- Anzeigen -


Sie sind hier: Home » Markt » Tipps & Hinweise

Kontrolle von und über Zugriffsberechtigungen


Eine Frage des Zugriffs: Access-Management sorgt für klare Verhältnisse
Nur mithilfe eines funktionierenden Access-Managements lassen sich Rollen und Rechte transparent und nachvollziehbar steuern

- Anzeigen -





Gesetzliche Vorgaben einhalten, IT-Sicherheit gewährleisten und den Datenschutz nicht vernachlässigen – nur ein kleiner Einblick in die Aufgaben und Herausforderungen, die Unternehmen bewältigen müssen. Doch wie lassen sich diese Anforderungen professionell erfüllen? Die Verwaltung von Benutzern und deren Zugriffsberechtigungen nimmt dabei in jeder ganzheitlich ausgerichteten IT-Security-Strategie eine wesentliche Rolle ein. Access-Management ist im Zeitalter von Industrie 4.0 und Internet of Things unverzichtbar.

Heutzutage vernetzt sich jedes Unternehmen vielfach mit Lieferanten, Kunden, Partnern sowie Mitarbeitern und tauscht sämtliche Daten mit diesen aus. Diese weltweite Vernetzung bietet viele Chancen aber auch Risiken: Denn die Zahl virtueller Angriffe mit dem Ziel an geschützte, häufig hoch brisante Daten zu gelangen, steigt stetig.

"Ohne die Kontrolle von und über Zugriffsberechtigungen funktioniert deshalb nichts mehr. Der Mehrwert von konsequentem, transparentem Access-Management stellt die flexible Nutzung von Vernetzungen bei deutlicher Risikominimierung dar", erläutert Dr. Consuela Utsch, Geschäftsführerin der Acuroc Solutions und der AQRO GmbH. "Ein effektives Access-Management führt dazu, dass sich Funktionen, Rollen und damit Verantwortlichkeiten an Veränderungen bei Bedarf automatisch anpassen."

Verzahnt mit dem Betrieb
Beim Access-Management – auch bekannt als Rights- oder Identity-Management – handelt es sich um eine Autorisierungsorganisation zur Steuerung von Zugriffsrechten der Anwender auf einen IT-Service oder ein Anwendungssystem. Nicht erst seit dem Inkrafttreten der neuen EU-Datenschutzgrundverordnung nimmt das Access-Management eine bedeutende Rolle im Lebenszyklus von IT-Anwendungen ein.

"Aspekte der Informationssicherheit sind meist die ausschlaggebenden Treiber für die Entscheidung, einen dezidierten Prozess für die Zugriffssteuerung aufzusetzen", weiß Utsch. "Das Ziel ist dabei eindeutig: Einerseits geht es darum, gesetzliche Vorgaben zu erfüllen sowie insbesondere die IT-Sicherheit in Zeiten eines hohen Vernetzungsgrads mit Externen zu erhöhen und andererseits die verborgenen Chancen in IT-Sicherheit und Datenschutz zu nutzen."

Implementierung nach Maß
Den Prozess für das Access-Management zu etablieren, ist meist nur die Spitze des Eisbergs. Denn eine solide Organisation in diesem Bereich umfasst noch wesentlich mehr Faktoren, die die einzelnen Services und Anwendungssysteme miteinbeziehen. Bei einer Ist-Analyse lassen sich eventuelle Schwachstellen identifizieren und eine Statusaufnahme bestehender Rollen und der Nutzerberechtigungen erstellen. Nach der Aufnahme des Status quo folgt die Definition des Zielbildes – dieses lässt sich basierend auf den Anforderungen von ITIL und der ISO 27001 induzieren. Hieraus erwächst dann die Maßnahmenableitung für das gesamte Unternehmen.

Im vorletzten Schritt folgt die Umsetzung des erarbeiteten Zielbildes. In dieser Phase werden die Regelungen nach Zeithorizont und Effektivität priorisiert. Anschließend müssen die festgelegten Schritte eine genaue Überprüfung erfahren, damit eine nachhaltige Implementierung durch die Etablierung von Prozessen und Standards sichergestellt ist. Während eines IT-Entwicklungsprojektes findet das Role-Engineering statt – die Entwicklung eines dezidierten Rollen- und Rechtekonzepts.

"Ein transparentes, flexibles und pragmatisches Rollenkonzept bildet die essenzielle Grundlage für den Erfolg von Access Management. Unerlässliche Basis für eine erfolgreiche Entwicklung und Implementierung eines solchen Konzepts ist daher ein ausgeprägtes Rollenverständnis in der Organisation – nur so lässt sich die nötige Akzeptanz des Access-Managements erreichen. Fehlt dieses Verständnis oder wird nicht parallel ausgeprägt, steigt die Gefahr, dass das Access Management scheitert. Um dieses kritische Risiko zu minimieren, setzen wir auf Methoden zum rollenbasierten Arbeiten wie AQRO", verdeutlicht die Acuroc-Solutions-Geschäftsführerin. Anschließend erfolgen die technische Abbildung im Neusystem sowie die Einsteuerung nichtfunktionaler Security-relevanter Anforderungen. Danach finden die Etablierung eines Access-Management-Prozesses in den Schritten "Prozessdesign" und "Set-up" der benötigten Dokumente statt. "Wesentlich ist, dass die involvierten Mitarbeiter sicher mit den neuen Elementen umgehen können – was wir durch umfassende Schulungen gewährleisten", sagt Utsch.

