Bewährte Verfahren für Benutzerzugriff und Sicherheit in Auszeichnungssoftware

Gastbeitrag von Carl Turner, unserem Senior Client Success Manager bei Award Force, der gelegentlich über Themen schreibt, die er mit Kunden bespricht.

Eines der entscheidenden Merkmale von Award Force ist der unbegrenzte Zugriff für Ihre Programmteilnehmer. Das bedeutet, wir berechnen keine zusätzlichen Kosten für weitere Benutzer (oder Einreichungen oder Dateien), weil wir möchten, dass unsere Kunden erfolgreich sind und florieren. Mit Award Force können Sie Ihr Programm weltweit betreiben, ohne sich Gedanken über Lizenzen für digitale Plätze machen zu müssen.

Ob Ihr Programm einen oder hundert Manager hat, die Kosten bleiben gleich. Und mit der Möglichkeit, so viele Programmbenutzer zu haben, wie Sie sich vorstellen können, geht die Verantwortung einher, diese Benutzer sicher auf der Plattform zu verwalten. In diesem Artikel gehen wir einige bewährte Verfahren durch, wie Sie Ihre Benutzer und deren Berechtigungen verwalten können, um die Daten und die Integrität Ihres Programms optimal zu schützen.

Zugriff auf Award Force: wie es funktioniert

Award Force wurde entwickelt, um Benutzern die Erstellung eines Benutzerprofils in unserer Software zu ermöglichen. Typischerweise wird, wenn sich eine Person zum ersten Mal für ein Konto registriert, ihr Benutzerprofil mit einem spezifischen Auszeichnungsprogramm verbunden, das wir als Mitgliedschaft bezeichnen. Diese Mitgliedschaft wird mithilfe von Rollen verwaltet, um zu steuern, was dieser Benutzer innerhalb dieses Programms tun und sehen kann.

In vielen Fällen kann eine Person zwei oder mehr Mitgliedschaften haben, was bedeutet, dass ihr Benutzerprofil mit mehreren Programmen verbunden ist. Die Rollen, die sie in jedem Programm haben, sind für jedes Programm einzigartig. Wenn ein Benutzer also zufällig die Rolle des Teilnehmers in einem Programm und die Rolle des Teilnehmers in einem anderen Programm hat, ist das nur ein Zufall!

Daher könnte eine einzelne Person Teilnehmer in einem Programm sein, während sie in einem anderen Juror ist und in einem weiteren Programm Programmmanager ist.

(Mehr erfahren Sie über mehrere Konten hier und mehr über Benutzerkonten hier!)

Hier kommt die Bedeutung der Sicherheit ins Spiel: Wenn ein Benutzer-Login mit anderen geteilt wird, um auf ein bestimmtes Programm zuzugreifen, bei dem dieses Benutzerprofil zwei oder mehr Mitgliedschaften hat, dann hat jeder, der Zugriff auf dieses Benutzerprofil hat, nun Zugriff auf alle Programme, in denen der Benutzer registriert ist.

Bewährte Verfahren für die Sicherheit des Benutzerzugriffs

Persönliche Informationen sind sehr wichtig und nichts, was man freiwillig preisgeben möchte, besonders in der heutigen Hightech-Welt, in der das Risiko von Identitätsdiebstahl allgegenwärtig ist.

Um den Schutz jeder Person zu gewährleisten, die ein Benutzerprofil auf der Plattform erstellt, verlangen wir ein komplexes Passwort, das eine Kombination aus Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen (z. B. ! @ # $) enthält.

Benutzer können auch den zusätzlichen Schutz der Multi-Faktor-Authentifizierung (MFA oder 2FA) für jede ihrer Mitgliedschaften hinzufügen. Programm-Organisatoren haben sogar die Möglichkeit, MFA für Benutzer basierend auf der Rolle, die ihrem Benutzerprofil hinzugefügt wurde, zu erzwingen, eine bewährte Methode, die für jeden mit Manager-Zugriff angewendet werden sollte.

Zugriff niemals teilen

Für manche mag es einfacher erscheinen, den Zugriff auf ein Programm zu teilen, indem Teammitgliedern die Nutzung derselben Anmeldeinformationen gestattet wird. Bewährte Verfahren legen dringend nahe, diesen Ansatz jederzeit zu vermeiden!

Die Verwendung eines geteilten Profils für den Zugriff auf ein Programm erhöht das Risiko, dass diese Zugangsdaten in die falschen Hände geraten. Dies kann besonders problematisch sein, wenn das geteilte Benutzerprofil hochrangigen Zugriff auf persönliche und sensible Informationen hat, die im Programm gesammelt wurden.

