Identity Management hilft bei der Einhaltung von Gesetzen und Standards

FACHBERICHT der Beta Systems Software AG Geregelte Sicherheit Identity Management hilft bei der Einhaltung von Gesetzen und Standards Ein Bericht von Dr. Martin Kuhlmann, Product Line Manager SAM der Beta Systems Software AG Konnte das IT-Management zusammen mit den Sicherheitsbeauftragten früher weitge- hend autonom die Anforderungen an die IT-Sicherheit und das IT-Risikomanagement festlegen, werden diese heute maßgeblich durch Richtlinien, Verordnungen und Stan- dards bestimmt. Das IT-Management steht daher vor der Herausforderung, die Bedeu- tung der gesetzlichen Regulierungen für das eigene Unternehmen zu analysieren und durch entsprechende IT-Maßnahmen umzusetzen. Denn nicht alle Regularien treffen auf jedes Unternehmen zu. Erfolgsentscheidend für die bedarfsgerechte Umsetzung sind vor allem ein Grundverständnis der oft sehr allgemein formulierten Anforderun- gen, die Ableitung geeigneter Checklisten und der Einsatz geeigneter IT-Werkzeuge zur Kontrolle der gesetzlichen Regulierungen. Im Bereich des Zugriffsschutzes vereinfa- chen insbesondere plattformübergreifende Identity Management (IdM)-Systeme das Risikomanagement: Sie machen einerseits konkrete operative Risiken sichtbar; dar- über hinaus erhöhen sie aktiv das IT-Sicherheitsniveau durch eine plattformübergrei- fende Durchsetzung benutzerspezifischer Sicherheitseinstellungen. Seit einigen Jahren wächst in Europa und Amerika die Bedeutung von Gesetzen, Verordnun- gen und Standards für die IT. Deren Erfüllung wird häufig unter dem Begriff „Regulatory Compliance“ subsumiert. Im Wesentlichen resultieren Regulierungen aus drei verschiedenen Motiven: Der Verlässlich- keit und Vertraulichkeit finanzieller Unternehmensdaten widmen sich Gesetze wie der Sarba- nes Oxley Act (SOX) und Gramm-Leach-Bliley Act (GLB). Damit dienen sie hauptsächlich dem Anlegerschutz. Auslöser für die Initiierung dieser Gesetze waren eine Reihe von Finanz- skandalen wie etwa die um Worldcom oder Enron, die Firmenpleiten ungeahnten Ausmaßes nach sich zogen. Mit SOX etwa sollen gravierende Mängel im Finanzberichts- und Meldewe- sen ausgeschlossen werden. -2- Auf das zweite Motiv, die Risikominimierung des Unternehmens, zielen Vorschriften und Standards wie etwa das Basel II-Abkommen, das von der europäischen Bankenaufsicht ent- wickelt wurde. Das Abkommen dient der frühzeitigen Bewertung von Kreditrisiken und opera- tiven Unternehmensrisiken. Das heißt, je höher Risiken in den Geschäftsabläufen und IT- Systemen bewertet werden, desto mehr Eigenkapital müssen Finanzdienstleister vorhalten. Zu diesem Aspekt zählen auch Rahmenwerke und Maßnahmenkataloge wie der aus dem britischen Standard BS7799 abgeleitete ISO17799-Standard oder der vom Bundesamt für Sicherheit in der Informationstechnik (BSI) in Deutschland entwickelte IT-Grundschutz. Das gemeinsame Ziel ist, das Unternehmensrisiko zu reduzieren und das unternehmensweite Si- cherheitsniveau anzuheben. Das dritte Motiv für gesetzliche Regulierungen resultiert aus dem Bedürfnis, personenbezo- gene Daten zu schützen. Dafür wurden in Europa durch die Europäische Datenschutz- Direktive von 1995 allgemeine Bestimmungen definiert, die in vielen EU-Mitgliedsländern be- reits in nationales Recht umgesetzt wurden. In den USA garantiert beispielsweise der Health Insurance Portability and Accountability Act (HIPAA) die vertrauliche Behandlung von Patien- tendaten. Die Relevanz steigt Haben einige Regulierungen ihren Ursprung in Amerika, bedeutet das nicht, dass deutsche Unternehmen davon unberührt bleiben. Im Gegenteil: Im geschäftlichen Miteinander von in- ternational operierenden Unternehmen gewinnen diese zunehmend an Bedeutung. Unter- nehmen unterliegen schließlich nicht nur den Gesetzen ihres Stammlandes, sondern auch denen der Länder, in denen sie geschäftlich aktiv sind. Beispielsweise gilt seit April 2005 die für die IT wichtige Section 404 von SOX für alle US-Börsen notierten Unternehmen und für diejenigen, die über eine Dependance in Nordamerika verfügen beziehungsweise dort tätig sind. Aber auch durch Outsourcing und Unternehmenspartnerschaften gewinnt SOX für viele Firmen an Bedeutung. Derzeit erarbeitet die Europäische Union ein SOX-Pendant für den europäischen Markt. Vor diesem Hintergrund müssen sich zukünftig auch rein europäische Unternehmen mit den in SOX behandelten Grundsätzen aktiv auseinander setzen. Dass Unternehmen die Bedeutung der gesetzlichen Regulierungen erkannt haben, spiegelt sich auch in einer Umfrage des Magazins "Risk" wider, die gemeinsam mit der Beratungsfir- -3- ma Ernst & Young durchgeführt wurde. Unternehmen gaben an, dass sie für Maßnahmen zur Kontrolle operativer Risiken im letzten Jahr durchschnittlich 19,8 Mio. USD eingeplant hatten. Im Vergleich zu 2003 erhöhten sich die Ausgaben in diesem Bereich um mehr als 25 Prozent. Auch das Beratungshaus