Berechtigungsworkshop Max Mustermann AG

Thema: Analyse des Filesystems und der vorhandenen Verzeichnis- und Berechtigungsstrukturen Vorschläge und Wege zur Optimierung

Termin: 01. / 02.05.2016

Prüfer: Max Mustermann Team Leader Professional Consulting & Senior Consultant, aikux.com GmbH

Inhalt Einleitung ................................................................................................................................... 3 Ziele ........................................................................................................................................... 4 Grundsätzliche Bewertung ......................................................................................................... 5 Ergebnisblock / Maßnahmen-Summary...................................................................................... 6 Dringende Maßnahmen .......................................................................................................... 6 Empfehlungen......................................................................................................................... 6 Grundlage der Betrachtung ........................................................................................................ 7 Prozesse (Effizienz) ................................................................................................................ 7 Sicherheit................................................................................................................................ 7 Dokumentation und Nachvollziehbarkeit ................................................................................. 9 Bewertung der aktuellen Situation ............................................................................................ 11 Details, Bewertungen, Lösungsvorschläge ............................................................................... 12 Berechtigungsvergabe .......................................................................................................... 12 Fehlende Klassifikation der Daten......................................................................................... 13 „Jeder“-Berechtigungen ........................................................................................................ 14 Direktberechtigungen von User-Accounts ............................................................................. 15 Verwaiste Berechtigungseinträge in ACLs ............................................................................ 16 Allgemeines Benutzermanagement (Benutzereintritt, -wechsel, -austritt) .............................. 17 Rezertifizierung von Berechtigungen im Filesystem .............................................................. 18 Allgemeine Informationen zum Filesystem ............................................................................ 19 Schlussbemerkungen ............................................................................................................... 21

2

Einleitung Die Max Mustermann AG verfügt über eine seit Jahren gewachsene Verzeichnisstruktur. Im Rahmen des Workshops fand eine gründliche Betrachtung und Bewertung der vorhandenen Filestrukturen und der vergebenen Berechtigungen statt. Weiterhin wurden Probleme und Prozesse rund um das Benutzermanagement besprochen sowie die Fileserverlandschaft betrachtet.

3

Ziele Während des Workshops wurden die angestrebten Ziele der Max Mustermann AG erörtert. Folgende Ziele kristallisierten sich dabei heraus:        

Migration und Harmonisierung der Berechtigungsstruktur Einführung eines zeitgemäßen Berechtigungskonzeptes Aufbau einer DFS-Namespace-Struktur Reduzierung der Komplexität Verringerung des Speicherbedarfs/ Kostensenkung Steigerung der Produktivität im Umgang mit dem Filesystem Archivierung Integration der Shares und Administration dieser in einem Berechtigungsmanagementsystem

Im weiteren Verlauf wurden verschiedene Maßnahmen besprochen, die zur Erreichung der genannten Ziele führen bzw. die erkannten Probleme sowie Fehlkonfigurationen bereinigen.

