Aktuelles, Branche - geschrieben von cp am Dienstag, Dezember 6, 2011 21:14 - noch keine Kommentare
Finanzinstitute: BaFin fordert strikte Regelung der Zugriffsrechte auf IT-Systeme
Cyber-Ark empfiehlt zuverlässiges „Privileged Identity Management“ (PIM)
[datensicherheit.de, 06.12.2011] Über Administratoren-Accounts und -Passwörter ist in der Regel ein problemloser Zugriff auf alle unternehmenskritischen Datenbestände möglich. In zahlreichen Compliance-Richtlinien wird deshalb eine exakte Überwachung solcher Nutzerkennungen gefordert. Regelungen hierzu gibt es laut Cyber-Ark auch in den „MaRisk“ (Mindestanforderungen an das Risikomanagement) der BaFin, die für Finanzinstitute gültig sind:
User-Accounts von Administratoren und sogenannten Super-Usern verfügen über weitreichende Rechte. Sie stellen deshalb für jedes Unternehmen ein hohes Sicherheitsrisiko dar. Werden dabei keine adäquaten Maßnahmen für ein effizientes Passwortmanagement getroffen, verstößt dies gegen gesetzliche und aufsichtsrechtliche Bestimmungen aus Basel II, ISO 27001, SAS70, PCI-DSS oder dem Sarbanes Oxley Act. In diesen Compliance-Regelungen wird nämlich ein Nachweis gefordert, wer Zugriff auf privilegierte Benutzerkonten hat, welche Veränderungen vorgenommen und ob die Passwörter ordnungsgemäß geschützt und geändert wurden.
Auch in den von der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) veröffentlichten Mindestanforderungen an das Risikomanagement (MaRisk), dem zentralen Regelwerk der qualitativen Bankenaufsicht, finden sich entsprechende Regelungen. Deren Einhaltung wird im Rahmen der Jahresabschlussprüfung geprüft und ist gegenwärtig auch häufig Gegenstand von Sonderprüfungen nach § 44 Abs. 1 KWG.
Im Hinblick auf die technisch-organisatorische Ausstattung von Finanzinstituten wird in den MaRisk etwa konstatiert, dass bei der Ausgestaltung der IT-Systeme und der zugehörigen IT-Prozesse grundsätzlich auf gängige Standards abzustellen sei – insbesondere seien Prozesse für eine angemessene IT-Berechtigungsvergabe einzurichten, die sicherstellten, dass jeder Mitarbeiter nur über die Rechte verfügt, die er für seine Tätigkeit benötigt. Konkret verwiesen wird dabei auf die Einhaltung der Standards IT-Grundschutzkatalog des Bundesamtes für Sicherheit in der Informationstechnik (BSI) und ISO/IEC 2700X. Die MaRisk wurden zuletzt Ende 2010 überarbeitet. Die Änderungen müssen von den Instituten bis zum Ende dieses Jahres „vollumfänglich“ umgesetzt werden. Eine entscheidende Erweiterung betrifft den Bereich „Zugriffsrechte“. Die eingerichteten Berechtigungen dürften nicht im Widerspruch zur organisatorischen Zuordnung von Mitarbeitern stehen. Insbesondere bei Berechtigungsvergaben im Rahmen von Rollenmodellen sei darauf zu achten, dass Funktionstrennungen beibehalten beziehungsweise Interessenkonflikte vermieden würden.
Gerade in diesem Bereich bestehe für die Finanzdienstleistungsbranche noch ein erheblicher Handlungsbedarf, sagt Jochen Koehler, Deutschland-Chef von Cyber-Ark in Heilbronn. Vielfach gebe es nämlich noch Super-Admins mit uneingeschränkten privilegierten Rechten, das heißt, es erfolge weder eine strikte „Separation of Duties“ noch eine Implementierung von rollenbasierten Zugriffs- und Kontrollsystemen. Im Hinblick auf die Erfüllung von Compliance-Anforderungen, eine Erhöhung der Sicherheit und auch eine Reduzierung des Administrationsaufwandes sollte aber jedes Finanzinstitut über ein zuverlässiges „Privileged Identity Management“ (PIM) verfügen. Mit einer solchen Lösung könnten privilegierte Accounts, also Benutzerkonten mit erweiterten Rechten, zuverlässig verwaltet werden. Verschiedene PIM-Lösungen seien heute auf dem Markt verfügbar. Dabei gebe es unterschiedliche Lösungsansätze – von der Hardware-Appliance über eine softwarebasierte „Virtual Appliance“ bis hin zu einer reinen Software-Lösung. Gemeinsam sei den Lösungen, dass die Passwörter in einem gesicherten Bereich vor den Zugriffen unberechtigter Personen geschützt würden. Bei der Entscheidung für eine Lösung sollte man darauf achten, dass sie neben einer regelmäßigen Änderung der Netzwerk-, Server- und Datenbank-Passwörter auch Drittanwendungen die Möglichkeit biete, die neuen Passwörter automatisch zu beziehen. Zudem sollte eine Zugriffskontrolle und vollständige Überwachung beziehungsweise Protokollierung aller Aktivitäten vorhanden sein, so Koehler.
Aktuelles, Experten - Juli 11, 2025 6:51 - noch keine Kommentare
KI-Modelle: BfDI hat öffentliches Konsultationsverfahren gestartet
weitere Beiträge in Experten
- Bitkom-Transparenzbericht 2025 veröffentlicht
- Urlaubsfotos in Sozialen Medien: Nur fünf Prozent machen Kindergesichter unkenntlich
- Blaupause für Deutschland: Hessens Rechenzentren-Strategie als Vorbild
- VDI-Forderung nach gezielter KI-Kompetenz für Ingenieurarbeit
- NIS-2: Vereinheitlichung der Meldewege für IT-Sicherheitsvorfälle und Datenpannen gefordert
Aktuelles, Branche, Studien - Juli 11, 2025 7:04 - noch keine Kommentare
Cybersicherheit: Deutsche Unternehmen setzen zunehmend auf Digitale Souveränität
weitere Beiträge in Branche
- Online-Betrug in Deutschland: 10,6 Milliarden Euro Verlust in zwölf Monaten
- Dragos’ Ransomware-Analyse: 68 Prozent der Angriffe im ersten Quartal 2025 trafen die Fertigung
- KI droht zur größten Cyberbedrohung zu werden
- Schutz vor Auswirkungen von GNSS-Störungen: Kevin Heneka begrüßt EU-Vorschlag
- DigiCert-Umfrage: Manuelle Zertifikatsprozesse führen zu Ausfällen, Compliance-Fehlern und hohen Verlusten im Unternehmen
Aktuelles, Branche, Umfragen - Juli 9, 2025 19:03 - noch keine Kommentare
DigiCert-Umfrage: Manuelle Zertifikatsprozesse führen zu Ausfällen, Compliance-Fehlern und hohen Verlusten im Unternehmen
weitere Beiträge in Service
- Threat Hunting: Bedeutung und Wertschätzung steigt
- Umfrage: 71 Prozent der IT-Entscheidungsträger besorgt über Mehrfachnutzung von Passwörtern
- Fast die Hälfte der Unternehmen ohne geeignete Sicherheitsrichtlinien für Remote-Arbeit
- Umfrage: Bedeutung der Konsolidierung von IT-Sicherheitslösungen
- TeleTrusT-Umfrage: „IT-Sicherheit im Home Office“
Kommentieren