Risikofälle prüfen und bearbeiten

Die Risikoprüfung dient zum Prüfen bestehender Fälle und verfügbarer Belege sowie zur manuellen Entscheidung. Fall, Ursprungsdatensatz und Reaktion sind getrennt: Ein Fall bestätigt kein Risiko, und eine Entscheidung beweist keine abgeschlossene Isolierung, Sperre oder andere Maßnahme.

Voraussetzungen

• Verwenden Sie ein Administratorkonto mit Leserecht für den Sicherheitsbetrieb; für Entscheidungen ist zusätzlich das entsprechende Schreibrecht erforderlich. Schützen Sie Fälle, Belege und personenbezogene Daten gemäß den Organisationsregeln.
• Für die Abfrage oder Bearbeitung eines vorhandenen Falls müssen Sie nicht eigens eine Richtlinie erstellen oder Datensätze erzeugen. Prüfen Sie zur Validierung eines neuen Falls zunächst vorhandene Richtlinien und Datensatzbedingungen anhand der jeweiligen Funktionsanleitung; bei Bedarf passt eine berechtigte Administration sie an. Klären Sie, wie Datensätze in die Prüfung gelangen. Nicht jede Warnung oder jeder Datensatz erzeugt automatisch einen Fall; eine leere Liste beweist keine Risikofreiheit.
• Bereiten Sie einen vorhandenen Fall und einen geeigneten Testumfang vor. Bei unklarer Herkunft wenden Sie sich an Administration oder Support, statt Produktionsfälle zu Testzwecken zu erfinden.

Fall suchen und prüfen

1. Öffnen Sie auf der Konsolenstartseite „Risk Assessment“. Die Seite heißt „Risk Review“ und zeigt zunächst „Pending“. Wechseln Sie zu „All“, „In Review“ oder einer Entscheidungskategorie und grenzen Sie die geladene Liste mit einem Suchwort ein.
2. Die Seite lädt höchstens die 500 nach Erstellungszeit neuesten Fälle. Register, Suche, Seiten und obere Kennzahlen beziehen sich auf die geladenen Daten. Ein fehlender Fall oder niedriger Wert beweist nicht, dass keine weiteren Fälle existieren. Prüfen Sie Rechte, Herkunft und Laden; kontaktieren Sie bei Bedarf eine Administration.
3. Öffnen Sie den Fall über die Zeile oder „View“. Prüfen Sie Herkunft, Risikobeschreibung und verfügbare Belege unter „Evidence Details“, „Source Event“ und „Review History“. Ein Ursprungslink oder Beleg kann fehlen; daraus folgt nicht, dass kein Ereignis stattfand.
4. Bei aktivierter Identitätsisolierung können Endpunkt-, Konto- und andere Identitätshinweise verborgen sein. Beachten Sie Berechtigungen und Datenschutz, umgehen Sie die Isolierung nicht und nutzen Sie freigegebene Untersuchungsverfahren.

Falldetails öffnen sich auf einer neuen Seite. Nach einer Entscheidung dort kann die ursprüngliche Liste noch den alten Status anzeigen. Laden Sie die Liste nach der Rückkehr neu, prüfen Sie den erfolgreichen Ladevorgang und kontrollieren Sie Status und Zahlen. Bei einem Ladefehler können frühere Daten erhalten bleiben; betrachten Sie diese nicht als aktuell.

Entscheidung und Nachverfolgung

1. Prüfen Sie Belege und Auswirkungen eines offenen Falls. Wählen Sie „Confirm as Risk“ oder über die Schaltfläche mit drei Punkten neben „Confirm as Risk“ („More Decisions“) die Option „False Positive“, „Needs Follow-up“, „Duplicate“ oder „Ignored“. Folgen Sie den Organisationskriterien und entscheiden Sie nicht ohne ausreichende Informationen.
2. Geben Sie im Bestätigungsdialog optional eine Erläuterung ein und wählen Sie „Submit“. Öffnen Sie den Fall nach der Meldung erneut und prüfen Sie Status und Entscheidung. Die vollständige erneute Anzeige der Erläuterung ist nicht garantiert; bewahren Sie erforderliche Nachweise separat und freigegeben auf.
3. Jede dieser Entscheidungen schließt den Fall ab, auch „Needs Follow-up“. Das bedeutet nicht, dass Nachverfolgung oder eine zugehörige Aufgabe abgeschlossen ist. Prüfen Sie Verantwortliche, Aufgabe und tatsächliche Maßnahme getrennt; eine Erfolgsmeldung belegt keine Risikobeseitigung.
4. Dokumentieren Sie Fehler und prüfen Sie Rechte, Netzwerk und Fallstatus, bevor Sie die Administration kontaktieren. Unstimmige Fall- und Aufgabenstatus getrennt prüfen; doppelte Einreichungen und unbefugte Belegänderungen vermeiden.