Geschäftsprozessorientierte Autorisierung kontextabhängiger Informationssysteme

Immer mehr und immer sicherheitskritischere Prozesse werden durch mobile Computer unterstützt. Fernab vom Firmengelände kann auf unternehmenseigene Informationssysteme zugegriffen werden. Im Jahr 2003 konnten gerade 5% der Mitarbeiter deutscher Firmen von außen auf Unternehmenssysteme zugreifen, 2006 waren es bereits 63%. Mit mobilen Computern werden dort Dokumentationen angefertigt, Informationen beschafft und Prozesse gesteuert. Der Nutzen solcher Lösungen liegt auf der Hand: die vor Ort angefertigte Dokumentation muss nicht erneut erfasst werden, die Informationsbeschaffung mit mobilen Computern ersetzt telefonische Recherchen und die Steuerung kann direkt und effizient durchgeführt werden. Dem Produktivitätsgewinn stehen jedoch neue Risiken gegenüber: der Benutzer eines mobilen Computers kann leicht Bezugsobjekte verwechseln; Fehlinformationen oder -steuerungen sind die Folge. Solchen Risiken kann mit einem effektiven Zugriffsschutz begegnet werden. Die Herausforderung bei der Definition von Zugriffsberechtigungen liegt in der korrekten Abbildung von Organisationen und deren Abläufen. Einzelne Benutzer verfügen in großen Produktivsystemen häufig über mehreren Millionen Einzelberechtigungen. Unter dem Titel Role-Engineering werden daher Vorgehensweisen definiert, um dieser Komplexität Herr zu werden und systematisch Zugriffsregeln zu entwickeln. Bestehendes Role-Engineering eignet sich jedoch nicht zur Definition ortsabhängiger Zugriffskontrollen aus Geschäftsprozessen, da es weder Orte noch Geschäftsprozesse mit einbezieht. Das vorliegende Werk füllt diese Lücke und beschreibt eine prozessorientierte Methode zur Modellierung ortsabhängiger Zugriffsrechte für mobile Informationssysteme. Sie liefert damit ortsabhängiges, prozessorientiertes Role-Engineering. Ausgangspunkt sind dokumentierte, mobile Geschäftsprozesse in Form einer Geschäftsprozessdokumentation. Diese werden in einfachen systematischen Schritten in praktischen Zugriffsschutz für mobile Informationssysteme überführt. Die Methode bezieht Orte als Entscheidungskriterium für Zugriffskontrollen ein und ermöglicht deren Modellierung sowie Auswertung. Sie deckt den vollständigen Weg ab: von nicht dokumentierter, durch mobile Informationssysteme unterstützte Geschäftstätigkeit, über verschiedene Zwischenschritte, bis zu ortsabhängigen Zugriffskontrollen.