Der Lepide-Leitfaden zur Verwaltung und Überwachung der Zugriffskontrolle

Die Möglichkeit zu bestimmen, wer Zugriff auf welche Daten haben soll und wer nicht, ist ein integraler Bestandteil jeder Datensicherheitsstrategie, oder sollte es zumindest sein. Leider verfügen viele Unternehmen immer noch nicht über die Kontrolle, die sie für die Sicherheit ihrer Daten benötigen.

Viele verfügen nicht über eine vollständige Bestandsaufnahme der von ihnen gespeicherten Daten, geschweige denn über ein klares Verständnis darüber, wie auf diese Daten zugegriffen wird. Laut einer aktuellen Studie verfügen fast 20 % der Unternehmen über mehr als 1.000 vertrauliche Ordner, die für jedermann zugänglich sind, und etwa die gleiche Anzahl verfügt über mehr als 1.000 Ordner mit inkonsistenten Berechtigungen.

Unternehmen speichern immer sensiblere Daten in der Cloud, was angesichts der Tatsache, dass Cloud-Lösungen erschwinglich, skalierbar und praktisch sind, kaum verwunderlich ist. Wenn sie jedoch nicht richtig konfiguriert sind, können Ihre sensiblen Dateien dem Internet ausgesetzt sein. Beispielsweise haben wir in letzter Zeit eine große Anzahl von Datenverstößen beobachtet, die durch schlecht konfigurierte oder „undichte“ Amazon S3-Buckets verursacht wurden. Aktuellen Statistiken zufolge verfügen 7 % aller S3-Buckets über uneingeschränkten öffentlichen Zugriff.

Bei Statistiken wie diesen ist es nicht verwunderlich, dass Datenschutzverstöße weiterhin für Schlagzeilen sorgen. Die meisten Cyberkriminellen sind auf der Suche nach sensiblen Daten, und ohne die entsprechenden Zugriffskontrollen geben wir ihnen diese nur auf einem Teller in die Hand.

Was sind Zugriffsberechtigungen?

Zugriffsberechtigungen werden durch eine Zugriffskontrollliste (ACL) beschrieben, wobei jedes Listenelement angibt, wie ein bestimmtes Subjekt mit einem bestimmten Objekt interagieren kann. Oder weniger abstrakt ausgedrückt: Welche Vorgänge kann ein bestimmter Benutzer, ein bestimmtes Programm oder ein bestimmter Prozess für eine bestimmte Datei oder einen bestimmten Ordner ausführen?

Welche verschiedenen Arten der Zugangskontrolle gibt es?

Es gibt verschiedene Techniken zur Kontrolle des Zugriffs auf sensible Daten, wobei Role-Based Access Control (RBAC) und Attribute-Based Access Control (ABAC) am häufigsten vorkommen. Beim RBAC wird der Zugriff auf der Grundlage der Rolle eines Subjekts gewährt, zu der sein Benutzertyp, seine Berufsbezeichnung, seine Abteilung, sein physischer Standort oder die im Unternehmen verbrachte Zeit gehören können. ABAC hingegen verwendet „IF, THEN“-Anweisungen, um eine differenzierte Zugriffskontrolle zu ermöglichen.

Wenn beispielsweise Benutzertyp=Administrator UND Abteilung=IT, DANN gewähren Sie Lese-/Schreibzugriff auf den Ordner „Backups“. ABAC bietet das präziseste Maß an Kontrolle, allerdings könnte die zusätzliche Komplexitätsebene zu blinden Flecken führen. Daher ist RBAC wahrscheinlich der am besten geeignete Ansatz, obwohl bei Bedarf auch eine Kombination aus RBAC und ABAC verwendet werden kann.

Am gefährlichsten sind falsch festgelegte Berechtigungen

Einzelne Berechtigungen stellen oft keine großen Probleme dar, die größten und gefährlichsten falsch gesetzten Berechtigungen werden oft durch Vererbungsprobleme und Gruppenbeteiligung vergeben. Im Allgemeinen gibt es zwei Haupttypen von Berechtigungen, die einer Organisation schaden können:

Jeder hat das Recht, auf Dateien und Ordner zuzugreifen und diese zu ändern, wodurch zahlreiche Benutzer mit übermäßigen Berechtigungen erstellt werden und die potenzielle Angriffsfläche für eine Insider-Bedrohung oder einen Datenverstoß vergrößert wird.
Auch falsch eingestellte Datenbankberechtigungen können zu Datenlecks führen.

