Geteilte SaaS-Konten: das Compliance-Risiko, das Sie tragen

Ein geteiltes SaaS-Konto ist ein Compliance-Risiko, weil ein Login mehreren Personen statt einer entspricht, was die Prüfspur bricht, die SOC 2, ISO 27001 und die meisten Lizenzverträge verlangen. Wird ein Support-Login, ein Platz in einem Design-Tool oder ein Social-Media-Konto von mehr als einer Person genutzt, können Sie nicht mehr beantworten, wer was wann getan hat, und diese eine Lücke reicht, um einen Kontrolltest zu verfehlen oder eine Lizenzklausel für benannte Nutzer ungültig zu machen.

Was zählt als geteiltes SaaS-Konto?

Drei Muster decken das meiste ab, was in einem Audit auftaucht. Ein rollenbasiertes Login, wie support@ oder social@, von Anfang an dafür gedacht, dass ein Team es gemeinsam nutzt. Ein einzelnes benanntes Konto, dessen Passwort in einem gemeinsamen Dokument oder einem Passwort-Tresor liegt, den das ganze Team öffnen kann. Und ein Dienstleister- oder Agentur-Login, das den Vertrag überlebt hat und weiterhin an wen auch immer weitergegeben wird, der es als Nächstes braucht. Das erste ist beabsichtigt und manchmal unvermeidbar. Die anderen beiden sammeln sich still an und sind die, die ein Auditor zuerst findet, weil sie noch den Namen einer Person tragen, während mehrere sie nutzen.

Warum schaffen geteilte Logins ein Compliance-Risiko?

Jedes Rahmenwerk für Zugriffskontrolle geht von derselben Annahme aus: ein Login, eine verantwortliche Person. Bricht diese Verbindung, scheitern drei Dinge gleichzeitig. Sie können nicht belegen, wer eine Aktion im Tool ausgeführt hat, wonach ein Auditor beim Testen einer Zugriffskontrolle fragt. Sie können den Zugang für eine Person nicht entziehen, ohne alle anderen auszusperren, die das Login teilen, was ein Offboarding zu einem Gruppenereignis statt einer einzelnen Entfernung macht. Und Sie können keine saubere Zuordnung zwischen Personen und Lizenzen zeigen, genau das, was ein Anbieter-Audit oder eine Verlängerungsverhandlung zuerst prüft.

Die Lücke zeigt sich am schnellsten beim Offboarding. Lesen Sie den Leitfaden zum Finden ungenutzter SaaS-Lizenzen für das Audit, das Ausgeschiedene mit verbliebenem Zugang findet; ein geteiltes Konto ist der eine Fall, den dieses Audit allein nicht beheben kann, weil das Entfernen der Person das Login nicht entfernt.

Welche Normen verbieten es tatsächlich?

Zwei Rahmenwerke tauchen in fast jedem Audit eines SaaS-Unternehmens auf, und beide behandeln ein geteiltes Konto als Befund, nicht als Präferenz.

Keines der drei verbietet ein Rollenkonto grundsätzlich. Sie verlangen einen benannten, verantwortlichen Eigentümer und einen dokumentierten Grund für seine Existenz, was die meisten Unternehmen auslassen.

Wie finden Sie die geteilten Konten, die Sie bereits haben?

Ein Export je Tool, derselbe Ausgangspunkt wie bei jedem Lizenzaudit: die Nutzerliste aus jeder Admin-Konsole ziehen und jedes Login markieren, dessen Name keine Person ist. Ein Login nach einem Team, einer Rolle, einem Produkt oder einem generischen Wort ist die erste Prüfung. Die zweite ist schwieriger und fängt mehr: jedes benannte Konto, dessen Inhaber das Unternehmen vor mehr als einem Monat verlassen hat, während das Login noch aktiv ist, wird sehr oft von der nächsten Person weiterverwendet, die den Zugang brauchte, statt wirklich stillgelegt.

Im Demo-Arbeitsbereich von InventorIA ist jede der 24 Lizenzen an eine benannte Person statt an eine Rolle gebunden, genau die Zuordnung, die ein Auditor prüft und die ein geteiltes Login bricht, sobald es in dieser Liste auftaucht.

Wie entfernen Sie ein geteiltes Login, ohne den Ablauf zu stören?

