Schutz vor unberechtigten Änderungen
Schulverwaltung und Zugriff sind durch einzelne Rechte getrennt. Die Anwendung schützt Konfigurationsbereiche über Routenprüfungen und erzwingt die zugehörigen Rechte auch an den Server-Schnittstellen.
Vorab nötig: Es gibt mindestens zwei benannte Verantwortliche für besonders sensible Einstellungen.
Schritte
- Vergeben Sie die Rechte zum Bearbeiten von Schulprofil, Finanzen, Mail-Konfiguration und Stammdaten (Fächer, Einheiten, Räume) sowie zur Verwaltung der Rechte nur an die jeweils zuständigen Rollen.
- Vergeben Sie die Rechte zum Anlegen von Benutzern, zum Ändern von Rollen, zum Sperren von Konten, zum erneuten Senden von Bestätigungsmails und zum Senden von Benachrichtigungen getrennt nach Aufgabe.
- Prüfen Sie mit einem Testkonto ohne Zielrecht, dass die betreffende Seite nicht zugänglich ist.
- Prüfen Sie mit einem berechtigten Testkonto Bearbeitung, Speichern und sichtbares Ergebnis.
- Kontrollieren Sie besonders sensible Änderungen (Finanzen, Mail, Rechte) nach dem Speichern durch eine zweite zuständige Person.
- Prüfen Sie regelmäßig individuelle Ausnahmen und entziehen Sie nicht mehr benötigte Rechte.
Warnungen
- Das Recht zur Pflege allgemeiner Einstellungen ist nicht automatisch ein Recht zum Ändern von Finanzen, Mail oder Berechtigungen.
- Mail-Zugangsdaten sind ausdrücklich als Geheimnis behandelt und haben ein eigenes Recht.
- Administrative Rechte können nur mit dem Recht zum Ändern von Rollen vergeben oder entzogen werden; der letzte Administrator bleibt beim Entzug geschützt.
- Rechteänderungen sind sicherheitsrelevant. Dokumentieren Sie interne Freigaben außerhalb dieser Anleitung nach Ihrer Schulvorgabe.