Werbung

CA stellt Studie zum privilegierten User Management vor

Share on facebook
Share on twitter
Share on linkedin
Share on xing
Share on whatsapp
Share on email
Share on print

CA stellt Studie zum privilegierten User Management vor

Share on facebook
Share on twitter
Share on linkedin
Share on xing
Share on whatsapp
Share on email
Share on print

CA, Anbieter von IT-Management-Software, stellt heute die Ergebnisse einer europäischen Studie vor, die zeigt, dass fehlerhafte Praktiken beim Management der privilegierten User die Sicherheit europäischer Unternehmen gefährden. Die neue Studie mit dem Titel „Privileged User Management – It’s Time to Take Control“ wurde von Quocirca, einem britischen Marktforschungsunternehmen im Namen von CA in 14 Ländern – in Deutschland, den Niederlanden, in Belgien, Dänemark, Finnland, Frankreich, Irland, Israel, Italien, Norwegen, Portugal, Spanien, Schweden und im Vereinigten Königreich – durchgeführt.

Ein privilegierter User, auch „Superuser“ genannt, ist typischerweise der IT- oder Netzwerkadministrator, der für die IT-Verfügbarkeit und Systemwartung zuständig ist – einschließ;lich der Applikations-, Sicherheits- und Datenbankverwaltung. Diese Administratoren bekommen für den Zugang zur IT-Infrastruktur im Unternehmen oftmals weitreichende Zugangsrechte zugewiesen, die weit über die Rechte, die die Mehrheit der IT-Nutzer hat, hinausgehen.

Dies führt zu einer Gefährdung der Unternehmenssicherheit. So räumen 41 Prozent der Befragten, die den ISO27001-Standard implementiert haben, ein, dass sich in ihrem Unternehmen nicht Compliance-fähige Praktiken eingeschlichen haben – etwa wenn privilegierte Benutzerkonten gemeinsam genutzt werden. Auch der fahrlässige Gebrauch von Standard-Namen oder Passwörtern für die „Superuser“ gehört zur Mängelliste. Die internationale Norm ISO 27001 spezifiziert die Anforderungen für die Herstellung, die Einführung, den Betrieb, die Überwachung, Wartung und Verbesserung eines dokumentierten Informationssicherheits-Managementsystems. Von den 40 Teilnehmern aus Deutschland haben knapp 30 Prozent der Befragten dieses ISO-Qualitätssystem eingeführt, knapp 10 Prozent davon besitzen bereits eine Zertifizierung und weitere 50 Prozent befinden sich zurzeit in der Implementierungsphase.

Viele Sicherheitsvorfälle, die sich in den vergangenen Jahren ereigneten, haben die Risiken aufgezeigt, die sich aus einer Unterschätzung der Problematik der mangelhaften Superuser-Kontrolle ergeben. Wenn Administratoren und/oder privilegierte User exzessive Privilegien erhalten oder ihren Zugang mit anderen teilen, besteht das Risiko, dass sie – absichtlich oder unbeabsichtigt – groß;e Schäden anrichten. Darüber hinaus gibt es viele Beispiele von Hackerangriffen, die privilegierte Accounts (Benutzerkonten) ins Visier nehmen und sich erfolgreich Zugang zu kritischen Business-Applikationen und Daten verschaffen – vom einfachen Diebstahl verkäuflicher Daten wie Kreditkartendetails bis zu komplexen Betrügereien oder dem Diebstahl von intellektuellem Eigentum.

Trotz dieser Bedrohungen steht die Kontrolle und das Monitoring der Superuser-Aktivitäten nicht oben auf der Agendaliste der IT-Manager, belegt die Studie. Die befragten Unternehmen führen das Superuser-Management unter sieben anderen Sicherheitsthemen der Organisationen auf (Punktzahl 2,54 von 5 Punkten auf dem Bedrohungsindex). Das Risiko eines mangelhaft kontrollierten privilegierten User Managements wird weniger hoch eingeschätzt als beispielsweise Malware (2,9 Punkte), Internet (2,7), interne Mitarbeiter (2,7) und Web 2.0 (2,6). Zudem stellt die Studie fest, dass ein hoher Grad an – unangebrachtem -Vertrauen in die Möglichkeiten gesetzt wird, das Privileg der Superuser zu begrenzen. Überdies sind die Befragten relativ zuversichtlich, dass sie die Anforderungen eines Compliance-fähigen Audits erfüllen können. Sie sorgen sich mehr um Datenverluste und die Gefährdung intellektuellen Eigentums.

