Compliance-Vorgaben
Das Prinzip minimaler Benutzerrechte sieht vor, dass Benutzer nur die zur Ausübung der beruflichen Aufgaben erforderlichen Zugriffsrechte erhalten. Der wichtigste Aspekt bei der Umsetzung dieses Sicherheitskonzeptes ist, dass sich Endanwender nicht mit Administratorrechten auf ihren Rechnern anmelden. Im Tagesgeschäft ist es allerdings schwierig, diese Vorgaben einzuhalten, weil bestimmte Nutzer zur Erfüllung ihrer Aufgabe erhöhte Benutzerrechte benötigen.
In den vergangenen Jahren ist eine Einschränkung der Benutzerrechte immer wichtiger geworden, weil viele Unternehmen zur Einhaltung brancheninterner und gesetzlicher Compliance-Vorgaben wie USGBC, PCI DSS, Government Connect und HIPAA verpflichtet sind.
Avecto Privilege Guard nimmt eine Schlüsselrolle bei der Durchsetzung minimaler Benutzerrechte im Unternehmen und gesetzeskonformer Desktops ein. Erfahren Sie mehr im Whitepaper über gesetzliche Compliance-Vorgaben und Sicherheit durch niedrigste Benutzerrechte.
USGCB
USGCB, eine Vorschrift des U.S. Office of Management and Budget (OMB), sieht vor, dass alle Regierungsstellen die Standardkonfiguration jedes eingesetzten Windows-XP- und Vista-Rechners auf ungefähr 300 Einstellungen beschränken. Ein wichtiger Bestandteil der Maßnahmen ist, Benutzer nicht mit Administratorrechten auszustatten.
- Keine Zuteilung von Administratorrechten
Code of Connection
Der GCSX Code of Connection (CoCo) bündelt verschiedene Sicherheitseinstellungen und muss im Rahmen des Government Connect Secure Extranet (GCSX) der britischen Regierung eingehalten werden.
- 4.2 Konfiguration: Die Ausführung nicht autorisierter Software wird unterbunden.
- 4.3 Konfiguration: Organisationen verfügen über einen IT-Prozess zur Konfigurationskontrolle, der nicht autorisierte Änderungen der Standardeinstellungen von Netzwerkgeräten und Hosts verhindert (das betrifft sowohl Clients als auch Server).
- 13.2 Monitoring-Schutz: Audit-Logs zeichnen Benutzeraktivitäten auf; Ausnahmefehler und sicherheitsrelevante Ereignisse sind abrufbar, um Analysen und Überwachung der Zugriffskontrolle zu erleichtern.
- 18.1 Webfähige Applikationen: Webbrowser und andere webfähige Applikationen wie Medienplayer sind auf dem Benutzerarbeitsplatz nicht lauffähig.
PCI Compliance
Unternehmen, die prozessbezogene Daten von Kreditkarten speichern, müssen im Rahmen der aktuellen PCI-DSS-Version gemäß Anforderung 7, in zwei Szenarien die Benutzerrechte anpassen:
- 7.1.1 Einschränkung der Zugriffsrechte auf Benutzer-ID auf niedrigste Stufe, die zur Erfüllung der Prozessabwicklung notwendig ist.
- 7.2.2 Zuteilung der Benutzerrechte an Einzelanwender auf Basis der Jobklassifizierung und Funktion.
HIPPA
Aufgrund der hohen Bedeutung von HIPAA-Anweisungen, werden in der Regel COBIT-Vorgaben (Control Objectives for Information and Related Technology) als Standard für die technischen Aspekte bei der Überwachung der Regularien gesetzt.
- DS 5.3 Benutzerprofil-Management – Sicherstellung, dass Benutzerzugriffsrechte auf Systeme und Daten konform mit festgelegten und dokumentierten Geschäftsanforderungen sind, und diese Anforderungen den Benutzerprofilen zugeordnet sind.
- DS 5.4 Benutzerkontenverwaltung – Rechte und Vorgaben für den Zugriff auf Unternehmenssysteme und -informationen sollen vertraglichen für alle Benutzertypen festgehalten werden. Regelmäßige Überprüfungen aller Benutzerkonten und entsprechender Benutzerrechte sind ebenfalls vorgeschrieben.
- DS 5.7 Schutz der Sicherheitstechnologie - Sicherheitsbezogene Technologie muss vor Manipulation geschützt sein.
- DS 5.9 Schutz vor Schadsoftware, Erkennung und Abwehr – Zur Vorbeugung, Erkennung und Abwehr von Malware müssen Maßnahmen getroffen werden (insbesondere bei der Aktualisierung von Sicherheits-Updates und Virensignaturen), die Informationssysteme und Technologie des Unternehmens vor Schadsoftware (wie zum Beispiel Viren, Würmer, Spyware oder Spam) schützen.