Konformitätsüberprüfungen müssen nicht in Chaos ausarten.

Zunehmende Datendiebstähle kombiniert mit Kundenforderungen nach mehr Kontrolle über die Nutzung und Verarbeitung ihrer persönlichen Daten durch Organisationen führte zur Entstehung eines sich stetig wandelnden Regulierungsgeflechts, das Organisationen dazu zwingt, bestimmte Sicherheitsvorkehrungen zu nutzen, und es macht sie verantwortlich für Datendiebstähle. Hier ist eine Auswahl an gesetzlichen und Industriestandards, die Organisationen einhalten müssen:

• Das Health Insurance Portability and Accountability Act (HIPAA) der USA aus dem Jahr 1996 ist ein Bundesgesetz, mit dem sensible Patientendaten vor der unrechtmäßigen Veröffentlichung ohne die Einwilligung oder Kenntnis der Patienten geschützt werden sollen.
• Der Payment Card Industry Data Security Standard (PCI DSS) ist ein Set von Sicherheitsstandards, das von den großen Kreditkartenanbietern eingeführt wurde. Jedes Unternehmen, das Kreditkartendaten akzeptiert, verarbeitet und speichert, muss PCI DSS einhalten.
• Der Sarbanes-Oxley-Act (SOX) der USA verlangt Kontrollmöglichkeiten, um sicherzustellen, dass Unternehmensangaben genau und transparent sind, und dass Anteilseigner und die breite Öffentlichkeit vor Buchhaltungsfehlern und betrügerischen Praktiken geschützt werden.

Mitarbeitende in GRC-Abteilungen (Governance, Risk und Compliance) kennen die Abläufe schon. Obwohl Organisationsrisiken unabhängig bewertet werden und Sicherheitskontrollen für mehrere Abteilungen gelten, findet die Konformitätsplanung typischerweise in Silos statt. Durch diese abschnittsweise Herangehensweise läuft man nicht nur Gefahr, Konformitätsanforderungen nicht zu erfüllen oder gleich einen Datendiebstahl zu riskieren, sondern sie sorgt auch dafür, dass es rund um die jährlichen Konformitätsüberprüfungen ein wahnsinniges Chaos gibt. GRC-Mitarbeitende müssen ungeheure Anstrengungen darauf verwenden, um benötigte Dokumente zu beschaffen und Fristen einzuhalten. Das Bestehen der Überprüfungen wird dabei fast wichtiger, als die Einhaltung der Sicherheitsmechanismen selbst.

Allerdings ist die Konformitätseinhaltung kein einmaliges Ereignis. Organisationen sollen die Standards das ganze Jahr über einhalten. Zudem sind die meisten Kontrollen der Konformitätsrahmenwerke lediglich bewährte Sicherheitsvorkehrungen, denen man so oder so folgen sollte, um das Risiko eines Datendiebstahls zu minimieren.

Jeder Nutzer innerhalb eines Unternehmensnetzwerks ist ein potenzieller Risikofaktor, weshalb der Schutz der Zugangsdaten und die Nutzung von Zero-Trust-Zugangsbeschränkungen für die Netzwerke unverzichtbar ist, um PCI DSS, HIPAA, SOX, DSGVO und andere Richtlinien einzuhalten. Da die meisten Organisationen mehrere Konformitätsrahmenwerke gleichzeitig einhalten müssen, ist es sehr wichtig, so viel Konformitätsprozesse wie möglich zu automatisieren, um übermäßige administrative Belastung von den ohnehin überbelasteten IT-Abteilungen abzuhalten.

Die preisgekrönte Enterprise Password Management-Plattform (EPM) von Keeper vereinfacht die Konformitätsüberwachung und -überprüfung, da IT-Administratoren volle Transparenz und Kontrolle über das Passwortverhalten von Mitarbeitenden haben und Zugriffsberechtigungen für die gesamte Datenumgebung rollenbasiert und Zero-Trust-basiert sind. Keeper unterstützt umfassende interne Kontrollen mit delegierter Administration, Umsetzungsrichtlinien, Ereigniserfassung und -überwachung mit anpassbaren Überprüfungslogs und Ereignismeldungen.

Da IT-Netzwerkgeheimnisse den Zugriff auf privilegierte Systeme und Daten ermöglichen, ist der Schutz dieser Geheimnisse genauso wichtig wie der Schutz von Endnutzerpasswörtern, um Cyberangriffe zu verhindern. Ausufernde Passworteinbindung, fest im Programmcode verankerte oder eingebettete Passwörter machen die sichere Passwortverwaltung zu einer Herausforderung.

Der Keeper Secrets Manager ist direkt mit der Keeper EPM und dem Keeper Connection Manager integriert und ein Komplettpaket zur Cloud-basierten, Zero-Knowledge-Sicherung Ihrer IT-Infrastrukturgeheimnisse wie API-Schlüsseln, Datenbankpasswörtern, Zugangscodes, Zertifikaten und anderen Arten vertraulicher Daten.

Mit dem Keeper Secrets Manager erhalten alle Server, CI/CD-Pipelines, Entwicklungsumgebungen und Quellcode die IT-Geheimnisse direkt aus einem API-Endpunkt. Jedes Geheimnis ist mit einem 256-Bit AES-Schlüssel verschlüsselt, der von einem weiterem AES-256-Anwendungsschlüssel verschlüsselt wird. Die Client-Geräte erhalten verschlüsselte Daten aus der Keeper-Cloud und die Daten werden direkt auf dem Gerät und nicht in der Keeper-Cloud entschlüsselt.