Identity Governance: Der Schlüssel zu sicherem und effizientem Zugriffsmanagement

Identity Governance ist das Rahmenwerk aus Richtlinien, Prozessen und Kontrollen, das sicherstellt, dass die richtigen Personen zum richtigen Zeitpunkt den richtigen Zugriff auf die richtigen Systeme haben und dass dieser Zugriff kontrolliert, geprüft und konform ist. Ein einziger Satz gültiger Anmeldeinformationen genügt einem Angreifer, um sich unbemerkt in den Systemen einer Organisation zu bewegen: Identität ist der neue Perimeter. Empfohlene Maßnahmen: Implementieren Sie rollenbasierte Zugriffskontrolle (RBAC) mit klar definierten Rollen, führen Sie vierteljährliche Zugriffsüberprüfungen für privilegierte Konten und jährliche Überprüfungen für Standardkonten durch, automatisieren Sie die Bereitstellung und Deaktivierung von Zugriffen, um verwaiste Konten zu eliminieren, und führen Sie Audit-Logs, die die Einhaltung von DSGVO , HIPAA , SOX und PCI DSS dokumentieren.

Kurzantwort: Was ist Identitätsmanagement?

Identity Governance ist die Überwachungs- und Compliance-Ebene des Identity and Access Management (IAM). Während IAM die technische Infrastruktur zur Erstellung, Authentifizierung und Autorisierung digitaler Identitäten umfasst, konzentriert sich Identity Governance darauf, sicherzustellen, dass Identitäten und Zugriffsrechte angemessen, genehmigt, regelmäßig überprüft und auditierbar sind. Sie beantwortet die Frage: Können wir, wenn wir kontrollieren können, wer worauf Zugriff hat, auch nachweisen, dass wir dies korrekt tun? Identity Governance wird operationalisiert durch Rollendefinitionen, Workflows zur Bereitstellung und Entzug von Zugriffsrechten, regelmäßige Zugriffsüberprüfungen und -zertifizierungen, Richtlinienmanagement und Auditberichte. Sie ist in den meisten wichtigen Compliance-Rahmenwerken (DSGVO, HIPAA, SOX, PCI DSS, ISO 27001) vorgeschrieben, da der unberechtigte Zugriff auf sensible Systeme und Daten ein Hauptrisiko darstellt, dem diese Rahmenwerke begegnen.

Identitätsverwaltung vs. allgemeines IAM

Identitäts- und Zugriffsmanagement (IAM) ist der umfassende Rahmen für die Verwaltung digitaler Identitäten und die Kontrolle des Zugriffs auf Ressourcen. Es umfasst die technische Infrastruktur und die Prozesse zur Erstellung, Verwaltung und Authentifizierung von Identitäten sowie zur Autorisierung von Zugriffen. Identitätsgovernance bildet die Governance-Ebene innerhalb von IAM: die Richtlinien, Prüfprozesse und Kontrollmechanismen, die sicherstellen, dass Identitäten und Zugriffsrechte regelkonform, nachvollziehbar und risikokontrolliert verwaltet werden.

Abmessungen	IAM	Identitätsgovernance
Hauptfrage	Wer hat Zugriff auf welche Daten, und wie wird das kontrolliert?	Ist dieser Zugriff angemessen, genehmigt und nachvollziehbar?
Primäre Werkzeuge	Verzeichnisdienste, Authentifizierungssysteme, Autorisierungsrichtlinien, MFA	Zugriffsprüfungs-Workflows, Rollenverwaltung, Richtliniendokumentation, Audit-Protokollierung
Hauptzielgruppe	IT-Sicherheits- und Infrastrukturteams	Sicherheits-, Compliance-, Prüfungs-, Personal- und Geschäftsbereichsbeteiligte
Beziehung zur Einhaltung	Ermöglicht die technische Durchsetzung von Zugriffskontrollanforderungen	Zeigt den Prüfern, dass die Anforderungen an die Zugriffskontrolle erfüllt werden.
Beispielhafte Fähigkeit	Benutzer mit Rollenzuweisung in Active Directory bereitgestellt.	Vierteljährliche Bestätigung des Managers, dass die zugewiesene Rolle noch angemessen ist

