Klicken Sie auf das jeweilige Schlagwort, um eine nähere Beschreibung und entsprechende WALLIX-Empfehlungen aufzurufen.
Artikel 5.1
Governance
und Organisation
Artikel 5.1 – Governance und Organisation
Finanzunternehmen verfügen über einen internen Governance- und Kontrollrahmen, der im Einklang mit Artikel 6 Absatz 4 ein wirksames und umsichtiges Management von IKT-Risiken gewährleistet, um ein hohes Niveau an digitaler operationaler Resilienz zu erreichen.
WALLIX Empfehlung
PAM (Privileged Access Management) unterstützt effektiv das ICT-Risikomanagement gemäß Artikel 5(1).
- Zentralisierte Verwaltung: PAM ermöglicht eine zentrale Verwaltung von privilegierten Konten und Zugriffsrechten, was die Identifizierung, Bewertung und Minderung von Risiken, die mit diesen Konten verbunden sind, vereinfacht.
- Verringerte Angriffsfläche: Durch die Begrenzung des privilegierten Zugriffs und die Anwendung des Prinzips der minimalen Berechtigung reduziert PAM das Risiko, das durch kompromittierte privilegierte Anmeldeinformationen entstehen könnte.
- Verbesserte Überwachung und Protokollierung: PAM-Lösungen bieten in der Regel eine umfassende Protokollierung der Aktivitäten privilegierter Nutzer. Diese Protokolle können verwendet werden, um verdächtiges Verhalten zu überwachen und mögliche Bedrohungen zu erkennen.
- Erhöhte Verantwortlichkeit: PAM sorgt für eine klare Audit-Verkettung des privilegierten Zugriffs, was die Verantwortlichkeit verbessert und Untersuchungen von Vorfällen erleichtert.
Artikel 5.2
Governance
und Organisation
Artikel 5.2 – Governance und Organisation
Das Leitungsorgan des Finanzunternehmens definiert, genehmigt, überwacht und verantwortet die Umsetzung aller Vorkehrungen im Zusammenhang mit dem IKT-Risikomanagementrahmen nach Artikel 6 Absatz 1.
Für die Zwecke von Unterabsatz 1 gilt Folgendes:
a) Das Leitungsorgan trägt die letztendliche Verantwortung für das Management der IKT-Risiken des Finanzunternehmens;
b) das Leitungsorgan führt Leitlinien ein, die darauf abzielen, hohe Standards in Bezug auf die Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit von Daten aufrechtzuerhalten;
c) das Leitungsorgan legt klare Aufgaben und Verantwortlichkeiten für alle IKT-bezogenen Funktionen sowie angemessene Governance-Regelungen fest, um eine wirksame und rechtzeitige Kommunikation, Zusammenarbeit und Koordinierung zwischen diesen Funktionen zu gewährleisten;
d) das Leitungsorgan trägt die Gesamtverantwortung für die Festlegung und Genehmigung der Strategie für die digitale operationale Resilienz gemäß Artikel 6 Absatz 8, einschließlich der Festlegung der angemessenen Toleranzschwelle für das IKT-Risiko des Finanzunternehmens gemäß Artikel 6 Absatz 8 Buchstabe b;
e) das Leitungsorgan genehmigt, überwacht und überprüft regelmäßig die Umsetzung der in Artikel 11 Absatz 1 genannten IKT-Geschäftsfortführungsleitlinie und der in Artikel 11 Absatz 3 genannten IKT-Reaktions- und Wiederherstellungspläne, die als eigenständige spezielle Leitlinie, die integraler Bestandteil der allgemeinen Geschäftsfortführungsleitlinie des Finanzunternehmens und seines Reaktions- und Wiederherstellungsplans ist, verabschiedet werden können;
f) das Leitungsorgan genehmigt und überprüft regelmäßig die internen IKT-Revisionspläne des Finanzunternehmens, die IKT-Revision und die daran vorgenommenen wesentlichen Änderungen;
g) das Leitungsorgan weist angemessene Budgetmittel zu und überprüft diese regelmäßig, um den Anforderungen des Finanzunternehmens an die digitale operationale Resilienz in Bezug auf alle Arten von Ressourcen gerecht zu werden, einschließlich einschlägiger Programme zur Sensibilisierung für IKT-Sicherheit und Schulungen zur digitalen operationalen Resilienz nach Artikel 13 Absatz 6 sowie IKT-Kompetenzen für alle Mitarbeiter;
h) das Leitungsorgan genehmigt und überprüft regelmäßig die Leitlinie des Finanzunternehmens in Bezug auf Vereinbarungen über die Nutzung von IKT-Dienstleistungen, die von IKT-Drittdienstleistern bereitgestellt werden;
i) das Leitungsorgan richtet auf Unternehmensebene Meldekanäle ein […]
WALLIX Empfehlung
(a) Oberste Verantwortung für das Management von IKT-Risiken: Auch wenn Privileged Account und Session-Management (PASM) selbst nicht direkt auf die letztendliche Verantwortung eingeht, so bietet es doch ein Instrument zur Durchsetzung von Kontrollen und zur Verbesserung der Risikoposition, das es der Unternehmensleitung erleichtert, dieser Verantwortung gerecht zu werden.
(b) Richtlinien für die Datensicherheit: PASM legt zwar nicht direkt Datensicherheitsrichtlinien fest, aber durch die Einschränkung des Datenzugriffs nach dem Prinzip der geringsten Berechtigung (PolP) trägt es zur Durchsetzung bestehender Richtlinien bei und verringert das Risiko eines unbefugten Zugriffs oder einer Änderung.
(c) Klare Rollen und Verantwortlichkeiten: PASM kann dazu beitragen, klare Rollen für privilegierte Benutzer zu definieren, indem spezifische Zugriffsrechte auf der Grundlage von Arbeitsfunktionen zugewiesen werden. Dies fördert die Verantwortlichkeit und verringert das Risiko eines unbefugten Zugriffs.
(d) Strategie für die digitale Ausfallsicherheit: PASM trägt zur allgemeinen Ausfallsicherheitsstrategie bei, indem es kritische Systeme und Daten durch privilegierte Zugriffskontrollen schützt.
