DORA-Prüfnachweise in Microsoft 365 erstellen
Microsoft 365- und Power-Platform-Assets inventarisieren, Verantwortliche zuweisen, Zugriffe prüfen und datierte DORA-Nachweise aufbewahren.
TL;DR
DORA behandelt Microsoft 365-Arbeitsbereiche, Power Apps, Power Automate-Flows und Copilot-Studio-Agenten als IKT-Assets. Ordnen Sie Pflichten Kontrollen zu, erfassen Sie Besitzer und Abhängigkeiten, überwachen Sie Richtlinienabweichungen, prüfen Sie Zugriffe regelmässig und bündeln Sie datierte Nachweise für Aufsichten.
Original von Rencore, auf Rencore. Artikel lesen
Dies ist unsere eigene Kurzfassung, keine Wiederveröffentlichung oder vollständige Übersetzung.
Bedeutung für Governance
- Makers: Erfassen Sie Besitzer, Aktivität und erreichbare Daten für jede App, jeden Flow und jeden Agenten, weil von Fachanwendern erstellte Assets sonst im IKT-Register fehlen können.
- Admins/CoE: Pflegen Sie ein aktuelles serviceübergreifendes Inventar, Richtlinien-Baselines und geplante Zugriffsprüfungen, damit verwaiste oder überberechtigte Assets zwischen Audits erkannt werden.
- Security/Compliance: Bewahren Sie Kontrollzuordnung, Prüfentscheidungen, Richtlinienergebnisse und Microsoft-Purview-Auditdaten mit Zeitbezug auf, weil Screenshots keine historischen Abläufe belegen.
- Leadership/Business: Benennen Sie Verantwortliche für DORA-Kontrollen und stellen Sie Nachweise im normalen Betrieb sicher, damit unter Auditdruck keine Entscheidungen rekonstruiert werden müssen.
Häufige Fragen
Sind Copilot-Studio-Agenten und Power-Automate-Flows nach DORA IKT-Assets?
Ja. Agenten und Flows laufen im Mandanten, greifen auf Geschäftsdaten zu und verarbeiten sie, daher brauchen sie Eintrag, Besitzer und Abhängigkeiten im Asset-Register.
Wie sollen Microsoft-365-Teams Zugriffe für DORA-Nachweise prüfen?
Besitzer sollen Zugriffe auf Arbeitsbereiche, Apps und Agenten nach einem festen Zeitplan bestätigen, nicht bestätigte Zugriffe entfernen und Prüfprotokolle aufbewahren.
Welche Unterlagen belegen Microsoft-365-DORA-Kontrollen über längere Zeit?
Kontrollzuordnung, Asset-Inventar, Besitz- und Zugriffsprüfungen, Richtlinienverläufe sowie Auditdaten zeigen Bestand, Verantwortlichkeit und Veränderungen nachvollziehbar.