Warum Identitätsgovernance wichtig ist

Digitale Zugangsdaten sind im Bereich der Unternehmenssicherheit das am häufigsten angegriffene Ziel, da sie im Gegensatz zu ungewöhnlichem Netzwerkverhalten keine Warnmeldungen auslösen. Ein Angreifer mit gültigen Zugangsdaten erscheint den meisten Sicherheitsüberwachungstools wie ein autorisierter Benutzer. Laut dem Verizon Data Breach Investigations Report sind gestohlene oder kompromittierte Zugangsdaten an der Mehrzahl der Datenpannen mit Beteiligung externer Akteure beteiligt.

Identity Governance reduziert den Wert kompromittierter Zugangsdaten auf zweierlei Weise. Erstens beschränkt sie durch die Durchsetzung des Prinzips der minimalen Berechtigungen den Zugriff einzelner Zugangsdaten: Ein kompromittiertes Standardbenutzerkonto kann beispielsweise nicht auf sensible Finanzsysteme, Verwaltungskonsolen oder Datenspeicher zugreifen, die für die jeweilige Rolle nicht erforderlich sind. Zweitens stellt Identity Governance durch regelmäßige Zugriffsüberprüfungen und Audit-Trails sicher, dass übermäßige Zugriffsrechte erkannt und entfernt werden, bevor Angreifer sie ausnutzen können. Zudem werden verdächtige Zugriffsaktivitäten in Protokollen sichtbar gemacht, die Untersuchungen auslösen können.

Kernelemente der Identitätssteuerung

1. Identitätslebenszyklusmanagement

Das Management des Identitätslebenszyklus umfasst alle Phasen einer digitalen Identität: Erstellung (Bereitstellung), Änderung (Aktualisierung bei Rollenwechsel) und Löschung (Deaktivierung). Der häufigste Fehlerpunkt ist die Deaktivierung: Konten, die nicht umgehend entfernt werden, wenn ein Benutzer das Unternehmen verlässt oder seine Rolle ändert, werden zu verwaisten Konten und stellen ein unkontrolliertes Einfallstor für Angriffe dar. Die Identitätsverwaltung erfordert definierte Zeitfenster für die Deaktivierung (in der Regel 24 Stunden bei Ausscheiden, am selben Tag bei Kündigung aus wichtigem Grund) sowie einen Prüfnachweis über die erfolgte Deaktivierung.

2. Rollenbasierte Zugriffskontrolle (RBAC)

RBAC weist Berechtigungen Rollen statt einzelnen Benutzern zu. Benutzer werden Rollen zugeordnet, die ihren Aufgaben entsprechen, und die Zugriffsrechte leiten sich von der Rollenzugehörigkeit ab. Dies vereinfacht die Zugriffsverwaltung (Änderungen der Benutzerzugriffe erfordern lediglich die Änderung der Rolle, nicht die Anpassung der Berechtigungen in allen Systemen), setzt das Prinzip der minimalen Berechtigungen durch (Rollen enthalten nur die Berechtigungen, die für die jeweilige Aufgabe erforderlich sind) und vereinfacht Zugriffsprüfungen (Prüfer bewerten die Angemessenheit der Rolle, nicht Hunderte einzelner Berechtigungen).

Rollendefinitionen sollten dem Prinzip der minimalen Berechtigungen folgen: Jede Rolle sollte nur die minimal erforderlichen Zugriffsrechte für die von ihr unterstützten Aufgaben enthalten. Rollen, deren Berechtigungen im Laufe der Zeit immer weiter anwachsen (Rollenausweitung), stellen ein Governance-Versagen und ein Sicherheitsrisiko dar: Regelmäßige Rollenüberprüfungen sollten Berechtigungen identifizieren und entfernen, die für die aktuelle Rollendefinition nicht mehr benötigt werden.