(e) Geschäftskontinuitäts- und Wiederherstellungspläne: PASM verwaltet diese Pläne zwar nicht direkt, trägt aber dazu bei, ihre Wirksamkeit zu gewährleisten, indem es das Potenzial für Unterbrechungen durch kompromittierte privilegierte Konten einschränkt.
(f) Interne IKT-Auditpläne: Die Prüfungsprotokolle von PASM können eine wertvolle Datenquelle für interne IKT-Prüfungen sein, die dazu beitragen, die Wirksamkeit von Zugangskontrollen zu bewerten und potenzielle Schwachstellen zu ermitteln.
(g) Budgetzuweisung: Die Kosten für die Implementierung und Wartung einer PASM-Lösung tragen zum Gesamtbudget für die digitale Ausfallsicherheit bei. Sie kann jedoch auch dazu beitragen, den Bedarf an künftigen Sicherheitsinvestitionen zu verringern, indem Risiken proaktiv gemindert werden.
(h) Politik gegenüber IKT-Drittanbietern: PASM kann in Lösungen für die Zugangsverwaltung von Drittanbietern integriert werden, um einheitliche und sichere Zugangskontrollen für externe Anbieter zu gewährleisten.
(i) Berichtskanäle: PASM-Systeme können Berichte über die Aktivitäten privilegierter Benutzer erstellen, mit deren Hilfe das Management über potenzielle Risiken und Vorfälle im Zusammenhang mit privilegiertem Zugang informiert werden kann.
Sie benötigen Hilfe?
Artikel 6.1
IKT-Risikomanagementrahmen
Artikel 6.1 – IKT-Risikomanagementrahmen
Finanzunternehmen verfügen über einen soliden, umfassenden und gut dokumentierten IKT-Risikomanagementrahmen, der Teil ihres Gesamtrisikomanagementsystems ist und es ihnen ermöglicht, IKT-Risiken schnell, effizient und umfassend anzugehen und ein hohes Niveau an digitaler operationaler Resilienz zu gewährleisten.
WALLIX Empfehlung
Solides, umfassendes und dokumentiertes Framework:
- Privileged Account und Session-Management (PASM) unterstützt einen umfassenden Ansatz, indem es sich auf privilegierten Zugriff konzentriert – ein häufiges Ziel für Angreifer und ein großes IKT-Risiko.
- Die PASM-Dokumentation enthält detaillierte Zugriffs- und Sicherheitsmaßnahmen und trägt damit zu einem gut dokumentierten Framework bei.
Artikel 6.2
IKT-Risikomanagementrahmen
Artikel 6.2 – IKT-Risikomanagementrahmen
Der IKT-Risikomanagementrahmen umfasst mindestens Strategien, Leit- und Richtlinien, Verfahren sowie IKT-Protokolle und -Tools, die erforderlich sind, um alle Informations- und IKT-Assets, einschließlich Computer-Software, Hardware und Server, ordnungsgemäß und angemessen zu schützen sowie um alle relevanten physischen Komponenten und Infrastrukturen, wie etwa Räumlichkeiten, Rechenzentren und ausgewiesene sensible Bereiche zu schützen, damit der angemessene Schutz aller Informations- und IKT-Assets vor Risiken, einschließlich der Beschädigung und des unbefugten Zugriffs oder der unbefugten Nutzung, gewährleistet ist.
WALLIX Empfehlung
Schutz von Informationen und ICT-Vermögenswerten:
Privileged Account und Session-Management (PASM) trägt zum Schutz von Informations- und IKT-Vermögenswerten bei durch:
- Beschränkung des Zugriffs auf kritische Systeme und Daten nach dem Prinzip der geringsten Privilegien (PolP).
- Überwachung der Aktivitäten privilegierter Benutzer, um verdächtiges Verhalten zu erkennen.
Artikel 6.4
IKT-Risikomanagementrahmen
Artikel 6.4 – IKT-Risikomanagementrahmen
Finanzunternehmen, bei denen es sich nicht um Kleinstunternehmen handelt, übertragen die Zuständigkeit für das Management und die Überwachung des IKT-Risikos an eine Kontrollfunktion und stellen ein angemessenes Maß an Unabhängigkeit dieser Kontrollfunktion sicher, um Interessenkonflikte zu vermeiden. Die Finanzunternehmen sorgen für eine angemessene Trennung und Unabhängigkeit von IKT-Risikomanagementfunktionen, Kontrollfunktionen und internen Revisionsfunktionen gemäß dem Modell der drei Verteidigungslinien oder einem internen Modell für Risikomanagement und Kontrolle.
WALLIX Empfehlung
Zuweisung von Verantwortung und Vermeidung von Konflikten:
Privileged Account und Session-Management (PASM) selbst weist keine Verantwortung zu, sondern fügt sich in die bestehenden IT-Governance-Strukturen ein und unterstützt die Rolle der Kontrollinstanz beim Management von IKT-Risiken.
Artikel 6.5
IKT-Risikomanagementrahmen
Artikel 6.5 – IKT-Risikomanagementrahmen
Der IKT-Risikomanagementrahmen wird mindestens einmal jährlich — bzw. im Falle von Kleinstunternehmen regelmäßig — sowie bei Auftreten schwerwiegender IKT-bezogener Vorfälle und nach aufsichtsrechtlichen Anweisungen oder Feststellungen, die sich aus einschlägigen Tests der digitalen operationalen Resilienz oder Auditverfahren ergeben, dokumentiert und überprüft. Der Rahmen wird auf Grundlage der bei Umsetzung und Überwachung gewonnenen Erkenntnisse kontinuierlich verbessert. Der zuständigen Behörde wird auf deren Anfrage ein Bericht über die Überprüfung des IKT-Risikomanagementrahmens vorgelegt.
WALLIX Empfehlung
Dokumentiertes Framework, Überprüfung und Verbesserung:
Die Konfigurations- und Audit-Protokolle des Privileged Account und Session Managements (PASM) bieten wichtige Informationen, um das Framework zu dokumentieren, seine Wirksamkeit zu überprüfen und Verbesserungsmöglichkeiten bei der Kontrolle von privilegierten Zugängen zu erkennen.