• Durch benannte Plätze ersetzen, wo die Lizenz es erlaubt. Die meisten Anbieter mit Pro-Platz-Preisen unterstützen auch mehrere benannte Nutzer in einem Plan; das geteilte Login war meist eine Abkürzung, keine Notwendigkeit.
• Delegierten Zugriff statt eines Rollenkontos nutzen. Tools mit SSO oder SCIM erlauben einer Personengruppe Zugriff auf einen gemeinsamen Posteingang oder Kanal ohne gemeinsames Passwort.
• Die Ausnahme behalten, aber einen Verantwortlichen benennen. Manche Konten müssen wirklich rollenbasiert bleiben, wie das Login einer Statusseite. Geben Sie ihm einen benannten Verantwortlichen, rotieren Sie die Zugangsdaten, wenn dieser wechselt, und dokumentieren Sie den Grund der Ausnahme.
• Die Entscheidung festhalten. Ein Auditor akzeptiert eine dokumentierte Ausnahme weit leichter als eine undokumentierte, die er selbst findet.

Was sagen Sie Auditoren, wenn noch eines übrig ist?

Warten Sie nicht, bis das Audit es findet. Listen Sie jedes bekannte geteilte oder rollenbasierte Login vor Beginn der Prüfung auf, mit dem geschäftlichen Grund seiner Existenz, dem Verantwortlichen und dem letzten Rotationsdatum der Zugangsdaten. Diese Liste reicht meist, um einen Befund in eine akzeptierte Ausnahme zu verwandeln, weil sie zeigt, dass die Kontrolle existiert, selbst wo das Login geteilt ist. Der Leitfaden zur Lizenznutzungsrate behandelt die Platz-gegen-Personen-Zahl, die Auditoren als Nächstes verlangen, und die Erkennung von Schatten-IT behandelt die Tools, die nie als Unternehmenskonten erfasst wurden, dieselbe Lücke eine Ebene höher. Ein Register, das jede Lizenz an eine einzige benannte Person bindet, mit absichtlich markierten Ausnahmen, macht daraus statt einer Hetzjagd vor dem Audit eine Fünf-Minuten-Antwort. Öffnen Sie die Live-Demo, um Plätze an benannte Personen gebunden zu sehen, oder beginnen Sie mit Ihren eigenen Tools.

Häufige Fragen

Ist ein geteiltes SaaS-Konto immer ein Compliance-Verstoß?

Nicht automatisch. Rahmenwerke wie SOC 2 und ISO 27001 akzeptieren rollenbasierte Konten, wenn sie einen benannten Verantwortlichen, einen dokumentierten Grund und einen Rotations- und Prüfprozess haben. Ein unverfolgtes geteiltes Login ohne Verantwortlichen ist die Version, die im Audit scheitert.

Bricht ein geteiltes Login einen Pro-Platz-Lizenzvertrag?

Oft ja. Die meisten Pro-Platz-Verträge definieren einen Platz als eine benannte Person. Mehrere Personen, die sich die Zugangsdaten eines Platzes teilen, ist Nutzung, die die Lizenz nicht abdeckt, was ein Anbieter-Audit als Verstoß markieren kann.

Wie finde ich geteilte Konten in unseren SaaS-Tools?

Exportieren Sie die Nutzerliste aus jeder Admin-Konsole und markieren Sie jedes Login, das nach einer Rolle, einem Team oder einem Produkt statt einer Person benannt ist, prüfen Sie dann benannte Konten, deren Inhaber das Unternehmen verlassen hat, deren Login aber noch aktiv ist.

Was unterscheidet ein geteiltes Konto von einem Dienstkonto?

Ein Dienstkonto authentifiziert eine Integration oder ein Skript, keine Person, und hat normalerweise gar kein interaktives Login. Ein geteiltes Konto ist ein menschliches Login, das von mehr als einer Person genutzt wird, das Muster, das Auditoren markieren.

Kann Single Sign-on die Notwendigkeit geteilter Logins beseitigen?

In den meisten Fällen ja. SSO und SCIM lassen mehrere Personen über ihre eigene Identität statt ein gemeinsames Passwort auf einen geteilten Posteingang, Kanal oder ein Tool zugreifen, was die Eins-zu-eins-Zuordnung wiederherstellt, nach der Auditoren suchen.