Startseite > Datacenter & Verkabelung > Sicherer digitaler Geschäftsauftritt

Identity- and Access-Management

Sicherer digitaler Geschäftsauftritt

27. März 2015, 13:56 Uhr | Hadi Stiel, freier Journalist und Kommunikationsberater in Bad Camberg

Fortsetzung des Artikels von Teil 5

Expertenkommentar: Alles muss ins Sicherheits- und Compliance-Gefüge der Organisation eingebunden sein

Norbert Drecker, Geschäftsführer von Twinsec: "Den Administratoren und Entwicklern bringt man in den Unternehmen ein Höchstmaß an Vertrauen entgegen. Doch es könnten einige unter ihnen ihre weitgehenden Berechtigungen missbrauchen und Daten und Einstellungen manipulieren, mit verheerenden Auswirkungen für das Unternehmen.

Innerhalb der Informationsgrundversorgung für alle zu erbringenden IT-Services und Geschäftsprozesse arbeiten die Administratoren und Entwickler nahezu losgelöst von verbindlichen Regeln. Ihre Verantwortungsbereiche sind nicht oder nur ungenau abgesteckt. Vorgeprägte und nachvollziehbare Prozesse für ihre Eingriffe gibt es meist nicht. Wenn Korrekturen notwendig werden, erfolgen die Eingriffe aus der Situation heraus als nicht koordinierbare Einzelmaßnahmen, die unzureichend dokumentiert werden.

Begünstigt werden diese Defizite durch Default-Einstellungen in fast allen geschäftswichtigen Systemen: von SAP und Active-Directory über Windows-, Unix- und Linux-Systemen bis hin zu Oracle. Unternehmen übernehmen sie oft und räumen so den privilegierten Nutzern alle Berechtigungen an den Systemen und Benutzerkonten ein, bis hin zum Aussetzen oder Löschen von Log-Aufzeichnungen. Nur wenig besser ist es um die Ausgangssituation bestellt, wenn statt der Grundeinstellungen Sicherheitsmerkmale für Administratorengruppen angewandt werden. Generell gilt: Was nicht konkret nachvollziehbar ist, kann auch nicht zu aussagekräftigen Revisionen und Wirtschaftsprüfberichten herangezogen werden.

Die Zeit privilegierter User, die situationsgetrieben im regelfreien Raum agieren, sollte endgültig vorbei sein. Auch sie müssen ins Sicherheits- und Compliance-Gefüge der Organisation eingebunden werden. Das beginnt mit der Identifikation der Teilverantwortungen, der Definition der Anforderungen für jeden privilegierten User und den notwendigen Berechtigungen, um diese Anforderungen zu erfüllen. In der Folge sollten, sofern vorhanden, die bereits angewandten Regeln und Werkzeuge für das Management dieser User aufgenommen werden. Danach sollte eine Marktanalyse durchgeführt werden, welches Ergänzungs-Tool sich für die Umsetzung des angestrebten Managementkonzepts am besten eignet. Es sollte nicht nur mittels Zuordnung von Rollen ein bedarfsgerechtes, regelkonformes und Compliance-sicheres Management der Administratoren und Entwickler eröffnen. Es sollte auch eine Integration dieses Manage-mentzweigs ins bestehende User-Management erschließen. Der Markt bietet aktuell vier reife Lösungen, die sich für diese Aufgabenstellung empfehlen."