Artikel 6.6
IKT-Risikomanagement-Richtlinien
Artikel 6.6 – IKT-Risikomanagement-Richtlinien
Im Einklang mit dem Revisionsplan des betreffenden Finanzunternehmens ist der IKT-Risikomanagementrahmen von Finanzunternehmen, bei denen es sich nicht um Kleinstunternehmen handelt, regelmäßig einer internen Revision durch Revisoren zu unterziehen. Diese Revisoren verfügen über ausreichendes Wissen und ausreichende Fähigkeiten und Fachkenntnisse im Bereich IKT-Risiken sowie über eine angemessene Unabhängigkeit. Häufigkeit und Schwerpunkt von IKT-Revisionen sind den IKT-Risiken des Finanzunternehmens entsprechend angemessen.
WALLIX Empfehlung
Interne Prüfung durch Prüfer mit IKT-Fachwissen:
Die Audit-Protokolle von Privileged Account und Session Managements (PASM) können von internen Auditoren mit IKT-Fachwissen verwendet werden, um die Wirksamkeit von Kontrollen für den privilegierten Zugang zu bewerten und potenzielle Schwachstellen zu ermitteln.
Artikel 6.7
IKT-Risikomanagement-Richtlinien
Artikel 6.7 – IKT-Risikomanagement-Richtlinien
Auf der Grundlage der Feststellungen aus der Überprüfung der internen Revision legen Finanzunternehmen ein förmliches Follow-up-Verfahren einschließlich Regeln für die rechtzeitige Überprüfung und Auswertung kritischer Erkenntnisse der IKT-Revision fest.
WALLIX Empfehlung
Follow-up-Prozess für kritische Befunde:
Privileged Account und Session Managements (PASM) hilft bei kritischen Feststellungen im Zusammenhang mit privilegiertem Zugang, indem es Beweise für verdächtige Aktivitäten liefert und die Untersuchungen erleichtert.
Artikel 6.8
IKT-Risikomanagement-Richtlinien
Artikel 6.8 – IKT-Risikomanagement-Richtlinien
Der IKT-Risikomanagementrahmen umfasst eine Strategie für die digitale operationale Resilienz, in der dargelegt wird, wie der Rahmen umgesetzt wird. Zu diesem Zweck schließt die Strategie für die digitale operationale Resilienz Methoden, um IKT-Risiken anzugehen und spezifische IKT-Ziele zu erreichen, ein, indem
a) erläutert wird, wie der IKT-Risikomanagementrahmen die Geschäftsstrategie und die Ziele des Finanzunternehmens unterstützt;
b) die Risikotoleranzschwelle für IKT-Risiken im Einklang mit der Risikobereitschaft des Finanzunternehmens festgelegt und die Auswirkungsstoleranz mit Blick auf IKT-Störungen untersucht wird;
c) klare Ziele für die Informationssicherheit festgelegt werden, einschließlich der wesentlichen Leistungsindikatoren und der wesentlichen Risikokennzahlen;
d) die IKT-Referenzarchitektur und etwaige Änderungen erläutert werden, die für die Erreichung spezifischer Geschäftsziele erforderlich sind;
e) die verschiedenen Mechanismen dargelegt werden, die eingesetzt wurden, um IKT-bezogene Vorfälle zu erkennen, sich davor zu schützen und daraus entstehende Folgen zu verhindern;
f) der aktuelle Stand bezüglich der digitalen operationalen Resilienz anhand der Anzahl gemeldeter schwerwiegender IKT-Vorfälle und bezüglich der Wirksamkeit von Präventivmaßnahmen dargelegt wird;
g) Tests der digitalen operationalen Resilienz gemäß Kapitel IV dieser Verordnung durchgeführt werden;
h) für IKT-bezogene Vorfälle eine Kommunikationsstrategie dargelegt wird, die gemäß Artikel 14 offengelegt werden muss.
WALLIX Empfehlung
Strategie für digitale operationelle Resilienz:
Privileged Account und Session Managements (PASM) trägt zur Strategie der digitalen Resilienz bei durch:
- Minderung des Risikos von Vorfällen, die durch gefährdete privilegierte Zugangsdaten verursacht werden.
- Stärkung der allgemeinen Widerstandsfähigkeit durch sichere privilegierte Zugangskontrollen.
Insgesamt spielt PASM eine entscheidende Rolle im Rahmen des IKT-Risikomanagements von DORA, indem es den privilegierten Zugang sichert. Es hilft Organisationen, ein kritisches Element des IKT-Risikos anzugehen und trägt letztendlich zu einer sichereren und widerstandsfähigeren IT-Umgebung bei.
Hinweis: Obwohl PASM nicht alle Aspekte von Artikel 6 direkt anspricht, stellt es ein wertvolles Instrument für die Verwaltung eines spezifischen und bedeutenden IKT-Risikobereichs dar – den privilegierten Zugang.
Sie benötigen Hilfe?
Artikel 7
IKT-Systeme, -Protokolle und -Tools
Artikel 7 – IKT-Systeme, -Protokolle und -Tools
Um IKT-Risiken zu bewältigen und zu managen, verwenden und unterhalten Finanzunternehmen stets auf dem neuesten Stand zu haltende IKT-Systeme, -Protokolle und -Tools, die
- dem Umfang von Vorgängen, die die Ausübung ihrer Geschäftstätigkeiten unterstützen, im Einklang mit dem Grundsatz der Verhältnismäßigkeit nach Artikel 4 angemessen sind;
- zuverlässig sind;
- mit ausreichenden Kapazitäten ausgestattet sind, um die Daten, die für die Ausführung von Tätigkeiten und die rechtzeitige Erbringung von Dienstleistungen erforderlich sind, genau zu verarbeiten und Auftragsspitzen, Mitteilungen oder Transaktionen auch bei Einführung neuer Technologien bewältigen zu können;
- technologisch resilient sind, um dem unter angespannten Marktbedingungen oder anderen widrigen Umständen erforderlichen zusätzlichen Bedarf an Informationsverarbeitung angemessen zu begegnen.