3. Richtlinienverwaltung

Richtlinien zur Identitätsverwaltung definieren die Regeln für die Verwaltung von Identitäten, die jeweiligen Zugriffsrechte, den Prüf- und Zertifizierungsplan sowie die Vorgehensweise bei Zugriffsverletzungen. Diese Richtlinien müssen dokumentiert, regelmäßig überprüft und bei Änderungen der Organisationsstruktur, der Geschäftsprozesse oder der regulatorischen Anforderungen aktualisiert werden. Die Richtliniendokumentation dient als Nachweis gegenüber Prüfern, dass die Verwaltung von Identitäten planvoll und nicht willkürlich erfolgt.

4. Zugriff auf Bewertungen und Zertifizierungen

Zugriffsüberprüfungen sind regelmäßige Prozesse, in denen Manager oder Systemverantwortliche überprüfen und bestätigen, dass die Zugriffsrechte der Benutzer weiterhin ihren aktuellen Aufgaben entsprechen. Die Zertifizierung ist die formale Bestätigung, dass der Zugriff geprüft und genehmigt wurde. Überprüfungen sollten mindestens vierteljährlich für privilegierte Konten und jährlich für Standardkonten durchgeführt werden. Zusätzlich sind ereignisgesteuerte Überprüfungen erforderlich, beispielsweise bei einem Rollenwechsel der Benutzer, einem Sicherheitsvorfall oder einer anstehenden behördlichen Prüfung.

Die Ergebnisse von Zugriffsüberprüfungen müssen Abhilfemaßnahmen beinhalten: Jeder als unangemessen identifizierte Zugriff muss umgehend entfernt werden. Zugriffsüberprüfungen, die zwar Probleme aufdecken, aber keine Abhilfemaßnahmen nach sich ziehen, dokumentieren lediglich ein Versagen und liefern keinen Nachweis für die Wirksamkeit der Kontrollmaßnahmen.

5. Prüfung und Berichterstattung

Für ein effektives Identitätsmanagement sind detaillierte Protokolle aller Benutzerzugriffe (Zugriffsanfragen, Genehmigungen, Ablehnungen, Zugriffsnutzung) sowie aller Verwaltungsaktivitäten (Bereitstellungsereignisse, Rollenänderungen, abgeschlossene Zugriffsprüfungen, Deaktivierungsereignisse) erforderlich. Diese Protokolle erfüllen drei Funktionen: die Erkennung anomaler Zugriffe, die auf eine Kompromittierung oder eine Bedrohung durch Insider hindeuten können; die Bereitstellung forensischer Beweise zur Untersuchung von Sicherheitsvorfällen; und der Nachweis der Einhaltung von Vorschriften gegenüber Prüfern und Aufsichtsbehörden.

