Absicherung des Zugangs zum Informationssystem

Die Kontrolle der Zugriffe auf das Informationssystem umfasst die unterschiedlichen Technologien, die die externen oder internen Zugriffe auf das Informationssystem sicherstellen.
Ähnlich dem deutschen BSI hat die ANSSI, die französische nationale Behörde für digitale Sicherheit, ein Papier mit dem Titel "Richtlinie für ein gesundes Informationssystem in 42 Maßnahmen" veröffentlicht. Es wird detailliert beschrieben, welche Maßnahmen zur Sicherung umgesetzt werden sollen. Dazu gehören unter anderem:

Für die externen Zugriffe auf das Informationssystem empfiehlt die ANSSI den Einsatz einer Lösung zur starken Authentifizierung, d. h. eine Lösung mit Multifaktor-Authentifizierung, die auf mindestens zwei unterschiedlichen Authentifizierungsmittel, basiert wie u. a.:
- Wissen (Benutzername, Passwort);
- Gegenstände im Besitz des Benutzers (Mitarbeiterausweis, Smartcard, magnetische Karte, RFID Token, Smartphone zum Empfangen eines SMS-Codes);
- Biometrische Eigenschaften des Benutzers (Fingerabdruck, Iris Scan, FaceID).
Zur Gewährleistung des Sicherheitsniveaus plädiert die ANSSI für den Einsatz von Chipkarten, alternativ die Benutzung von Einmal-Passwörtern (One Time Password/OTP), welche mit Hilfe eines physischen Tokens, wie z.B. einem Handy, bereitgestellt werden.

Ein Anwender mit privilegierten Berechtigungen ist ein Benutzer mit erweiterten Rechten, die es ihm ermöglichen, auf kritische Ressourcen des Informationssystems zuzugreifen und bezüglich dieser kritischen Ressourcen Aktionen durchzuführen.
Hierzu zählen häufig auch „Administrator Berechtigungen“, die internen Mitarbeitern oder externen Dienstanbietern zugewiesen werden, damit diese remote auf das Informationssystem zugreifen und Wartungs- oder Migrationsvorgänge o.ä. durchführen können.
Privilegierte Zugriffe sind schon immer die „Achillesferse“ von IT Systemen. Die vollständige Sicherheit der Konten mit den Berechtigungen für die internen Mitarbeiter, Dienstleister oder Lieferanten zu gewährleisten wird immer schwieriger. Es stellt eine Herausforderung für den IT Verantwortlichen dar, ein komplexes Berechtigungskonzept zu erstellen und nachzuvollziehen, wer gerade welche Aktion auf dem IT System durchführt.
Unsere Lösung zur Überwachung der privilegierten Benutzerkonten, auch „Privileged Access Management“ (PAM) genannt, stellt sich der Anforderung, die Sicherheit dieser privilegierten Zugriffe in Echtzeit zu gewährleisten: