Coralie LemassonIn den letzten Jahren hat sich die Landschaft der Cyberversicherungen in Nordamerika deutlich gewandelt. Einst als freiwilliges Sicherheitsnetz betrachtet, ist die Cyber-Versicherung heute ein Eckpfeiler des Risikomanagements in Unternehmen. Als Reaktion auf die rasant steigende Zahl von Sicherheitsverletzungen und eskalierende Schadensfälle passen die Versicherer ihre Geschäftsmodelle an und legen verstärkt Wert auf die Überprüfung der Identitäts- und Berechtigungssicherheit – einschließlich privilegierter Zugriffe. In diesem Kontext hat sich die Verwaltung privilegierter Zugriffe (PAM) von einem bewährten Verfahren zu einer unabdingbaren Voraussetzung für die Versicherbarkeit entwickelt.
Die sich wandelnde Risikokalkulation von Cyber-Versicherern
Der Fokus auf PAM ist auf eine eindeutige Bedrohung zurückzuführen: Ransomware. Laut der National Association of Insurance Commissioners (NAIC) nahmen Ransomware-Angriffe im Jahr 2021 um fast 93 % zu. Bemerkenswert ist, dass die bisher höchste gezahlte Lösegeldsumme – knapp 40 Millionen US-Dollar – von einem Versicherer entrichtet wurde. Als Reaktion darauf fordern Versicherer besser strukturierte und nachweisbare Cybersicherheitsmaßnahmen, um solche kostspieligen Vorfälle zu verhindern.
Eine aktuelle Branchenumfrage ergab, dass fast die Hälfte aller Schadensfälle auf Missbrauch von Berechtigungen oder Identitätsdiebstahl zurückzuführen sind. Daher verlangen über 40 % der Versicherer mittlerweile den Nachweis der Einhaltung des Prinzips der geringsten Privilegien und 95 % der versicherten US-Unternehmen müssen identitätsbezogene Kontrollmechanismen implementieren, um weiterhin Versicherungsschutz zu erhalten.
Diese Entwicklungen deuten auf ein sich verschärfendes, aber gleichzeitig auch reifendes Umfeld für Cyber-Versicherungen hin.
Sie suchen nach einer PAM-Lösung, die die Anforderungen ihres Versicherers erfüllt? Erkunden Sie Devolutions PAM.
Definition der PAM-Erwartungen des Versicherers
Obwohl die Erwartungen der einzelnen Versicherer variieren, haben sich mehrere klare Trends herauskristallisiert, und viele gehen in Richtung PAM. Wie bereits erwähnt, war Ransomware ein wesentlicher Faktor für diese Verlagerung hin zu PAM. Aus Sicht der Versicherer werden PAM-Kontrollen – ob explizit benannt oder nicht – aufgrund ihrer Fähigkeit geschätzt, „schädliche Aktivitäten während des gesamten Ransomware-Lebenszyklus zu verhindern, zu erkennen und darauf zu reagieren“.
Mit anderen Worten: Versicherer verwenden zwar nicht immer den Begriff „Verwaltung privilegierter Zugriffe“, aber ihre technischen Anforderungen entsprechen häufig dessen Funktionen.
Im Folgenden sind wichtige PAM- und PAM-nahe Kontrollen aufgeführt, die von Versicherern häufig gefordert werden:
1. Multi-Faktor-Authentifizierung (MFA)
Die Multi-Faktor-Authentifizierung (MFA) wird von vielen Versicherern als grundlegend angesehen und ist entweder explizit vorgeschrieben (z. B. für Konten von Domainadministratoren oder Remote-Zugriff) oder implizit in den Erwartungen an eine mehrschichtige Zugriffskontrolle enthalten.
2. Verwaltung von Anmeldedaten und Passwortrotation
Sichere Speicherung von Anmeldedaten, erzwungene Passwortkomplexität und automatische Passwortrotation werden zu Standardanforderungen.
3. Protokollierung, Überwachung und Aufzeichnung von Sitzungen
Die Überprüfbarkeit ist ein ständiges Anliegen. Versicherer können die Aufzeichnung von Sitzungen, die Überwachung und/oder Protokollierung administrativer Aktivitäten verlangen, einschließlich der Überprüfung von Anmeldedaten, der Erweiterung von Berechtigungen, dem Zurücksetzen von Passwörtern und Änderungen der Gruppenzugehörigkeit.
4. Just-in-Time-Zugriff (JIT) und keine ständig bestehenden Berechtigungen (Zero Standing Privileges – ZSP)
Versicherer erwarten zunehmend temporäre Arbeitsabläufe zur Erhöhung der Berechtigungen wie JIT-Zugriff, die auf dem Prinzip der Vermeidung ständig bestehender Berechtigungen (ZSP) basieren. JIT-Erhöhung gewährt temporäre Berechtigungen, während ZSP sicherstellt, dass Berechtigungen sofort widerrufen werden und keine bestehen bleiben, sobald sie nicht mehr benötigt werden.
