Privileged Access Management (PAM)

Wie Sie Ihre optimale Privileged-Access-Management-Lösung finden.

Eine PAM-Lösung wird eingesetzt, um den privilegierten Zugang für interne Administra­toren und externe Service-Anbieter zu sichern. Jede auf dem Markt erhältliche Lösung hat spezifische Leistungsmerkmale. Doch welche Merkmale sind für Ihr Unternehmen relevant?

Im Folgenden finden Sie eine Liste der Funktionen, auf die Sie bei einer PAM-Lösung achten sollten:

• Sie sollte einfach, leicht zu implementieren und zu verwalten sein:

Eine PAM-Lösung muss nicht zeitaufwändig, einschränkend oder komplex in der Bereitstellung und Wartung sein. Bei der Auswahl einer PAM-Lösung sollten Sie auf einfache Handhabung, Wartungsfreundlichkeit und Schnelligkeit in der Bereitstellung achten. Eine solche Lösung lässt sich mit wenigen Klicks einrichten und erfordert keine Umgestaltung der bestehenden Infrastruktur. Ein zentrales Merkmal Ihrer Lösung sollten regelmäßige auto­matische Aktualisierungen sein, die nicht von Ihrem IT-Team verwaltet werden müssen.

• Wählen Sie eine kostengünstige Lösung:

Auch der Lizenzierungsmodus ist ein wichtiger Punkt, den es zu berücksichtigen gilt. So sollten die Kosten je nach tatsächlicher Nutzung über einen längeren Zeitraum gestaffelt werden können, einschließlich Wartung und Update-Management.

• Ausfallsicherheit und Anpassungsfähigkeit an unterschiedliche Anwendungs­fälle:

Das Profil der Administratoren hat sich im Laufe der Jahre verändert und entwickelt sich stetig weiter. Der klassische Administrator, der physisch im Büro anwesend ist und sich im selben Netzwerk wie die Ressourcen befindet, ist nicht mehr der einzige Anwendungsfall. Es gibt unterschiedliche Profile, die zur Verwaltung dieser Ressourcen eingesetzt werden können. So zum Beispiel Service-Anbieter, die per Definition mit Fernzugriff arbeiten, oder ein Unternehmensadministrator, der von zu Hause aus arbeitet.

Eine PAM-Lösung sollte für alle privilegierten Benutzer in jedem möglichen Kontext ein ausreichendes Maß an Sicherheit garantieren. Im Extremfall kann das IT-System auch hinter einer Serviceplattform versteckt und geschützt sein.

• Passwort-Tresor und -Verwaltung:

Neben den oben genannten Administratorenprofilen gibt es auch ehemalige Administra­toren, die möglicherweise Kenntnis von Zugangskonten, IP-Adressen usw. hatten. Mit einem Passwort-Tresor können Sie alle Unternehmensdaten und Schlüssel sicher aufbe­wahren. Zusammen mit der Passwortrotation und der automatischen Injektion wird ein Weitergeben von Passwörtern an Administratoren verhindert.

• Aufzeichnung und Überwachung von Sitzungen:

Eine PAM-Lösung sollte über die reine Sitzungsaufzeichnung hinausgehen. Die Aufzeich­nung privilegierter Sitzungen ermöglicht es Ihnen, alle Aktionen von Administratoren in Echtzeit zu beobachten und mit ihnen zu interagieren. Sie sollte jedoch auch Automatisie­rungsfunktionen wie das automatische Erkennen und Blockieren verdächtiger Aktivitäten oder das schnelle Suchen und Finden verdächtiger Aktionen in großen Videodatenbanken unterstützen.

• Identitätsbasierte Zugriffsrichtlinien:

Für ein angemessenes Sicherheitslevel ist eine fortschrittliche Zugriffskontrolle erforder­lich, die sowohl auf Identität/Profil als auch auf dem Verbindungskontext basiert. Adminis­tratoren sollten auf der Grundlage ihrer Profile über vordefinierte Richtlinien Zugriff auf die benötigten Ressourcen erhalten. Je nach Organisationsstruktur können Benutzergruppen definiert werden. Auf dieser Basis können dann leicht Richtlinien zugewiesen werden, die bestimmen, auf welche Anwendung ein Administrator in welchem Kontext (Standort, IP usw.) Zugriff hat.

• Multi-Faktor-Authentifizierung (MFA):

Angenommen, alle oben genannten Punkte sind erfüllt, so muss dennoch sichergestellt werden, dass sich die richtige Person hinter dem Rechner befindet. Viele Unternehmen verwenden bereits verschiedene Multi-Faktor-Authentifizierungslösungen wie Yubico, Google Authenticator, Office-365 und weitere. Hier muss sichergestellt werden, dass die PAM-Lösung mit den vorhandenen Authentifikatoren verbunden werden kann.