4

Grundsätzliche Bewertung Das Filesystem der Max Mustermann AG ist über viele Jahre historisch gewachsen. Bedenkt man diesen Umstand, sind die Berechtigungen im IST-Zustand ziemlich flach und einfach gehalten. Dadurch wird die Migration deutlich erleichtert. Dennoch sind während des Workshops einige Optimierungspotentiale erkannt wurden. Es gibt keine Prozesse im Umgang mit dem Benutzermanagement und demzufolge auch nicht für die Berechtigungsvergabe und allem was dazu gehört (Rezertifizierungs-, ChangeProzesse, …). Diese bilden jedoch eine wichtige Grundlage, um einen reibungslosen Ablauf gewährleisten zu können. Eine aktuelle Dokumentation über alle Berechtigungen und deren Nachvollziehbarkeit ist somit nicht möglich. Im Bereich des Filesystems gibt es ebenfalls Potential, um den Umgang mit diesem erheblich zu steigern. Die Ordner sind aktuell sehr voll und enthalten zusätzlich viele Dubletten1, worunter die Produktivität der Mitarbeiter leidet. Dazu kommt, dass ca. 75% aller Daten seit über zwei Jahren nicht mehr verändert bzw. bearbeitet wurden. Es ist als Sicherheitsrisiko zu werten, dass die Übersicht über abgelegte, kritische Daten aufgrund der Datenfülle und des Datenalters eingeschränkt ist. Zusätzlich sind die Verzeichnisse wild verteilt bei den Benutzern angebunden. Eine einheitliche Mappingstruktur2 gibt es nicht. Mitunter hat jeder User unterschiedliche Laufwerke. Auch das angewandte Berechtigungsprinzip, Benutzer direkt auf den Verzeichnissen zu berechtigen, ist entgegen den Best Practices. Auch die Tatsache, dass die Domänen-Benutzer nahezu überall lesenden Zugriff erhalten, ist als Sicherheitsrisiko zu werten. Hier sollte eine Neugestaltung der Ordner- und Berechtigungsstrukturen stattfinden.

1 2

Doppelte Dateien Mit den Clients der Benutzer verbundene Laufwerke

5

Ergebnisblock / Maßnahmen-Summary Dringende Maßnahmen Auf der Basis des Workshops empfehlen wir die folgenden Maßnahmen sofort durchzuführen: 1. Etablierung von Prozessen im Bereich User- und Berechtigungsmanagement (Benutzeranlage, -änderung, -austritt, …), 2. Etablierung eines Rezertifzierungsprozesses. Auf der Basis der Prüfung empfehlen wir die folgenden Maßnahmen unbedingt kurzfristig in den nächsten Monaten durchzuführen: 3. Aufbau eines effektiven Rollen-/ DataOwner3-Konzeptes 4. Migration/ Umstrukturierung des Filesystems 5. Einführung eines aktuellen Berechtigungskonzeptes.

Empfehlungen a) Einführung eines Tools zum standardisierten Berechtigungs- und Benutzermanagement b) Auslagerung der Alt-Daten

3

Der Datenverantwortliche eines Verzeichnisses

6

Grundlage der Betrachtung Prozesse (Effizienz) Die richtigen Prozesse stellen einen wichtigen Punkt im Berechtigungswesen dar. Dabei sind nach unserer Erfahrung die folgenden Prämissen zu beachten:       

Die für den Prozessablauf richtigen Leute müssen in diesen eingebunden sein Es darf so wenig wie möglich Medienbrüche geben Es sollte so viel wie möglich über Automatismen abgebildet werden Es sollte auf Standardisierung geachtet werden (z.B. über Rollen) Definition von Rezertifizierungsprozessen zur regelmäßigen Überwachung der vorhandenen Berechtigungen Es muss eine lückenlose Nachvollziehbarkeit bestehen: Wer? Wann? Was? Warum? Die Prozesse sollten effizient und aufwandsoptimiert ablaufen.

Aus der Erfahrung vieler Projekte der Firma aikux.com kamen wir zu dem Schluss, dass es wichtig ist, die richtigen Leute in die Prozesse einzubinden. Alles z.B. zum StandardZugriffsrecht einer Abteilung (z.B. Zugriff auf das Abteilungslaufwerk, Zugriff auf das Abteilungspostfach, …) sollte über eine Rolle abgedeckt werden. Diese Rollen werden in der Regel über die HR-Abteilung gepflegt. Scripte sorgen dann dafür, dass z.B. bestimmte Einstellungen mit dem AD abgeglichen werden. Der größte Anteil an Rechten kann allerdings nicht über Rollen abgedeckt werden! Dies ist meist nur für den größten gemeinsamen Nenner sinnvoll. Alles darüber hinaus ist viel zu unflexibel. Deshalb ist es so wichtig, dass der Verantwortliche (DataOwner) in den Prozess eingebunden wird. Auf der Basis von geeigneten Tools bedeutet dies auf keinen Fall Mehraufwand für die Fachabteilung.

