(IT)-Sicherheitshandlungsleitlinien für Systembetreiber und ... - Audi

IT-Sicherheitshandlungsleitlinien für Systembetreiber und Administratoren Status: Freigegeben
8. Zugangskontrolle
8.1. Geschäftsanforderungen an die Zugangskontrolle
Der Zugriff auf nicht öffentliche Informationen darf nur authentisiert und autorisiert erfolgen.
Der Informationseigentümer hat sicherzustellen, dass die Zugriffsrechte der Anwender und -gruppen auf
die Ihnen zugewiesenen Ressourcen für jedes IT-System geregelt sind.
Nicht benötigte Daten, Dienste und Benutzerkennungen sind durch den Systembetreiber zu löschen bzw.
gezielt zu sperren.
Administratorkennungen dürfen nur zu administrativen Aufgaben genutzt werden. Routinetätigkeiten, die
kein Administrationsrecht erfordern, sind mit Benutzerkennungen mit eingeschränkten Rechten
durchzuführen.
8.2. Verwaltung der Zugriffsrechte der Benutzer
Die Beantragung einer Zugangs-/Zugriffsberechtigung für ein internes IT-System erfolgt entsprechend
gesellschaftsspezifischer Regelungen (siehe Anhang, Ziff. 8).
Es ist vom Systembetreiber sicherzustellen, dass dieselbe Kennung nicht an verschiedene Benutzer
vergeben wird.
Für Gruppen von Benutzern mit ähnlichen Aufgaben sind Rollen zu definieren und in Systemen
umzusetzen, soweit dies technisch möglich ist. Diesen Rollen sind standardmäßig Kategorien von
Zugriffsrechten zuzuordnen.
Ein Benutzer erhält die Rechte, die seiner Rolle zugeordnet sind.
Der Systembetreiber hat eine Übersicht über die zugelassenen Benutzer, Benutzergruppen und
Rechteprofile zu führen.
Es sind Verfahren für die Vergabe und die Rücksetzung von Passwörtern festzulegen und zu
veröffentlichen.
Einem Ausprobieren von Benutzerkennungen und Passwörtern ist durch geeignete Maßnahmen zu
begegnen (z. B. Verlängerung der Wartezeit nach jedem Fehlversuch und/oder eine Sperrung nach einer
definierten Anzahl von Fehlversuchen).
Die Dokumentation der zugelassenen Benutzer und Rechteprofile ist regelmäßig darauf zu überprüfen, ob
sie den tatsächlichen Stand der Rechtevergabe widerspiegelt und ob die Rechtevergabe noch den
Sicherheitsanforderungen und den aktuellen Aufgaben der Benutzer entspricht.
8.3. Netzzugriffskontrolle
Nur authentisierte und autorisierte Benutzer dürfen Zugang zum internen Konzernnetzwerk erhalten.
Der Systemzugang für externe Verbindungen ist mindestens mittels "Wissen und Besitz" zu schützen (z. B.
SecurID-Karte: dort ist „Wissen“ die Kenntnis der PIN-Nummer und „Besitz“ das Haben der Karte selber).
Zum Schutz vor unberechtigten und ungewollten Verbindungen sind Rückrufverfahren und –maßnahmen
einzusetzen (z. B. die Verwendung von Rückruf-Modems).
Die Anbindung eines externen Geschäftspartners darf erst nach unterschriebener Geschäfts- und
Geheimhaltungsvereinbarung erfolgen.
Nicht benötigte Dienste sind von den zuständigen Stellen abzuschalten.
Seite 8 von 14