Schützenswerte Daten unter Dach und Fach – Redundantes Monitoring im Access Management

In vielen Behörden und öffentlichen Einrichtungen werden große Mengen unstrukturierter Daten in Form von Dokumenten – oftmals mit hochsensiblen Inhalten – auf Fileservern, SharePoint und Applikationen gespeichert. Unter Risikoaspekten ist diese Form der Datenspeicherung besonders anfällig für missbräuchliche Nutzung: Denn die Weitergabe dateibasierter Daten stellt selbst für technische Laien keine Hürde dar.

Need-to-know heißt das Prinzip, durch welches Mitarbeiter ausschließlich bei Bedarf Kenntnis von Daten erlangen sollen. In Bezug auf Zugriffsrechte sollen sie nur solche Berechtigungen erhalten, die sie wirklich für ihre tägliche Arbeit benötigen. Dies klingt zunächst nach keiner besonders schwierigen Aufgabe, existieren doch auf Ebene der verschiedenen Betriebs- bzw. Verzeichnissysteme mehr als ausreichende technische Möglichkeiten zur Einschränkung des Verzeichniszugriffs.

Historische Strukturen

In der Praxis zeigt sich diese Aufgabe jedoch zunehmend komplex. Durch die Anforderungen der Fachabteilungen nach Verschachtelungen in der Berechtigungsstruktur, unterbrochener Vererbung, Herstellung von Querbeziehungen und oftmals ad-hoc vergebenen Direktberechtigungen einzelner Benutzer vorbei am wohldurchdachten Gruppenkonzept wird die Berechtigungsstruktur schnell unübersichtlich.

Doch wie kommt es zu solchen Situationen? Häufig ist die Ursache hierfür eine Kombination aus an technischen Usern orientierten Berechtigungsdialogen, unzähligen Konfigurationsmöglichkeiten, manuellen Fehlern bei der Berechtigungsvergabe und letztlich einer lückenhaften bis vollständig fehlenden Dokumentation. In vielen Fällen kann nicht mehr zeitnah und verlässlich nachvollzogen werden, wer auf welche Daten zugreifen darf – und vor allem: Wer diesen Zugriff zu welchem Zeitpunkt genehmigt hat.

Analysieren & Aufräumen – aber was dann?

Bestehende Analyse Tools geben Organisationen die Möglichkeit, sich einen Überblick über ihre aktuelle Berechtigungsstruktur zu verschaffen, diese zu analysieren, zu restrukturieren und zu vereinfachen. Doch wie kann eine dauerhafte Nachvollziehbarkeit bei der stetigen Veränderung einer Organisationsstruktur, wechselnden Aufgabenbereichen und Zuständigkeiten gewährleistet werden?

Diesen fortwährenden Veränderungsprozess lückenlos zu dokumentieren, gleichzeitig dafür zu sorgen, dass der technische IST-Zustand tatsächlich mit dem freigegebenen SOLL-Zustand übereinstimmt und dieser nicht umgangen werden kann, ist die eigentliche dauerhafte Herausforderung im Berechtigungsmanagement.

Der Schlüssel zu einem revisionssicheren Berechtigungsmanagement liegt folglich in der Kombination aus einer weitgehenden Automatisierung der Berechtigungsprozesse von Antragstellung bis Umsetzung, einer kontinuierlichen Überwachung und einem umfassenden Reporting: den Kernkompetenzen des BAYOOSOFT Access Manager.

Auslöser von Anpassungen des Berechtigungszustands können hier je nach Situation und betrieblichem Umfeld direkt die Anwender und Datenverantwortlichen über das Self Service Portal oder ein anderes System via API sein. Verknüpft mit einem kontinuierlichen Abgleich der tatsächlichen Berechtigungen gegen die Definition durch die Datenverantwortlichen führt dieser Lösungsansatz zu einer bislang nicht vorhandenen Transparenz der erteilten Zugriffsberechtigungen.

Angestrebtes Ziel der automatisierten Berechtigungsvergabe via Self Service ist die Verschiebung der Verantwortung und Abwicklung der Berechtigungsprozesse weg von den Administratoren und hin zu den Datenverantwortlichen. Denn nur, wenn keine Berechtigung mehr „am System vorbei“ vergeben wird, sondern lediglich über den vorgegebenen Beantragungs- und Freigabeworkflow, kann der definierte SOLL-Zustand nachhaltig beibehalten und unautorisierte Berechtigung vermieden werden.