Laut der Quocirca-Studie verfügen 24 Prozent der IT-Abteilungen über (irgend)eine Form der manuellen Kontrolle, um die Aktivitäten zu überwachen und den Zugang der Superuser zu kontrollieren. Manuelle Prozesse für das Überwachen und die Kontrolle der privilegierten User sind jedoch sehr zeitaufwändig und teuer sowie unzuverlässig und anfällig für Sicherheitsattacken. Trotz der Verfügbarkeit hochentwickelter Systeme und den offensichtlich guten Argumenten für ihren Einsatz haben nur 22 Prozent der Befragten ein umfassendes Privileged User Management (PUM) System eingeführt.

Knapp die Hälfte der Befragten (47 Prozent) planen eine PUM-Lösung einzuführen und erwarten groß;e Vorteile davon. Ein Blick auf die Länderpraxis zeigt dabei groß;e Differenzen: Während etwa in Frankreich zwei Drittel der Befragten ihre Superuser manuell kontrollieren, sind es in Deutschland nur wenige Prozent, die sich auf eine manuelle Überwachung stützen; rund zehn Prozent planen im Moment manuelle Kontrollprozesse einzuführen und mehr als 40 Prozent berichten von einer verzögerten Planung. Als wichtigsten Grund für die verzögerte Umsetzung der Pläne wird mangelndes Budget angeführt (3,3 Punkte auf einer Skala mit 5 begrenzenden Faktoren). Dies widerspricht allerdings dem Fakt, dass die IT-Sicherheitsbudgets stabil sind beziehungsweise im Verhältnis zu den Gesamt-IT-Ausgaben sogar steigen. Insgesamt gesehen liegt der Grund für die Zurückhaltung in einem mangelnden Vertrauen in das privilegierte User Management sowie einer Unterschätzung der Risiken, die von Superusern ausgehen können.

Die Untersuchung zeigt weitere interessante Unterschiede zwischen den Ländern, die an der Studie teilnahmen. Unter den Ländern, die am häufigsten Administratoren-Accounts gemeinsam nutzen, sind Frankreich (60 Prozent), gefolgt von Belgien (knapp 60 Prozent) und den Niederlanden mit 53 Prozent. Zudem vertrauen die Befragten aus Frankreich besonders stark auf ihre Fähigkeit, ihr privilegiertes User Management zu monitoren und zu kontrollieren (4,26 von 5 Punkten). Deutschland liegt hier im Bereich von 3,5 Punkten. Die Länder, die am wenigsten Administratoren-Accounts gemeinsam nutzen, sind Spanien (7 Prozent), Israel (7 Prozent) und Deutschland mit 10 Prozent. 63 Prozent der französischen IT-Organisationen, die an der Studie teilnahmen, vertrauen auf ein manuelles PUM gefolgt von Belgien (50 Prozent) und Dänemark (47 Prozent).

