Benutzer und Benutzerrollen

Benutzerrollen in HITGuard

HITGuard verfügt über fünf Typen von Benutzerrollen, die jeweils eigene Berechtigungen und Funktionen haben. Die drei klassischen Benutzerrollen Practitioner, Professional und Expert arbeiten in HITGuard bei Analysen, Aufgaben und anderen Workflows zusammen. Admin-Benutzer können nur grundlegende administrative Aufgaben übernehmen. Observer User können Daten in HITGuard nur lesen und auswerten, aber nicht bearbeiten.

Die Rollen Expert, Professional und Observer werden nicht als eine gesamte Lizenz, sondern selektiv pro Modul vergeben. Ein Modul ist eine Sammlung von Funktionen, so vereint zB das Risikomanagement-Modul alle Funktionen für die Risikoanalyse. Um Expert, Professional und Observer zu berechtigen, teilen Sie den einzelnen Usern Lizenzen zu, die steuern zu welchen Modulen die Benutzer Zugang haben. So hat zB ein User Zugang zum Fallmanagement, während ein anderer nur im Auditmanagement arbeiten kann.

Die einzelnen Module bzw. Lizenzen, die Sie Expert, Professional und Observer zuweisen können, besprechen wir weiter unten im Punkt „Benutzerrollen zuordnen“.

Practitioner (Workflow-Benutzer)

Menü eines Practitioner-Benutzers

Practitioner haben die geringsten Berechtigungen im System. Sie sehen nur das Modul „Meine Aufgaben“, das Ihnen zeigt, welche Aufgaben Sie zu erledigen haben (und bereits erledigt haben). Die Kollegen mit diesen Usern arbeiten zwar nicht federführend am Managementsystem mit, haben aber Wissen und Fähigkeiten, die das Managementsystem benötigt. Dass Practitioner ihr Wissen mit den HITGuard Experten teilen, ist für ein lebendiges Managementsystem unbedingt erforderlich.

• Ein Practitioner hat Überblick über alle ihm zugeteilten Maßnahmen, Kontrollen, Überprüfungen und Risiken.
• Werden Add-ons verwendet, hat er zusätzlich auch Zugang zu Verarbeitungstätigkeiten oder Meldungen
• Er wird von HITGuard per E-Mail informiert, dass Aufgaben auf ihn warten. Außerdem bekommt er im Modul „Meine Aufgaben“ einen orangenen Zahlenbadge, der angibt, wie viele Aufgaben auf ihn warten (siehe Screenshot).
• Practitioner ist die Standardrolle, die jeder Benutzer besitzt. Wenn Sie einen neuen Benutzer anlegen, ist er automatisch ein Practitioner. Abgesehen vom Admin hat jeder andere Benutzer die Berechtigungen eines Practitioners (Für Experts, Professionals und Observer ist die Practitioner Lizenz gratis).
• Practitioner müssen keinen Modulen oder Managementsystemen zugeordnet werden. Sie können aus allen Managementsystemen Aufgaben erhalten.

Professional

Menü eines Professional-Benutzers mit geöffnetem Risikomanagement-Modul und Fallmanagement-Add-on

Professionals können im Managementsystem Daten einsehen, bearbeiten und erstellen. Zusätzlich kann der Professional alles, was auch ein Practitioner (siehe oben) kann. Professionals sind als Unterstützung für das Managementsystem bzw. für die Experts konzipiert.

Um Daten einsehen und bearbeiten zu können, müssen Professionals im Managementsystem hinzugefügt werden. So können die Professionals Analysen und Risiken erstellen, Maßnahmen und Kontrollen zuweisen, Berichte generieren und KPIs am Dashboard auswerten.

Sie können auch in den jeweiligen Add-on Modulen mitarbeiten. Dies umfasst unter anderem:

Modul	Bearbeitungsfähigkeiten des Professionals
Auditmanagement	Audits und Auditprogramme verwalten.
Datenschutz	Verarbeitungstätigkeiten erfassen und TOMs zuweisen.
Fallmanagement	Meldungen verarbeiten und mit Fristen versehen.
Doku-Management	Dokumente hochladen und Verzeichnisse bearbeiten.
ESG Management	Auswirkungen erstellen und verwalten.
Supplier Risk Management	Einem Lieferanten einen Fragebogen zuschicken.

Expert

Menü eines Expert-Benutzers mit geöffneter Risikopolitik. Beachten Sie das vorletzte Modul „Administration“.