WALLIX Empfehlung
Privileged Access Management (PAM) steht im Einklang mit Artikel 7 des DORA, da es ein zuverlässiges, sicheres und technologisch robustes System für die Verwaltung von privilegiertem Zugang bietet. Die Verschlüsselung der Zugangsprotokolle durch PAM stärkt die allgemeine Sicherheitslage und trägt zur Widerstandsfähigkeit der IKT-Infrastruktur bei, so dass Finanzinstitute ein erträgliches Maß an möglichen Störungen erreichen können.
PAM sollte entsprechend der Größe und Komplexität der IT-Infrastruktur der Organisation und den Anforderungen an den privilegierten Zugang skaliert werden.
PAM-Lösungen sollten zuverlässig sein und eine hohe Verfügbarkeit bieten, um eine konsistente und ununterbrochene Verwaltung des privilegierten Zugangs zu gewährleisten.
- PAM sollte mit robusten Sicherheitsfunktionen ausgestattet sein, einschließlich der Verschlüsselung von Protokollen, die für den Zugriff auf Zielsysteme verwendet werden. Dies trägt dazu bei, sensible privilegierte Zugangsdaten und Daten während der Übertragung vor unbefugtem Zugriff oder Abfangen zu schützen.
- Regelmäßige Aktualisierungen der PAM-Lösung sind von entscheidender Bedeutung, um den sich entwickelnden Bedrohungen und Schwachstellen zu begegnen.
Durch die Minimierung des Risikos von Vorfällen, die durch kompromittierte privilegierte Zugangsdaten verursacht werden, trägt PAM dazu bei, ein tolerierbares Maß an IKT-Unterbrechungen zu erreichen.
Sie benötigen Hilfe?
Artikel 8.1
Identifizierung
Artikel 8.1 – Identifizierung
Als Teil des IKT-Risikomanagementrahmens gemäß Artikel 6 Absatz 1 ermitteln und klassifizieren Finanzunternehmen alle IKT-gestützten Unternehmensfunktionen, Rollen und Verantwortlichkeiten, die Informations- und IKT-Assets, die diese Funktionen unterstützen, sowie deren Rollen und Abhängigkeiten hinsichtlich der IKT-Risiken und dokumentieren sie angemessen. Finanzunternehmen überprüfen erforderlichenfalls, mindestens jedoch einmal jährlich, ob diese Klassifizierung und jegliche einschlägige Dokumentation angemessen sind.
WALLIX Empfehlung
Privilegierte Konten und ihre Rollen: Privileged Access Management (PAM) hilft bei der Erstellung eines zentralen Repositorys für privilegierte Konten und erleichtert die Dokumentation.
Systeme und Daten, auf die privilegierte Benutzer zugreifen: Diese Informationen können zur Identifizierung von Informations- und IKT-Ressourcen verwendet werden, die eine Zugriffskontrolle erfordern.
Artikel 8.2
Identifizierung
Artikel 8.2 – Identifizierung
Finanzunternehmen ermitteln kontinuierlich alle Quellen für IKT-Risiken, insbesondere das Risiko gegenüber und von anderen Finanzunternehmen, und bewerten Cyberbedrohungen und IKT-Schwachstellen, die für ihre IKT-gestützten Geschäftsfunktionen, Informations- und IKT-Assets relevant sind. Finanzunternehmen überprüfen regelmäßig, mindestens jedoch einmal jährlich die sie betreffenden Risikoszenarien.
WALLIX Empfehlung
- Derartige IKT-Risiken können sein:
- Übermäßige Zugriffsrechte, die Benutzern oder Dienstkonten zugewiesen wurden.
- Inaktive privilegierte Konten, die bei einer Kompromittierung ausgenutzt werden könnten.
- Benutzer, die Zugang zu mehr Systemen oder Daten haben, als sie benötigen (Verletzung des Prinzips der geringsten Rechte).
Artikel 8.3
Identifizierung
Artikel 8.3 – Identifizierung
Finanzunternehmen, bei denen es sich nicht um Kleinstunternehmen handelt, führen bei jeder wesentlichen Änderung der Netzwerk- und Informationssysteminfrastruktur, der Prozesse oder Verfahren, die sich auf ihre IKT-gestützten Unternehmensfunktionen, Informations- oder IKT-Assets auswirken, eine Risikobewertung durch.
WALLIX Empfehlung
Privileged Access Management (PAM) kann verwendet werden, um die Auswirkungen größerer Änderungen auf die Kontrolle des privilegierten Zugriffs zu bewerten. So könnte beispielsweise die Einführung einer neuen Anwendung die Gewährung von privilegiertem Zugang für bestimmte Konten erfordern. PAM hilft dabei, die damit verbundenen Risiken zu bewerten und geeignete Zugriffskontrollen zu implementieren.
Artikel 8.4
Identifizierung
Artikel 8.4 – Identifizierung
Finanzunternehmen ermitteln alle Informations- und IKT-Assets, einschließlich derer an externen Standorten, Netzwerkressourcen und Hardware, und erfassen diejenigen, die als kritisch gelten. Sie erfassen die Konfiguration von Informations- und IKT-Assets sowie die Verbindungen und Interdependenzen zwischen den verschiedenen Informations- und IKT-Assets.
WALLIX Empfehlung
- Privilegierte Konten und ihre Rollen: Privileged Access Management (PAM) hilft bei der Erstellung eines zentralen Repositorys für privilegierte Konten und erleichtert die Dokumentation.
- Systeme und Daten, auf die privilegierte Benutzer zugreifen: Diese Informationen können zur Identifizierung von Informations- und IKT-Ressourcen verwendet werden, die eine Zugriffskontrolle erfordern.
Artikel 8.5
Identifizierung
Artikel 8.5 – Identifizierung
Finanzunternehmen ermitteln und dokumentieren alle Prozesse, die von IKT-Drittdienstleistern abhängen, und ermitteln Vernetzungen mit IKT-Drittdienstleistern, die Dienste zur Unterstützung kritischer oder wichtiger Funktionen bereitstellen.
WALLIX Empfehlung
Lernen Sie das Risikoklassenmodell von WALLIX kennen!