Bedrohungsmodell für Identitätsgovernance

Bedrohung	Wie es auftritt	Kontrolle der Identitätsverwaltung	Warum es das Risiko verringert
Diebstahl von Zugangsdaten und seitliche Bewegung	Angreifer kompromittiert die Zugangsdaten eines Benutzers und nutzt dessen Zugriff, um auf sensible Systeme zuzugreifen oder Berechtigungen zu erweitern.	Rollendefinitionen nach dem Prinzip der geringsten Berechtigungen; Netzwerksegmentierung von Zugriffsrechten	Beschränkt die Reichweite kompromittierter Zugangsdaten; für eine seitliche Ausbreitung ist die Überwindung zusätzlicher Zugangsbarrieren erforderlich.
Verwaiste Konten	Ein ehemaliges Mitarbeiter-, Auftragnehmer- oder Servicekonto behält weiterhin aktiven Zugriff, obwohl es nicht mehr benötigt wird; ein Angreifer entdeckt und nutzt das Konto aus.	Automatisierte Deaktivierung in Verbindung mit Ereignissen im HR-System; regelmäßige Zugriffsüberprüfungen zur Identifizierung von Konten ohne aktuelle Nutzung.	Eliminiert die unkontrollierte Angriffsfläche von Konten, die keinen legitimen Inhaber mehr haben.
Privilegienausweitung (Rollenakkumulation)	Ein Benutzer sammelt im Laufe der Zeit durch Rollenwechsel immer mehr Berechtigungen an, bis seine Zugriffsrechte die Anforderungen seiner aktuellen Rolle weit übersteigen.	Zugriffsprüfungen zur Beurteilung der Eignung der aktuellen Rolle; automatisierter Entzug von Berechtigungen, die nicht mit der aktuellen Rollenzuweisung verknüpft sind	Verringert den Wirkungsradius einer Kompromittierung einzelner Konten, indem Berechtigungen an die aktuelle Aufgabenstellung angepasst werden.
Insider-Bedrohung	Ein Mitarbeiter mit legitimen Zugriffsrechten entwendet vorsätzlich Daten oder sabotiert Systeme.	Das Prinzip der minimalen Berechtigungen beschränkt den Zugriff von Insidern; die Protokollierung von Zugriffsmustern liefert forensische Spuren; die Anomalieerkennung von Zugriffsmustern identifiziert ungewöhnliche Aktivitäten.	Verhindert zwar keine Insiderbedrohungen, begrenzt aber deren Ausmaß und verbessert deren Erkennung und Zuordnung.
Missbrauch des Zugriffs durch Dritte	Ein Lieferant, Auftragnehmer oder Partner mit legitimen Zugriffsrechten auf ein System nutzt dieses über den vorgesehenen Rahmen hinaus oder behält den Zugriff nach Beendigung des Auftrags.	Zeitlich begrenzte Zugriffsrechte für Dritte; separater Überprüfungszyklus für Drittanbieterkonten; automatischer Ablauf des Drittanbieterzugriffs	Beschränkt Dauer und Umfang des Zugriffs Dritter und stellt sicher, dass der Zugriff mit dem Ende der Geschäftsbeziehung endet.
Verstoß gegen die Funktionstrennung	Ein einzelner Benutzer hat die Berechtigung, Finanztransaktionen zu initiieren und zu genehmigen oder Codeänderungen zu erstellen und auszuführen, wodurch Betrug oder nicht überprüfte Änderungen ermöglicht werden.	Definitionen der SOD-Richtlinie (Segregation of Duties), die widersprüchliche Berechtigungspaare identifizieren; automatisierte Erkennung und Alarmierung bei SOD-Verstößen während der Bereitstellung	Erfordert mehrere unabhängige Akteure zur Durchführung risikoreicher Prozesse und verhindert so Szenarien, in denen ein einzelnes kompromittiertes oder böswilliges Konto erheblichen Schaden anrichten kann.

Compliance-Mapping

Rechtliches	Relevante Anforderungen an die Identitätsverwaltung	Spezifische Kontrolle
Datenschutz	Der Zugriff auf personenbezogene Daten ist auf autorisiertes Personal nach dem Need-to-know-Prinzip beschränkt; die Zugriffsrechte werden regelmäßig überprüft.	RBAC mit minimalen Berechtigungen; regelmäßige Zugriffszertifizierung
HIPAA	Zugriffskontrollen, die den Zugriff auf elektronische Gesundheitsdaten auf autorisiertes Personal beschränken; regelmäßige Überprüfung der Zugriffsrechte	Rollenbasierter Zugriff auf klinische Systeme; vierteljährliche Überprüfung privilegierter Konten
SOX	Interne Kontrollen der Finanzberichterstattung; Zugriffskontrollen und Funktionstrennung für finanziell bedeutende Systeme	SOD-Richtlinien für Rollen in Finanzsystemen; jährliche Zugriffsrezertifizierung; Prüfprotokolle für Zugriffsänderungen
PCI DSS	Der Zugriff auf Karteninhaberdaten ist auf diejenigen beschränkt, deren Tätigkeit dies erfordert; die Zugriffskontrollrichtlinien werden regelmäßig überprüft.	Rollen mit den geringsten Berechtigungen für Zahlungssysteme; vierteljährliche Zugriffsüberprüfungen im CDE
ISO 27001	Zugriffsrechte werden regelmäßig und bei Rollenwechsel überprüft.	Definierter Zeitplan für Zugriffsüberprüfungen; ereignisgesteuerte Überprüfungen bei Rollenänderungen
NIST-SP 800-53	Zugriffskontrollrichtlinie (AC-1); Kontoverwaltung (AC-2); Funktionstrennung (AC-5); Prinzip der minimalen Berechtigungen (AC-6)	Dokumentierte Zugriffskontrollrichtlinie; automatisierte Kontolebenszyklusverwaltung; SOD-Definitionen