Expert-User sind die mächtigste Rolle im System und daher für die leitenden Funktionen im Managementsystem vorgesehen. Sie können alles, was Professional und Practitioner können (siehe oben). Zusätzlich können Experts einige Spezialfunktionen nutzen, etwa den Bearbeitungsmodus für Autorisierte. Außerdem verwalten Experts auch grundlegende Einstellungen, Managementsysteme, Auswertungstools und Stammdaten. Dafür haben Experts Zugang zu dem Modul „Administration“:

grundlegende Einstellungen
Expert-User können grundlegende Einstellungen, die für die gesamte HITGuard Installation gelten, in den globalen Einstellungen und der Risikopolitik machen. Experts haben außerdem Zugang zu den Einstellungen der jeweiligen Module (Im Screenshot sieht man die Risikomanagement-Einstellungen im geöffneten Modul als untersten Punkt).

Managementsysteme
Genau wie Professionals müssen Experts im Managementsystem hinzugefügt werden, um die Daten darin einsehen zu können. Experts können Managementsysteme aber auch erstellen und verwalten. Das bedeutet Experts entscheiden zB, welche anderen Benutzer (Experts, Professionals und Observer) sie zu ihrem Managementsystem hinzufügen und welche nicht.

Auswertungstool
Außerdem kann ein Expert die Strukturanalyse verwenden. Diese ist ein zentrales Modellierungstool, mit dem man die Stammdaten, Abhängigkeiten und Risiken in Beziehung setzen und auswerten kann. Mehr darüber erfahren Sie hier.

Stammdaten
Die Arbeit in HITGuard baut auf Stammdaten und anderen grundlegenden Daten auf, die von Expert Usern verwaltet werden. Einen Überblick über diese Daten bietet ihnen die folgende Tabelle:

Typ	Menüpunkt	Beschreibung und Kernfunktion
Stammdaten	OrgEhs	Stellen die unterschiedlichen Abteilungen einer Organisation dar.
	Ressourcen	Repräsentieren die IT-Systeme, die die Organisation verwendet.
	Datenkategorien	Datenkategorien stellen die wichtigsten Arten von Daten dar, die für die Organisation eine Rolle spielen.
	Prozesse	Stellen Abläufe dar, die die Organisation wiederkehrend durchführt.
	Lieferanten	Stellen die Unternehmen dar, die wichtige Inputs, unter anderem in Form von IT -Systemen, für die Organisation bereitstellen.
	Wissensdatenbanken	Enthalten Vorlagen für Fragenkataloge, Aufgaben, und viele andere Elemente.
	Standards und Normen	Dienen der Auswertung der Compliance hinsichtlich einer Norm oder eines Gesetzestextes.
weitere grundlegende Daten im Modul Administration	Teams	Mit Teams kann man mehrere Benutzer zusammenfassen, die gemeinsam Aufgaben erledigen sollen.
	Textbausteine	Erlauben es, Textvorlagen für spezielle HITGuard Funktionen zu erstellen.
	KI-Promptverwaltung	Hier können Sie Vorlagen für KI-Prompts verwalten, falls Sie eine KI-Anbindung nutzen.
	Datenimport	Erlaubt den Import von Daten aus Excel-Dateien. Mit dieser Funktion kann man Risiken, Maßnahmen, Stammdaten, und vieles mehr importieren.

Admin

Diese Rolle übernimmt nur Administrative Aufgaben, hat aber keinen Einblick in Daten zu Analysen und Aufgaben. Viele dieser Aufgaben, etwa das Verwalten von Managementsystemen, Wissensdatenbanken und Benutzern, können auch Experts machen (Siehe oben). Andere Aufgaben kann nur ein Administrator vornehmen:

• Hat ein Expert-User sein Passwort verloren und sich ausgesperrt, so kann der Admin das Passwort für den Expert zurücksetzen. Passwörter anderer Benutzer kann auch ein Expert zurücksetzen. (Achtung: Für diese Funktion muss die Anmeldung des Benutzers via Passwort, also nicht über den Verzeichnisdienst erfolgen.)
• Der Admin kann eine REST API Schnittstelle einrichten und aktivieren.

Hinweis: Beim ersten Einrichten eines neuen Produktivsystems ist mindestens ein Administrator zu definieren. Bei einer Saas-Lösung kann diese Aufgabe ein Mitarbeiter der TogetherSecure übernehmen, bei On-Prem muss der Administrator von ihrer Organisation gestellt werden.

