Vincent LambertDas Higher Education Community Vendor Assessment Toolkit (HECVAT) ist ein standardisierter Fragebogen, der Hochschulen bei der Bewertung der Cybersicherheit ihrer Drittanbieter und Dienstleister unterstützt. Er stellt sicher, dass Unternehmen, die institutionelle Daten verarbeiten, über geeignete Kontrollmechanismen verfügen, um Datenschutz, Vertraulichkeit und Verfügbarkeit zu gewährleisten.
HECVAT hat seinen Ursprung zwar im akademischen Bereich, seine Prinzipien sind aber weit darüber hinaus anwendbar. Für Unternehmen, die sensible Daten oder IT-Umgebungen verwalten, stellt die Einhaltung der HECVAT-Standards eine starke Governance, Transparenz und das Bekenntnis zu bewährten Sicherheitspraktiken unter Beweis.
Bei Devolutions verstehen wir den wachsenden Bedarf an messbarer Sicherheitsgarantie. Unsere Lösungen — Devolutions Server (DVLS), Devolutions Hub und Remote Desktop Manager (RDM) — bieten die technische Grundlage, die erforderlich ist, um die wichtigsten HECVAT-Kontrollen zu erfüllen, einschließlich Zugriffsverwaltung, Nachvollziehbarkeit und Schutz von Anmeldeinformationen.
Es ist wichtig, zu beachten, dass HECVAT kein Sicherheitsrahmenwerk ist, sondern ein auf einem Fragebogen basierendes Bewertungstool. Es dient dazu, Institutionen bei der Bewertung der Implementierung und Aufrechterhaltung wesentlicher Sicherheitskontrollen durch Anbieter zu unterstützen. In diesem Sinne konsolidiert und referenziert HECVAT viele der Kontrollkategorien, die auch in anderen etablierten Rahmenwerken — wie z. B. ISO/IEC 27001, NIST 800-53, oder CIS Controls — zu finden sind, präsentiert sie jedoch in einem standardisierten Format, das die Risikobewertung von Anbietern vereinfacht.
Devolutions Lösungen sind auf diese zugrunde liegenden Kontrollfamilien abgestimmt und helfen Unternehmen dabei, ihre Praktiken in Bereichen wie Identitätsverwaltung, Zugriffsverwaltung, Datenschutz und Vorfallsnachverfolgung zu stärken.
So unterstützen die Lösungen von Devolutions die Regelkonformität von HECVAT
1. Rollenbasierte Zugriffskontrolle (RBAC) – DVLS & Hub
Die Zugriffsverwaltung ist einer der Eckpfeiler von HECVAT. Das Rahmenwerk erfordert eine klare Dokumentation darüber, wer Zugriff auf Systeme hat und warum.
Mit DVLS und Hub Business können Unternehmen:
- nutzerdefinierte Nutzerrollen definieren (z. B. Administratoren, IT-Mitarbeiter, externe Dienstleister);
- granulare Berechtigungen auf Tresor- oder Eintragsebene erteilen (Lesen, Ändern, Löschen);
- das Prinzip der geringsten Rechte durchsetzen, um sicherzustellen, dass Nutzer nur auf die notwendigen Ressourcen zugreifen können.
HECVAT-Übereinstimmung: Diese Funktionen unterstützen die Einhaltung der Anforderungen für die Zugriffskontrolle, indem sie Autorisierungsrichtlinien formalisieren und das Risiko des Missbrauchs von Berechtigungen reduzieren.
2. Prüfprotokolle und Nachvollziehbarkeit – DVLS & Hub
HECVAT legt Wert auf die Notwendigkeit der Überprüfbarkeit und Verantwortlichkeit. Jede privilegierte Handlung muss nachvollziehbar und überprüfbar sein.
DVLS & Hub protokollieren automatisch:
- jeden Zugriff, jede Passwortänderung und jeden Datenexport;
- administrative Nutzeraktivitäten über verschiedene Sitzungen hinweg;
- detaillierte Prüfprotokolle, die für Untersuchungen zur Regelkonformität oder Vorfällen exportiert werden können.