5. Prinzip der geringsten Berechtigungen (PoLP) und rollenbasierte Zugriffskontrollen (RBAC)
Delinea hat in seiner Umfrage zum Thema Cyber-Versicherung herausgefunden, dass 41 % der Befragten rollenbasierte Zugriffskontrollen und/oder Kontrollen nach dem Prinzip der geringsten Rechte (als bewährte Verfahren sollten beide implementiert werden) implementieren mussten, um ihre Cyber-Versicherbarkeit aufrechtzuerhalten. Versicherer erwarten, dass Berechtigungen entsprechend der jeweiligen beruflichen Funktion zugewiesen und nicht pauschal gewährt werden.
6. Sicherer Remote-Zugriff
Der Remote-Zugriff, sei es für Remote-Mitarbeiter, Lieferanten oder Auftragnehmer, bereitet Versicherern weiterhin Sorgen. Falsch konfigurierte Remote-Zugriffs-Protokolle wie das Microsoft Remote Desktop Protocol (RDP) stellen ein erhebliches Sicherheitsrisiko dar, insbesondere seit der Zunahme der Remote-Arbeit aufgrund von COVID-19. Versicherer erwarten mehrschichtige Abwehrmaßnahmen wie VPNs und MFA über RDP, um diese Risiken zu mindern.
Devolutions PAM-Lösungen: Unser ganzheitlicher Ansatz
Durch die Zusammenführung aller wesentlichen PAM- und PAM-nahen Funktionen in einer einheitlichen Architektur kann Devolutions Lösung zur Verwaltung privilegierter Zugriffe Unternehmen dabei helfen, die Erwartungen der Versicherer zu erfüllen. Unsere Lösung umfasst:
- Einen zentralen Passwort-Tresor (Devolutions Server oder Devolutions Hub), mit MFA-Erzwingung, rollenbasierter Zugriffskontrolle (RBAC) und verschlüsselter Speicherung;
- Devolutions Remote Desktop Manager, der den Zugriff auf Remote-Sitzungen vermittelt und Berechtigungen detailliert einschränkt;
- Devolutions Gateway, eine leichtgewichtige VPN-Alternative, die die Aufzeichnung von Sitzungen und die Verwaltung von Drittanbieter-Zugriffen ermöglicht;
- Devolutions PAM, das automatische Passwortrotation, JIT-Erhöhung und Durchsetzung des Prinzips der geringsten Rechte bietet.
Unternehmen, die bereits Lösungen wie CyberArk, Delinea Secret Server oder BeyondTrust Password Safe einsetzen, können diese in die Devolutions-PAM-Plattform integrieren und so ihre bestehenden Investitionen erhalten und gleichzeitig ihre Kapazitäten erweitern.
Unsere PAM-Lösung bietet eine effiziente, überprüfbare Verwaltungsplattform, die in den Bereichen Identität, Zugriff und Berechtigungen auf die von den Versicherern bevorzugten bewährten Verfahren abgestimmt ist. Da die Devolutions-Plattform preisgünstig und auf einfache Implementierung ausgelegt ist, macht sie fortschrittliches PAM für kleine, mittlere und große Unternehmen gleichermaßen zugänglich.
Für Teams mit fünf oder weniger Mitarbeitern bietet unser Starter Pack die gleichen soliden PAM-Funktionen wie unsere Komplettlösung – inklusive JIT-Erhöhung und Passwortrotation – aber zu einem für kleinere IT-Betriebe optimierten Preis. Es ist der ideale erste Schritt für Teams, die frühzeitig eine solide Grundlage für die Cybersicherheit schaffen und eine Cyber-Versicherung abschließen möchten.
Fazit
Da sich die Zeichnungskriterien stetig weiterentwickeln, müssen Unternehmen in Nordamerika ihre Sicherheitsstrategien entsprechend anpassen. PAM ist – unabhängig davon, ob es Versicherer nun explizit verlangen – nicht mehr optional.
Durch das Verständnis der Erwartungen der Versicherer und die Anpassung ihrer PAM-Kontrollen können Unternehmen nicht nur ihre Chance auf einen Versicherungsschutz verbessern, sondern auch eine widerstandsfähigere und verantwortungsbewusstere Sicherheitsstrategie entwickeln. Devolutions integrierte PAM-Lösungen bieten eine auf Versicherer abgestimmte Grundlage für diese entscheidende Transformation.
Wenn Sie eine PAM-Lösung suchen, um Anspruch auf eine Cyber-Versicherung zu haben, sehen Sie sich unser Paket für die Verwaltung privilegierter Zugriffe oder unser Starter Pack für kleine Teams an.
Matt Miller