Identitäts- und Berechtigungsmanagement

Zugangskontrolle sichert die digitale operationale Resilienz im Cyberraum

Ein sachgerechtes Identitäts- und  Berechtigungsmanagement stellt sicher, dass Zugangsrechte kontrolliert und auf die notwendigen Nutzer beschränkt bleiben, um die Sicherheit der Assets zu wahren. Das Identitäts- und Berechtigungsmanagement (IAM) ist daher essenziell für den Schutz von IKT-Systemen und Daten.

Die Domäne „Identitäts- & Berechtigungsmanagement“

Die inhaltlichen Anforderungen zum IAM sind im DORA-Puzzle der Domäne „Identitäts- & Berechtigungsmanagement“ zugeordnet.

  • Umsetzung der IAM-Prinzipien: Der Zugriff auf Systeme und Daten muss nach den Prinzipien „Need-to-Know“, „Need-to-Use“ und „Least Privilege“ gesteuert werden.
  • Regelmäßige Berechtigungsrezertifizierung: Berechtigungen in IKT-Systemen mit Relevanz für kritische oder wichtige Funktionen sind mindestens halbjährlich zu überprüfen. Alle anderen Berechtigungen sind jährlich zu rezertifizieren.
  • Sicherung privilegierter Konten: Administrator- und generische Konten müssen durch besondere Sicherheitsvorkehrungen vor Missbrauch geschützt werden​​.

Wissenswertes

Das Identitäts- und Berechtigungsmanagement sind wie zwei Seiten einer Medaille.

Das Identitätsmanagement beschäftigt sich mit der Verwaltung von digitalen Identitäten, Benutzerkonten und Benutzerrollen sowie der Verwaltung von Identitätslebenszyklen – von der Erstellung bis hin zur Deaktivierung bei Austritt.

Das Berechtigungsmanagement beschäftigt sich unter anderem mit dem Management von Berechtigungsanforderungen sowie der Steuerung von Zugriffsrechten und der Durchführung regelmäßiger Überprüfungen von Benutzerberechtigungen (auch Rezertifizierung genannt)

Alle Anforderungen zu diesem Thema finden sich im Schulungsfoliensatz „Operative IKT-Sicherheit“