Einsatzbeispiel: Finanzdienstleistungsorganisation

Ein Finanzdienstleistungsunternehmen mit 2,000 Mitarbeitern, 50 Auftragnehmern und Systemen, die von einer Kernbankenplattform bis hin zu Cloud-SaaS-Anwendungen reichen, implementiert Identity Governance in sechs Schritten:

1. Entwicklung des Rollenkatalogs: Die Organisation definiert Rollen für jede Funktion in allen Systemen und ordnet jeder Rolle die erforderlichen Mindestberechtigungen zu. Die Rollen werden gemeinsam von IT, Personalabteilung, Compliance-Abteilung und den jeweiligen Fachbereichsverantwortlichen definiert.
2. Bereitstellungsautomatisierung: Die Identity-Governance-Plattform ist in das HR-System integriert. Wird ein neuer Mitarbeiter im HR-System angelegt, erstellt der Bereitstellungs-Workflow automatisch Konten in allen relevanten Systemen basierend auf der Berufsbezeichnung und Abteilung des Mitarbeiters, weist die entsprechenden Rollen zu und versendet eine Willkommensbenachrichtigung. Eine manuelle IT-Bereitstellung ist nicht erforderlich.
3. Automatisierung der Deaktivierung: Wird eine Mitarbeiterkündigung im HR-System erfasst, deaktiviert der Deaktivierungs-Workflow innerhalb von 24 Stunden automatisch die Mitarbeiterkonten in allen integrierten Systemen und entfernt die Rollenzuweisungen. Bei Kündigungen aus wichtigem Grund wird der Workflow unmittelbar nach der HR-Maßnahme ausgelöst.
4. Vierteljährliche Zugriffsüberprüfungen: Vierteljährlich erhalten die Führungskräfte für jeden ihrer direkt unterstellten Mitarbeiter eine Überprüfungsaufgabe, in der die Systeme und Rollen aufgelistet sind, auf die der jeweilige Benutzer Zugriff hat. Die Führungskräfte bestätigen oder entziehen die Zugriffsrechte. Nicht bestätigte Zugriffe werden nach einer festgelegten Frist automatisch entzogen. Zugriffsüberprüfungen für privilegierte Konten (Administratorrechte, Zugriff auf Kernbankensysteme) werden sowohl von der Führungskraft als auch vom Systemverantwortlichen durchgeführt.
5. SOD-Durchsetzung: Das Identitätsverwaltungssystem prüft jede Bereitstellungsanfrage anhand einer SOD-Richtlinienmatrix, die widersprüchliche Berechtigungspaare identifiziert (z. B. die Berechtigung zum Initiieren und Genehmigen von Überweisungen). Anfragen, die zu SOD-Verstößen führen würden, werden zur Compliance-Prüfung markiert, anstatt automatisch bearbeitet zu werden.
6. Prüfberichte: Die Plattform generiert vierteljährliche Zugriffszertifizierungsberichte, Berichte über den Abschluss der Deaktivierung, Protokolle über Verstöße gegen die SOD-Richtlinien und Anomalieberichte (Konten ohne aktuelle Anmeldeaktivitäten; Rollenzuweisungen, die sich außerhalb des Standard-Bereitstellungsworkflows geändert haben), die vom Compliance-Team geprüft und für behördliche Audits zur Verfügung gestellt werden.