Sicherheit In der IT-Sicherheit unterscheidet man schon lange drei wesentliche Grundbedrohungen. Diese sind der Verlust der Verfügbarkeit, der Integrität und der Vertraulichkeit. In der späteren Diskussion kam unter dem Eindruck der fortschreitenden Technik zur Übertragung von Dokumenten und Urkunden noch die Grundbedrohung des Verlustes der Authentizität hinzu. Das Ziel der Maßnahmen zur Gewinnung informationstechnischer Sicherheit ist die Abwehr der Grundbedrohungen mit wirksamen und angemessenen Maßnahmen. Die Bedrohung der Verfügbarkeit betrifft Daten, Programme, Hardware und alle sonstigen für die Verarbeitung notwendigen Mittel. Es ist daher alles Notwendige zu unternehmen, um zu verhindern, dass  

Daten verschwinden oder kein Zugriff möglich ist, wenn sie gebraucht werden, Programme nicht funktionsbereit sind, wenn sie aufgerufen werden sollen, 7



Hardware und sonstige notwendigen Mittel nicht funktionsfähig oder gar verschwunden sind, wenn sie für die Verarbeitung benötigt werden.

Generell geht es also darum, dass die gewünschten Funktionen eines Systems zur Verfügung stehen, wenn man sie braucht. Die Bedrohung der Integrität (Verlässlichkeit) betrifft ebenfalls Daten, Programme, Hardware und alle sonstigen für die Verarbeitung notwendigen Mittel. Es ist daher alles Notwendige zu unternehmen, um zu verhindern, dass   

Daten verfälscht werden und falsche Daten verarbeitet werden, Programme verfälscht werden, so dass sie (insbesondere unbemerkt) fehlerhafte Ergebnisse erzeugen oder Funktionen ausführen, die nicht erwünscht sind, Hardware und sonstige notwendigen Mittel verfälscht werden, so dass sie gewünschte Funktionen unterlassen oder fehlerhaft ausführen oder unerwünschte Funktionen ausführen.

Die Bedrohung der Vertraulichkeit betrifft vor allem Daten. Es ist daher alles Notwendige zu unternehmen, um zu verhindern, dass Daten in unbefugte Hände geraten können. Daneben gibt es Umstände, unter denen auch Programme und Systemkonfigurationen Unbefugten gegenüber vertraulich zu behandeln sind. Die Bedrohung der Authentizität (Verbindlichkeit) betrifft vor allem Daten, insbesondere Dokumente und Urkunden, die elektronisch übertragen werden. Es ist daher alles Notwendige zu unternehmen, um zu verhindern, dass zur richtigen Herkunft solcher Daten Zweifel bestehen können und die Urheber dieser Daten korrekt authentifiziert werden können. Allerdings kann es in bestimmten Anwendungszusammenhängen auch wichtig sein, dass die Authentizität von Programmen und von Hardware und anderen erforderlichen Mitteln garantiert werden müssen (z.B. im elektronischen Zahlungsverkehr). Durch ein gezieltes Manipulieren von Daten werden diese vorsätzlich verfälscht oder unbrauchbar gemacht4, bspw. in der Produktion. Das kann sehr leicht geschehen, wenn falsche Versionen von CAD-Zeichnungen die Grundlage für die Herstellung eines Teiles darstellen. Es könnte im Interesse eines Mitbewerbers sein, Ihre Produktion nachhaltig über einen längeren Zeitraum zu stören und damit Kosten zu verursachen. Ohne den entsprechenden Schutz bzw. der Überwachung von Änderungen fällt es schwer, darauf zu reagieren. Bestimmte Datenbereiche oder Systeme sind natürlich anfälliger und mögliche Störungen in ihren Auswirkungen folgenreicher als andere. Der Datendiebstahl stellt laut den Erfahrungen der Firma aikux.com mittlerweile die gefährlichste IT-Bedrohung dar. Gerade Unternehmen im deutschsprachigen Raum sind in der Welt als besonders innovativ bekannt. Forschungsergebnisse sind in der Regel digital gespeichert. Die Erkenntnisse des Bitkom e.V. sprechen eine deutliche Sprache, nämlich, dass fast jedes zweite Unternehmen von Datendiebstahl betroffen ist und dass viele davon im

4

Vgl. BSI G 5.64

8

Mittelstand ihre materiellen und immateriellen Werte nicht ausreichend schützen5. Die Sicherung der Daten ist also ein wesentlicher Bestandteil der IT-Sicherheit wie bspw. Auch der Brandschutz in Gebäuden, der Abschluss damit verbundener Versicherungen oder auch der Einbau von Schlössern. Gehen Sie nicht davon aus, dass Ihr Unternehmen in diesem Rahmen für potentielle Angreifer (intern/ extern) uninteressant ist, sondern eher, dass aktuell schon Verstöße stattfinden und überlegen Sie im Voraus, wie man in den einzelnen Bereichen darauf reagiert und besser vorsorgt. Neben den technischen Maßnahmen stehen vor allem die Ausbildung von Problembewusstsein und Kenntnisse des Datenschutzes für das verantwortliche Personal im Vordergrund. Diese stellen die Basis der Datensicherheit dar. Die Probleme, die aus grober Fahrlässigkeit entstehen, können meist schon mit einfachen Arbeitsanweisungen verhindert werden. Alle Schäden durch Vorsatz bedürfen aber einer technischen Lösung. Die technischen Lösungen werden aufgeteilt in die Überwachung sensibler Bereiche und präventiver Maßnahmen (White List).

Dokumentation und Nachvollziehbarkeit Die Dokumentation, sowie die Nachvollziehbarkeit sind weitere wichtige Punkte. Es muss sichergestellt werden, dass man zu jedem Zeitpunkt in der Lage ist zu jedem Account/ Ressource eine Historie über die verschiedenen Aktionen (Anlage, Wechsel, Austritt, …) einzusehen. Dies ist aus mehreren Gründen wichtig: 



Eine lückenlose Dokumentation hilft allen Mitarbeitern aus der IT dabei, auch nach langer Zeit, Änderungen nachzuvollziehen und stellt daher eine wichtige Informationsbasis dar Beweisführung: Dies ist wichtig zum Nachweis von Fehlverhalten einzelner Mitarbeiter, ist aber auch die einzige Chance nachzuweisen, weshalb Änderungen vorgenommen wurden.

Die Dokumentation muss über Jahre verfügbar sein. Man muss die Situation zu jedem Zeitpunkt einsehen können: z.B. wie waren die Gruppenverschachtelungen zum Zeitpunkt X – welche Rechte haben daraus resultiert? Es muss für jedes Objekt selbst ein eigenes Logbuch existieren: Also welche Änderungen sind an dem Objekt über den kompletten Lebenszyklus vorgenommen worden? Es muss ausgehend von einer Ressource (Ordner, Windows-Account, …) die komplette Aktion (Berechtigungsvergabe, Berechtigungsentzug, …) nachvollziehbar sein. Es ist nicht ausreichend, dass von einer Gruppenzugehörigkeit auf ein Verzeichnisrecht geschlossen wird (die Gruppe könnte auch an einem anderen Verzeichnis verwendet worden sein). Dabei ist Vgl. Bitkom Hrsg. (2015): Spionage, Sabotage und Datendiebstahl – Wirtschaftsschutz im digitalen Zeitalter 5

9

nicht ausschlaggebend, welche Gruppe an welchem Verzeichnis berechtigt ist, sondern welche effektiven Berechtigungen für Windows-Accounts auf Verzeichnissen vorhanden sind (Ressource – Recht – Windows-Account). Die Dokumentation sollte vollautomatisch durch das entsprechende System stattfinden. Wer? Wann? Was? Wo? Warum?

