Sie sind hier: Home » Markt » Hintergrund

Passwort-Management & Compliance

Compliance-Vorgaben erfordern striktes Passwort-Management
Gibt es bei einem Unternehmen Admins mit uneingeschränkten privilegierten Rechten und keine Implementierung von rollenbasierten Zugriffs- und Kontrollsystemen, verstößt das gegen aktuell gültige gesetzliche und aufsichtsrechtliche Bestimmungen

(07.06.13) - Privilegierte Benutzerkonten, wie sie Administratoren besitzen, werden zunehmend als Einfallstor für Datensabotage oder -diebstahl genutzt. Unternehmen stehen hier in der Pflicht, ihre Sicherungsmaßnahmen deutlich auszuweiten und eine Lösung im Bereich Privileged Identity Management zu implementieren – allein schon im Hinblick auf gesetzliche und aufsichtsrechtliche Vorgaben, sagt Cyber-Ark. In zahlreichen international gültigen Bestimmungen und Compliance-Vorschriften finden sich Richtlinien und Vorgaben für das Passwort-Management. Beispiele hierfür sind ISO 27001 und ISO 27002, der Sarbanes-Oxley Act (SOX-Compliance), SAS70/SSAE16 oder Basel II. Aber auch in nationalen Gesetzestexten wie dem KonTraG (Gesetz zur Kontrolle und Transparenz im Unternehmensbereich), dem BDSG (Bundesdatenschutzgesetz) und dem KWG (Kreditwesengesetz) oder den GoBS (Grundsätze ordnungsmäßiger DV-gestützter Buchführungssysteme) finden sich entsprechende Regelungen für IT-Verantwortliche.

Konkrete Vorgaben zum Thema Passwort-Management sind zudem in Richtlinien des BSI (Bundesamt für Sicherheit in der Informationstechnik), in den Bestimmungen der Kreditkartenindustrie PCI-DSS (Payment Card Industry Data Security Standard) und in den MaRisk (Mindestanforderungen an das Risikomanagement) für Kreditinstitute enthalten.

In den IT-Grundschutz-Katalogen des BSI heißt es zum Thema "Passwortschutz für IT-Systeme" etwa: "Der Passwortschutz eines IT-Systems soll gewährleisten, dass nur solche Benutzer einen Zugriff auf die Daten und IT-Anwendungen erhalten, die eine entsprechende Berechtigung nachweisen." Im Eckpunktepapier "Sicherheitsempfehlungen für Cloud Computing Anbieter" hat das BSI diesen Aspekt im Hinblick auf das ID- und Rechtemanagement weiter präzisiert: "Das Rechtemanagement muss gewährleisten, dass jede Rolle nur die Daten (auch Metadaten) sehen darf, die zur Erfüllung der Aufgabe notwendig sind."

Auch das Datenschutz-Regelwerk der Kreditkartenindustrie, der Payment Card Industry Data Security Standard, fordert von allen Unternehmen, die Kreditkarten-Transaktionen tätigen, ein striktes Passwort-Management. Es wird unter anderem verlangt, dass keine Konten und Kennwörter für Gruppen beziehungsweise mehrere Personen genutzt werden, um sicherzustellen, dass jeder Benutzer identifizierbar ist. Deshalb seien Prozesse oder Systeme zu implementieren, die es ermöglichen, den Zugriff auf Systemkomponenten – insbesondere von Benutzern mit Administratorrechten – einem individuellen User zuzuordnen.

In den für Finanzdienstleister gültigen Richtlinien MaRisk (Mindestanforderungen an das Risikomanagement), die von der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) veröffentlicht werden, sind die Zugriffsrechte auf IT-Systeme ebenfalls geregelt. Hierzu wird ausgeführt: "Die eingerichteten Berechtigungen dürfen nicht im Widerspruch zur organisatorischen Zuordnung von Mitarbeitern stehen. Insbesondere bei Berechtigungsvergaben im Rahmen von Rollenmodellen ist darauf zu achten, dass Funktionstrennungen beibehalten beziehungsweise Interessenkonflikte vermieden werden."

