Mobile-Menu

Sicherheitszertifizierung nach ISO/IEC 27001

ERP-Systeme und Informationssicherheit

Seite: 2/3

Anbieter zum Thema

FAST LTA GmbH
SEPPmail - Deutschland GmbH
FTAPI Software GmbH
IBIS Prof. Thome GmbH

Laut Ergebnissen des Leitfadens Informationssicherheit des BSI (Bundesamt für Sicherheit in der Informationstechnik) ist eines der häufigsten Versäumnisse in den Unternehmen, dass sie ihre Berechtigungsvergabe nicht restriktiv handhaben. Die Anwender haben in den meisten Fällen Zugriff auf Daten, die sie gar nicht benötigen. Das Need-to-know-Prinzip, bzw. der im Identity Management als Least-Privilege-Prinzip (Minimalprinzip) bekannte Grundsatz wird sträflich vernachlässigt. Missachten die Verantwortlichen in den Unternehmen, dass ihre Mitarbeiter lediglich die Berechtigungen für den Zugriff auf Informationen erhalten sollten, die sie für die Bewältigung ihrer Aufgaben benötigen, erhöhen sie jedoch die Gefahr für Missbrauch.

Der Sicherheitsaspekt ist also nur eine Seite der Medaille. Wollen die Unternehmen ihre Geschäftsprozesse mit einer leistungsfähigen IT unterstützen, war und ist die Ausgestaltung der Berechtigungen eine grundlegende Bedingung. Denn unabhängig von der Software-Architektur steuert das Berechtigungskonzept den Zugriff auf die Funktionen eines ERP-Systems. Am Beispiel des Minimalprinzips wird deutlich, dass die Befolgung dessen nicht nur Selbstzweck ist oder lediglich der Informationssicherheit dient. Es hat vielmehr Auswirkungen auf die Unternehmensaktivitäten selbst.

Deshalb müssen ERP-Systeme, die ein Hort sensibler Daten und für operative und strategische Aktivitäten fundamental sind, über aktuelle Berechtigungskonzepte verfügen. Wird das Need-to-know- bzw. Least-Privilege-Prinzip befolgt, stützen sich die Ziele der Informationssicherheit und ERP-Systeme gegenseitig: Indem die Mitarbeiter nur über die für sie relevanten Daten zugreifen können, wird die Sicherheit über aktuelle Berechtigungen gewährleistet. Gleichzeitig lässt sich das ERP-System so strukturieren, dass es die aktuellen Aktivitäten eines Unternehmens gezielt und umfassend unterstützt.

Die Analytik macht den Unterschied

Wesentlicher Fokus aller integrierten Managementsysteme, insbesondere auch der Norm ISO/IEC 27001, ist und muss die regelmäßige Kontrolle des Soll-Konzepts und der Abgleich mit der Ist-Situation sein. Wird diese vernachlässigt oder entfällt gar ganz, wird das Prinzip des integrierten Informationssicherheits-Managementsystem ad absurdum geführt. Demgemäß steht und fällt der Erfolg eines ISMS in den Unternehmen mit den internen und externen Audits. Hierbei müssen zwei Faktoren beachtet werden:

  • Die Informationssicherheit ist nur eine – und in der Regel konkurrierende – Aufgabe, welche die IT-Administration im laufenden Betrieb zu erledigen hat. Also auch die Installation und Verwaltung von Berechtigungskonzepten (siehe Bildergalerie, Abb. 2) ist für eine IT-Abteilung nicht mehr als ein notwendiges Übel. Hinzu kommt, dass ein Systemadministrator aufgrund seiner Arbeitsbelastung kaum noch in der Lage ist, unsichere Einstellungen vollständig zu vermeiden. Er nimmt solche in vielen Fällen billigend in Kauf, um sein Pensum überhaupt bewältigen zu können. Ein Dilemma, dessen sich die Unternehmen in der Regel bewusst sind, welches aber ohne organisatorische oder informationstechnische Unterstützung nicht zu lösen ist.
  • Auditoren, unabhängig davon, ob sie intern oder extern sind, müssen in der Lage sein, ERP-Systeme im Rahmen ihres Audits zu prüfen. Dies ist ein umfangreiches Unterfangen, das Expertenwissen voraussetzt. Eine SAP ERP-Lösung stellt beispielsweise alleine über 100.000 Tabellen und Funktionen sowie unzählige sicherheitsrelevante Konfigurationsvarianten bereit. Da aber die Auditoren in der Regel weder das entsprechende Spezialwissen noch die Zeit haben, eine gründliche Prüfung durchzuführen, sind sie auf entsprechende Hilfsmittel angewiesen.

(ID:40519570)

Weiterführende Inhalte