10

Bewertung der aktuellen Situation Auf Basis der zuvor genannten Betrachtungspunkte erfolgt die Einschätzung der Gesamtsituation anhand eines Ampel-Scores für die Bereiche Prozesse (Effizienz), Sicherheit, sowie Dokumentation und Nachvollziehbarkeit. (Ampel Grün: gut, Ampel Gelb: normal, Ampel Rot: schlecht, Bewertungsgrundsatz: Das schwächste Glied bestimmt die Stärke der Kette)

aikux.com Score Prozesse

Sicherheit

Dokumentation/ Nachvollziehbarkeit

rot

rot

rot

Die obige Bewertung erfolgte auf Basis folgender Fragestellungen: Prozesse (Effizienz): Faktoren: Sind die richtigen Leute in die Prozesse eingebunden? Wie viele Medienbrüche gibt es? Wie viel wird über Regeln und Automatismen abgebildet? Gibt es Standardisierung: z.B. über Rollen? Gibt es eine zwangsweise Überprüfung der Rechte durch DataOwner (Rezertifizierung)? Sind professionelle Tools im Einsatz, die die technische Umsetzung übernehmen? Gibt es Wege an den Prozessen vorbei? Sicherheit: Faktoren: Wie wird mit der Aktivierung/ Deaktivierung von Accounts umgegangen? Wie ist der allgemeine Umgang mit Passwörtern? Wie ist die Ablage von Passwörtern und der Zugang zur zentralen Passwortdatenbank geregelt? Wie ist das Verfahren zum Passwort-Reset? Nach welchen Prinzipien werden die Berechtigungen vergeben? Wird nach dem Least-Privilege Prinzip gearbeitet? Auf wie vielen Verzeichnissen gibt es „Jeder“ oder „Authentifizierte Benutzer“ Berechtigungen? Auf wie vielen Verzeichnissen sind mehr als 10% der Benutzer berechtigt? Werden Rechte nach einem Abteilungs-/ Gesellschaftswechsel automatisch entzogen? Dokumentation und Nachvollziehbarkeit: Faktoren: Gibt es ein einheitliches Logging? Gibt es Medienbrüche in den Prozessen? Ist die Dokumentation lückenlos?

11

Details, Bewertungen, Lösungsvorschläge aikux.com Score Prozesse

Sicherheit

Dokumentation/ Nachvollziehbarkeit

rot

rot

rot

Berechtigungsvergabe Prozesse (Effizienz) Benötigt ein Benutzer Zugriff auf einen Netzwerkordner, so meldet er sich telefonisch oder per E-Mail in der IT Abteilung. Die Anforderung per E-Mail ist eher selten und meist geschieht die Berechtigungsvergabe auf „Zuruf“. Einen einheitlichen Prozess gibt es nicht. Sicherheit Die Berechtigungsvergabe ohne Prozesse stellt ein erhebliches Sicherheitsrisiko dar. Dokumentation und Nachvollziehbarkeit Es gibt keine Dokumentation. Lösungsvorschlag  Einführung eines Prozesses zur Berechtigungsvergabe (evtl. toolbasiert)  Etablierung einer lückenlosen Dokumentation zur besseren Nachvollziehbarkeit des wann und warum ein konkretes Recht angefordert wurde