PwC, das den Finanzdienstleistungssektor analysiert hat, prognos- tiziert für diesen im Jahr 2005 einen Anstieg an Aufwendungen von durchschnittlich 23 Pro- zent für die Umsetzung der Regulierungen. Schließlich können Verstöße gegen gesetzliche Regulierungen neben Imageschäden und wirtschaftlichen Konsequenzen unter Umständen auch strafrechtliche nach sich ziehen. Wege zur Umsetzung Sind die meisten Unternehmen für Maßnahmen zur Kontrolle operativer Risiken sensibilisiert, stehen sie heute vor der großen Herausforderung, die passenden IT-Sicherheitsmaßnahmen praktisch umzusetzen. Das ist keine triviale Aufgabe. Denn einerseits existieren konkrete Vorgaben, aus denen sich geeignete IT-Maßnahmen direkt ableiten und umsetzen lassen. Konkrete Hinweise liefern beispielsweise ISO17799 als Rahmenwerk für das Sicherheitsma- nagement von Computernetzwerken, sowie das IT-Grundschutzhandbuch des BSI, das detaillierte Gefährdungsbeschreibungen und Maßnahmenkataloge beinhaltet. IT-Maßnahmen müssen aber andererseits auch den allgemeiner formulierten Gesetzestexten gerecht werden. Das erfordert vorab eine genaue Analyse, um entsprechende Maßnahmen entwickeln zu können. So beschreibt §91 des deutschen Aktiengesetzes nur allgemein, dass "der Vorstand geeignete Maßnahmen zu treffen hat, insbesondere ein Überwachungssystem einzurichten, damit für den Fortbestand der Gesellschaft gefährdende Entwicklungen früh er- kannt werden." Aber auch SOX bedarf der Interpretation: So beschreibt Abschnitt 404 ledi- glich allgemein die "responsibility of management for establishing and maintaining an ade- quate control structure and procedures for financial reporting." Der Originaltext des Basel II- Abkommens definiert zwar ein operatives Risiko als "das Verlustrisiko durch unzureichende oder fehlende interne Prozesse, menschliche Handlungen und Systeme oder externe Ereig- nisse“, benennt aber keine expliziten IT-Risiken. Vielmehr setzt er einen allgemeinen Rahmen für die Risikobewertung. Um von vornherein auszuschließen, dass im Zweifelsfall das Unternehmen beziehungsweise das Management zur Haftung heranzogen werden kann, sind derartig allgemeine Formulie- rungen aus den Gesetzestexten zuerst sorgfältig zu interpretieren. Darauf aufbauend lassen -4- sich Methoden sowie geeignete IT-Maßnahmenkataloge für die Einhaltung der Regularien entwickeln. Zahlreiche Organisationen wie etwa die Branchenaufsicht Public Company Ac- counting Oversight Board (PCAOB) und das IT-Governance Institute mit "Control Objectives for Information and related Technology" (COBIT) haben sich der Interpretation dieser Geset- ze angenommen. Identity Management unterstützt bei der Umsetzung Bei der Umsetzung müssen Unternehmen zahlreiche Herausforderungen lösen. Zwar über- schneiden sich die ins Detail herunter gebrochenen Anforderungen verschiedener Regularien zum Teil, so dass manche Maßnahmen gleich mehrere Vorgaben erfüllen. Im Zweifelsfall muss jedoch die Umsetzung jeder einzelnen Regulierung separat nachgewiesen werden können. Dementsprechend hoch ist der Aufwand für die Umsetzung der gesetzlichen Anfor- derungen. Ohne geeignete Kontrollwerkzeuge lassen sich diese zahlreichen Aufgaben kaum effizient bewältigen. Neben Produkten zum globalen Risikomanagement eignen sich hier vor allem Systeme, die operative Risiken im IT-Bereich sichtbar machen. Optimal ist es, wenn diese Systeme entsprechende Gegenmaßnahmen direkt einleiten können. Im Bereich der Benutzerverwaltung und Zugriffskontrolle bieten plattformübergreifende Identity Management (IdM) Lösungen solche umfassenden Kontrollmöglichkeiten. Sie zeichnen sich durch folgende Aspekte aus: IdM-Systeme sichern eine bedarfsgerechte und korrekte Rechtevergabe für alle IT- Plattformen und garantieren damit den Schutz unternehmenskritischer Daten. Dabei über- nehmen so genannte Provisioning-Regeln die Einhaltung der Rechtevergabe-Richtlinien des Unternehmens, nach denen Benutzerkonten und Berechtigungen automatisiert verwaltet und zuverlässig gelöscht werden. Stets stehen dem richtigen IT-Benutzer die passenden Daten zur Verfügung. Eine automatisierte Administration reduziert die Zeit zwischen Arbeitsplatz- wechsel und Rechteänderung. Rechtehäufungen durch vergessenes Entziehen beziehungs- weise rechtzeitigem Ändern der Rechte werden vermieden. Das Prinzip der rollenbasierten Zugriffsrechtevergabe, wie sie etwa das Produkt SAM Jupiter des Berliner Softwarehauses Beta Systems Software AG ermöglicht, konzentriert benötigte Rechte pro Arbeitsplatzprofil in Benutzerrollen. Dadurch erreicht man eine geschäftsprozessorientierte Zugriffskontrolle; Dem Risk Manager wird die Möglichkeit geboten, Benutzerrechte und die damit verbundenen Risi- ken für jeden Geschäftsprozess im Griff zu behalten. -5- Berechtigungen können nur bei vorab definierten Administrationsprozesse und Genehmi- gungsverfahren zuverlässig und sicher vergeben werden.