Best Practices für Identity Governance

1. Integration von Identity Governance in HR-Systeme: Die Automatisierung der Bereitstellung und Aufhebung von Zugriffsrechten ist nur dann effektiv, wenn sie durch verlässliche HR-Daten ausgelöst wird. Die Integration mit dem zentralen HR-System gewährleistet, dass Ereignisse wie Eintritt, Versetzung und Austritt automatisch und ohne manuelle IT-Ticket-Erstellung an die Zugriffskontrollen weitergegeben werden.
2. Einbindung von Stakeholdern außerhalb der IT-Branche: Zugriffsprüfungen erfordern Geschäftskontext, der der IT nicht zur Verfügung steht. Führungskräfte müssen an der Zertifizierung mitwirken, ob die Zugriffsrechte ihres Teams angemessen sind. Compliance-Teams müssen die Prüfpläne und Eskalationswege festlegen. Fachbereichsverantwortliche müssen sicherstellen, dass die Rollendefinitionen die aktuellen Aufgaben widerspiegeln.
3. Automatisierte Zugriffsüberprüfungen für mehr Skalierbarkeit: Manuelle Zugriffsprüfungen für Tausende von Benutzer-System-Kombinationen sind nicht praktikabel. Die Automatisierung, die Prüfern vorausgefüllte Zugriffslisten bereitstellt, Änderungen seit der letzten Prüfung kennzeichnet und den Abschluss von Korrekturmaßnahmen verfolgt, macht Zugriffsprüfungen auch im Unternehmensmaßstab praktikabel.
4. Überprüfen und aktualisieren Sie regelmäßig die Rollendefinitionen: Aufgabenbereiche entwickeln sich weiter. Rollen, die vor zwei Jahren definiert wurden, spiegeln möglicherweise nicht mehr die benötigten Berechtigungen wider. Rollendefinitionen sollten jährlich überprüft und bei wesentlichen Änderungen der Geschäftsprozesse aktualisiert werden.
5. Governance-Kennzahlen messen und darüber berichten: Governance ohne Kennzahlen ist reine Show. Messen Sie stattdessen: die durchschnittliche Zeit bis zur Deaktivierung ausscheidender Nutzer; den Anteil der planmäßig abgeschlossenen Zugriffsüberprüfungen; die Anzahl der erkannten und behobenen Verstöße gegen die Sicherheitsrichtlinie; die Anzahl der bei Überprüfungen entdeckten verwaisten Konten. Verfolgen Sie die Entwicklung dieser Kennzahlen im Zeitverlauf, um Verbesserungen im Programm nachzuweisen.

Einschränkungen und Herausforderungen

• Überprüfungen des Zugangs per Stempel: Zugriffsprüfungen sind nur dann effektiv, wenn sich die Prüfer eingehend mit dem jeweiligen Zugriff auseinandersetzen. In Organisationen, in denen Zugriffsprüfungen als reiner Verwaltungsaufwand behandelt werden, der schnell abgehakt werden soll, vermittelt die Prüfung zwar den Anschein von Kontrolle, ohne diese tatsächlich zu gewährleisten. Dies ist eine Herausforderung im Bereich Governance und Unternehmenskultur, keine technologische Einschränkung.
• Integrationslücken in fragmentierten IT-Umgebungen: Die Automatisierung des Identitätsmanagements hängt von der Integrationsfähigkeit mit allen relevanten Systemen ab. Organisationen mit Altsystemen, abteilungsintern verwalteten Anwendungen oder Schatten-IT-Ressourcen, die nicht mit der Identitätsmanagement-Plattform verbunden sind, weisen Lücken in ihrer Zugriffskontrolle auf.
• Rollenvermehrung: Organisationen, die zu viele eng gefasste Rollen definieren, erzeugen einen Verwaltungsaufwand, der die Effizienzvorteile der rollenbasierten Zugriffskontrolle (RBAC) zunichtemacht. Die Verwaltung des Rollenkatalogs, einschließlich der Richtlinien für die Erstellung neuer Rollen und die Anpassung bestehender Rollen, ist eine fortlaufende Aufgabe.
• Sicherheit vs. operative Geschwindigkeit: Strenge Bereitstellungsprozesse und Zugriffskontrollen können die Einarbeitungszeit neuer Benutzer verlangsamen. Diese Problematik ist real und muss durch gut konzipierte Self-Service-Workflows und klare Eskalationswege für berechtigte, dringende Zugriffsanforderungen bewältigt werden, anstatt Governance-Kontrollen zu umgehen.