Observer (Beobachter)

Observer (bzw. Beobachter) sehen dieselben Daten wie Professional-User (siehe oben), können die Daten allerdings nur lesen, nicht bearbeiten. Genau wie ein Professional oder Expert muss der Observer zu dem Managementsystem hinzugefügt werden zu dem er Einsicht bekommen soll. Observer User haben (ebenfalls wie Professionals und Experts) ein funktionales Practitioner-Modul und könnten daher Aufgaben, die ihnen zugeteilt wurden, bearbeiten.

Observer können nicht nur Daten einsehen, sondern auch Berichte generieren und KPIs auf den Dashboards justieren und auswerten. Observer Rollen eignen sich, um der Geschäftsführung oder Auditoren Einblicke ins Managementsystem zu geben.

Benutzerverwaltung

Benutzer anlegen

Benutzer anlegen

Zum Anlegen eines Benutzers gibt es drei Möglichkeiten. Legt man einen Benutzer an, ist das zunächst nur ein Practitioner (siehe oben). Die Benutzerrollen kann man danach erweitern (siehe unten)

Manuelle Erfassung
Unter Administration → Benutzer finden Sie die Benutzerliste. Hier können Sie mit einem Klick auf den Plus-Button einen Benutzer hinzufügen. Die Maske dafür sehen Sie in der Abbildung rechts. Wählen Sie diese Methode sollten Sie den Benutzer darauf hinweisen, dass das Passwort, das Sie für ihn gesetzt haben, nur ein Initialpasswort ist und im eigenen Profil geändert gehört.

Excel-Import
Über den Menüpunkt Datenimport können Experts Benutzerlisten importieren. Damit können Sie die Benutzer anlegen und auch aktualisieren. Außerdem ist es möglich über den Import eines anderen Elements, zB einer Organisationseinheit, einen neuen Benutzer zu erstellen.

Verzeichnisdienst-Anbindung
Wenn Sie einen Verzeichnisdienst (LDAP oder AD/Entra-ID) angebunden haben, können Sie Benutzer direkt aus dem Verzeichnisdienst heraus anlegen. Das geht auf zwei Arten:

• In der Abbildung rechts sehen sie ganz oben das Feld „Im Verzeichnisdienst suchen“. Das wird nur angezeigt, wenn ein Verzeichnisdienst verknüpft ist. Damit können Sie einen Benutzer in ihrem Verzeichnisdienst suchen und die Daten direkt importieren. Danach müssen Sie noch
• In vielen anderen Elementen in der Software finden Sie Benutzerauswahlfelder, zB in Maßnahmen. Dort können Sie Benutzer auswählen und den Elementen zuweisen. Wenn sie einen Verzeichnisdienst angebunden haben, wird ihnen HITGuard nicht nur die Benutzer in HITGuard vorschlagen, sondern auch passende Einträge aus dem Verzeichnisdienst. Wählen Sie so einen aus und Speichern dann, wird der Benutzer aus dem Verzeichnisdienst importiert. (Achtung: Da auch andere Benutzer Zugang zu diesen Elementen haben können auch Professionals und in Ausnahmefällen auch Practitioner neue Benutzer anlegen.)

Die Benutzer, die mittels Verzeichnisdienst angelegt wurden, können sich dann einfach mit einem Klick auf „mit Microsoft anmelden“ (Single-Sign-On) anmelden und brauchen kein eigenes HITGuard-Passwort mehr. Auch wenn der Benutzer auf andere Art angelegt wurde, kann jeder Benutzer im Profil selbstständig sein Konto mit dem Verzeichnisdienst verknüpfen (sofern ein Verzeichnisdienst an HITGuard angebunden ist).

Benutzerrollen zuordnen

Jeder neue Benutzer wird automatisch als Practitioner angelegt. Unter Administration → Benutzerrollen können Sie als Expert oder Administrator den Benutzern weitere Rollen zuordnen.

Die Seite ist als große Berechtigungsmatrix aufgebaut, in der jede Zeile einem Benutzer und jede Spalte einer spezifischen Modul-Berechtigung entspricht. Module für Experts, Professionals und Observer sind in drei großen Spalten gruppiert. Im Screenshot unten sehen Sie drei „Inseln“ von vergebenen Häkchen.

Benutzerrollen-Zuordnung

Lizenzen:

Lizenzen steuern wie viele und welche Modul-Rollen Sie ihren Experts, Professionals, und Observern zuteilen können. Falls Sie zu viele Lizenzen vergeben haben, weist HITGuard Sie in den jeweiligen Spaltenüberschriften mit roter Schrift darauf hin. Dadurch ist auf einen Blick ersichtlich, wo man über- bzw. unterlizensiert ist. Mehr Informationen zu den Lizenzen sind unter Administration → Lizenzierung zu finden.