Es ist auch problematisch, wenn ein Mitarbeiter, der über das geteilte Zugriffsprofil Zugang zum Programm hat, unfreiwillig von seiner Position entlassen wird. Er könnte aus Rache auf das Konto zugreifen, Zugangsdaten ändern, Daten stehlen, geistiges Eigentum stehlen oder sogar Daten dauerhaft zerstören. Dies könnte für eine Organisation, der anvertraut wurde, die Daten ihrer Benutzer, Einreichungs- oder Bewerbungsinformationen und Bewertungsergebnisse vertraulich zu behandeln, ein großes (rechtliches) Problem schaffen.

Sicherzustellen, dass jeder sein eigenes Benutzerprofil mit eigenem, einzigartigem Zugriff hat, hilft bei der Rechenschaftspflicht, und Rechenschaftspflicht kann nicht durchgesetzt werden, wenn ein einziges Benutzerprofil mit dem Team geteilt wird. Dass jeder sein eigenes Benutzerprofil hat, ist auch äußerst hilfreich für jedes Programm, das einen Audit-Trail durchlaufen muss.

Vorsicht bei hochrangigen Berechtigungen

Zusätzlich dazu, dass jeder Benutzer sein eigenes Profil und Login hat, ist es auch wichtig, Vorsicht bei hochrangigen Berechtigungen walten zu lassen. Die hochrangige All-Access-Rolle in der Award Force-Plattform wird üblicherweise für Programmmanager verwendet, die nahezu unbegrenzten Zugriff auf alle Daten im Programm benötigen.

Die Vergabe dieses Zugriffslevels sollte nur nach sorgfältiger Überlegung erfolgen.

Award Force bietet auf der höchsten Berechtigungsstufe die Rolle des „Kontoinhabers“, die nur einem Benutzer zugewiesen werden kann, der die primäre Autorität des Kontos ist. Darunter liegt die Rolle des Programmmanagers. Der Kontoinhaber ist die einzige Person, die die Berechtigung hat, den Zugriff auf Programmmanager-Ebene von anderen Managern zu entfernen, sowie die einzige Person, die Daten wie Einreichungen, Benutzerprofile und ganze Saisons dauerhaft aus dem Konto löschen kann.

Der Kontoinhaber ist auch die einzige Person, die Änderungen am Kontenabonnement genehmigen kann. Daher sollte die Rolle des Kontoinhabers auf keinen Fall jemals mit jemandem geteilt werden! Bei Bedarf kann die Rolle des Kontoinhabers an jemand anderen übertragen werden, dies kann jedoch nur vom aktuellen Kontoinhaber über das Abrechnungsportal im Konto vorgenommen werden.

Jederzeit sichere Hilfe erhalten

Das Award Force Client Success Team steht Ihnen 24 Stunden am Tag, 5 Tage die Woche zur Verfügung, um Ihnen zu helfen, Sie zu führen und zu unterstützen, wenn Sie sie brauchen. Aus Sicherheitsgründen wird das Client Success Team jedoch den Benutzer bitten, sich über eine vom Konto verwendete E-Mail-Adresse zu identifizieren. Das Client Success Team kann den Benutzer leicht identifizieren, wenn er ein Benutzerprofil hat, und sehen, wie viele Mitgliedschaften er hat sowie seinen Zugriffslevel auf jede Mitgliedschaft.

Wenn jemand dem Client Success Team von einer E-Mail-Adresse aus schreibt, die keine Mitgliedschaft bei Konten hat, dann ist der mögliche Support begrenzt und kann nur allgemeiner Natur sein; kontospezifische Informationen werden nicht geteilt.

Dies kann problematisch sein, wenn ein Team ein geteiltes Profil verwendet und der Benutzer, der sich meldet, eine zugehörige E-Mail-Adresse zum Konto hat. Um Ihr Programm sicher zu halten, möchten wir sicherstellen, dass jeder Benutzer, der Zugriff auf das Konto hat, legitim ist.

Award Force arbeitet hart daran, sicherzustellen, dass unsere Software die sicherste Plattform für die Auszeichnungsverwaltung auf dem Markt ist. Indem Sie Rollenberechtigungen und Sicherheitsfreigaben für Ihre sensibelsten Daten festlegen, können Sie die Integrität und Datensicherheit Ihres Programms schützen. Eine Win-Win-Situation für alle.