Wie Verschlüsselungsberatung helfen kann

Identitätsmanagement ist eng mit Verschlüsselung und Schlüsselverwaltung verknüpft, überall dort, wo Zugriffskontrollen kryptografische Ressourcen schützen. Die privaten Schlüssel Ihrer PKI, die Signaturschlüssel für Code und Dokumente sowie die Verschlüsselungsschlüssel zum Schutz sensibler Datenspeicher erfordern Zugriffskontrollen, die genauso streng sind wie die Kontrollen des Identitätsmanagements zum Schutz anderer sensibler Ressourcen.

• Verschlüsselungsberatungsdienste: UNSERE Verschlüsselungsberatung Beurteilen Sie, wie Ihre Organisation den Zugriff auf kryptografische Schlüssel und die Zertifikatsinfrastruktur kontrolliert, identifizieren Sie Lücken in den Zugriffskontrollen und den Richtlinien für das Schlüsselmanagement und empfehlen Sie Verbesserungen, die mit NIST SP 800-57 und den regulatorischen Anforderungen übereinstimmen.
• Beratungsleistungen im Bereich Compliance: UNSERE Compliance-Beratungsdienste Wir unterstützen Organisationen bei der Entwicklung von Identity-Governance-Kontrollen, die den Anforderungen der DSGVO, HIPAA, SOX und PCI DSS entsprechen, einschließlich Zugriffsprüfungsplänen, Richtliniendokumentation und Audit-Berichtsstrukturen.
• HSM als Dienstleistung: HSM als Service bietet hardwaregestützte Zugriffskontrollen für die sensibelsten kryptografischen Schlüssel in Ihrer Umgebung und stellt so sicher, dass selbst privilegierte Administratoren keine privaten Schlüssel exportieren können und dass jeder Zugriff auf Schlüsseloperationen protokolliert und nachvollziehbar ist.
• CBOM Secure: CBOM Secure Erkennt kryptografische Assets in Ihrer gesamten Umgebung, einschließlich Zertifikaten, Schlüsseln und Algorithmen, und liefert so das notwendige Inventar, um festzustellen, welche kryptografischen Assets Kontrollen der Identitätsverwaltung erfordern und wo Zugriffskontrolllücken bestehen.

Fazit

Identity Governance ist keine bloße Pflichterfüllung. Sie ist die operative Disziplin, die darüber entscheidet, ob Ihre Zugriffskontrollen die aktuelle Geschäftsrealität widerspiegeln, ob die Zugriffsrechte ausscheidender Mitarbeiter umgehend entfernt werden, ob privilegierte Konten regelmäßig überprüft werden und ob Sie einem Prüfer oder einer Aufsichtsbehörde nachweisen können, dass Ihr Zugriffsmanagementprogramm wie vorgesehen funktioniert.

Die häufigsten Fehlerursachen sind vorhersehbar: verwaiste Konten nach fehlgeschlagener Deaktivierung, schleichende Ausweitung von Berechtigungen durch im Laufe der Zeit angehäufte Rollenzuweisungen, formale Zugriffsprüfungen ohne Folgemaßnahmen und Lücken in der Abdeckung in Umgebungen, in denen Identity Governance nicht in alle Systeme integriert ist. Ein gut implementiertes Identity-Governance-Programm begegnet all diesen Problemen durch die Kombination von Automatisierung mit einer sinnvollen menschlichen Kontrolle der Zugriffsentscheidungen.