12

aikux.com Score Prozesse

Sicherheit

Dokumentation/ Nachvollziehbarkeit

rot

rot

rot

Fehlende Klassifikation der Daten Prozesse (Effizienz) Es gibt aktuell keinen definierten Prozess, eine Bewertung der Daten nach ihrem Schutzbedarf ist aktuell nicht vorhanden. Um einen adäquaten Schutz aufbauen zu können, ist es notwendig eine genaue Klassifikation der Daten vorzunehmen. Dies könnte z.B. dazu führen, dass neben den reinen Berechtigungen auf Verzeichnisebene bestimmte Verzeichnisse/ Daten verschlüsselt werden (z.B. Kunden/ Kontendaten). Die Datenklassifizierung sollte die Grundlage für den Aufbau eines Sicherheitssystems sein. Die Klassifikation muss gemeinsam von Rechtsabteilung, Sicherheitsbeauftragten und Fachbereich aufgebaut werden. Sicherheit Es ist davon auszugehen, dass wegen der fehlenden Sicherheitseinstufung Rechte grundsätzlich falsch gesetzt wurden/ werden. Dies belegt der lesende Zugriff der DomänenBenutzer auf nahezu jedem Verzeichnis. Dokumentation und Nachvollziehbarkeit Es gibt aktuell keine Datenklassifizierung. Demzufolge gibt es auch keine Dokumentation darüber. Eine Klassifizierung für besonders schützenswerte Daten (z.B. Personaldaten) muss vorgenommen werden. Lösungsvorschlag  Einführung eines Klassifizierungsprozesses  Einführung eines Berechtigungssystems, das die Klassifizierung von Daten berücksichtigt

13

aikux.com Score Prozesse

Sicherheit

Dokumentation/ Nachvollziehbarkeit

gelb

gelb

gelb

„Jeder“-Berechtigungen Prozesse (Effizienz) Es wird betrachtet, auf wie vielen Berechtigungsendpunkten eine Berechtigung für das Systemobjekt „Jeder“ gesetzt wurde. „Jeder“ beinhaltet alle Benutzer-Accounts in einer Domäne, einschließlich des Gast-Accounts. Anstatt „Jeder“ zu verwenden, sind die „Domänen-Benutzer“ oder „Authentifizierten Benutzer“ zu verwenden. Bei der Analyse wurden „Jeder“-Berechtigungen auf mehreren Ordnern, verteilt über die Shares, identifiziert. Sicherheit „Jeder“-Berechtigungen können ein Sicherheitsrisiko darstellen und sind daher zu vermeiden. Dokumentation und Nachvollziehbarkeit Die Komplexität des Filesystems wird durch „Jeder“-Berechtigungen erhöht. Dadurch wird auch die Nachvollziehbarkeit komplexer. Lösungsvorschlag  Beseitigung der Berechtigungen für das Systemobjekt „Jeder“  Evtl. „Jeder“ durch „Domänen-Benutzer“ oder „Authentifizierte Benutzer“ ersetzen

14

aikux.com Score Prozesse

Sicherheit

Dokumentation/ Nachvollziehbarkeit

rot

nicht relevant

rot

Direktberechtigungen von User-Accounts Prozesse (Effizienz) Es wird betrachtet, auf wie vielen Berechtigungsendpunkten6 eine explizite Berechtigung eines Windows-Accounts gesetzt wurde. Die Berechtigungsvergabe sollte über Gruppen, in denen die Benutzer enthalten sind, erfolgen. Einzig auf Homeshares7 sind Direktberechtigungen von Windows-Accounts zu dulden. Explizite Berechtigungen einzelner Benutzer erhöhen die Komplexität des Berechtigungssystems und vergrößern unnötig die ACL8 eines Ordners. Bei der Analyse wurde festgestellt, dass aktuell nicht über Gruppen berechtigt wird. Es wurde in der Historie ausschließlich mit direktberechtigten Usern gearbeitet. Sicherheit Nicht relevant Dokumentation und Nachvollziehbarkeit Die Komplexität des Filesystems wird durch Direktberechtigungen von Benutzern erhöht. Dadurch wird auch die Nachvollziehbarkeit komplexer. Lösungsvorschlag  Beseitigung der explizit, direktberechtigten Accounts  Einführung eines zeitgemäßen Berechtigungskonzeptes

6

der Ordner im Dateisystem, auf den eine Berechtigung gesetzt ist Persönliches Verzeichnis des Anwenders, auf das nur er Zugriff hat 8 Zugriffssteuerungsliste eines Ordners im Dateisystem 7

