Checkliste
Empfehlungen für ein intelligenzbasiertes Risikomanagement
Identifizieren Sie "Hochrisikonutzer"
Alle Gefahren des Berechtigungsmanagements zu erfassen und zu bewerten würde zu viel Zeit kosten. Deshalb ist es ratsam, sich auf die riskantesten Berechtigungen zu beschränken. Jedes Unternehmen sollte in der Lage sein, im Zusammenhang mit Hochrisikonutzern, zu denen privilegierte Anwender wie Administratoren gehören, folgende Fragen zu beantworten: Gibt es im Unternehmen User, die im täglichen Geschäft Zugriff auf sensible Daten haben? Verfügt das Unternehmen über geeignete Werkzeuge, um die Zugriffsberechtigungen auf ein Minimum zu reduzieren? Kann das Unternehmen durch Änderungen an den Zugriffsberechtigungen - beispielsweise durch Rollenkonzepte - das Risiko weiter reduzieren? Besteht die Möglichkeit, die Aktivitäten der privilegierten Benutzer aufzuzeichnen? Wem sind die Nutzer zugeordnet, und welche übergeordneten Gruppen oder Rollen nutzen sie? Welche Aktivitäten führen sie aus?
Foto: Beta Systems Software AG
Sind die privilegierten Nutzer respektive diejenigen mit Hochrisikoberechtigung oder -autorisierung identifiziert, können sich Unternehmen auf diese Gruppen konzentrieren.
Verwenden Sie Berechtigungspfadanalysen
Weil die Berechtigungsstrukturen oft weit verzweigt sind, gehen mit der typischen Frage "Wer hat welche Berechtigung auf welche Ressource?" unmittelbar zwei weitere Frage einher: Über welche Zuweisungen (Rollen, Gruppen, Autorisierungsobjekte etc.) wurden dem Benutzer die Berechtigungen vergeben? Über welche Berechtigungspfade hat der Benutzer Zugriff auf die Ressourcen? Mit dem pfadorientierten Ansatz ist eine Vielzahl von neuartigen Auswertungen möglich.
Nutzen Sie Ad-hoc-Analysen
Wie hoch die Gefahr durch eine vergebene Berechtigung tatsächlich ist, hängt von vielen nicht-standardisierbaren Faktoren ab. Deshalb bieten sich hier Ad-hoc-Analysen an. Ein intelligentes Risikomanagement sollte als Werkzeug dienen, um alle Daten mit einem leistungsfähigen Ad-hoc-Reporting-System verarbeiten zu können. Hier bietet sich beispielsweise Microsoft Excel an, weil die meisten Anwender damit bereits vertraut sind. (sh/ad)