Wer darf wo: der Kern der Zugriffskontrolle
Zugriffskontrolle beantwortet eine Frage: wer hat Zugriff auf welches System, und warum genau diese Person und nicht jemand anders. Innerhalb der NIS2-Sorgfaltspflicht ist dies eine der Maßnahmen, die eine Organisation nachweisen muss, und in der Praxis ist es auch die Maßnahme, bei der Fragenumfragen am häufigsten und am schärfsten nachfragen. Das ist kein Zufall: ein Angreifer, der einmal eindringt, sucht nach Konten mit zu vielen Rechten, und Zugriffskontrolle ist genau die Maßnahme, die das begrenzt.
Für einen ICT-Dienstleister zeigt sich dies in drei Formen: Fernverwaltung von eigenen und Kundensystemen, direkter Zugriff auf Kundensysteme, und die Rolle von Unterauftragnehmern, die manchmal selbst Zugriff benötigen. Jede Form wirft eine etwas andere Frage auf, und ein Abnehmer, der die Fragenumfrage sendet, möchte auf alle drei eine Antwort.
Fernverwaltung: das erste, worauf eine Fragenumfrage trifft
Bei der Fernverwaltung geht es nicht nur um die Frage, ob ein Passwort erforderlich ist, sondern darum, wer genau sich anmelden darf, mit welchem Konto, und ob dies auf eine Person zurückzuführen ist. Ein gemeinsames Verwaltungskonto, das vom ganzen Team verwendet wird, ist für eine Aufsichtsbehörde oder einen Abnehmer schwierig zu bewerten: wenn etwas schiefgeht, lässt sich nicht feststellen, wer zu diesem Zeitpunkt drinnen war. Mehrstufige Authentifizierung bei Verwaltungszugriff ist inzwischen das Minimum, das verlangt wird, und viele Fragenumfragen möchten auch wissen, ob Sitzungen protokolliert werden und ob der Zugriff nach einer Inaktivitätsfrist automatisch abläuft.
Der zugrunde liegende Gedanke heißt in der Regelgebung das Prinzip des minimalen Zugriffs: jemand erhält nur Rechte für das, was für seine Aufgabe notwendig ist, nicht mehr. Für einen Installationsbetrieb oder einen IT-Betreuer klingt das abstrakt, aber in der Praxis kommt es auf eine einfache Überprüfung hinaus: kann ein Techniker, der nur Drucker wartet, auch auf die Finanzbuchhaltung zugreifen? Wenn nicht, dann ist das bereits ein Hinweis darauf, dass die Zugriffskontrolle in Ordnung ist.
Zugriff auf Kundensysteme: warum dies separat abgefragt wird
Wenn sich ein ICT-Dienstleister direkt bei Kundensystemen anmeldet, entsteht eine zusätzliche Schicht. Der Kunde möchte dann nicht nur wissen, wie der Dienstleister seinen eigenen Zugriff schützt, sondern auch, wie verhindert wird, dass ein Konto des Dienstleisters zum Einfallstor für den Rest des Kundennetzes wird. Fragenumfragen fragen daher oft separat nach Segmentierung: ist der Zugriff auf das System begrenzt, für das er bestimmt ist, oder kann ein Techniker von diesem einen Konto aus auch auf andere Teile zugreifen.
Dies ist genau der Grund, warum Abnehmer dieses Thema mit Vorrang vor allgemeineren Fragen behandeln. Eine sorgfaltspflichtige Organisation muss ihre Lieferanten bewerten, und der Zugriff auf ihre eigenen Systeme ist das konkreteste Risiko, das sie aufzeigen kann. Wer hier als Lieferant bereits eine klare Antwort hat — wer darf sich anmelden, mit welchem Recht, und wie wird das regelmäßig überprüft — spart sich eine Reihe von Nachfragen. pro Thema geklärt, was eine Maßnahme genau bedeutet gibt dort einen Ausgangspunkt für.
Unterauftragnehmer: dieselbe Frage, eine Kettenglied weiter
Sobald ein Unterauftragnehmer bei einem Auftrag mitarbeitet, verschiebt sich die Frage nicht weg, sondern ein Kettenglied weiter in der Kette. Ein Kunde, der die Zugriffskontrolle des Dienstleisters bewertet, möchte auch wissen, ob dieser Dienstleister seinerseits Kontrolle über den Zugriff seiner eigenen Unterauftragnehmer hat. Wird ein Konto für einen Unterauftragnehmer separat erstellt und wieder entzogen, sobald der Auftrag abgeschlossen ist, oder bleibt dieser Zugriff stillschweigend bestehen? Letzteres ist eine der häufigsten Feststellungen, wenn die Zugriffskontrolle überprüft wird: Konten, die einmal notwendig waren, aber nie bereinigt wurden.
Eine praktische Absprache besteht daher auch darin, dass der Zugriff an die Laufzeit des Auftrags gekoppelt wird und dass es einen festen Eigentümer gibt, der für den Widerruf verantwortlich ist. Wer das nachweisen kann — ein Name, keine Funktionsbezeichnung im allgemeinen Sinne — gibt einem Fragebogen eine konkretere Antwort als eine reine Beschreibung von Richtlinien.
Was dies für Ihre eigene Dokumentation bedeutet
Zugriffsschutz ist keine Maßnahme, die man einmal einstellt und dann vernachlässigt; es ist ein Register, das gepflegt werden muss, sobald sich Rollen, Kunden oder Unterauftragnehmer ändern. Für diejenigen, die noch herausfinden müssen, ob dies als Branchenverpflichtung oder Lieferkettenverpflichtung relevant ist, bietet die Prüfung in wenigen Fragen einen ersten Anhaltspunkt davon, wo sich eine Organisation befindet. Wer bereits weiß, dass die Fragebögen weiter kommen, kann mit den häufigsten Fragen darüber, was genau abgefragt wird die eigene Situation weiter analysieren.
Der Kern bleibt einfach zu merken, auch ohne rechtlichen Hintergrund: Können Sie jederzeit sagen, wer Zugriff auf welches System hat, warum und seit wann? Wer diese Antwort parat hat, ist für die meisten Fragebögen schon sehr weit gekommen. Wer das noch herausfinden muss, kann mit dem kostenlosen Quick-Check auf secria.eu einen ersten Überblick darüber gewinnen, wo man anfangen sollte.