15

aikux.com Score Prozesse

Sicherheit

Dokumentation/ Nachvollziehbarkeit

gelb

nicht relevant

gelb

Verwaiste Berechtigungseinträge in ACLs Prozesse (Effizienz) Es wird betrachtet, auf wie vielen Berechtigungsendpunkten eine verwaiste Berechtigung enthalten ist. Das bedeutet, dass in der ACL Einträge für alte, nicht mehr vorhandene Windows-Accounts oder Gruppen enthalten sind. Dadurch wird die Komplexität erhöht und die ACL wird unnötig vergrößert. Je größer eine ACL ist, desto länger dauern die Zugriffe auf diese Ordner. Bei der Analyse wurden verwaiste Berechtigungseinträge auf vielen Verzeichnissen gefunden. Sicherheit Nicht relevant Dokumentation und Nachvollziehbarkeit Die Komplexität des Filesystems wird durch verwaiste Berechtigungseinträge erhöht. Somit wird auch die Nachvollziehbarkeit komplexer. Lösungsvorschlag  Beseitigung der verwaisten Berechtigungseinträge (zu beachten: diese werden bei einer Migration automatisch mit bereinigt)

16

aikux.com Score Prozesse

Sicherheit

Dokumentation/ Nachvollziehbarkeit

rot

rot

rot

Allgemeines Benutzermanagement (Benutzereintritt, -wechsel, -austritt) Prozesse (Effizienz) Es muss klar definierte Prozesse im Umgang mit dem Benutzermanagement geben. Diese stellen die Grundlage für ein sicheres und einfaches Berechtigungsmanagement dar. Dabei ist zu berücksichtigen, dass bei Neuanlage von Benutzern keine Kopie eines alten Accounts durchgeführt wird. Weiterhin sind bei Benutzeränderungen die alten Berechtigungen zu überprüfen und zu entziehen. Bei einem Benutzeraustritt muss dieser umgehend deaktiviert werden und die Berechtigungen sind zu entfernen. Genauso ist auch bei temporärer Abwesenheit (Schwangerschaft, Elternzeit, …) zu verfahren. Es gibt aktuell keine Prozesse im Umgang mit dem Benutzermanagement. Sicherheit Die Sicherheit ist ohne Prozesse sehr stark gefährdet. Dokumentation und Nachvollziehbarkeit Aufgrund fehlender Prozesse gibt es auch keine Dokumentation und Nachvollziehbarkeit. Lösungsvorschlag  Einführung von Prozessen

17

aikux.com Score Prozesse

Sicherheit

Dokumentation/ Nachvollziehbarkeit

rot

rot

rot

Rezertifizierung von Berechtigungen im Filesystem Prozesse (Effizienz) Eine Rezertifizierung der Berechtigungen stellt eine wichtige Grundlage der IT-Sicherheit dar. Diese kann jedoch niemals allein durch die IT durchgeführt werden, da diese die Situation in den Verzeichnissen hinsichtlich Inhalt nicht bewerten kann. Nur der DataOwner eines Ordners kann eine korrekte Aussage darüber treffen. Es gibt keinen Rezertifizierungsprozess für die Filesystem-Berechtigungen. Dadurch werden die Berechtigungen nicht in regelmäßigen Abständen auf ihre Notwendigkeit überprüft. Überberechtigungen können somit nicht erkannt und behoben werden. Sicherheit Da die Berechtigungen niemals rezertifiziert werden, werden Überberechtigungen nicht aufgedeckt. Besonders in einem historisch gewachsenen Filesystem stellt dies ein erhebliches Sicherheitsrisiko dar. Dokumentation und Nachvollziehbarkeit Es gibt keinerlei Dokumentation der Berechtigungen. Lösungsvorschlag  Einführung eines DataOwner-Konzeptes  Definition eines Rezertifizierungsprozess für Filesystem-Berechtigungen

18

aikux.com Score Prozesse

Sicherheit

Dokumentation/ Nachvollziehbarkeit

nicht relevant

nicht relevant

nicht relevant

Allgemeine Informationen zum Filesystem Prozesse (Effizienz) Das Filesystem der Max Mustermann AG enthält unheimlich viele Verzeichnisse und Dateien. Diese sind in mehrere Shares, verteilt über acht Windows-Fileserver, enthalten. Die Anzahl ist sehr hoch und spricht dafür, dass auch viele alte und verwaiste Daten vorhanden sind. Dies konnte bei der Analyse ebenfalls festgestellt werden. Circa 75% der Daten wurden seit mindestens zwei Jahren nicht mehr verändert.