Individuelle Bedürfnisse
Nur mithilfe eines funktionierenden Access-Managements lassen sich Rollen und Rechte transparent und nachvollziehbar steuern. Durch die Optimierung in diesem Bereich profitieren Unternehmen von erhöhter Sicherheit ihrer Daten und Systeme. "Wir gehen auf die individuellen Bedürfnisse jedes einzelnen Unternehmens ein und stehen bei Entscheidungen mit unabhängigem Rat zur Seite", betont Utsch. "Dabei gehört zum Angebot im Bereich Access-Management auch die Vernetzung mit anderen Kompetenzen auf den Gebieten Digitalisierung, Transformation, Veränderungs- und Projektmanagement." Ein ganzheitliches Access-Management garantiert umfassende Transparenz bezüglich der Zugriffe und Berechtigungen der Mitarbeiter. So lassen sich effektiv gesetzliche Vorgaben erfüllen und verborgene Chancen in Sachen Datenschutz und IT-Sicherheit für das Unternehmen nutzen. Eine erfolgreiche Autorisierungssteuerung ist längst kein Luxus mehr – sondern notwendig, um den aktuellen Anforderungen gerecht zu werden. (Acuroc Solutions: ra)

eingetragen: 31.05.19
Newsletterlauf: 25.06.19

Acunetix: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Meldungen: Tipps & Hinweise

  • DSGVO-konforme Datenarchivierung

    Immer mehr Daten und immer schärfere Bestimmungen. Die DSGVO hat den Umgang mit Informationen und Daten nicht einfacher gemacht. Das merken Unternehmen im Alltag bei der technischen Umsetzung immer wieder. "Noch immer liegen viele Daten in Unternehmen unstrukturiert vor, was nicht nur die Verwaltung und Wiederauffindbarkeit erschwert, sondern eine enorme Sicherheitslücke darstellt", weiß Torben Belz, Geschäftsführer der Plutex GmbH aus Bremen. Wo die Gefahren liegen und wie ein DSGVO-konformes Datenmanagement erfolgen kann, erklärt der Profi.

  • Der Kampf gegen Efail geht weiter

    Die Entdeckung der Sicherheitslücke Efail kam einem SuperGAU gleich: 2018 entdeckte ein deutsch-belgisches Forscherteam Schwachstellen, die es Angreifern erlauben, mit OpenPGP oder S/MIME verschlüsselte Nachrichten abzufangen und so zu manipulieren, dass der E-Mail-Klartext nach der Entschlüsselung zu einer vom Angreifer kontrollierten Adresse versandt wird. "Seitdem wird natürlich gegen Efail vorgegangen. Allerdings können die Risiken für eine sichere E-Mail-Kommunikation nur in kleinen Schritten minimiert werden", fasst IT-Sicherheitsexperte Christian Heutger zusammen.

  • DevOps als Selbstzweck

    Bereits seit einiger Zeit gehört DevOps zu den wichtigsten Trends. Damit können Unternehmen neue Kundenanforderungen schneller umsetzen, indem Teams besser zusammenarbeiten und Innovationen vorantreiben. Laut Deloitte verringert sich die Markteinführungszeit bei Organisationen, die DevOps anwenden, um 18 bis 21 Prozent - und sie profitieren durch ein Umsatzplus von 20 Prozent. Doch DevOps erfordert nicht nur die Implementierung neuer Tools. Es müssen auch tief verwurzelte kulturelle Gewohnheiten und traditionelle Prozesse verändert werden. Zudem stellt DevOps keinen Selbstzweck dar, sondern die Möglichkeit zur Erreichung bestimmter Ziele.

  • Sicherheitsfalle: Schadcode via Formular

    Es ist eine Lebensweisheit, die man auch der IT-Sicherheit zugestehen darf: man muss sich kümmern, sonst läuft es aus dem Ruder. Eine kürzlich veröffentlichte Analyse zum Einsatz von 4G-Hotspots zeigt deutliche Sicherheitslücken bei der Nutzung dieser Geräte. Wer sie verwendet, sollte sich ein paar Minuten Zeit nehmen, um Einstellungen und Verhalten einem Sicherheits-Check-up zu unterziehen. Einfach gesagt ist ein 4G-Hotspot eine Miniaturform des hauseigenen Routers, der batteriebetrieben und mit einer SIM-Karte ausgestattet ist. Ein klassischer Router verbindet sich typischerweise mit dem Telekommunikationsanbieter für die Internetverbindung und bietet Wi-Fi oder ein verkabeltes Netzwerk für Laptops, Desktop-Computer und sämtliche smarte Geräte. Im Gegensatz dazu sind 4G-Hotspots meist Geräte im Taschenformat, die nirgendwo andocken, außer um die internen Batterien aufzuladen.

  • Anbieter regelmäßig zur Datennutzung befragen

    ExtraHop warnt in einer Sicherheitsempfehlung vor Anbietern, die bei "Call Home"-Aktivitäten vertrauliche Daten ihrer Kunden ohne deren Wissen oder Zustimmung exfiltrieren. Mit dieser Sicherheitsempfehlung will ExtraHop Unternehmen dazu anregen, ihre Anbieter bei der Nutzung von Kundendaten strenger zu kontrollieren und sie bei Fehlverhalten zur Verantwortung zu ziehen. In dieser neuen Empfehlung wird "Call Home" als Aktivität beschrieben, bei der Daten von einem Host aus über eine speziell dafür etablierte Verbindung an einen Server weitergeleitet werden. Dies gilt als die "White Hat"-Version der Datenausschleusung. Dem Bericht zufolge ist "Call Home" eine gängige Praxis, die völlig legitim und sehr nützlich sein kann - wenn die Kunden ihr Einverständnis erteilt haben. Wenn nicht, werden ohne das Wissen des Kunden personenbezogene oder andere vertrauliche Daten außerhalb des Unternehmens übertragen, gespeichert und dabei möglicherweise großen Gefahren ausgesetzt. Damit verstoßen die Anbieter wahrscheinlich auch gegen die immer strenger werdenden Datenschutzbestimmungen.