Risikoklassenmodell von WALLIX
Artikel 9.1
Schutz und Prävention
Artikel 9.1 – Schutz und Prävention
Um einen angemessenen Schutz von IKT-Systemen zu gewährleisten und Gegenmaßnahmen zu organisieren, überwachen und kontrollieren Finanzunternehmen kontinuierlich die Sicherheit und das Funktionieren der IKT-Systeme und -Tools und minimieren durch den Einsatz angemessener IKT-Sicherheitstools, -Richtlinien und -Verfahren die Auswirkungen von IKT-Risiken auf IKT-Systeme.
WALLIX Empfehlung
Kontaktieren Sie uns um mehr zu erfahren…
Artikel 9.2
Schutz und Prävention
Artikel 9.2 – Schutz und Prävention
Finanzunternehmen konzipieren, beschaffen und implementieren IKT-Sicherheitsrichtlinien, -verfahren, -protokolle und -Tools, die darauf abzielen, die Resilienz, Kontinuität und Verfügbarkeit von IKT-Systemen, insbesondere jener zur Unterstützung kritischer oder wichtiger Funktionen, zu gewährleisten und hohe Standards in Bezug auf die Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit, von Daten aufrechtzuerhalten, unabhängig davon, ob diese Daten gespeichert sind oder gerade verwendet oder übermittelt werden.
WALLIX Empfehlung
Privileged Access Management (PAM) fügt sich nahtlos in die bestehenden Sicherheitsrichtlinien und -verfahren für die Zugangskontrolle ein.
Durch die Sicherung des privilegierten Zugriffs trägt PAM zur Ausfallsicherheit, Kontinuität und Verfügbarkeit von IKT-Systemen bei, insbesondere von solchen, die kritische Funktionen unterstützen.
PAM hilft, hohe Standards der Datensicherheit (Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit) aufrechtzuerhalten, indem:
- unbefugte Zugriffe auf sensible Daten eingeschränkt werden,
- das Risikos von Datenverstößen, die durch kompromittierte privilegierte Zugangsdaten verursacht werden, minimiert werden.
Artikel 9.3
Schutz und Prävention
Artikel 9.3 – Schutz und Prävention
Um die in Absatz 2 genannten Ziele zu erreichen, greifen Finanzunternehmen auf IKT-Lösungen und -Prozesse zurück, die gemäß Artikel 4 angemessen sind. Diese IKT-Lösungen und -Prozesse müssen:
- die Sicherheit der Datenübermittlungsmittel gewährleisten;
- das Risiko von Datenkorruption oder -verlust, unbefugtem Zugriff und technischen Mängeln, die die Geschäftstätigkeit beeinträchtigen können, minimieren;
- dem Mangel an Verfügbarkeit, der Beeinträchtigung der Authentizität und Integrität, den Verletzungen der Vertraulichkeit und dem Verlust von Daten vorbeugen;
- gewährleisten, dass Daten vor Risiken, die beim Datenmanagement entstehen, einschließlich schlechter Verwaltung, verarbeitungsbedingter Risiken und menschlichem Versagen, geschützt werden.
WALLIX Empfehlung
Privileged Access Management (PAM) kann so konfiguriert werden, dass privilegierte Sitzungen auf bestimmte Netzwerksegmente beschränkt werden oder die Datenübertragungsmöglichkeiten während privilegierter Zugriffssitzungen eingeschränkt werden, was die Sicherheit der Datenübertragung erhöht.
Durch die Durchsetzung des Prinzips der geringsten Rechte (PolP) und die Überwachung privilegierter Aktivitäten trägt PAM dazu bei, das Risiko von Datenbeschädigung, -verlust und unbefugtem Zugriff zu minimieren.
Artikel 9.4
Schutz und Prävention
Artikel 9.4 – Schutz und Prävention
Als Teil des IKT-Risikomanagementrahmens nach Artikel 6 Absatz 1 gilt für Finanzunternehmen Folgendes:
- Sie erarbeiten und dokumentieren eine Informationssicherheitsleitlinie, in der Regeln zum Schutz der Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit von Daten und der Informations- und IKT-Assets, gegebenenfalls einschließlich derjenigen ihrer Kunden, festgelegt sind;
- sie richten entsprechend einem risikobasierten Ansatz eine solide Struktur für Netzwerk- und Infrastrukturmanagement unter Verwendung angemessener Techniken, Methoden und Protokolle ein, wozu auch die Umsetzung automatisierter Mechanismen zur Isolierung betroffener Informationsassets im Falle von Cyberangriffen gehören kann;
- sie implementieren Richtlinien, die den physischen oder logischen Zugang zu Informations- und IKT-Assets ausschließlich auf den Umfang beschränken, der für rechtmäßige und zulässige Funktionen und Tätigkeiten erforderlich ist, und legen zu diesem Zweck eine Reihe von Konzepten, Verfahren und Kontrollen fest, die auf Zugangs- und Zugriffsrechte gerichtet sind, und gewährleisten deren gründliche Verwaltung;
- sie implementieren Konzepte und Protokolle für starke Authentifizierungsmechanismen, die auf einschlägigen Normen und speziellen Kontrollsystemen basieren, sowie Schutzmaßnahmen für kryptografische Schlüssel, wobei Daten auf der Grundlage der Ergebnisse aus genehmigten Datenklassifizierungs- und IKT-Risikobewertungsprozessen verschlüsselt werden;
- sie implementieren und dokumentieren Richtlinien, Verfahren und Kontrollen für das IKT-Änderungsmanagement, einschließlich Änderungen an Software, Hardware, Firmware-Komponenten, den Systemen oder von Sicherheitsparametern, die auf einem Risikobewertungsansatz basieren und fester Bestandteil des gesamten Änderungsmanagementprozesses des Finanzunternehmens sind, um sicherzustellen, dass alle Änderungen an IKT-Systemen auf kontrollierte Weise erfasst, getestet, bewertet, genehmigt, implementiert und überprüft werden;
- sie besitzen angemessene und umfassende dokumentierte Richtlinien für Patches und Updates.