Auch die Untersuchung der verschiedenen Industriesektoren deckt groß;e Unterschiede auf: 42 Prozent der IT-Abteilungen im Telekommunikations- und Mediensektor sowie im öffentlichen Verwaltungsbereich räumen ein, dass sie die Benutzerkonten ihrer Systemadministratoren zwischen verschiedenen Administratoren teilen. Im Fertigungssektor sind es nur 28 Prozent. Ironischerweise vertrauen Telekommunikation & Medien-Unternehmen besonders auf ihre Fähigkeit, privilegierte User Accounts zu überwachen (3,7 von 5 Punkten auf der „Vertrauens“-Skala), während der Öffentliche Verwaltungssektor bei 3,5 Punkten liegt. Die Branche Telekommunikation & Medien führt die PUM-Implementierungen mit 37 Prozent an. Der Fertigungsbereich hat bisher nur zu 18 Prozent Sicherheitslösungen für das privilegierte User Management eingeführt. Schließ;lich haben 34 Prozent der Telekommunikation & Medien-Firmen Tools im Einsatz, die die Aktivitäten von Superusern kontrollieren, gefolgt vom Public Sector mit 25, der Finanzbranche mit 22 und Fertigungsbranche mit 13 Prozent.

„Die umfassende Untersuchung deckt auf, dass viele IT-Organisationen ein entscheidendes Themenfeld für die Sicherheit des Unternehmens unterschätzen: den privilegierten Systemzugang, den sie sich oder ihren Kollegen zugestehen, damit sie ihren Job machen können“, sagt Tim Dunn von CA, Vice President, Security Business EMEA. „So notwendig ein solcher Zugang ist, herrscht die weit verbreitete Situation vor, ihn ad-hoc-mäß;ig zu managen. Trotz regulativer Anforderungen wird die Bedeutung eines ‚Privileged User Management‘ häufig übersehen. Die Implementierung eines privilegierten Usermanagements erlaubt es Unternehmen hingegen, die ausgereiften Funktionalitäten eines PUM-Systems die ganze Zeit über zu nutzen.“ Tim Dunn betont: „Das Privilegierte User Management ist der Schlüssel für Compliance. Es deckt Risiken auf, reduziert sie und schützt kritische Businessapplikationen.“

Die Studie „Privileged User Management – It’s Time to Take Control“ wurde von Quocirca durchgeführt, einem Forschungs- und Analyse-Unternehmen, das auf die Informations- und Kommunikationstechnologie sowie ihren Einfluss auf das Business spezialisiert ist. Quocirca interviewte im Juni 2009 insgesamt 270 IT Direktoren, Senior IT Security Manager sowie andere Manager aus vier Branchen: Telekommunikation & Medien, Fertigung, Finanzdienstleistungen und öffentliche Verwaltung.

Share on facebook
Facebook
Share on twitter
Twitter
Share on linkedin
LinkedIn
Share on xing
XING
Share on whatsapp
WhatsApp
Share on email
E-Mail
Share on print
Drucken

Ihre Meinung zum Artikel

Abonnieren
Benachrichtige mich bei
guest
0 Comments
Inline Feedbacks
View all comments

Andere Leser haben sich auch für die folgenden Artikel interessiert

SIEM, also Security Information und Event Management, ist in Deutschland noch weitestgehend unbekannt. Ein solches System überwacht Sicherheitsvorfälle in Echtzeit und schlägt Alarm, bevor Hacker ins Netzwerk gelangen. Gastautor Steffen Kneip von Syncwork erklärt, wie SIEM optimal in die bestehende IT-Landschaft integriert wird.
Werbung

Redaktionsbrief

Tragen Sie sich zu unserem Redaktionsbrief ein, um auf dem Laufenden zu bleiben.

Werbung
Werbung

Aktuelle Ausgabe

Topthema: Apps, Portale, Software – Prozesse effizienter gestalten

Automatisierung

Mehr erfahren

Wir wollen immer besser werden!

Deshalb fragen wir SIE, was Sie wollen!

Nehmen Sie an unserer Umfrage teil, und helfen Sie uns noch besser zu werden!

zur Umfrage

Tragen Sie sich jetzt kostenlos und unverbindlich ein, um keinen Artikel mehr zu verpassen!

    * Jederzeit kündbar

    Entdecken Sie weitere Magazine

    Schön, dass Sie sich auch für weitere Fachmagazine unseres Verlages interessieren.

    Unsere Fachtitel beleuchten viele Aspekte der Digitalen Transformation entlang der Wertschöpfungskette und sprechen damit unterschiedliche Leserzielgruppen an.