Heute müssen Technologie- und Compliance-Teams mehr denn je zusammenarbeiten, um die Integrität ihrer Unternehmen zu schützen. Sensible Informationen werden in digitaler Form gespeichert und übertragen und die damit verbundenen Vorschriften werden immer strenger und komplexer. Während die Compliance-Abteilung dafür verantwortlich ist, die für die Informationssicherheit relevanten Vorschriften zu ermitteln, müssen die Technologie-Teams die besten Lösungen zur Einhaltung dieser Vorschriften ermitteln und implementieren.
Active Directory ist eine Schlüsselanwendung für die Einhaltung von Compliance-Vorgaben, da es einen Einblick in die IT-Aktivitäten und -Richtlinien eines Unternehmens gewährt – es muss geschützt werden, um die Integrität des Unternehmens und die Einhaltung der Compliance-Vorgaben zu gewährleisten. Jedes Unternehmen, das mit sensiblen Kundendaten wie Finanz- oder Gesundheitsdaten umgeht, muss die Sicherheit seiner Active Directory-Umgebung gewährleisten und regelmäßige Audits durchführen, um nach Informationssicherheitsrisiken zu suchen. Werden sie nicht aktiv überwacht, stellen veraltete Benutzerkonten und mangelhafte Kontrollen hinsichtlich administrativer Zugriffsrechte eine Bedrohung für die Sicherheit von Active Directory dar und setzen Unternehmen dem Risiko der Nichteinhaltung von Vorschriften aus.
Einhaltung der Informationssicherheit
Vorschriften wie SOX und HIPAA wurden zum Schutz von Verbrauchern und Aktionären geschaffen und schreiben vor, dass Unternehmen Active Directory auf verdächtiges Verhalten prüfen, digitale Aufzeichnungen vor Missbrauch schützen und private Kundendaten sichern. Auch wenn die spezifischen Vorschriften von Branche zu Branche variieren können, ist die allgemeine Regel dieselbe: Führen Sie Verfahren und Kontrollen ein, die die sensiblen Daten Ihres Unternehmens schützen. Bei so vielen Gesetzen, die eingehalten werden müssen, ist es schwer zu wissen, welche Vorschriften für Ihr Unternehmen gelten. Deshalb haben wir die Akronyme der Vorschriften entschlüsselt, um die Einhaltung der Vorschriften etwas einfacher zu machen.
SOX: S steht für „Shareholder“ (Aktionär) – Der Sarbanes-Oxley Act (SOX) schreibt vor, dass jedes börsennotierte Unternehmen Verfahren einrichten muss, um Finanzunterlagen vor Vernichtung, Verlust und Missbrauch zu schützen, um so die Aktionäre des Unternehmens zu schützen und das Risiko von Unternehmensbetrug zu verringern. SOX schreibt außerdem vor, dass das Unternehmen diese Kontrollmaßnahmen überprüft und darüber Bericht erstattet.
PCI: P steht für „Payments“ (Zahlungen) – Die Vorschrift des „Payment Card Industry Data Security Standard“ (PCI DSS) legt fest, dass jedes Unternehmen, das Kartenzahlungen akzeptiert und dabei Karteninhaberdaten speichert, verarbeitet und übermittelt, diese Daten sicher bei einem PCI-konformen Hosting-Anbieter hosten muss. Um PCI-konform zu sein, müssen Sie den gesamten Zugriff auf Netzwerkressourcen überwachen, Sicherheitssysteme regelmäßig testen und ein Informationssicherheits policy, aufrechterhalten.
GLBA: GL steht für „Gives Loans“ – Der Gramm-Leach-Bliley Act (GLBA), auch bekannt als „Financial Modernization Act“ von 1999, regelt den Umgang von Finanzinstituten mit privaten Kundendaten. Die „Safeguards Rule“ des GLBA schreibt vor, dass alle Finanzinstitute Sicherheitsvorkehrungen zum Schutz von Kundendaten einrichten, umsetzen und aufrechterhalten müssen. Gemäß der „Safeguards Rule“ müssen Finanzinstitute operative Risiken für Kundendaten identifizieren, ein Informationssicherheitsprogramm einführen und das Sicherheitsprogramm regelmäßig überprüfen.