Häufig gestellte Fragen

Was ist Identity Governance und wie unterscheidet sie sich von IAM?

IAM umfasst die technische Infrastruktur zur Verwaltung digitaler Identitäten und zur Autorisierung von Zugriffen. Identity Governance bildet die Kontrollinstanz innerhalb von IAM: Sie stellt sicher, dass Zugriffe angemessen sind, regelmäßig überprüft werden und auditierbar sind. IAM klärt, wer worauf zugreifen darf; Identity Governance klärt, ob diese Zugriffe korrekt kontrolliert werden und die Einhaltung der Vorschriften nachweislich gewährleistet ist.

Was ist rollenbasierte Zugriffskontrolle (RBAC) und wie unterstützt sie die Identitätsverwaltung?

RBAC (Rollenbasierte Zugriffskontrolle) weist Rollen, die ihren Aufgaben entsprechen, Berechtigungen zu, und Benutzer werden diesen Rollen zugeordnet. Es vereinfacht die Zugriffsverwaltung, setzt das Prinzip der minimalen Berechtigungen durch und ermöglicht praktische Zugriffsprüfungen, indem Prüfer die Eignung von Rollen anstatt hunderter einzelner Berechtigungen bewerten können. Es bildet die Grundlage der meisten Identity-Governance-Frameworks und wird von NIST SP 800-53, ISO 27001 und SOX gefordert oder empfohlen.

Welche Vorschriften erfordern Kontrollmechanismen für das Identitätsmanagement?

Die DSGVO schreibt vor, den Zugriff auf personenbezogene Daten einzuschränken und regelmäßig zu überprüfen. HIPAA fordert Zugriffskontrollen, die den Zugriff auf elektronische Gesundheitsdaten (ePHI) auf autorisiertes Personal beschränken. SOX fordert Zugriffskontrollen und Funktionstrennung für finanziell bedeutende Systeme. PCI DSS fordert, den Zugriff auf Karteninhaberdaten einzuschränken und regelmäßig zu überprüfen. ISO 27001 fordert, Zugriffsrechte regelmäßig und bei Rollenwechsel zu überprüfen.

Was ist das Prinzip der geringsten Privilegien und warum ist es grundlegend für die Identitätspolitik?

Das Prinzip der minimalen Berechtigungen bedeutet, dass Benutzer nur über die für ihre legitimen Aufgaben erforderlichen Mindestberechtigungen verfügen. Dadurch wird der Schaden durch kompromittierte oder missbrauchte Konten begrenzt. Identitätsmanagement setzt dies durch Rollendefinitionen, Zugriffsüberprüfungen zur Entfernung überflüssiger Berechtigungen, zeitnahe Deaktivierung von Berechtigungen und SOD-Kontrollen um.

Wie häufig sollten Zugriffsüberprüfungen durchgeführt werden?

Vierteljährliche Mindestprüfung für privilegierte Konten; jährliche Prüfung für Standardkonten; ereignisgesteuert bei Rollenwechsel, Ausscheiden aus dem Unternehmen oder Sicherheitsvorfall. SOX schreibt in der Regel eine jährliche Rezertifizierung für finanziell bedeutende Systeme vor; PCI DSS fordert mindestens vierteljährliche Überprüfungen im Bereich der Karteninhaberdaten.

Was versteht man unter De-Provisioning und warum ist es so wichtig für die Sicherheit?

Die Deaktivierung von Benutzerkonten entfernt deren Zugriffsrechte, sobald diese nicht mehr benötigt werden. Nicht umgehend deaktivierte Konten werden zu verwaisten Konten: Sie sind zwar aktiv, aber nicht überwacht und haben keinen aktuellen Inhaber. Verwaiste Konten stellen ein häufiges Einfallstor für Angriffe sowohl ehemaliger Insider als auch externer Angreifer dar. Identitätsmanagement erfordert die Deaktivierung von Benutzerkonten innerhalb definierter Zeitfenster mit Nachweis des Abschlusses durch Audits.