Identity- und Access-Management

Zweck

Diese Richtlinie legt die Anforderungen an den Umgang mit Benutzerkonten und Berechtigungen bei Parasol Island fest. Die Intention dahinter ist, dass nur Zugriffe mit autorisierten und authentifizierten Benutzern möglich ist. Jeder Benutzer sollte nur über die minimalen Zugriffsrechte verfügen, die er zur Ausübung der Rolle im Unternehmen benötigt.

Geltungsbereich

Diese Richtlinie gilt verbindlich für IT-Administratoren an allen Standorten. Verstöße gegen die Inhalte der Richtlinie können zu arbeitsrechtlichen Konsequenzen führen.

Durch die Veröffentlichung einer neueren Version werden alte Versionen automatisch für ungültig erklärt.

Benutzerkonten und Anmeldeinformationen

„Der Zugang zu Informationen und IT-Systemen erfolgt über validierte Benutzerkonten, welche einer Person zugeordnet sind. Es ist wichtig, dass Anmeldeinformationen geschützt werden sowie eine Nachvollziehbarkeit von Transaktionen und Zugriffen sichergestellt ist.“ (4.1.3) (Verband der Automobilindustrie e.V. (VDA), 2020)

Die Parasol Island verwendet verschiedene IT-Systeme, die die Anmeldung durch einen Benutzer erfordern. Diese Benutzerkonten unterliegen einem festgelegten Lebenszyklus. Da Änderungen an Informationen per Benutzer nachvollziehbar sein sollten, sind für jede Person für jedes System eindeutige, personalisierte Benutzerkonten zu verwenden. Dies macht auch die Verwendung stärkerer Authentifizierungsmethoden wie z.B. 2-Faktor-Authentifzierung möglich.

Benutzerkonten werden von dem dafür zuständigen IT-Administrator des jeweiligen Systems nach Freigabe durch den System-Verantwortlichen  vergeben. Sie sollen möglichst erst mit Aufnahme der Tätigkeit der Person aktiviert werden und sind unmittelbar nach Verlassen der Person aus dem Unternehmen stillzulegen.

Der Erhalt der Kennung und die damit einhergehende Einräumung von Rechten und Pflichten ist vom Nutzer schriftlich zu bestätigen. Der Nutzer ist im notwendigen Umfang über die Sicherheitsregeln zu belehren.

Bestehende Benutzerkonten sind in regelmäßigen Abständen vom Verantwortlichen auf Aktualität zu prüfen. Bei Verdacht auf Kompromittierung des Benutzerkontos ist dieses umgehend zu sperren.

Mitarbeiter sind über den korrekten Umgang mit Benutzerkonten zu unterrichten. Anmeldeinformationen dürfen – unter Beachtung gesetzlicher Rahmenbedingungen – nicht weitergegeben werden. Sie dürfen nicht unverschlüsselt gespeichert werden (dazu gehört auch das schriftliche Notieren auf einem Zettel). Es dürfen keine identischen Passwörter für unterschiedliche Systeme oder Personen verwendet werden. Sobald der Verdacht besteht, dass ein Passwort kompromittiert sein könnte, ist dieses umgehend zu ändern.

Authentifizierungsmethoden

„Der Zugang zu IT-Systemen soll nur sicher identifizierten (authentifizierten) Benutzern möglich sein. Dafür wird die Identität eines Benutzers durch geeignete Verfahren sicher festgestellt.“ (4.1.2) (Verband der Automobilindustrie e.V. (VDA), 2020)

Die eingesetzten Verfahren zur Benutzerauthentifizierung werden auf Basis einer Risikoanalyse in Abhängigkeit des Schutzbedarfs des IT-Systems bzw. den Rechten des Benutzerkontos zu wählen. Je höher der Schutzbedarf der Informationen oder das Level an Berechtigungen des Benutzerkontos desto stärker ist die Authentifizierung zu wählen. Auch die Zugriffsmöglichkeiten sind zu betrachten. So sind Cloud-Dienste stärker abzusichern als Systeme, die nur aus dem internen Netz der Parasol Island erreicht werden können.

Die gleiche Herangehensweise ist zu wählen, um das Monitoring oder die Protokollierung von Anmeldungen zu konfigurieren.

Wenn möglich, ist die Sicherheit von Benutzerkonten technisch zu unterstützen. Dazu gehört z.B. die Verwendung von Passwortrichtlinien, das Verwenden starker Authentifizierungsmethoden, die automatische Sperre von Benutzerkonten auf Basis mehrfacher falscher Passworteingabe oder die Einschränkung der Anmeldung basierend auf der Lokalität des Benutzers.

Verwaltung von Identifikationsmitteln

„Um die Berechtigung für den physischen Zutritt wie auch elektronischen Zugang zu prüfen, werden oft Identifikationsmittel wie Schlüssel, Sichtausweise oder kryptographische Tokens verwendet. Die Schutzmerkmale sind nur dann verlässlich, wenn der Umgang mit solchen Identifikationsmitteln adäquat gehandhabt wird.“ (4.1.1) (Verband der Automobilindustrie e.V. (VDA), 2020)

Personen können sich auf unterschiedliche Arten identifizieren. D.h. heißt nicht zwangsläufig, dass sie als eindeutige Person zu identifizieren sind (wie z.B. bei der Verwendung eines individuellen Benutzeraccounts), sondern dies kann auch bedeuten, sie nur als „berechtigte Person“ zu identifizieren, indem sie z.B. einen PIN-Code kennt oder einen (physischen) Schlüssel besitzt. Diese Identifikationsmittel müssen einem festdefinierten Lebenszyklus unterliegen, und der Umgang mit ihnen muss klar geregelt sein.

