Automatische Prüfungen kontrollieren einmal am Tag die Sicherheitseinstellungen Ihrer Konten bei Microsoft 365, Google Workspace und AWS und zeigen die Ergebnisse als Nachweise für Ihre Maßnahmen. Sie sind für Inhaber und Administratoren, wenn Ihr Paket sie enthält; die Zahl der Verbindungen hängt vom Paket ab. Der Zugriff ist immer schreibgeschützt: CloudSignLab ändert nie etwas in Ihren Konten.
Microsoft 365 verbinden
- Öffnen Sie Automatische Prüfungen im Menü der Organisation.
- Klicken Sie bei Microsoft 365 auf Verbinden und melden Sie sich mit einem Konto an, das globaler Administrator Ihres Microsoft-Entra-ID-Mandanten ist. Die Anmeldung zeigt CloudSignLab, welcher Mandant Ihrer ist; nur ein globaler Administrator kann ihn verbinden.
- Microsoft zeigt die schreibgeschützten Berechtigungen, die CloudSignLab anfragt. Klicken Sie für Ihre Organisation auf Akzeptieren.
- Sie kehren zu CloudSignLab zurück, und die ersten Prüfungen laufen sofort.
Google Workspace verbinden
- Klicken Sie bei Google Workspace auf Verbinden und melden Sie sich mit einem Super-Admin-Konto an.
- Erlauben Sie den schreibgeschützten Zugriff (Nutzer, Sicherheitseinstellungen und Anmeldeberichte).
- Sie kehren zu CloudSignLab zurück, und die ersten Prüfungen laufen.
AWS verbinden
AWS nutzt eine Rolle statt Schlüsseln, es werden also keine Passwörter oder Schlüssel ausgetauscht.
- Klicken Sie bei AWS auf Verbinden. Ein Fenster zeigt die Konto-ID von CloudSignLab und Ihre externe ID, jeweils mit einer Schaltfläche zum Kopieren.
- Öffnen Sie in der AWS-Konsole IAM > Roles > Create role, wählen Sie AWS account > Another AWS account und geben Sie die Konto-ID von CloudSignLab ein.
- Aktivieren Sie Require external ID und fügen Sie Ihre externe ID ein.
- Hängen Sie nur die von AWS verwaltete Richtlinie SecurityAudit (nur lesen) an und legen Sie die Rolle an, z. B. mit dem Namen CloudSignLabChecks.
- Kopieren Sie den ARN der Rolle, fügen Sie ihn in CloudSignLab ein und klicken Sie auf Testen und verbinden. Die Rolle wird vor dem Speichern getestet, auch dass sie eine falsche externe ID ablehnt (dieser Test erscheint in Ihrem CloudTrail als ein abgelehnter Versuch).
Ergebnisse lesen
Jede Prüfung ist Bestanden, Nicht bestanden, Nicht prüfbar (meist fehlt eine Berechtigung) oder Nicht zutreffend. Eine nicht bestandene Prüfung zeigt, wie Sie das Problem beheben, und bis zu 20 betroffene Konten oder Regionen. Die Prüfungen laufen etwa einmal am Tag; Jetzt prüfen startet sie sofort (höchstens alle 10 Minuten).
Wenn eine Prüfung neu fehlschlägt, legt CloudSignLab eine Aufgabe an, benachrichtigt Inhaber und Administratoren und sendet das Ereignis Automatische Prüfung schlägt fehl an Ihre Integrationen. Sobald die Prüfung wieder besteht, wird die Aufgabe geschlossen.
Nachweise bei den Maßnahmen
Jede Prüfung ist mit Maßnahmen der Maßnahmenbibliothek sowie mit Codes aus NIS2 Artikel 21(2) und ISO 27001 verknüpft. Bei einer Maßnahme zeigt der Bereich Automatische Nachweise die letzten Ergebnisse der verknüpften Prüfungen, sodass ein Prüfer sieht, dass die Maßnahme in der Praxis wirkt. Alle, die Maßnahmen lesen dürfen, sehen ihn.
Trennen
Klicken Sie beim Konto auf Trennen. Die Ergebnisse werden gelöscht, und bei Google wird der Zugriff sofort widerrufen. Löschen Sie bei Microsoft zusätzlich die App CloudSignLab unter Enterprise applications und bei AWS die angelegte Rolle.
Was gespeichert wird
Nur die Ergebnisse: Status, Anzahlen und die Namen von bis zu 20 betroffenen Konten. Ergebnisse werden 90 Tage aufbewahrt. Das Zugriffstoken von Google wird verschlüsselt gespeichert. Sonst wird nichts aus Ihren Konten kopiert.