Wir stellen oft fest, dass Fehlkonfigurationen eine der Hauptursachen für gefährliche Berechtigungen sind. Sunshine Behavioral Health LLC beispielsweise meldete kürzlich den Datenverlust von über 93.000 Patientendateien aufgrund falsch konfigurierter Amazon S3-Buckets.

Warum Sie die Zugriffskontrollberechtigungen regelmäßig überprüfen sollten

Wenn Unternehmen wachsen und sich weiterentwickeln, können Zugriffskontrollberechtigungen schnell außer Kontrolle geraten. Benutzer wechseln ständig ihre Rollen oder verlassen das Unternehmen, und ihre Zugriffskontrolle muss angepasst werden, um dies widerzuspiegeln. Ohne regelmäßige Überprüfung Ihrer Zugriffskontrollberechtigungen könnten Sie diese Anwendungsfälle nicht erkennen und Ihre potenzielle Angriffsfläche könnte exponentiell wachsen. Ihre Zugriffskontrollberechtigungen sollten im Rahmen eines umfassenderen Risikobewertungsprozesses regelmäßig überprüft werden. Zu den Dingen, nach denen Sie suchen sollten, gehören:

Welche Ihrer Benutzer haben Zugriff auf Ihre sensibelsten Daten?
Wie viele dieser Benutzer benötigen diesen Zugriff im Rahmen ihrer Rollenanforderungen?
Wie viele Berechtigungsänderungen finden statt und führen diese Änderungen zu übermäßig vielen Berechtigungen?
Welche Ihrer Benutzer erstellen und ändern sensible Daten?

Idealerweise sollten Sie die Berechtigungen so weit wie möglich einschränken, um das Risiko von Datenschutzverletzungen zu verringern.

So verwalten Sie Zugriffskontrollberechtigungen

Durch die kontinuierliche und proaktive Verwaltung Ihrer Zugriffskontrollberechtigungen können Sie übermäßige Berechtigungen und die Ausbreitung von Berechtigungen verhindern und Ihre Daten schützen. Sie können eine Reihe von Maßnahmen ergreifen, um sicherzustellen, dass die Zugriffskontrollberechtigungen ordnungsgemäß verwaltet werden.

1. Klassifizieren Sie Ihre Daten und bestimmen Sie, wer Zugriff hat.

Welchen Ansatz Sie auch verwenden, es ist wichtig, dass Sie sich etwas Zeit nehmen, darüber nachzudenken, wie Ihre Daten organisiert werden sollten, um die Komplexität der von Ihnen eingerichteten Steuerelemente zu reduzieren. Sobald Sie sich für ein Klassifizierungsschema entschieden haben, müssen Sie Ihre vorhandenen Repositories genau durchgehen und sich notieren, welche Daten Sie haben und wie diese klassifiziert werden sollten.

Dies mag wie eine entmutigende Aufgabe erscheinen, da viele Unternehmen über riesige Archive unstrukturierter Daten verfügen, die sie über mehrere Jahre hinweg angesammelt haben. Glücklicherweise gibt es Hilfsmittel, die den Prozess weniger schmerzhaft machen. Ein Datenklassifizierungstool durchsucht automatisch Ihre Repositorys, entdeckt und klassifiziert eine Vielzahl von Datentypen, darunter: Sozialversicherungsnummern, biometrische Daten, Krankenakten, Zahlungskartendaten und alle anderen Arten von Daten, die unter DSGVO, HIPAA, PCI usw. fallen. Diese Lösungen bieten auch eine detaillierte Zusammenfassung von Dateien mit sensiblen Daten, die über übermäßige Berechtigungen verfügen, und geben Ihnen so die nötige Transparenz, um Zugriffskontrollen schnell und effizient einzurichten.

OK, also schauen wir uns etwas genauer an, welche Kategorien wir einrichten sollten und welche Datentypen zu jeder Kategorie gehören.

2. Kategorisieren Sie die Zugriffskontrolle

Während Administratoren die Freiheit haben, beliebige Kategorien einzurichten, sind die häufigsten Kategorien „Öffentlich“, „Privat“ und „Eingeschränkt“. Es ist unwahrscheinlich, dass sie mehr als drei Kategorien benötigen, obwohl es einige Grauzonen gibt, wie ich unten veranschaulichen werde:

Öffentliche Daten können alle Daten umfassen, die der allgemeinen Öffentlichkeit zugänglich sind. Das bedeutet jedoch nicht, dass die Öffentlichkeit Schreibzugriff auf die Daten hat, sondern nur, dass sie die Dokumente uneingeschränkt einsehen kann. Wenn der Öffentlichkeit Schreibzugriff auf ein bestimmtes Datenelement gewährt wird, macht es keinen Sinn, ihm Zugriffskontrollen zuzuweisen. Zu den öffentlichen Daten können Stellenausschreibungen, Produktlisten, Verkaufsinformationen usw. gehören.

