegenheit für Betrug reduziert.

Die Trennung von Aufgaben ist wichtig, da sie verhindert, dass eine einzelne Person zu viel Kontrolle hat und die Möglichkeit, diese Kontrolle für unautorisierte Zwecke zu missbrauchen. Es hilft, vor betrügerischen Aktivitäten wie Unterschlagung von Geldern, Wirtschaftsspionage, Rachefeldzügen oder Fälschung von Finanzunterlagen zu schützen.

Im Kontext von NetSuite kann das Verwalten von Zugriffen und das Durchsetzen der Funktionstrennung aufgrund der Vielzahl an Berechtigungen und Aufgaben komplex sein. NetSuite enthält zahlreiche Berechtigungen, die verschiedene Aufgaben, Suchvorgänge und Datensätze steuern. Eine effektive Zugriffsverwaltung erfordert Zeit und Ressourcen, die Administratoren und Finanzteams nicht immer sofort zur Verfügung stehen. Zusätzlich kann Automatisierung unerwartete Konflikte einführen, die von Prüfern als Kontrolldefizite angesehen werden können, was die Aufrechterhaltung einer angemessenen Funktionstrennung noch herausfordernder macht.

SOX-Compliance und Zugriffskontrollen

Wie oben erwähnt, ist SoD — und allgemein die Zugriffsüberprüfung — ein wichtiger Bestandteil der SOX-Compliance. Prüfer möchten sehen, dass Betrugspräventionskontrollen in das System integriert und durch gut definierte Rollen und Berechtigungszuweisungen unterstützt werden.

Das Problem ist, dass traditionelle SoD-Zugriffsprüfungen Momentaufnahmen sind. NetSuite-Teams bereiten ihre Rollen und Berechtigungen für die vierteljährliche Überprüfung vor, oft mit großem Aufwand. Dieser Ansatz erfordert eine umfangreiche manuelle Überprüfung der damit verbundenen Änderungen und stundenlange Arbeit, um falsch positive Ergebnisse zu untersuchen. Ebenso gibt er Ihnen — oder Ihren Prüfern — keine Sicherheit, dass Konflikte, die zwischen den Audits auftreten, erkannt und behoben werden.

Das Ergebnis ist, dass die Prüfungskosten in die Höhe schießen, der Stresspegel hoch ist und materielle Mängel, die beide Probleme weiter verschärfen, häufig auftreten. Darüber hinaus ist kein wirklicher Schutz in das System integriert, sodass man selbst wenn man eine Prüfung durchstehen kann, nicht wirklich gegen Betrug geschützt ist, was eigentlich der Sinn von SOX ist.

Der kontinuierliche Compliance-Ansatz für das Access Management

Netwrix Platform Governance ist die einzige native SoD-Lösung für NetSuite. Basierend auf unserem Ansatz der 'kontinuierlichen Compliance' für SOX überwacht es fortlaufend Rollen- und Berechtigungsänderungen und bietet Ihnen jederzeit einen prüfbereiten Zugriff.

Netwrix Platform Governance kann auch besonders unsichere Änderungen blockieren, wie das Gewähren von Admin-Rechten ohne vorherige Genehmigung. Es lässt sich schnell implementieren, sodass Sie mit weniger Stress starten können.

Vorgefertigte Bibliotheken von Regeln und Werkzeugen, die in das Mitarbeiterverzeichnis integriert werden, ermöglichen Ihnen die schnelle Implementierung von detektiven, blockierenden und mildernden Kontrollen, die dabei helfen, den Zugang zu kritischen Rollen und Berechtigungen zu steuern — und dies gegenüber Prüfern nachzuweisen.