Compliance: Bevor Hacker die Wasserversorgung kappen
Das Szenario ist filmreif: Hacker könnten die Wasserversorgung in Grossstädten manipulieren – mit dramatischen Folgen. Jedes Wasserwerk ist heute ein computergesteuertes IT-System und dementsprechend anfällig gegen einen gezielten digitalen Angriff. Die BSI-Kritisverordnung (BSI-KritisV) ist ein erster Entwurf des Bundesamtes für Sicherheit in der Informationstechnik (BSI) um Schutz und Klarheit zu schaffen.
8MAN ist eine führende Lösung für Access Rights Management (ARM) in Microsoft- und virtuellen Server-Umgebungen und schützt damit Unternehmen vor unberechtigten Zugriffen.
„Richtlinien zur Compliance sind hier überlebenswichtig“, warnt Matthias Schulte-Huxel, CSO für das Berliner ARM-System 8MAN. Die BSI-Kritisverordnung (BSI-KritisV) ist ein erster Entwurf des Bundesamtes für Sicherheit in der Informationstechnik (BSI) zur Schaffung einer Verordnung, mit der die Verantwortlichkeiten klar geregelt sind. ARM – das Access Rights Management – ist ein wesentlicher Bestandteil zur Absicherung kritischer Infrastrukturen:
„Neben dem Feind von aussen muss auch der interne Zugriff kontrolliert werden. Wer hat auf welche Systeme Zugriff, wie kann das überwacht werden – und was passiert im Fall eines Angriffs“, sagt Schulte-Huxel. Bereits heute sichert das Berliner System Unternehmen und ihre Netzwerke in unterschiedlichsten Branchen ab, auf Knopfdruck analysiert 8MAN die vorhandene Infrastruktur und legt die Rechtesituation offen.
Access Rights Management
Unbefugte Zugriffe auf Daten sind eine gefährliche Quelle für unkalkulierbare Risiken. Bei Infrastrukturen, deren Funktion unmittelbar mit dem staatlichen Gemeinwesen verbunden ist, ziehen Ausfälle oder Beeinträchtigungen erhebliche Störungen der öffentlichen Sicherheit und Gesundheit nach sich. Nur eine interne Lösung für das Access Rights Management kann hier den Nachweis führen, wer zu welcher Zeit Zugriff gehabt hat.
Ebenso kann bewiesen werden, dass ein Zugriff nicht möglich war. „Zur Zeit ist Fakt, dass jeder Mitarbeiter in einer solchen Infrastruktur einen Satz elektronischer Schlüssel für unkontrollierbar viele Türen hat. Mit denen kann er sich Zugang zu Systemteilen verschaffen, die nicht unmittelbar mit seiner Aufgabe verbunden sind. Und der Fingerabdruck, der dabei entsteht, wenn Mitarbeiter auf Daten zugreifen, die sie eigentlich nicht benötigen, wird bisher nicht analysiert“, beschreibt Matthias Schulte-Huxel von 8MAN die Situation.
Auf Knopfdruck macht 8MAN ersichtlich, wer welche Berechtigungen im Unternehmen hat. Diese Funktion erstreckt sich auf sämtliche digitale Systeme und umfasst auch Hintertüren wie Gruppenzugehörigkeiten. Damit schützt das so genannte „Need-to-know-Prinzip“ nicht nur das Unternehmen, sondern im Fall der Fälle auch den einzelnen Mitarbeiter.
Revisionssicherheit mit 8MAN
Die Berechtigungen können ebenso leicht verändert werden, jeder Eingriff wird dabei protokolliert. Über einfache Nutzerschnittstellen können jedoch auch Fachabteilungen individuell Rechte vergeben, ein Vieraugen-Prinzip und volle Protokollierung sichern den Prozess ab. 8MAN erfüllt bereits heute wesentliche Forderungen der Datenschutz-Grundverordnung DS-GVO, die auch für die KritisV verbindlich sein wird. „Mit 8MAN ist ein unbefugter Zugriff auf jede IT-Infrastruktur – ob kritisch oder nicht – ausgeschlossen. Selbst wenn die hochrangigste Person im Unternehmen sich alle Rechte verleiht, sämtliche Daten kopiert oder Manipulationen vornimmt und anschliessend die Berechtigungen wieder löscht: 8MAN ist Zeuge, eine Manipulation unserer Lösung ist nicht möglich“, so der 8MAN CSO Schulte-Huxel.
