Zugriffskontrolle in Zeiten kleiner IT-Budgets

Dass es hier immer noch zu Schreckensszenarien kommt, ist eigentlich erstaunlich. Schließlich gibt bereits der Gesetzgeber im Rahmen des Bundesdatenschutzgesetzes explizit Regelungen vor, die vor unberechtigter Nutzung personenbezogener Daten schützen sollen. Auch können Geschäftsführer und Vorstände immer häufiger der Wirtschaftspresse entnehmen, welchen unternehmerischen Risiken man sich aussetzt, wenn man diesem Thema nicht genug Aufmerksamkeit widmet: mit dem Verlust von sensiblen Geschäftsdaten sind oftmals unmittelbare Umsatzeinbußen verbunden. Handelt es sich bei diesen Daten um personenbezogene Daten drohen zudem empfindliche Geldstrafen wenn das Unternehmen der im Bundesdatenschutzgesetz geregelten Informations- und Nachweispflicht nicht in ausreichendem Maße nachkommen kann. In jedem Fall bleibt bei einem Datenverlust ein angekratzter Ruf – bei Mitarbeitern, Kunden, Partnern, Aktionären – dessen wirtschaftlicher Schaden oftmals erst rückblickend erfasst werden kann. Grund genug aktiv zu werden – mittelständische Unternehmen stellt dies jedoch oftmals vor große Herausforderungen.

Gründe hierfür sind nicht nur eine mangelnde Aufklärung hinsichtlich der umfangreichen gesetzlichen Regelwerke und der Vielfalt an technischen Lösungen für einen effektiveren Schutz von Unternehmens- und Personendaten. Auch der Faktor Kosten spielt hier eine wichtige Rolle. Das durchschnittliche IT-Budget eines Mittelständlers ist gerade mal so hoch, dass es die wichtigsten IT-spezifischen Funktionen abdecken kann. Die für die Datensicherheit so zentralen Bereiche Identitäts- und Berechtigungsverwaltung werden dabei oft vernachlässigt. Zu groß ist hier die Angst vor einem „Faß ohne Boden“.

Stiefkind Identitäts- und Berechtigungsverwaltung

Dabei ist der korrekte Umgang mit Prozessen rund um die Zugriffsberechtigung für IT Systeme die effektivste Maßnahme zur Verbesserung der Datensicherheit. Firewalls, Intrusion Detection Systeme und andere Ansätze für die sogenannte „Perimeter Security“ können zwar unerwünschte „Gäste“ abwehren, jedoch hat die Realität einer vernetzten Welt diese Systeme überholt: längst haben wir unsere Netze wieder geöffnet, sei es um unsere Kunden und Geschäftspartner in unsere Prozesse einzubinden, Anwendungen in der Cloud zu nutzen oder unseren Mitarbeitern rund um die Uhr und an jedem Ort Zugriff auf unsere System zu bieten. Entscheidend für die Frage der Sicherheit ist also nicht mehr, wer sich in unserem Netz aufhält, sondern auf welche Systeme und Daten er Zugriff hat.
Unternehmen müssen sich bewusst machen, dass es insbesondere fehlende Prozesse zur Rezertifizierung – also die regelmäßige Überprüfung - der Zugriffsberechtigungen sind, die dem Datenmissbrauch Tür und Tor öffnen. Oftmals führen nämlich vor allem die über die Zeit akkumulierten, nicht selten auf „dem kurzen Dienstweg“ erteilten Berechtigungszuweisungen dazu, dass Anwender Zugriff auf Daten erhalten, die ihnen aufgrund ihrer aktuellen Rolle eigentlich gar nicht zugänglich sein dürften.

Säulen der Sicherheit – auch mit kleinem Budget

Um diesen Risiken entgegenzutreten, muss eine effektive Berechtigungsverwaltung implementiert sein, die aus drei Säulen besteht: die Prozessabbildung, die Erstellung und Anwendung von Richtlinien sowie die Überwachung privilegierter Benutzer wie zum Beispiel Systemadministratoren. IT-basierte Lösungen für die unternehmensweite Berechtigungsverwaltung erleichtern diese Aufgabe durch automatisierte Bereitstellung, Entziehung und Überprüfung von Zugriffsrechten. Idealerweise können sie in Echtzeit automatisierte Berechtigungsprozesse gemäß definierter Richtlinien auslösen, sobald zum Beispiel ein Mitarbeiter neu eingestellt wird, in eine andere Abteilung wechselt oder aus dem Unternehmen ausscheidet. Jedes Ereignis – selbst eine Änderung der Zuständigkeiten für ein Kurzzeitprojekt oder eine Urlaubsvertretung – sorgt dann für eine umgehende und präzise Anpassung der Zugriffsprivilegien eines Benutzers.

Viele Unternehmen planen daher zur Verbesserung der Datensicherheit und Compliance die Optimierung der IT-Berechtigungsprozesse durch die Einführung einer zentralen Identity-Management-Lösung. Während die Investitionen in Hardware- und Software-Lizenzen bei derartigen Projekten einfach zu ermitteln sind, fällt insbesondere die Abschätzung der Aufwände für Analyse, Optimierung und Dokumentation der betroffenen Prozesse schwer. Abhilfe schaffen hier spezielle Lösungsangebote für mittelständische Unternehmen, die sämtliche Projektstufen zu einem Festpreis anbieten, der für das Unternehmen von Anfang an klar kalkulierbar ist.

Basisfunktionen zur schrittweisen Einführung

Mit Identity-Management-Basispaketen erhalten mittelständische Unternehmen eine gute Grundlage, um unternehmerische Risiken entscheidend zu minimieren und regulatorische Vorgaben einzuhalten. Auf dieser Grundlage können sukzessive spezifische Unternehmensanforderungen realisiert oder zusätzliche Funktionalitäten wie zum Beispiel die Sicherheitsüberwachung durch sogenanntes Log Management ergänzt werden. Wird sich die Investition also langfristig rechnen? Absolut, vor allem für Unternehmen mit hoher Fluktuation, überwiegend befristeten Arbeitsverhältnissen oder einer großen Abhängigkeit von externen Arbeitskräften – insbesondere in derartigen Umgebungen führen Identity Management Lösungen nicht nur zu einem Zugewinn an Sicherheit, sondern helfen auch die Aufwände für den IT Betrieb spürbar zu reduzieren. Limitierte Budgets hin oder her: das Thema Datenschutz ist zwar ein alter Hut, Unternehmen sind jedoch gesetzlich dazu verpflichtet und unternehmerisch gut beraten, diesen zu pflegen.

Fragen zur Überprüfung der Identitäts- und Berechtigungsverwaltung

• Wie lange dauert es, einen neuen Mitarbeiter „arbeitsfähig" zu machen (Zugriffsberechtigung für die für seinen Arbeitsablauf erforderlichen IT-Tätigkeiten)?
• Werden Zugriffsrechte eines Mitarbeiters bei einem Abteilungs-/ Ortswechsel oder bei Verlassen des Unternehmens entzogen und wie viel Aufwand bedeutet dies?
• Welche Rechte haben Administratoren (Root-Account) und wie wird hier Datendiebstahl vermieden?
• Wie wird unberechtigter Zugriff auf Kunden- und Auftragsdaten verhindert?
• Ist das Unternehmen in der Lage, einen Mitarbeiter über den unsachgemäßen Gebrauch seiner personenbezogenen Daten zu informieren?
• Ist das Unternehmen in der Lage, einem Wirtschaftsprüfer oder einer Revisionsabteilung jederzeit Auskunft über Zugriffsberechtigungen zu geben?

Quelle: NetIQ

Bildquelle: NetIQ