Die Produktivität der Anwender wird dadurch verringert. Den Erfahrungen der Firma aikux.com nach, benötigen Benutzer mittlerweile ca. 30 – 60 Minuten pro Tag, um die für ihre Arbeit benötigten Dateien im Filesystem zu finden. 19

Es sind in sehr tiefen Ebenen noch Berechtigungen vergeben. Dies geschieht mitunter durch verschobene Ordner, auf denen dadurch die ACL defekt ist. Derartig tiefe Berechtigungsendpunkte wirken sich negativ auf die Übersichtlichkeit des Filesystems aus. Eine wirklich sinnvolle Berechtigungsvergabe ist in so tiefen Ebenen nicht möglich. Ebenfalls fiel auf, dass an sehr vielen Stellen mit Vererbungsunterbrechungen gearbeitet wird. Dadurch leidet die Übersichtlichkeit der Berechtigungslandschaft im Filesystem stark. Besonders die erste Ebene nach dem Share enthält fast ausschließlich Vererbungsunterbrechungen. Dies wäre nicht nötig, wenn die Shareebene korrekt berechtigt ist. Die Berechtigungen werden nicht über ein Gruppenkonzept realisiert, sondern durch direktberechtigte Windows-Accounts. Dies macht ein sinnvolles Berechtigungskonzept zunichte. Die verschiedenen Shares werden willkürlich bei den Benutzern verbunden. Das bedeutet, dass im Zweifel jeder User eine unterschiedliche Kombination von Laufwerks-Mappings hat. Dadurch werden Datei-Verlinkungen zwischen den verschiedensten Laufwerken sehr schwer reparierbar. Sicherheit Nur indirekt relevant: Zu viele Objekte erhöhen den Verwaltungsaufwand und die Wahrscheinlichkeit, dass überflüssige Berechtigungen nicht erkannt und entzogen werden und falsche Berechtigungen gesetzt werden. Dokumentation und Nachvollziehbarkeit Nicht relevant Lösungsvorschlag  Restrukturierung des Datei- und Berechtigungssystems  Einführung eines DFS und nur eines Laufwerk-Mappings für die Datenablage (das Homeshare erhält weiterhin ein eigenes Mapping)  Definition für den Umgang mit Alt-Daten (Auslagerung in einen weniger performanten Bereich (Lesezugriff!)), eventuelle Einführung einer Archivierungslösung  Reduzierung der Fileserver, sowie der Freigaben  Einführung eines Tools zum Benutzer- und Berechtigungsmanagements (dadurch wird die Berechtigungsvergabe standardisiert

20

Schlussbemerkungen Die Daten unterliegen einem ständigen Wachstum. Es ist nicht zu erwarten, dass es in den nächsten Monaten und Jahren besser wird. Die Erfahrungen der letzten Jahre zeigen, dass dieses Problem exponentiell ansteigt. Früher zu beginnen lohnt sich! Es ist auch wichtig, die Mitarbeiter zu einer gewissen Disziplin und Eigenverantwortung im Umgang mit dem Dateisystem heranzuführen. Es ist im Interesse ihres eigenen Unternehmens. Anfängliche Schwierigkeiten sind schnell überwunden, wenn ein wohldurchdachtes Konzept zu Grunde liegt. Vor allem für die User wird vieles besser. Für die weitere Konzeption und die praktische Umsetzung kann auf die Consultants der aikux.com GmbH zurückgegriffen werden.

Alt-Moabit 59-61 10555 Berlin Geschäftsführer: Thomas Gomell Tel.: +49 (30) 8095010-40 Fax: +49 (30) 8095010-41 Email: [email protected]

21

www.aikux.com