(openPR) Konkretisierte BAIT-Anforderungen an das Identitäts- und Rechtemanagement – Vergabeprozess und Rezertifizierung als häufige Feststellungsquelle bei (Aufsichts-)Prüfungen – Besonderheiten bei privilegierten Nutzern – Vermeidung von Sicherheitslücken
Aktuelle Aufsichtsprüfungen haben zu (teilweise) schwerwiegenden Feststellungen im Bereich des Berechtigungsmanagements (u.a. Rechtevergabe, Rezertifizierung) geführt. IT-Risiken, Cyber-Angriffe und Lücken in der Informationssicherheit, die auf ein nicht aufsichtskonformes Berechtigungsmanagement zurückzuführen sind, führen zunehmend häufiger zu Ausfällen kritischer Geschäftsprozesse bei Banken und Unternehmen. Die neuen BAIT haben die zentrale Bedeutung des Identitäts- und Rechtemanagements daher noch einmal klar herausgestellt. Der Zugriff auf sensible Bankdaten & -prozesse soll nur durch die Personen erfolgen, die diesen Zugriff auch wirklich benötigen ("Need to know"-Prinzip). Aber wie kann der Rechtevergabe-Prozess institutsspezifisch definiert bzw. dokumentiert werden? In der Praxis stimmen eingerichtete Rechte oftmals nicht mit dem Rechtevergabekonzept und der IT-Strategie überein. Die Aufsicht fordert daher explizit eine risikoorientierte regelmäßige Überprüfung kritischer IT-Berechtigungen.
Das Institut hat nach Maßgabe des Schutzbedarfs und der Soll-Anforderungen Prozesse zur Protokollierung und Überwachung einzurichten, die überprüfbar machen, dass die Berechtigungen nur wie vorgesehen eingesetzt werden. Aufgrund der damit verbundenen weitreichenden Eingriffsmöglichkeiten hat das Institut insbesondere für die Aktivitäten mit privilegierten (besonders kritischen) Benutzer- und Zutrittsrechten angemessene Prozesse zur Protokollierung und Überwachung einzurichten.
Folgende Themen werden schwerpunktartig behandelt:
- Aktuelle regulatorische Vorgaben zur Identitäts-/Rechtevergabe und Rezertifizierung
- Zentralle Prüfungsschwerpunkte und häufig identifizierte Schwachstellen in der Praxis
- Funktionsbezogene und kompetenzgerechte Berechtigungsvergabe
- Schaffung eines einheitlichen Risikobewusstseins im Berechtigungsmanagement
- IT-unterstützte Vergabe, Überprüfung, Rezertifizierung und Dokumentation von Identitäten und Benutzerrechten
Weitere Informationen erhalten Sie unter: Berechtigungsmanagement im Fokus der Aufsicht | AH Akademie für Fortbildung Heidelberg GmbH (akademie-heidelberg.de)