WALLIX Empfehlung
Privileged Access Management (PAM) steht in direktem Einklang mit dem Ziel der Informationssicherheitspolitik, die Vertraulichkeit von Daten zu schützen, indem der Zugang zu sensiblen Informationen nach dem Prinzip der geringsten Privilegien (PolP) eingeschränkt wird.
PAM verwaltet nicht direkt die gesamte Netzwerkinfrastruktur, trägt aber zu einer soliden Verwaltungsstruktur bei, indem es:
- Zugriffskontrollen durchsetzt, die die seitliche Bewegung von privilegierten Benutzern innerhalb des Netzes einschränken,
- potenzielle Netzwerksegmentierungstools zur weiteren Einschränkung des Zugriffs auf der Grundlage von Sicherheitszonen mit integriert.
PAM spielt eine zentrale Rolle bei der Umsetzung von Zugriffskontrollrichtlinien, indem es:
- eine Plattform für die Definition und Verwaltung granularer Zugriffsrechte für privilegierte Benutzer bereitstellt,
- PolP-Prinzip und die Beschränkung des Zugriffs auf die Systeme und Daten durchsetzt, die für bestimmte Aufgaben erforderlich sind.
PAM lässt sich in der Regel in bestehende starke Authentifizierungsmechanismen für den privilegierten Zugriff integrieren, wie z. B. die Multi-Faktor-Authentifizierung (MFA).
Auch wenn PAM selbst nicht direkt die Datenverschlüsselung übernimmt, kann es mit Datenverschlüsselungslösungen zusammenarbeiten, indem es den Zugriff auf Daten im Ruhezustand und während der Übertragung (durch privilegierte Sitzungen) sichert.
PAM kann in Change-Management-Prozesse integriert werden, um sicherzustellen, dass alle Änderungen an den Zugriffskontrollen oder an den Berechtigungen für privilegierte Benutzer ordnungsgemäß geprüft, genehmigt und kontrolliert umgesetzt werden.
Sie benötigen Hilfe?
Artikel 10.1
Erkennung
Artikel 10.1 – Erkennung
Finanzunternehmen verfügen über Mechanismen, um anomale Aktivitäten im Einklang mit Artikel 17, darunter auch Probleme bei der Leistung von IKT-Netzwerken und IKT-bezogene Vorfälle, umgehend zu erkennen und potenzielle einzelne wesentliche Schwachstellen zu ermitteln.
Alle in Unterabsatz 1 aufgeführten Erkennungsmechanismen werden gemäß Artikel 25 regelmäßig getestet.
WALLIX Empfehlung
Privileged Access Management (PAM) ist ein wertvolles Instrument zur Erkennung von Anomalien im Rahmen des privilegierten Zugangs. Indem es Einblicke in das Benutzerverhalten gewährt und eine Echtzeitüberwachung ermöglicht, unterstützt PAM das Ziel von DORA-Artikel 10, anomale Aktivitäten und IKT-bezogene Vorfälle sofort zu erkennen.
PAM überwacht privilegierte Benutzersitzungen und kann Aktivitäten erkennen, die vom normalen Verhalten abweichen und möglicherweise auf Folgendes hinweisen:
- Verwendung kompromittierter privilegierter Anmeldedaten,
- ungewöhnliche Zugriffsversuche auf kritische Systeme oder Daten,
- privilegierte Benutzer, die ihre autorisierten Zugriffsrechte überschreiten.
Artikel 10.2
Erkennung
Artikel 10.2 – Erkennung
Die in Absatz 1 genannten Erkennungsmechanismen ermöglichen mehrere Kontrollebenen und legen Alarmschwellen und -kriterien fest, um Reaktionsprozesse bei IKT-bezogenen Vorfällen auszulösen und einzuleiten, einschließlich automatischer Warnmechanismen für Mitarbeiter, die für Reaktionsmaßnahmen bei IKT-bezogenen Vorfällen zuständig sind.
WALLIX Empfehlung
Privileged Access Management (PAM) lässt sich in bestehende SIEM-Systeme (Security Information and Event Management) integrieren und ermöglicht die Korrelation von Ereignissen aus verschiedenen Quellen. Dies schafft mehrere Ebenen der Kontrolle für die Erkennung von Anomalien.
PAM kann so konfiguriert werden, dass es Warnungen auf der Grundlage vordefinierter Schwellenwerte und Kriterien in Bezug auf privilegierte Aktivitäten erzeugt. Diese Warnungen können automatische Workflows zur Reaktion auf Vorfälle auslösen und die zuständigen Mitarbeiter zur weiteren Untersuchung benachrichtigen.
Artikel 10.3
Erkennung
Artikel 10.2 – Erkennung
Finanzunternehmen stellen ausreichende Ressourcen und Kapazitäten bereit, um Nutzeraktivitäten, das Auftreten von IKT-Anomalien und IKT-bezogenen Vorfällen, darunter insbesondere Cyberangriffe, zu überwachen.
WALLIX Empfehlung
Privileged Access Management (PAM) bietet eine zentrale Plattform zur Überwachung aller privilegierten Benutzersitzungen, die einen umfassenden Überblick über die Benutzeraktivitäten bietet.
Durch die Erkennung verdächtiger privilegierter Aktivitäten kann PAM dazu beitragen, potenzielle Cyberangriffe oder andere IKT-bezogene Vorfälle zu erkennen.
Sie benötigen Hilfe?
Artikel 11.1
Reaktion und Wiederherstellung
Artikel 11.1 – Reaktion und Wiederherstellung
1. Als Teil des in Artikel 6 Absatz 1 genannten IKT-Risikomanagementrahmens und auf der Grundlage der Identifizierungsanforderungen nach Artikel 8 legen Finanzunternehmen eine umfassende IKT-Geschäftsfortführungsleitlinie fest, die als eigenständige spezielle Leitlinie, die fester Bestandteil der allgemeinen Geschäftsfortführungsleitlinie des Finanzunternehmens ist, verabschiedet werden kann.
WALLIX Empfehlung
Privileged Access Management (PAM) spielt eine unterstützende Rolle bei DORA-Artikel 11, indem es Werkzeuge und Informationen bereitstellt, die bei der Reaktion auf und der Wiederherstellung nach IKT-bezogenen Vorfällen helfen können. Ein sicherer privilegierter Zugang trägt zur Gewährleistung der Geschäftskontinuität bei, indem er potenzielle Schäden minimiert und schnellere Wiederherstellungszeiten ermöglicht.
