IT-Audit
Power Platform Audit
Mit Power Apps, Power Automate und Copilot Studio entwickeln Fachbereiche eigene Anwendungen, Automatisierungen und Agenten, oft ohne die IT. Das schafft Tempo, aber auch ein Risiko: Geschäftskritische Prozesse laufen über Anwendungen, die niemand inventarisiert, getestet oder abgesichert hat. Ein Power Platform Audit zeigt, ob Governance, Sicherheit und Betrieb mit der Nutzung Schritt halten.
Prüffelder im Überblick
| Prüffeld | Kontrollziel | Typische Prüfschritte |
|---|---|---|
| Umgebungsstrategie | Entwicklung, Test und Produktion sind getrennt, Umgebungen haben Besitzer | Umgebungen auflisten, Zweck und Besitzer prüfen, Standardumgebung beurteilen |
| Datenrichtlinien (DLP) | Geschäftsdaten fliessen nicht unkontrolliert in externe Dienste | DLP-Richtlinien und Konnektor-Klassifizierung prüfen, Ausnahmen beurteilen |
| Konnektoren und Schnittstellen | Zugriffe auf Systeme und Daten sind bekannt und genehmigt | benutzerdefinierte Konnektoren, Dienstkonten und Verbindungen auswerten |
| Berechtigungen | Apps und Daten sind nur für Berechtigte zugänglich | Freigaben von Apps und Flows, Sicherheitsrollen in Dataverse prüfen |
| Lebenszyklus | Anwendungen werden kontrolliert entwickelt und ausgerollt | Lösungen, Pipelines, Versionierung und Abnahmen prüfen |
| Inventar und Verantwortung | Geschäftskritische Anwendungen sind bekannt und verantwortet | Inventar, Kritikalität, Besitzer verwaister Apps |
| Agenten in Copilot Studio | Agenten sind freigegeben, überwacht und auf ihre Datenquellen beschränkt | Agenten-Inventar, Authentifizierung, Wissensquellen, Aktionen und Protokollierung |
| Betrieb und Lizenzen | Betrieb, Kapazität und Kosten sind gesteuert | Kapazitätsnutzung, Lizenzzuweisung, Monitoring |
Die häufigsten Risiken
- Standardumgebung als Spielwiese: Alle Benutzer bauen in derselben Umgebung, auch geschäftskritische Anwendungen.
- Offene Konnektoren: Ohne DLP-Richtlinien können Flows Geschäftsdaten an private Speicherdienste oder soziale Netzwerke senden.
- Persönliche Verbindungen: Kritische Flows laufen mit dem Konto einer einzelnen Person und brechen bei deren Austritt ab.
- Fehlende Trennung: Änderungen erfolgen direkt in der Produktion, ohne Test und Freigabe.
- Unbekannte Agenten: Mitarbeitende veröffentlichen Agenten mit Zugriff auf interne Daten, ohne dass jemand davon weiss.
Kriterien und Referenzen
Als Massstab verwenden wir die Empfehlungen von Microsoft zur Governance der Power Platform, etablierte Kontrollrahmen wie ISO/IEC 27001 und NIST CSF sowie Ihre internen Weisungen zu Applikationsentwicklung, Datenklassifizierung und KI. Für Finanzinstitute beziehen wir zusätzlich die Anforderungen des FINMA-Rundschreibens 2023/1 und der Aufsichtsmitteilung 08/2024 zu KI ein.
Welche Evidenz wir verwenden
- Exporte der Umgebungen, DLP-Richtlinien und Konnektor-Einstellungen aus dem Admin Center
- Inventare von Apps, Flows und Agenten mit Besitzern und Nutzung
- Stichproben geschäftskritischer Anwendungen mit Prüfung von Berechtigungen und Verbindungen
- Dokumentation des Entwicklungs- und Freigabeprozesses
- Interviews mit Plattformverantwortlichen und ausgewählten Fachbereichsentwicklern
Unser Vorgehen
- Kick-off und Scoping: Prüfziel, Umgebungen und Stichproben festlegen.
- Erhebung: lesender Zugriff auf Admin Center und Inventare, Dokumentenanalyse.
- Beurteilung: Feststellungen nach Risiko bewerten, Wirksamkeit an Stichproben prüfen.
- Bericht: Prüfungsurteil, Feststellungen, Empfehlungen und ein Zielbild für die Plattform-Governance.
Häufige Fragen
Häufige Fragen
Weiterlesen