HIPAA: H steht für Gesundheit – HIPAA, das Gesetz zur Übertragbarkeit und Rechenschaftspflicht im Gesundheitswesen (Health Insurance Portability and Accountability Act), wurde ursprünglich geschaffen, um den Krankenversicherungsschutz für Personen zu gewährleisten, die ihren Arbeitsplatz verlieren oder wechseln, und hat sich mittlerweile zu einem Regelwerk für den Schutz von Patientendaten entwickelt. HIPAA schreibt vor, dass jedes Unternehmen, das mit geschützten Gesundheitsdaten (PHI) umgeht, Sicherheitsmaßnahmen in den Bereichen physische Sicherheit, Netzwerksicherheit und Prozesssicherheit umsetzt und einhält. Elektronisch übermittelte geschützte Gesundheitsdaten (PHI), auch e-PHI genannt, unterliegen dem Schutz der HIPAA-Sicherheitsvorschrift, und Organisationen müssen diese Daten sichern, indem sie Bedrohungen identifizieren und Abwehrmaßnahmen ergreifen.
FISMA: „F“ steht für „Federal Government“ (Bundesregierung ) – Der „Federal Information Security Management Act“ (FISMA) wurde vom Ministerium für Innere Sicherheit erlassen, um Regierungsinformationen, -abläufe und -vermögenswerte vor allen Bedrohungen – seien sie natürlicher oder vom Menschen verursachter Art – zu schützen. Darin ist zudem festgelegt, dass Regierungsbehörden Instrumente einführen müssen, um ihre Informationssicherheitsprogramme zu überprüfen, Sicherheitsverfahren zu testen und regelmäßige Risikobewertungen durchzuführen.
Active Directory-Überprüfung und -Einhaltung
Unabhängig von der Branche müssen Unternehmen aufgrund solcher Vorschriften ihre IT-Umgebung überwachen, um potenzielle Bedrohungen zu erkennen und zu beseitigen. Der Semperis Active Directory State Manager (ADSM) unterstützt Unternehmen bei der Einhaltung von Vorschriften durch Echtzeit-Audits und Berichte über potenzielle Lücken, darunter:
- Prüfung von Active Directory-Änderungen - Bei staatlichen Prüfungen müssen Organisationen wissen, welche Änderungen vorgenommen werden und wer sie vornimmt.
- Identifizierung inaktiver aktivierter Konten - Veraltete und ungenutzte Konten stellen ein Risiko für die Sicherheit von Active Directory dar, da diese Konten ausgenutzt und als Angriffsvektoren verwendet werden können.
- Nachverfolgung sensibler und privilegierter Benutzerkonten - Durch die Nachverfolgung von Änderungen an sensiblen und privilegierten Benutzerkonten können Sie sicherstellen, dass Ihr Unternehmen die Richtlinien zur Informationssicherheit einhält, die im Rahmen der Vorschriften zur Informationssicherheit eingeführt wurden.
Die meisten dieser Vorschriften zur Informationssicherheit wurden im Gefolge der Finanzkrise und der Unternehmensskandale um die Jahrhundertwende geschaffen. Angesichts der zunehmenden Häufigkeit und des Ausmaßes von Cyberangriffen und der großen Sicherheitsverletzungen im letzten Jahr sind die Unternehmen sensibler für Fragen der Cybersicherheit geworden. Es werden neue Vorschriften erlassen, um sicherzustellen, dass Unternehmen Maßnahmen zur Cybersicherheit ergreifen, um sensible Daten vor Datenverletzungen zu schützen. Um der Entwicklung einen Schritt voraus zu sein, ist es wichtig, Active Directory aktiv zu überprüfen und sich vor Bedrohungen zu schützen und diese zu beseitigen.