PAM steht im Einklang mit dem Gesamtziel der Gewährleistung der Geschäftskontinuität durch die Sicherung des privilegierten Zugangs, der für die Aufrechterhaltung der Kernfunktionen im Falle eines Zwischenfalls entscheidend ist.
Artikel 11.2
Reaktion und Wiederherstellung
Artikel 11.2 – Reaktion und Wiederherstellung
Finanzunternehmen implementieren die IKT-Geschäftsfortführungsleitlinie mittels spezieller, angemessener und dokumentierter Regelungen, Pläne, Verfahren und Mechanismen, die darauf abzielen,
- die Fortführung der kritischen oder wichtigen Funktionen des Finanzunternehmens sicherzustellen;
- auf alle IKT-bezogenen Vorfälle rasch, angemessen und wirksam zu reagieren und diesen so entgegenzuwirken, dass Schäden begrenzt werden und die Wiederaufnahme von Tätigkeiten und Wiederherstellungsmaßnahmen Vorrang erhalten;
- unverzüglich spezielle Pläne zu aktivieren, die Eindämmungsmaßnahmen, Prozesse und Technologien für alle Arten IKT-bezogener Vorfälle ermöglichen und weitere Schäden vermeiden, sowie maßgeschneiderte Verfahren zur Reaktion und Wiederherstellung gemäß Artikel 12 zu aktivieren;
- vorläufige Auswirkungen, Schäden und Verluste einzuschätzen;
- Kommunikations- und Krisenmanagementmaßnahmen festzulegen, die gewährleisten, dass allen relevanten internen Mitarbeitern und externen Interessenträgern im Sinne von Artikel 14 aktualisierte Informationen übermittelt werden, und die Meldung an die zuständigen Behörden gemäß Artikel 19 sicherstellen.
WALLIX Empfehlung
Wirksame Reaktion auf Vorfälle: Durch die Bereitstellung von forensischen Protokollen privilegierter Aktivitäten kann Privileged Access Management (PAM) bei der Untersuchung der Ursache von IKT-bezogenen Vorfällen helfen und die Wiederherstellungsbemühungen beschleunigen.
Eindämmungsmaßnahmen: PAM ermöglicht die sofortige vorübergehende oder dauerhafte Deaktivierung von kompromittierten privilegierten Konten, wodurch die Auswirkungen des Vorfalls möglicherweise begrenzt werden können.
Schadensabschätzung: Die Audit-Protokolle von PAM können verwendet werden, um das Ausmaß des unbefugten Zugriffs oder potenzieller Datenverletzungen durch kompromittierte privilegierte Zugangsdaten zu bewerten.
Sie benötigen Hilfe?
Artikel 13.1
Lernprozesse und Weiterentwicklung
Artikel 13.1 – Lernprozesse und Weiterentwicklung
Finanzunternehmen verfügen über Kapazitäten und Personal, um Informationen über Schwachstellen und Cyberbedrohungen, IKT-bezogene Vorfälle, insbesondere Cyberangriffe, zu sammeln und ihre wahrscheinlichen Auswirkungen auf ihre digitale operationale Resilienz zu untersuchen.
WALLIX Empfehlung
Privileged Access Management (PAM) spielt im Rahmen von Artikel 13 des DORA eine entscheidende Rolle, da es wertvolle Daten für Lernprozesse und Verbesserungen liefert. Durch die Analyse von Aktivitäten und Vorfällen im Zusammenhang mit privilegiertem Zugriff können Finanzinstitute ihre Sicherheitsvorkehrungen kontinuierlich verbessern und ihre digitale operative Widerstandsfähigkeit stärken.
Die Audit-Protokolle von PAM liefern wertvolle Daten zur Analyse der Aktivitäten privilegierter Benutzer, die genutzt werden können, um:
- Potenzielle Schwachstellen im Zusammenhang mit privilegiertem Zugriff zu identifizieren.
- Verdächtiges Verhalten zu erkennen, das auf Cyberangriffe auf privilegierte Konten hinweisen könnte.
- die Auswirkungen von Vorfällen mit kompromittierten privilegierten Anmeldedaten zu verstehen.
Artikel 13.2
Lernprozesse und Weiterentwicklung
Artikel 13.2 – Lernprozesse und Weiterentwicklung
Nach Störungen ihrer Haupttätigkeiten infolge schwerwiegender IKT-bezogener Vorfälle sehen Finanzunternehmen nachträgliche Prüfungen IKT-bezogener Vorfälle vor, die die Ursachen für Störungen untersuchen und die erforderlichen Verbesserungen an IKT-Vorgängen oder im Rahmen der in Artikel 11 genannten IKT-Geschäftsfortführungsleitlinie identifizieren.
Finanzunternehmen, die keine Kleinstunternehmen sind, teilen den zuständigen Behörden auf Verlangen die Änderungen mit, die nach der Prüfung IKT-bezogener Vorfälle gemäß Unterabsatz 1 vorgenommen wurden.
Bei den in Unterabsatz 1 genannten nachträglichen Prüfungen IKT-bezogener Vorfälle wird ermittelt, ob die festgelegten Verfahren befolgt und die ergriffenen Maßnahmen wirksam waren, unter anderem in Bezug auf:
- die Schnelligkeit bei der Reaktion auf Sicherheitswarnungen und bei der Bestimmung der Auswirkungen von IKT-bezogenen Vorfällen und ihrer Schwere;
- die Qualität und Schnelligkeit bei der Durchführung forensischer Analysen, sofern dies als zweckmäßig erachtet wird;
- die Wirksamkeit der Eskalation von Vorfällen innerhalb des Finanzunternehmens;
- die Wirksamkeit interner und externer Kommunikation.
Wallix recommendation
Die forensischen Protokolle von Privileged Access Management (PAM) können bei der Überprüfung nach einem Vorfall von entscheidender Bedeutung sein, insbesondere bei Vorfällen mit kompromittiertem privilegiertem Zugriff. Diese Informationen können helfen, zu identifizieren:
- Wie kompromittierte Zugangsdaten verwendet wurden, um Kernaktivitäten zu stören.