Die folgende Tabelle gibt ihnen einen Überblick über die unterschiedlichen Module, die sie ihren Experts, Professionals und Observern geben können. Die beiden Kernmodule sind in jeder Lizenz für Exerts und Professionals enthalten. Add-on-Module muss man zusätzlich lizensieren, um Sie den Benutzern zuteilen zu können.

Module für Experts, Professionals und Observer
Kernmodule	M&K	Maßnahmen und Kontrollen	Mit Maßnahmen und Kontrollen können Sie Aufgaben vorbereiten und Sie workflowbasiert anderen Benutzern zukommen lassen.
	RM	Risikomanagement	In diesem Modul können Sie Schwachstellen über Fragebögen erheben, Schutzbedarfsanalysen durchführen und Risiken oder Chancen pflegen.
Add-on Module	DS	Datenschutz	Das Datenschutz Add-on Modul erlaubt ihnen Verarbeitungstätigkeiten und DSFAs zu pflegen und so ihre DSGVO-Compliance zu dokumentieren.
	AM	Auditmanagement	Das Auditmanagement ist ein Add-on Modul. Es hilft ihnen Audits und Auditprogramme zu planen, durchzuführen und auszuwerten
	FM	Fallmanagement	Fallmanagement ist ein Add-on, das ihnen erlaubt Meldungen zu bearbeiten. Alternativ kann es als Whistleblowing-System eingerichtet werden.
	DM	Doku-Management	Das Doku-Management erlaubt ihnen die Dokumente und Links, die Sie in HITGuard hochgeladen haben, zu organisieren.
	ESG	ESG Management	Das ESG-Modul erlaubt ihnen Auswirkungen darzustellen und die Doppelte Wesentlichkeitsanalyse durchzuführen
	SRM	Supplier Risk Management	Das SRM-Modul erlaubt es Ihnen, Überprüfungen an Lieferanten zu versenden und sie damit in Ihre Auditabläufe einzubinden.

Rollenvergabe:

Nur Experts und Administratoren können diese Seite aufrufen, also können nur diese beiden User Rollen vergeben. Administratoren können jede Rolle vergeben, während Experten alle Rollen bis auf Administrator und Compliance Manager vergeben können. Ist ein Expert bereits als Verantwortlicher eines Managementsystems eingetragen, kann man ihm die Rolle "Expert" nicht mehr entziehen. Wichtig: Experten, Professionals und Observer müssen nach Rollenzuweisung noch einem Managementsystem zugeteilt werden. Nur so können Sie auf die Daten zugreifen und ihre Aufgaben erfüllen.

Passwort ändern/zurücksetzen

Falls ein User Benutzername und Passwort für die Anmeldung verwendet, kann man ihm das Passwort zurücksetzen. Das funktioniert nur wenn der Benutzer sich tatsächlich so anmelden kann, also sich nicht auf anderem Weg (zB Active Directory) anmeldet und die lokale Anmeldung in den globalen Einstellungen aktiviert ist.

Jeder Benutzer kann sein eigenes Passwort im Profil ändern. Außerdem kann man als Administrator oder Expert ein Passwort für einen anderen Benutzer ändern. Dafür muss man unter Administration → Benutzer den gewünschten Benutzer öffnen, unten rechts auf "Passwort ändern" klicken und dann ein neues Passwort eingeben und bestätigen. Beachten Sie, dass nur Administratoren die Passwörter von Experten zurücksetzen können.

Benutzer deaktivieren

Experten und Administratoren können Benutzer über die Benutzer Maske deaktivieren. Ein deaktivierter Benutzer kann in der Applikation nicht mehr selektiert werden. Der Benutzer wird in Managementsystemen und Teams, in denen er bereits enthalten ist, als "deaktiviert" angezeigt. Daher müssen nicht alle Zuordnungen des Benutzers aufgelöst werden, damit der Benutzer deaktiviert werden kann,

Beim Deaktivieren Fragt HITGuard Sie, ob Sie den Benutzer anonymisieren wollen. Klicken Sie „Ja“, werden alle Daten des Benutzers entfernt, die E-Mail wird gelöscht und der Name durch eine Zufällige Buchstabenkombination ersetzt. Dies kann nicht mehr rückgängig gemacht werden! Klicken Sie im Dialog "Nein", wird der Benutzer deaktiviert aber nicht anonymisiert. Dann kann man ihn später auch wieder aktivieren.

Profilbild zurücksetzen

Profilbild zurücksetzen

Experten und Administratoren können das Profilbild eines Benutzers durch Klick auf das Icon neben dem Profilbild entfernen.