HECVAT-Übereinstimmung: Die umfassende Protokollierung ermöglicht nachweisbare Verantwortlichkeit und erleichtert interne und externe Prüfungen.
3. Zentralisierte Passwortverwaltung – RDM + DVLS/Hub
Die Verwaltung von Anmeldedaten bleibt ein entscheidender Kontrollfaktor in jedem Sicherheitskonzept. HECVAT erwartet von Unternehmen, dass sie Anmeldedaten vor unbefugter Offenlegung schützen und eine sichere Handhabe in allen Systemen gewährleisten.
Durch die Kombination von RDM mit DVLS oder Hub können Sie:
- alle sensiblen Anmeldedaten in einem zentralen, verschlüsselten Repository speichern;
- die sichere Passwortübertragung und -weitergabe erleichtern;
- Sitzungen mittels Einfügen der Anmeldeinformation authentifizieren, ohne Passwörter preiszugeben.
HECVAT-Übereinstimmung: Die zentralisierte Verwaltung und Verschlüsselung von Anmeldedaten erfüllt direkt die HECVAT-Anforderungen an sichere Verwaltung von Geheimnissen und den Datenschutz.
4. Überwachung und Kontrolle von Remote-Sitzungen – RDM + DVLS
In einer verteilten IT-Landschaft ist die Kontrolle und Überwachung von Remote-Sitzungen unerlässlich. HECVAT bewertet, wie der Remote-Zugriff gesichert, überwacht und geprüft wird.
Indem Sie RDM mit DVLS verwenden, können Unternehmen:
- Remote-Sitzungen (z. B. RDP, SSH) zur Verantwortlichkeit und Überwachung aufzeichnen;
- den Zugriff auf vordefinierte Anmeldedaten, Systeme und Tools beschränken;
- aus der Ferne Sitzungen beenden, wenn verdächtige Aktivitäten auftreten.
HECVAT-Übereinstimmung: Die nachweisbare Kontrolle und Transparenz von Remote-Verbindungen erfüllt die Anforderungen von HECVAT an die Überwachung des Remote-Zugriffs.
Durch Conveyor Vertrauen und Transparenz demonstrieren
Um die Due-Diligence-(Sorgfaltspflicht-)Prüfung für Hochschulen und Beschaffungsteams zu vereinfachen, stellt Devolutions über Conveyor - unser zentrales Vertrauensportal - ein vorausgefülltes HECVAT-Formular zur Verfügung.
Über Conveyor können Kunden und Partner:
- sofort auf unseren ausgefüllten HECVAT-Komplettfragebogen zugreifen;
- ergänzende Dokumente einsehen, darunter:
- SOC 2 Type II-Bericht
- ISO/IEC 27001- und 27701-Zertifizierungen
- Zusammenfassungen von Penetrationstests
- alle relevanten Materialien zur Regelkonformität aus einer einzigen, verifizierten Quelle herunterladen.
HECVAT-Übereinstimmung: Devolutions hilft Unternehmen nicht nur dabei, die HECVAT-Standards zu erfüllen - wir wenden sie auch selbst an und stellen unsere Dokumentation zur Regelkonformität leicht zugänglich zur Verfügung.
Fazit
HECVAT bietet einen strukturierten und transparenten Ansatz zur Bewertung und Kommunikation von Sicherheitspraktiken zwischen Institutionen und ihren Anbietern. Unternehmen, die sich diesem Rahmenwerk anpassen möchten, bietet Devolutions sowohl die notwendigen Tools als auch den Nachweis der Konformität.
Durch die Implementierung von rollenbasierter Zugriffskontrolle, Prüfprotokollen, zentralisierter Passwortverwaltung und Sitzungsüberwachung ermöglichen die Lösungen von Devolutions IT-Teams, Reife, Kontrolle und Vertrauenswürdigkeit unter Beweis zu stellen.
Weitere Informationen sowie Zugriff auf die abgeschlossene HECVAT- und andere Zertifizierungen von Devolutions finden Sie in unserem Trust Center.
Patrick Desilets
Patrick Pilotte