- Welche Schwachstellen in der Kontrolle des privilegierten Zugriffs zum Vorfall beigetragen haben.
Artikel 13.7
Lernprozesse und Weiterentwicklung
Artikel 13.7 – Lernprozesse und Weiterentwicklung
Finanzunternehmen, bei denen es sich nicht um Kleinstunternehmen handelt, überwachen einschlägige technologische Entwicklungen fortlaufend — auch um die möglichen Auswirkungen des Einsatzes solcher neuen Technologien auf die Anforderungen an die IKT-Sicherheit und die digitale operationale Resilienz zu verstehen. Sie halten sich über die neuesten Prozesse für das IKT-Risikomanagement auf dem Laufenden, um gegenwärtige oder neue Formen von Cyberangriffen wirksam abzuwehren.
WALLIX Empfehlung
Privileged Access Management (PAM)-Anbieter entwickeln ihre Lösungen ständig weiter, um neuen Bedrohungen und Schwachstellen zu begegnen.
Finanzinstitute können das Fachwissen von PAM-Anbietern und Threat Intelligence Feeds nutzen, um über die neuesten Angriffsvektoren für privilegierten Zugang informiert zu sein. Zudem lassen sich PAM-Lösungen in Sicherheits-Frameworks und Best Practices integrieren.
Durch den Einsatz einer robusten PAM-Lösung können Finanzinstitute sicherstellen, dass ihre Kontrollen für den privilegierten Zugriff mit den sich entwickelnden Risikomanagement-Ansätzen in Einklang gebracht werden.
Sie benötigen Hilfe?
Artikel 15
Weitere Harmonisierung
von Tools, Methoden,
Prozessen und Richtlinien
für IKT-Risikomanagement
Artikel 15 – Weitere Harmonisierung von Tools, Methoden, Prozessen und Richtlinien für IKT-Risikomanagement
Die ESA entwickeln über den Gemeinsamen Ausschuss in Abstimmung mit der Agentur der Europäischen Union für Cybersicherheit (ENISA) gemeinsame Entwürfe technischer Regulierungsstandards für folgende Zwecke:
- die Festlegung weiterer Elemente, die in die in Artikel 9 Absatz 2 genannten Richtlinien, Verfahren, Protokolle und Tools für IKT-Sicherheit aufzunehmen sind, um die Sicherheit von Netzwerken zu gewährleisten, angemessene Schutzvorrichtungen gegen Eindringen und Missbrauch von Daten zu ermöglichen, die Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit der Daten, einschließlich kryptografischer Techniken, zu wahren und eine präzise und rasche Datenübermittlung ohne wesentliche Störungen und unangemessene Verzögerungen zu gewährleisten;
- die Entwicklung weiterer Komponenten der Kontrollen von Zugangs- und Zugriffsrechten gemäß Artikel 9 Absatz 4 Buchstabe c und der damit verbundenen Personalpolitik, mit denen Zugangsrechte, Verfahren für Erteilung und Widerruf von Rechten, die Überwachung anomalen Verhaltens in Bezug auf IKT-Risiken durch angemessene Indikatoren — auch für Netzwerknutzungsmuster, Zeiten, IT-Aktivität und unbekannte Geräte — spezifiziert werden;
- […]
WALLIX Empfehlung
Starke Authentifizierung: Der Technische Regulierungsstandard von DORA (DORA RTS) könnte die Verwendung starker Authentifizierungsmechanismen für den privilegierten Zugang vorschreiben, was perfekt mit der Kernfunktion von PAM einhergeht, nämlich der Erzwingung der Multi-Faktor-Authentifizierung (MFA) und anderer robuster Authentifizierungsmethoden.
Geringste Privilegien: Das Prinzip der geringsten Privilegien (PolP) wird wahrscheinlich in den RTS hervorgehoben werden. Privileged Access Management (PAM) unterstützt dieses Prinzip direkt, indem es eine granulare Kontrolle über die Zugriffsrechte ermöglicht und sicherstellt, dass Benutzer nur den für ihre Rolle erforderlichen Mindestzugriff haben.
Datenverschlüsselung: Die DORA RTS könnten Anforderungen für die Verschlüsselung von Daten bei der Übertragung und im Ruhezustand festlegen. PAM kann zwar nicht direkt die Verschlüsselung selbst übernehmen, aber es kann mit Datenverschlüsselungslösungen zusammenarbeiten, indem es den Zugriff auf Daten im Ruhezustand und bei der Übertragung (durch privilegierte Sitzungen) sichert.
Granulare Zugangskontrollen: Die DORA RTS werden wahrscheinlich detailliertere Zugriffskontrollen vorschreiben. PAM zeichnet sich in diesem Bereich dadurch aus, dass es eine detaillierte Kontrolle über die Benutzerberechtigungen bietet, einschließlich spezifischer Systeme, Datenobjekte und Aktionen, die privilegierte Benutzer durchführen können.
Just-in-Time (JIT): DORA RTS könnte die Verwendung von JIT-Provisioning fördern, wobei privilegierter Zugriff nur dann gewährt wird, wenn er für bestimmte Aufgaben erforderlich ist. PAM kann den JIT-Zugriff unterstützen, indem es eine temporäre Privilegien-Eskalation ermöglicht und die Aufzeichnung oder Überwachung von Sitzungen erzwingt.
Überwachung und Erkennung von anomalem Verhalten: DORA RTS könnte die Überwachung der Zugriffsaktivitäten und die Erkennung verdächtigen Verhaltens in den Vordergrund stellen. Die Sitzungsüberwachungs- und Auditing-Funktionen von PAM erfüllen diese Anforderung direkt, indem sie Abweichungen von normalen Zugriffsmustern erkennen und Sicherheitsteams vor potenziellen Anomalien warnen.
Sie benötigen Hilfe?
Sie wünschen weitere WALLIX-Empfehlungen zu DORA? Kontaktieren Sie uns!
FOLGEN SIE UNS
