Zugangskontrolle muss benutzerfreundlich und transparent sein (ISC)²-Experte Franjo Majstor über Access Control

Access Management und Access Control sind wichtige Sicherheitsmechanismen bei der Datenverarbeitung. Übertreibt man jedoch beim Zugriffsschutz, kann er auch ein ernsthaftes Hindernis für wichtige Geschäftsprozesse werden. Im Interview erläutert Franjo Majstor, CISSP, CCIE Veteran und Instructor bei (ISC)², die Herausforderungen.

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Arvato Systems

Security-Insider

Security-Insider: Warum sind Zugriffsverwaltung und -kontrolle aus Ihrer Sicht wichtig für CISOs?

Franjo Majstor: „Die Landschaft des Datenzugriffs hat sich enorm erweitert.“

Franjo Majstor: Stellen wir uns doch zunächst einmal selbst die rhetorische Frage: Wie könnte die Datenverarbeitung ohne Access Management aussehen?

Jeder, der einen physischen Zugriff oder Fernzugriff auf das System hat, wäre in der Lage, Daten zu verarbeiten und ihre Integrität, Vertraulichkeit und Verfügbarkeit zu beeinflussen, ohne eine Spur zu hinterlassen oder dafür zur Rechenschaft gezogen werden zu können. Deshalb ist es heutzutage unmöglich, sich ein modernes Datenverarbeitungssystem ohne ein effizientes Access-Control-System vorzustellen.

Ein effizientes Access-Control-Management spielte und spielt in jeder modernen Umgebung immer die Rolle einer grundlegenden Sicherheitskontrolle. Sie ist das erste Glied in einer Kette, auf die der geringste mögliche Zugang zu Daten, die minimale Kenntnis von Daten und ein Prüfungsmechanismus folgen.

Mit optimal gewählten Access-Control-Mechanismen sollten die zu verarbeitenden Daten nur Funktionen und Einzelpersonen oder Datenverarbeitungsanwendungen zur Verfügung stehen, die wirklich Zugriff auf sie haben müssen – und nichts und niemandem sonst.

Security-Insider: Was hat sich in den vergangenen Jahren geändert und wie reagieren Sicherheitsexperten auf die sich verändernde Landschaft?

Majstor: Die Landschaft des Datenzugriffs hat sich enorm erweitert – sowohl in Hinblick auf die Zugriffsmedien als auch auf die Zahl an Geräten und Nutzern, die die Daten eingeben, auf diese zugreifen und sie verarbeiten. Deshalb werden Effizienz und optimale Lösungen für Access Control jetzt auf ihre Skalierbarkeit und noch mehr auf ihre Benutzerfreundlichkeit und Endnutzertransparenz hin untersucht.

Security-Insider: Manche Analysten sagen, dass der Geschäftsprozess rund um Zugriffs- und Identitätsmanagement besser definiert werden sollte. Was denken Sie darüber?

Majstor: Das ist keine Frage von Mehr oder Weniger. Jedes Access-Control-System sollte in Preis und Leistung angepasst werden, um angemessenen Zugriff auf die Daten zu erlauben, die es schützt.

Zum Beispiel würde sicherlich niemand eine Multi-Faktor-Authentifizierung an jeder Tür oder an jedem System anbringen, sondern nur an Orten, wo ein solcher Schutz zwingend benötigt wird. Das scheint für geschlossene Umgebungen zwar logisch zu sein, doch ist die Einrichtung einer entsprechenden Access Control, die weltweit durchgängig ist, noch immer eine anspruchsvolle Aufgabe.

Es gibt schlicht und einfach keinen Point of Trust im globalen Netzwerk, der für die globalen Zugriffskontrollen als Verifizierungspunkt einer einzelnen Identität genutzt werden könnte. Das globale Netzwerk ist heute noch immer mit einem privaten Netzwerk-Overlay verschachtelt, das den Zugriff auf Daten innerhalb vertrauenswürdiger Domains beschränkt. Das ist eine Aufgabe, die noch vor uns liegt.

Security-Insider: Wie denken sie über den Zugriffsschutz mithilfe von Biometrie?

Majstor: Biometrie ist ein ewiges Thema, das ich in meiner 20-jährigen Karriere in der Informationssicherheit immer wieder kommen und gehen gesehen habe. Die biometrische Erkennung hat Vorzüge und Nachteile, schafft aber gerade den Durchbruch aufgrund eines brillanten Design-Beispiels.

Wer immer die Idee hatte, nur eine einzige Taste an einem Mobilgerät anzubringen, hat auch eine sehr praktische, möglichst einfache, beschränkte Nutzerschnittstelle für ein Gerät geschaffen. Nun, das war nur ein erster Schritt; einen Fingerabdruck-Scanner in die gleiche Taste einzubauen, ist eine brillante Idee, wie Biometrie platziert werden könnte und sollte.

Mittlerweile gibt es verschiedene Mobiltelefon-Anbieter, die diesen oder ähnliche Mechanismen mehr oder weniger elegant integriert haben. Durch die Verwendung von Biometrie lässt sich der Zugang zu einer ständig wachsenden Menge an persönlichen und geschäftlichen Daten auf Mobilfunkgeräten anwenderfreundlich kontrollieren.

Security-Insider: Welches sind die wichtigsten Bedrohungen für Access-Control-Systeme?

Majstor: Ich glaube, das größte Problem für effiziente Access-Control-Systeme (ACS) ist die Nutzerakzeptanz, die unmittelbar mit der Benutzerfreundlichkeit und der Transparenz zusammenhängt. Wenn ACS nicht „unsichtbar“ ausgeführt werden oder ein Hindernis darstellen, werden sie entweder aufgegeben, umgangen oder sie verlangsamen einfach das Geschäft und unterbinden es im schlimmsten Fall sogar.

(ID:42612472)