Getting „Be Compliant“

IT-Compliance Vorschriften und Anforderungen gibt es viele. Diese gliedern sich primär in organisatorische und technische Maßnahmen. Durch ein „Tool“ erreicht man allerdings den wertvollen Status „Be Compliant“ nie. Vertrauen zu Mitarbeitern und Geschäftspartnern ist immer noch ein guter Träger, sowohl für Loyalität, Motivation und Qualität.

Also auch für eine gute, wertvolle Zusammenarbeit. Allerdings gibt es Personenkreise, wie z.B. beim Zugang zu IT-Infrastruktur via Remote Access durch externe Dienstleister, wo reines „Vertrauen“ nicht mehr gestattet ist. Es sind also Maßnahmen zu implementieren, um Handeln zu kontrollieren bzw. nachvollziehbar zu machen. Hierbei kann eine technische Maßnahme die organisatorischen unterstützen.

Dazu gibt es zwei Ansätze:

• Alle Komponenten einer IT-Infrastruktur werden so ausgestattet, dass die Vorschriften erfüllt werden
• Der Personenkreis wird unter besondere Obhut gestellt und von der IT-Infrastruktur in einen „Quarantäneraum“ geführt.

Ersteres ist bekannter Maßnahmen sehr aufwendig, teilweise auf Grund von Altsystemen nicht möglich und die Gefahr einer Lücke auf Grund der großen Securityfläche ist hoch.

Der zweite Ansatz ist einleuchtend: Sind alle in einem Raum, so muss dieser so ausgerüstet sein, dass Handeln kontrolliert und dokumentiert wird.

Visulox stellt sich in den Kommunikationsweg zwischen externer Welt und IT-Infrastruktur und liefert diesen „Quarantäneraum“. Da jede Kommunikation von außen über Visulox nach innen geht, sind viele Funktionen an einer Stelle möglich:

• Der externe Zugriff erfolgt über einen Browser. Die Kommunikation von außen ist durch SSL gesichert. Trennung der Zonen über ReversProxy ist inkludiert.
• Zugangsberechtigte stehen im ActiveDirectory oder einem anderen Userrepository
• Zugangszeitfenster wird von innen vergeben. Am Ende des Zeitfensters erfolgt erst eine Sperrung und dann, bei Inaktivität  eine Trennung.
• Je nach Berechtigung hat die Person Zugang zu Windows, Unix, Mainframe Systemen oder anderen IT-Komponenten.
• Auf den Zielsystemen sind für den Zugang via SSH, X11, ICA, RDP, VNC, Telnet, http keine Agenten zu installieren.
• Alle Remote Verbindungen werden angezeigt, können eingesehen, gesperrt oder beendet werden.
• Interaction im vier Augenprinzip mit dem Remote Anwender, z.B. zur versteckten Eingabe von Passwörtern.
• Dokumentation der Nutzung von privilegierten Rechten unter der Identität des Zugangsberechtigten.
• Protokollieren der Benutzerinteraction mit einer Anwendung in einem Film
• Protokollierung und Kontrolle des Datenflusses bei Dateitransfers und Copy&Paste

Visulox ist eine erprobte Lösung bei der Kontrolle und Transparenz bei Zugang von privilegierten Anwendern zur IT-Infrastruktur.