Private Daten sind Daten, die standardmäßig nicht für die Öffentlichkeit zugänglich sind, obwohl unter bestimmten Bedingungen öffentlicher Zugriff gewährt werden kann. Dazu können Informationen gehören, die sich hinter einer Paywall befinden, oder Daten, die Kunden auf Anfrage vorgelegt werden können. Zu den privaten Daten können jedoch auch geschäftsspezifische Informationen gehören, die der Öffentlichkeit nicht zugänglich gemacht werden dürfen, etwa Produktdesigns, geistiges Eigentum, Unternehmensgewinne oder sonstige Informationen, die den Ruf des Unternehmens schädigen oder zu Umsatzeinbußen führen könnten der Öffentlichkeit bekannt zu geben.

Eingeschränkte Daten sind Daten, deren Offenlegung an die Öffentlichkeit zu Geldstrafen, Klagen oder einem schwerwiegenden Geschäftsverlust führen könnte. Datenschutzbestimmungen wie DSGVO, HIPAA und PCI-DSS erfordern die Einrichtung von Schutzmaßnahmen, um sicherzustellen, dass vertrauliche Daten nicht der Öffentlichkeit zugänglich gemacht werden, und eine Nichteinhaltung dieser Vorschriften kann kostspielig sein. Nach der DSGVO können Bußgelder beispielsweise bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes betragen (je nachdem, welcher Betrag höher ist).

Wie Sie sehen, weisen verschiedene Datentypen unterschiedliche Sensibilitätsstufen auf, und es kann verlockend sein, viele verschiedene Kategorien einzurichten, um den vielen verschiedenen Datentypen gerecht zu werden. Es ist jedoch wichtig, ein Gleichgewicht zu finden, da eine zu große Granularität die Komplexität erhöht, was wiederum die Entscheidung erschweren könnte, ob ein Benutzer Zugriff auf ein bestimmtes Datenelement haben sollte oder nicht.

3. Implementieren Sie das Prinzip der geringsten Privilegien (PoLP).

Das „Prinzip der geringsten Rechte“ ist ein sehr wichtiges Prinzip der Datensicherheit. Unabhängig davon, ob es sich um einen Benutzer, ein Programm oder einen Prozess handelt, darf ihm nur Zugriff auf die Daten gewährt werden, die er zur Erfüllung seiner Rolle benötigt. Die Implementierung der Least-Privilege-Sicherheit verhindert nicht nur, dass normale Mitarbeiter Daten ausspionieren, die für ihre berufliche Funktion nicht relevant sind, sondern trägt auch dazu bei, zu verhindern, dass sich Malware-Angriffe seitlich über das Netzwerk ausbreiten.

Zugriffsberechtigungen überwachen

Das Einrichten von Zugriffskontrollen ist eine Sache, aber Sie benötigen dennoch eine Möglichkeit, diese zu überwachen und sicherzustellen, dass die von Ihnen eingerichteten Kontrollen nicht in irgendeiner Weise manipuliert werden. Obwohl es theoretisch möglich ist, die nativen Serverprotokolle manuell zu überprüfen, um nach nicht autorisierten Berechtigungsänderungen zu suchen, wäre dies nicht der empfohlene Ansatz, da der Prozess kompliziert und ineffizient wäre. Stattdessen wäre es besser, eine Änderungsüberwachungslösung eines Drittanbieters wie die Lepide Data Security Platform zu installieren, die automatisch Ereignisprotokolle aus mehreren Quellen zusammenfasst und die relevanten Informationen über eine intuitive Konsole darstellt.

Eine spezielle Prüflösung hilft außerdem dabei, inaktive Benutzerkonten zu erkennen und zu verwalten, die Hacker auszunutzen versuchen, um sich unbemerkt in Ihrem System zurechtzufinden. Darüber hinaus erhalten Sie Echtzeitwarnungen und vordefinierte Berichte, um Ihnen die Transparenz zu geben, die Sie zum angemessenen Schutz Ihrer sensiblen Daten benötigen.

Sie verfügen vielleicht über die besten Sicherheitstechnologien, die man für Geld kaufen kann, aber wenn es um die Sicherung Ihrer sensiblen Daten geht, sind Zugriffskontrollen alles. Zusammenfassend müssen Sie wissen, wo sich Ihre sensiblen Daten befinden und wer derzeit Zugriff darauf hat und haben sollte. Sie müssen auch wissen, wann und von wem die Zugriffsberechtigungen geändert werden.