224
}
6.2.5
Zugriffsverwaltung
Da extern bezogene IT-Ressourcen nach Verbrauch berechnet werden und
in den meisten Fällen eine personenbezogene Zugriffssteuerung
voraussetzen, ist die Planung und Umsetzung der Zugriffsverwaltung
(
Identity Management) eine zentrale Funktion. Es bedarf einer konkreten
Rollen- und Zugriffsverwaltung mit entsprechender übergeordneter
Authentifizierungsinstanz. Je umfangreicher das Serviceangebot ist
(
gegebenenfalls über Unternehmensportale verwaltet), desto eher erfolgt
auch der Anspruch einer einheitlichen Identitätsverwaltung mit
einheitlichen Anmeldeprozeduren bis hin zum Single Sign On, also der
einmaligen Anmeldung und automatischen Autorisierung zu weiteren
Anwendungen innerhalb einer bestätigten Sitzung ohne erneute
Anmeldung. Dabei sollten allerdings Zwei-Faktor-Anmeldungen eingerichtet
werden, also nicht nur eine Bestätigung durch Benutzernamen und
Passwort, sondern eine zweite Validierung wie zum Beispiel eine
Sicherheitskarte mit dynamischem Zugriffscode oder die Nutzung eines
einmaligen Schlüssels, der über das Mobiltelefon versendet wird. Solche
Verfahren haben sich für das Online-Banking als SMS-TAN schon als sehr
praktikabel gezeigt.
Wer sich nicht früh genug um solche Themen kümmert, hat zu einem
späteren Zeitpunkt einen nicht unerheblichen Umstellungsaufwand und
riskiert sowohl Sicherheitsprobleme als auch unberechtigten Zugriff auf IT-
Services, die zu unerwarteten Kosten führen können.
6.2.6
Kontrollmöglichkeiten
Die Anforderung der Kontrolle eines externen IT-Anbieters wird im Bereich
Cloud-Computing zunehmend zu Problemen führen. Gerade in manchen
Datenschutzbestimmungen wird die Vor-Ort-Prüfung des Anbieters
eingefordert. Es stellt sich aber die Frage, wo ist denn vor Ort? Beim
Vertragsgeber, beim Rechenzentrumdienstleister oder beim Betreiber des
Softwareangebotes? Und wenn man einmal vom Standort der Daten
ausgeht, muss man sich auch die Frage stellen, welche Informationen man
aus einem persönlichen Besuch eines Rechenzentrums erhalten kann. Ohne
eine intensive Überprüfung durch geschulte Personen aus dem Bereich
Datenschutz, Datensicherheit, Betriebsführung und gegebenenfalls
Softwareentwicklung erhält man im besten Fall einen subjektiven Eindruck,
ob das Gesehene einen ordentlichen Eindruck macht, allerdings ohne
qualitative Aussage zur Umsetzung der technischen und organisatorischen
Maßnahmen.
