Vincent LambertAls Sicherheitsrahmenwerk umfasst ISO/IEC 27001:2022 ein breites Spektrum an organisatorischen, physischen und technischen Kontrollen. Die Identitäts- und Zugriffsverwaltung (IAM) zählt dabei zu den wichtigsten Prinzipien der ISO, da viele Kontrollen darauf basieren, wie Identitäten verwaltet und der Zugriff auf Systeme gewährt, überwacht und eingeschränkt wird.
Um Kunden bei der Bewältigung dieser Komplexität zu unterstützen, bietet Devolutions eine Compliance-Seite an, die die Produkte den Kontrollen der wichtigsten Sicherheitsrahmenwerke, einschließlich ISO/IEC 27001, zuordnet. Diese Seite bietet Unternehmen einen klaren Überblick darüber, welche Kontrollen von den Lösungen von Devolutions heute unterstützt werden, wie sie im Rahmen einer umfassenden Compliance-Strategie genutzt werden können und wie die bestehenden Produktfunktionen dazu beitragen können, ein solides Geschäftsszenario für die Zertifizierung nach ISO/IEC 27001 zu erstellen.
Hier bieten Devolutions Server (DVLS), Devolutions Hub, Devolutions Remote Desktop Manager (RDM), Devolutions Gateway, Workspace und Devolutions PAM echte, praktische Unterstützung.
Nachfolgend werden einige der wichtigsten IAM-bezogenen Kontrollmechanismen aufgeführt und erläutert, wie Devolutions Unternehmen dabei hilft, diese erfüllen.
1) 5.16 – Identitätsverwaltung
„Der gesamte Lebenszyklus von Identitäten muss verwaltet werden."
Warum das wichtig ist: ISO 27001 fordert die Verwaltung des gesamten Lebenszyklus vom Onboarding bis zum Offboarding.
So hilft Devolutions:
- Die Integration mit AD, Azure AD, SCIM und SSO gewährleistet, dass Identitäten dem bestehenden Lebenszyklus Ihres Verzeichnisses folgen.
- Die rollenbasierte Zugriffskontrolle (RBAC) sorgt dafür, dass der Zugriff auf Tresore und Anmeldeinformationen den Rollen der Nutzer entspricht.
- Privilegierter Just-in-Time-Zugriff über Devolutions PAM verhindert dauerhaft erhöhte Rechte.
Ergebnis: Der Identitätslebenszyklus wird operativ, automatisiert und überprüfbar.
2) 5.17 – Authentifizierungsinformationen
„Die Zuweisung und Verwaltung von Authentifizierungsinformationen muss kontrolliert werden."
Warum das wichtig ist: ISO 27001 legt großen Wert darauf, wie Passwörter, Schlüssel, Token und Geheimnisse gespeichert und regelmäßig rotiert werden.
So hilft Devolutions:
- Verschlüsselte Tresore in DVLS und Hub speichern alle Geheimnisse zentral und sicher.
- Passwort- und Schlüsselrotation durch PAM reduziert veraltete Anmeldeinformationen.
- Das Einfügen der Anmeldeinformationen (RDM, Workspace) ermöglicht Nutzern die Authentifizierung, ohne jemals Passwörter zu sehen.
- Die Multi-Faktor-Authentifizierung (MFA) für die gesamte Produktpalette stärkt die Authentifizierung insgesamt.
Ergebnis: Eine starke, zentrale und richtlinienbasierte Verwaltung aller Authentifizierungsinformationen.
3) 5.18 – Zugriffsrechte
„Zugriffsrechte werden gemäß den geltenden Richtlinien gewährt, überprüft, geändert und entzogen."
Warum das wichtig ist: Standardmäßig wird von Unternehmen erwartet, dass sie ihre eigenen Zugriffskontrollrichtlinien definieren und sicherstellen, dass die Identitäts- und Zugriffsverwaltung diese Regeln konsequent befolgt.
So hilft Devolutions:
- DVLS und Hub bieten eine zentralisierte Verwaltung des Zugriffslebenszyklus.
- Zugriffsprüfungen werden durch die klare Übersicht über Tresorberechtigungen, privilegierte Konten und Nutzerrollen vereinfacht.
- Gateway erzwingt die Segmentierung und stellt so sicher, dass selbst legitime Anmeldeinformationen die Netzwerkkontrollen nicht umgehen können.
Ergebnis: Zugriffsrechte bleiben während ihres gesamten Lebenszyklus mit den Richtlinien im Einklang.
4) 8.2 – Privilegierte Zugriffsrechte
„Die Nutzung privilegierter Zugriffe muss eingeschränkt und verwaltet werden."
Warum das wichtig ist: Da privilegierte Konten ein häufiges Ziel böswilliger Angriffe sind, werden deren Verwaltung und Überwachung bei ISO/IEC 27001-Prüfungen genauestens untersucht.
So hilft Devolutions:
- Vollständige PAM-Funktionen: Passwortspeicherung, Sitzungsaufzeichnung, Genehmigungsabläufe, Just-in-Time-Zugriff.
- Sichere Sitzungsvermittlung über Devolutions Gateway — es werden keine RDP/SSH-Ports mehr offengelegt.
- Detaillierte Protokolle liefern den Prüfern Nachweise und unterstützen die Untersuchung von Vorfällen.
Ergebnis: Privilegierter Zugriff wird kontrolliert, überwacht und transparent.
5) 8.3 – Eingeschränkter Zugriff auf Informationen
„Der Zugriff muss gemäß den genehmigten Richtlinien eingeschränkt werden."
Warum das wichtig ist: ISO/IEC 27001 erwartet, dass Richtlinien für die Zugriffskontrolle durch praktische, technische Maßnahmen unterstützt werden und nicht nur durch dokumentierte Regeln.
So hilft Devolutions:
- Rollenbasierte Zugriffskontrolle (RBAC), Ordnerberechtigungen und segmentierte Tresore gewährleisten strikte Informationsgrenzen.
- Das Einfügen der Anmeldeinformation verhindert, dass Nutzer sensible Geheimnisse einsehen können, wodurch Insider- und Phishing-Risiken reduziert werden.
- Gateway fügt eine Segmentierung auf Netzwerkebene hinzu und verstärkt so die logischen Zugangskontrollen.
Ergebnis: Ein praktisches, durchsetzbares Modell der geringsten Rechte für Identitäten, Verbindungen und Geheimnisse.
Sie möchten mehr erfahren?
In den kommenden Monaten werden der Devolutions Compliance-Seite weitere Sicherheitsrahmenwerke hinzugefügt, in denen detaillierter beschreiben wird, welche Kontrollen durch die Funktionen der Produkte von Devolutions abgedeckt werden. Dadurch erhalten Kunden einen fortlaufend Einblick darin, wie Devolutions die sich ständig weiterentwickelnden Compliance- und Sicherheitsanforderungen weiterhin unterstützt.
Patrick Pilotte
