Sicherheitsanforderungen am Prozessschritt

Viele Prozesse tragen Anforderungen, die im Ablauf selbst nicht sichtbar sind. Wer darf eine Information sehen, welcher Schritt wird protokolliert, welche zwei Schritte dürfen nicht von derselben Person kommen. Solche Sicherheitsanforderungen hinterlegst du in Procevia direkt am Element. Sie erscheinen als Symbol im Diagramm, in jedem Export und in der Prozessakte.

Anforderung setzen

1. Markiere einen Schritt, eine Rolle, einen Pool oder ein Dokument und öffne über die Werkzeugleiste das Eigenschaften-Panel.
2. Klappe den Bereich „Sicherheitsanforderungen“ auf. Die Anforderungen stehen dort als Chips.
3. Klicke auf eine Anforderung, um sie zu setzen. Ein zweiter Klick nimmt sie wieder weg.
4. Unter den aktiven Anforderungen erscheinen die passenden Detailfelder, etwa die Leseberechtigten bei „Vertraulichkeit“ oder die Prüf-Häufigkeit bei „Prüfbarkeit“.

Welche Anforderungen ein Element annehmen kann, hängt von seinem Typ ab. Ein Dokument trägt zum Beispiel „Vertraulichkeit“ mit Lese- und Schreibberechtigten, eine Aufgabe „Nichtabstreitbarkeit“ mit dem Nachweis der Ausführung.

Die Anforderungen im Überblick

So sehen die elf Symbole im Diagramm aus, in der Reihenfolge, in der die App sie anbietet:

Symbol	Anforderung	Bedeutung
	Verantwortlichkeit	Handlungen sind eindeutig einer verantwortlichen Person zuordenbar.
	Prüfbarkeit	Der Schritt wird protokolliert und ist nachträglich prüfbar.
	Authentizität	Identität und Echtheit sind sichergestellt.
	Verfügbarkeit	Ressource oder Service muss bei Bedarf verfügbar sein.
	Vertraulichkeit	Nur berechtigte Personen haben Zugriff auf diese Information.
	Integrität	Daten sind vor unbemerkter Veränderung geschützt.
	Nichtabstreitbarkeit	Die Ausführung kann im Nachhinein nicht bestritten werden.
	Datenschutz	Personenbezogene Daten werden datenschutzkonform verarbeitet.
	Funktionstrennung	Diese Schritte müssen von unterschiedlichen Personen ausgeführt werden.
	Funktionsbindung	Zusammengehörige Schritte führt dieselbe Person aus.
	Keine Delegation	Der Schritt darf nicht an andere übertragen werden.

Personenlisten wie „Zugriffsberechtigte“ oder „Leseberechtigte“ trägst du kommagetrennt ein, „ALL“ steht für alle. Bei „Prüfbarkeit“ gibst du die Prüf-Häufigkeit und den Zeitraum an, der Wert 0 bedeutet kontinuierlich. Bei „Verfügbarkeit“ trägst du den Wert in Prozent ein. Bei „Keine Delegation“ hältst du im Feld „Durchgesetzt durch“ fest, welches System oder welche Regel das sicherstellt.

Symbole und Legende

Gesetzte Anforderungen erscheinen als orangefarbene Symbole am oberen Rand des Elements. Passen nicht alle nebeneinander, fasst ein Chip wie „+2“ die übrigen zusammen, ihre Namen siehst du, wenn du mit der Maus darüberfährst. Über den Knopf „Ebenen“ in der Werkzeugleiste blendest du die Ebene „Sicherheit“ ein oder aus, etwa für eine Ansicht ohne Symbole. Sobald das Diagramm Symbole enthält, erscheint unten links auf der Zeichenfläche der Knopf „Legende“. Er öffnet „Legende: Symbole in diesem Diagramm“ und erklärt genau die Symbole, die in diesem Diagramm vorkommen.

Die Symbole sind Teil des Diagramms und stehen deshalb auch in PDF, Bild und SVG, siehe Export.

In der Prozessakte pflegen

In der Prozessakte zeigt jeder Schritt seine Anforderungen im Abschnitt „Sicherheitsanforderungen“. Im Bearbeiten-Modus klickst du dort auf „Bearbeiten“, wählst Anforderungen an oder ab und füllst die Details der aktiven Anforderungen aus. So ergänzen Owner und Bearbeiter des Prozesses Anforderungen direkt in der Akte, ohne den Editor zu öffnen. Betrachter sehen die Anforderungen, ändern sie aber nicht.

Dokumentiert, nicht durchgesetzt

Procevia hält die Anforderungen fest, es setzt sie nicht durch. Ob ein Schritt tatsächlich protokolliert oder eine Funktionstrennung eingehalten wird, entscheiden die Systeme und Regeln deines Unternehmens.

Die Symbole orientieren sich an SecBPMN2, einer Erweiterung von BPMN für Sicherheitsanforderungen.