Studie zur IT-Sicherheit Zugriffsberechtigung Externer ist ein Sicherheitsrisiko

Die IT-Security beim Zugriff von Dritten auf das eigene Netzwerk liegt im Argen. Wo die Schwachstellen liegen, zeigt eine aktuelle Studie.

Das Ponemon Institut und Imprivata sind in einer internationalen Studie der Frage nachgegangen, ob der Netzwerk-Zugang Dritter ein Sicherheitsrisiko darstellt. Insgesamt wurden für Deutschland Antworten von 573 Teilnehmenden aus verschiedenen Branchen ausgewertet, darunter 63 von Organisationen aus dem deutschen Gesundheitswesen. Damit ist die Studie zwar nicht repräsentativ, gibt aber trotzdem Hinweise auf Schwachstellen und wie sie beseitigt werden.

Der Umstand, dass Kliniken auch externem (und nicht fest angestelltem) Personal Zugang zum eigenen Netzwerk gewähren, lässt sich nicht allein mit wirtschaftlichem Druck erklären. Beleg-Ärztinnen und -Ärzte, Labore und andere Beteiligte der Behandlungskette sollen auch im Sinne einer optimalen Patientenversorgung Zugriff auf das Klinik-Netzwerk haben. Das Problem: Externe Anwender und Applikationen sind operativ disziplinarisch entkoppelt. IT-Sicherheitsverantwortliche haben keine Möglichkeit, die Umsetzung notwendiger sicherheitsrelevanter Maßnahmen durchzusetzen. Sie können die Einhaltung der Richtlinien für digitale Identitäten, mit denen der Zugriff auf IT-Netzwerke geregelt wird, nicht erzwingen. Und dennoch: 58 Prozent aller deutschen Befragten gaben an, keine einheitliche Strategie für die Verwaltung von Zugängen und Berechtigungen für Externe zu haben.

Kaum Überblick über Fremdzugriffe

Dieses Defizit hat Folgen: 51 Prozent der Befragten aus Deutschland sagten, dass ihre Organisation in den zwölf Monaten vor der Befragung von einer Datenverletzung oder einem Cyberangriff betroffen gewesen sei. Aus der (vertrauten) Infrastruktur eines Lieferanten oder anderer Externer sei auf die eigene IT-Infrastruktur zugegriffen worden. 34 Prozent sahen die Ursache darin, dass Externen zu weitreichende Zugriffsrechte eingeräumt wurden.

Umfassende Dokumentation fehlt

Immerhin gaben 56 Prozent der Befragten an, dass ihre Organisation über eine umfassende Dokumentation aller dritten Parteien mit Zugriff auf das Netzwerk verfüge. Keine oder mangelhafte Dokumentation führten die Befragten auf fehlende Ressourcen für die Überwachung von Drittanbietern (45 Prozent) und fehlende zentrale Kontrolle über die Beziehungen zu ihnen (37 Prozent) zurück. Ohne Dokumentation ist nicht klar, was Externe mit ihrem Zugang machen. Diese mangelhafte Kontrolle erschwert schließlich die Diagnose, wer im Schadensfall zum Beispiel Daten kompromittiert hat.

Sicherheit der Lieferkette wird Priorität

Was sind die beiden wichtigsten operativen Maßnahmen für die IT-Sicherheit bei Zugriffen Dritter? Die Zugänge (Konten und Berechtigungen) müssen dokumentiert und verwaltet werden, und die Aktivitäten von externen Anwendern sowie Systemen müssen überwacht werden. Die Überwachung der Systeme ist dabei allerdings kritisch zu bewerten, da sie auch ohne bewusste oder aktive Benutzerinteraktion aktiv sein können.

Die gute Nachricht: 77 Prozent der Befragten bejahten, dass ihre Organisation über ein Vendor-Privileged-Access-Management (VPAM) verfüge. Damit lässt sich regeln, wie der Zugriff eines Externen erfolgen darf und welche Rechte er im Netzwerk hat. Allerdings sind nur 52 Prozent dieser Gruppe davon überzeugt, dass ihre VPAM-Lösung den Missbrauch von privilegierten Zugängen Externer wirksam verhindert.

Hoher Aufwand und Komplexität

Die Gründe dafür, dass Zugriffe durch Externe trotz VPAM-Lösungen und gutem Willen in vielen Organisationen nicht ausreichend verwaltet und überwacht werden, liegen unter anderem in einer Überforderung der IT-Abteilungen und einer zusätzlichen Belastung der vorhandenen Ressourcen. Das gaben 38 Prozent der Befragten aus Deutschland an. Sie sagten weiterhin aus, dass die größten Hindernisse bei der Verringerung der Zugriffsrisiken durch Externe in der fehlenden Kontrolle oder Steuerung (47 Prozent), der Komplexität der Compliance- und gesetzlichen Anforderungen (59 Prozent) und den unzureichenden Ressourcen oder Budgets (27 Prozent) liegen würden.

Als Fazit lässt sich festhalten, dass sowohl in der Administration als auch in der Überwachung externen Zugriffs großes Optimierungspotenzial besteht. Dieses liegt unter anderem darin, Dritte bereits zu Beginn der Zusammenarbeit umfassend zu prüfen.

Keine Vorab-Prüfung

62 Prozent gaben an, dass ihre Organisation die Sicherheits- und Datenschutzpraktiken Dritter nicht bewerte, bevor diesen Zugriff auf sensible oder vertrauliche Daten gewährt wird. Ihnen zufolge liegt der Hauptgrund im Vertrauen der Organisation darauf, dass Dritte die Informationen schützen. 61 Prozent räumten ein, dass es auch an Ressourcen zur Überprüfung und Verifizierung fehlt.

Im Gegensatz dazu sagten ebenfalls 62 Prozent der Befragten aus, dass sie interne Mitarbeiter einer gründlichen Überprüfung unterziehen würden, ehe sie Zugriffsrechte vergeben. Organisationen scheinen also strengere Regeln für die Bewertung interner Benutzer anzuwenden als für Externe. Dies könnte eine Erklärung dafür sein, warum fast die Hälfte aller Befragten der Meinung ist, dass der Fernzugriff durch Dritte die größte Angriffsfläche sei.

Krankenhaus-IT

Chancen und Herausforderungen durch Personalboom

Tools strategisch und effizient einsetzen

Die Aufgabe für die IT-Sicherheit besteht darin sicherzustellen, dass Maßnahmen und Tools strategisch und konsequent angewendet werden – für alle privilegierten Zugriffsanforderungen. Die Zugriffssicherheit muss sowohl für interne Benutzer als auch für Dritte transparent, dokumentiert und effektiv geregelt werden. Um den Zugriff von Festangestellten und Externen differenziert zu regeln, dienen rollenbasierte Zugangskonzepte, Zero-Trust-Konzepte mit Zugriffsmanagement und Multifaktor-Authentifizierung.

Studie

Die großen Hürden in der IT-Sicherheit im Gesundheitswesen

Wearables mit medizinischen Teilfunktionalitäten

Cybersicherheit von Wearables im Fokus

(ID:50411905)