IKT Spezial: Identity & Access Management (IAM)

Berechtigungsvergabe und Rezertifizierung als häufige Fehler-Quelle

• Aktuelle regulatorische Vorgaben zur Identitäts- / Rechtevergabe und Rezertifizierung
• Häufig identifizierte Schwachstellen in der Praxis
• Funktionsbezogene Vergabe von Benutzerberechtigungen nach den Prinzipien der Rechtevergabe (Need-to-know, Least-Privilege, Segretation-of-Duties) – NEU nach DORA: »Need-to-use« Prinzip
• Sichere Vorgehensweise bei der Vergabe, Überprüfung, Rezertifizierung und Dokumentation von Identitäten und Rechten

Überprüfungen des IAM führen nicht selten zu (teilweise) schwerwiegenden Feststellungen im Bereich des Berechtigungsmanagements (u. a. Rechtevergabe, Rezertifizierung). IKT-Risiken, Cyber-Angriffe und Lücken in der Informationssicherheit, die auf ein nicht konformes Berechtigungsmanagement zurückzuführen sind, führen immer häufiger zu Ausfällen kritischer Geschäftsprozesse bei Banken und Unternehmen. Die neuen DORA-Vorgaben verschärfen zudem die Anforderungen an die digitale Resilienz (z. B. beim Identity Lifecycle Management).

Der Zugriff auf sensible Bankdaten und -prozesse soll nur durch die Personen erfolgen, die diesen Zugriff auch wirklich benötigen (»Need-to-know«- Prinzip). Aber wie kann der Rechtevergabe- Prozess institutsspezifisch definiert bzw. dokumentiert werden? In der Praxis stimmen eingerichtete Rechte oftmals nicht mit dem Rechtevergabekonzept und der IT-Strategie überein. Die Aufsicht fordert daher explizit eine risikoorientierte regelmäßige Überprüfung kritischer IT-Berechtigungen.

Aufgrund der damit verbundenen weitreichenden Eingriffsmöglichkeiten hat das Institut insbesondere für die Aktivitäten mit privilegierten (besonders kritischen) Benutzer- und Zutrittsrechten (Admin, Super-User) angemessene Prozesse zur Protokollierung und Überwachung einzurichten.

Die Referierenden geben ausschließlich ihre persönliche Auffassung und nicht notwendigerweise die eines bestimmten Instituts, der Deutschen Bundesbank, der BaFin oder einer anderen Aufsichtsbehörde wieder. Die Referierenden nehmen auch keine offizielle aufsichtliche Auslegung regulatorischer Sachverhalte vor.