Berechtigungsmanagement im Fokus der Aufsicht

• Aktuelle regulatorische Vorgaben (u. a. DORA!) zur Identitäts- / Rechtevergabe (IAM / SOD) und Rezertifizierung
• Verantwortung im Spannungsfeld zw. IT- und Fachbereichen
• Prüfungsschwerpunkte und häufig identifizierte Schwachstellen
• Funktionsbezogene und kompetenzgerechte Berechtigungsvergabe – Besonderheiten bei privilegierten Nutzern /Super-Usern
• Sichere Vorgehensweise bei der Überprüfung, Rezertifizierung und Dokumentation von Identitäten und Rechten

DORA stellt hohe Anforderungen an digitale Sicherheitsaspekte in Banken. Aktuelle Prüfungen haben zu (teilweise) schwerwiegenden Feststellungen im Bereich des Berechtigungsmanagements / IAM (u. a. Rechtevergabe, Rezertifizierung) geführt. IT-Risiken, Cyber-Angriffe und Lücken in der Informationssicherheit, die auf ein unsauberes Berechtigungsmanagement zurückzuführen sind, führen zunehmend häufiger zu Ausfällen kritischer Geschäftsprozesse bei Banken und Unternehmen. Die neuen DORA-Vorgaben verschärfen die IAM-Anforderungen zur Sicherstellung der digitalen Resilienz noch.

Der Zugriff auf sensible Bankdaten und -prozesse soll nur durch die Personen erfolgen, die diesen Zugriff auch wirklich benötigen (»Need-to-know«- Prinzip). Aber wie kann der Rechtevergabe- Prozess institutsspezifisch definiert bzw. dokumentiert werden? In der Praxis stimmen eingerichtete Rechte oftmals nicht mit dem Rechtevergabekonzept und der IT-Strategie überein. Eine risikoorientierte Überprüfung der IT-Berechtigungen ist daher notwendig.

Das Institut hat zudem Prozesse zur Protokollierung und Überwachung einzurichten, die sicherstellen, dass die Berechtigungen nur wie vorgesehen eingesetzt werden, insbesondere für die Aktivitäten mit privilegierten (besonders kritischen) Benutzer- und Zutrittsrechten.

Die Referierenden geben ausschließlich ihre persönliche Auffassung und nicht notwendigerweise die eines bestimmten Instituts, der Deutschen Bundesbank, der BaFin oder einer anderen Aufsichtsbehörde wieder. Die Referierenden nehmen auch keine offizielle aufsichtliche Auslegung regulatorischer Sachverhalte vor.