Dabei sind insbesondere die folgenden Aspekte zu berücksichtigen (Verband der Automobilindustrie e.V. (VDA), 2020):

• Die Produktion von Identifikationsmitteln ist nur unter kontrollierten Bedingungen möglich.
• Die Ausgabe von Identifikationsmitteln wird protokolliert.
• Die Rückgabe von Identifikationsmitteln ist geregelt.
• Die Gültigkeit von Identifikationsmitteln ist auf einen angemessenen Zeitraum beschränkt.
• Ein Konzept zur Sperrung bzw. Invalidierung von Identifikationsmitteln bei Verlust ist - soweit möglich - erstellt und umgesetzt.

Für die Auswahl der Identifikationsmittel gilt wie beim Zugang zu IT-Systemen: die Stärke der Autorisierung sollte dem Schutzbedarf derjenigen Informationswerte entsprechen, zu deren Zugriff/Zugang das Identifikationsmittel dient. Dies muss nach einer Risikoanalyse entschieden werden.

So kann z.B. ein PIN-Code oder ein Schlüssel zum Öffnen der Eingangstür zu den Räumlichkeiten des Unternehmens verwendet werden. Dabei ist nicht nachvollziehbar, welche Person zu welchem Zeitpunkt das Gebäude betreten hat. Der Zutritt zum Serverraum oder einer anderen Zone erhöhten Schutzbedarfs sollte aber mit einem Identifikationsmittel gesichert sein, bei dem protokolliert werden kann, wer zu welchem Zeitpunkt den Raum betreten hat. Hier können z.B. ein (persönlicher) Ausweis und ein PIN oder biometrische Merkmale verwendet werden.

Vergabe von Benutzerberechtigungen

„Das Management von Zugriffsberechtigungen dient dazu, dass nur berechtigte (autorisierte) Benutzer Zugriff auf Informationen und IT-Anwendungen haben. Zu diesem Zweck werden den Benutzerkonten Zugriffsrechte zugewiesen.“ (4.2.1) (Verband der Automobilindustrie e.V. (VDA), 2020)

Auch die Verwaltung von Benutzerberechtigungen erfolgt anhand eines definierten Prozesses. Beantragung, Prüfung und Genehmigung werden dokumentiert. Die Änderung der Berechtigung sollte automatisch protokolliert werden. Wenn dies nicht der Fall ist, wird diese Änderung händisch dokumentiert. Da auch die Änderung von Benutzerberechtigungen ein Change ist, gilt außerdem die „Richtlinie zum Change-Management“ (ISMS, 02_05).

Bei der Vergabe von Berechtigungen ist auf das Need-to-know-Prinzip zu achten. Dies bedeutet insbesondere, dass Berechtigungen entzogen werden, sobald ein Benutzer diese nicht mehr benötigt (z.B. bei Wechsel des Tätigkeitsgebiets oder Projektteams). Die Verwendung von rollenbasierten Berechtigungskonzepten ist der Vergabe von Einzelberechtigungen vorzuziehen.

Vergebene Berechtigungen sind vom Systemverantwortlichen in regelmäßigen Abständen auf Aktualität zu prüfen und bei Bedarf umgehend anzupassen.

Netzwerk / Systemadministrator

Von der Geschäftsleitung werden Systemadministratoren und Stellvertreter benannt. Die Systemadministratoren sind für den laufenden Betrieb der Informationssysteme zuständig. Die Namen der Administratoren sind in der Zuständigkeiten-Liste aufgeführt.

Der Administrator hat ausschließlich Rechte, die für seine administrierende Aufgabe notwendig sind. Die Administratorentätigkeit ist mit automatischen Logs zu überwachen, regelmäßig zu kontrollieren und vor Veränderung zu schützen, sofern dies technisch möglich ist. Es gibt keine Administrations-Gruppenkonten, jedes Konto ist einer Person zuzuordnen.

Die Entscheidung, Administratorrechte zu vergeben, ist von der Geschäftsführung zu treffen. Zur Kontrolle und Risikoeinschätzung muss ein weiteres Augenpaar hinzugezogen werden (zum Beispiel Abteilungsleiter).

Das System-Administratorkonto muss vom Produktivkonto getrennt werden, um versehentliche Änderungen oder Installieren von Schadsoftware zu verhindern.

Bei der Vergabe von Administratorberechtigung ist insbesondere beim Zugriff auf Informationen mit hohem Schutzbedarf darauf zu achten, dass diese Berechtigung ein existierendes Zugriffs- und Berechtigungskonzept aushebeln könnte. Im Zweifelsfall ist dann von zusätzlichen Sicherheitsmaßnahmen Gebrauch zu machen wie beispielsweise Verschlüsselung auf Dateiebene (die den Zugriff durch den Administrator verhindert).