Redundantes Monitoring

Durch die Einbindung der Fachverantwortlichen in den Berechtigungsprozess und die Übertragung damit verbundener Verantwortlichkeiten wird eine Sensibilisierung der jeweiligen Entscheider im Umgang mit der Vergabe von Zugriffsrechten auf „ihre“ Ressourcen herbeigeführt, wodurch sich die Datensicherheit entscheidend erhöhen lässt.

Der automatische Abgleich der technischen IST-Berechtigungen mit dem definierten SOLL-Zustand sowie das im Bedarfsfall automatische Zurücksetzen nicht autorisierter Veränderungen erhöht das Schutzniveau der Daten und verhindert neuen Wildwuchs in der Berechtigungsstruktur. Um das Risiko ungewollter Zugriffe auf schützenswerte Daten weiter zu reduzieren, kommt ergänzend das Reapproval für alle verwalteten Zugriffsrechte auf Fileservern, SharePoint und im Active Directory zum Einsatz.  Mit einer leicht verständlichen Bedienung über den Browser können Datenverantwortliche Zugriffsrechte intuitiv und einfach per „ja/nein“ bestätigen oder wiederrufen. Durch die Möglichkeit multiple Datenverantwortliche pro Ressource zu definieren kann die Bearbeitung auf verschiedene Köpfe verteilt werden. Somit wird der Prozess der Rezertifizierung so einfach wie möglich gestaltet. Sie werden nicht mit Papierbergen oder komplexem IT-Fachwissen konfrontiert und können ihre Aufgabe effizient bearbeiten. Das ermöglicht die Reduzierung der Rezertifizierungshürde, um so den Erfolg eines redundanten Monitorings für die im Unternehmen schützenswerten Daten zu gewährleisten.

DSGVO Konformität

Auch für die Einhaltung der Datenschutzgrundverordnung ist die Kenntnis über bestehende Rechte und deren Notwendigkeit ein erheblicher Faktor. Die Auswertung über einfache, für technische Laien verständliche Reports, die ohne IT-Know-How auf Knopfdruck erzeugt werden können, sorgt für maximale Transparenz für die Datenverantwortlichen und leistet somit einen wichtigen Beitrag zur Informationssicherheit in der Organisation. Um die Erstellung und Aufrechterhaltung des Verzeichnisses für Verarbeitungstätigkeiten zu unterstützen, müssen personenbezogene Daten gemäß Artikel 9 gekennzeichnet und der Verarbeitungszweck definiert werden. Das Reapproval wird hierfür mit den, an die Kategorien der Datenschutzgrundverordnung orientierten Datenschutzklassifizierungen kombiniert. Somit sind Datenverantwortliche jederzeit in der Lage, das Wesentliche zu erkennen: Wer hat auf welche Daten Zugriff, seit wann und von wem wurde dieser Zugriff genehmigt?

Fazit

Berechtigungsänderungen aufgrund personeller oder struktureller Veränderungen führen häufig zu einer Abweichung vom „Need-to- Know“-Prinzip und sorgen damit langfristig durch ein unkontrolliertes Wachstum an Berechtigungen für einen Verlust der Datensicherheit. Durch den Ansatz der Automatisierung bietet der Access Manager ein dauerhaftes Monitoring der Fileserver-, Share- Point- und Active-Directory-Rechte und wirkt diesem schleichenden Prozess dauerhaft entgegen. Gleichzeitig werden die Transparenz und das Bewusstsein für Datensicherheit in Behörden und öffentlichen Einrichtungen erhöht. Die Kombination von Datenschutzklassifizierungen als Kennzeichnung besonders schützenswerter Daten mit der redundanten Sicherung durch die leicht verständliche Überprüfung der Berechtigungssituation nehmen dabei die Datenverantwortlichen in die Pflicht, Verantwortung für die Erfüllung der Compliance-Anforderungen zu übernehmen.

Der BAYOOSOFT Access Manager ist ein probates Mittel, um in Behörden und öffentlichen Einrichtungen schützenswerte Daten durch automatisiertes Berechtigungsmanagement unter Dach und Fach zu bringen und damit bei geringem operativem Aufwand eine dauerhaft revisionssichere Berechtigungssituation zu gewährleisten.

Möchten Sie mehr über die Vorteile des automatisierten Berechtigungsmanagements erfahren?

Vereinbaren Sie noch heute einen Termin für eine individuelle Produktvorstellung oder schauen Sie bei einem unserer regelmäßigen Webinare vorbei. Unsere Experten für Berechtigungsmanagement stellen Ihnen den BAYOOSOFT Access Manager gerne persönlich vor:

Datenschutzerklärung