"Eines zeigen die skizzierten Compliance-Vorgaben ganz klar: Gibt es bei einem Unternehmen Admins mit uneingeschränkten privilegierten Rechten und keine Implementierung von rollenbasierten Zugriffs- und Kontrollsystemen, verstößt das gegen aktuell gültige gesetzliche und aufsichtsrechtliche Bestimmungen", sagt Jochen Koehler, Regional Director DACH & Middle East bei Cyber-Ark in Heilbronn. "Hinsichtlich einer Erfüllung von Compliance-Anforderungen, einer Erhöhung der Sicherheit und auch einer Reduzierung des Administrationsaufwandes sollte somit jedes Unternehmen über ein zuverlässiges Privileged Identity Management verfügen, mit dem administrative Accounts automatisch verwaltet, regelmäßig geändert und überwacht werden können." (Cyber-Ark: ra)

Cyber-Ark: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

Meldungen: Europäische Kommission

Verluste von Kunststoffpellets verringern
Die Europäische Kommission begrüßt die zwischen dem Europäischen Parlament und dem Rat erzielte vorläufige Einigung über den Vorschlag der Kommission, die Verschmutzung durch Mikroplastik durch Kunststoffpellets in der gesamten Wertschöpfungskette, auch während des Transports, insbesondere auf See, zu regulieren und zu verhindern. Die neue Verordnung wird die Umwelt schützen und gleichzeitig sicherstellen, dass die europäischen Industrien weiterhin nachhaltig operieren und expandieren können.
Schutz vor möglichen Risiken in Spielzeug
Die Europäische Kommission begrüßt die vorläufige politische Einigung zwischen dem Europäischen Parlament und dem Rat über die neuen Vorschriften für die Sicherheit von Spielzeug im Anschluss an den Vorschlag der Kommission für eine Verordnung über die Sicherheit von Spielzeug vom 28. Juli 2023. Die neue Verordnung wird die Verwendung schädlicher Chemikalien wie PFAS, endokrine Disruptoren und Bisphenole in Spielzeug verbieten. Alle Spielzeuge werden über einen digitalen Produktpass verfügen, um zu verhindern, dass unsicheres Spielzeug, das online und offline verkauft wird, in die EU gelangt.
Zusammenarbeit im Verbraucherschutz (CPC-Netz)
Die Europäische Kommission und die nationalen Verbraucherschutzbehörden von 25 Mitgliedstaaten sowie Island und Norwegen haben die Ergebnisse einer Überprüfung ("Sweep") von Online-Händlern, die Gebrauchtwaren wie Kleidung, elektronische Geräte oder Spielzeug verkaufen, veröffentlicht. "Sweeps" werden von der Europäischen Kommission koordiniert und von den nationalen Durchsetzungsbehörden zeitgleich durchgeführt. Mit dem aktuellen Sweep sollte überprüft werden, ob die Praktiken dieser Händler mit dem EU-Verbraucherrecht im Einklang stehen. Die Verbraucherschutzbehörden überprüften 356 Online-Händler und stellten fest, dass 185 (52 Prozent) von ihnen möglicherweise gegen das EU-Verbraucherrecht verstoßen.
Ziele Wettbewerbsfähigkeit und Klimaschutz
Die Europäische Kommission hat ein neues Paket von Vorschlägen zur Vereinfachung der EU-Vorschriften und zur Steigerung der Wettbewerbsfähigkeit angenommen, das zusätzliche Investitionen freisetzen soll. Dies ist ein wichtiger Schritt nach vorn bei der Schaffung günstigerer Rahmenbedingungen für Unternehmen in der EU, damit diese wachsen, innovativ sein und hochwertige Arbeitsplätze schaffen können.
Stärkung der Arzneimittel-Lieferketten
Die Kommission hat einen Vorschlag für eine Verordnung vorgelegt, mit der die Verfügbarkeit kritischer Arzneimittel in der EU verbessert werden soll. Ziel des Vorschlags ist es, die menschliche Gesundheit zu schützen, indem Anreize für eine Diversifizierung der Lieferkette geschaffen werden und die Herstellung von Arzneimitteln in der EU gefördert wird. Dadurch wird die Arzneimittelbranche in der EU unterstützt, die einen großen Anteil an unserer Wirtschaftsleistung hat.

Geschlossene Fonds & Finanzprodukte auf Kredit Compliance bei BYOD