Um das Berechtigungsmanagement in Mainframe-Systemen zu vereinfachen und gleichzeitig sicherer zu gestalten, können IT-Leiter an unterschiedlichen Stellen ansetzen. Diese Maßnahmen sollten jedoch nicht isoliert betrachtet werden. Vielmehr kommt es in der Praxis auf eine sinnvolle Kombination an.

1. Bereinigen Sie Ihre Berechtigungsstrukturen regelmäßig.

Aufgrund der komplizierten Bedienung von RACF und des fehlenden Know-hows kommt es häufig vor, dass IT-Mitarbeiter sich nicht trauen, Berechtigungen zu löschen oder neu zu strukturieren. So werden die Berechtigungsstrukturen mit der Zeit immer komplexer und undurchsichtiger. Lassen Sie Ihr System daher regelmäßig von einem Experten überprüfen und bereinigen. Entsprechende Dienstleistungen bieten zahlreiche Unternehmen, u.a. auch Beta Systems, an.

1. Setzen Sie Monitoring-Tools ein, um Strukturen transparent zu machen.

Mit Software, die überwacht, welche Berechtigungen noch aktiv genutzt werden, lässt sich schnell erkennen, was deaktiviert und im nächsten Schritt gelöscht werden kann. Mit solchen Monitoring-Lösungen sind zwar Investitionen verbunden, diese zahlen sich aber durch die Zeitersparnis bei der Fehlersuche und vor allem durch die größere Systemsicherheit schnell wieder aus.

1. Bauen Sie intern Know-how für das Berechtigungsmanagement auf.

Aufgrund des Fachkräftemangels denken einige Unternehmen darüber nach, das Berechtigungsmanagement an einen externen Dienstleister auszulagern. Doch diese Lösung befreit nicht davon, sich mit dem Thema zu beschäftigen. Denn ein Dienstleister kann nur mit einem bereinigten System arbeiten, so dass diese Aufgabe in jedem Fall vorab zu erledigen ist. Außerdem ist er aufgrund fehlender Kenntnis der internen Strukturen auf eine enge Zusammenarbeit angewiesen. Zu bedenken ist auch, dass es sogar das Sicherheitsrisiko erhöhen kann, wenn ein sensibles Thema wie die Kontrolle über den Schutz der eigenen Ressourcen an Externe übertragen wird. Machen Sie sich bewusst, dass die Verantwortung für das Berechtigungsmanagement in jedem Fall im Unternehmen liegt. Definieren Sie hierfür klare Verantwortlichkeiten und bauen Sie Know-how auf.

1. Ersetzen Sie selbstgeschriebene Interfaces durch eine Standardlösung.

Lösungen für die RACF-Administration müssen sich jederzeit an veränderte Bedingungen anpassen lassen. Das ist bei selbstgeschriebenen Interfaces oft schwierig, wenn die Programmierer nicht mehr im Unternehmen sind. Um dem Know-how-Verlust entgegenzuwirken, empfiehlt sich der Einsatz von Standardlösungen. Wichtig dabei ist, zu prüfen, dass der Anbieter die Software langfristig warten und weiterentwickeln kann. 

1. Führen Sie regelmäßig RACF-Audits durch.

RACF muss permanent überprüft werden, um Schwachstellen aufzudecken: Ist das System noch in der Lage, Risiken im IT-Betrieb rechtzeitig zu erkennen? Gibt es Implementierungsfehler, die die Sicherheit gefährden? Um alle möglichen Fehlerquellen abzudecken, empfiehlt sich die Nutzung eines Prüfleitfadens, der sich am IT-Grundschutzkatalog des BSI  orientiert. Darin sind Vorgehen und Inhalte eines RACF-Audits detailliert beschrieben. Grundsätzlich sollten im Rahmen des Audits immer zwei Bereiche geprüft werden: die Konfiguration der RACF Sicherheitseinstellungen sowie die aufgezeichneten Events, die auf mögliche Angriffe deuten können.

Um die Auditierung zu vereinfachen bietet sich der Einsatz spezieller Software-Lösungen an. Diese können den Auditierungsprozess deutlich verkürzen und damit die Kosten um bis zu 50 Prozent senken. Doch die Unternehmen sollten bedenken, dass es mit der Installation einer solchen Zusatzsoftware allein nicht getan ist. Die Beurteilung der aufgedeckten Schwachstellen muss durch Menschen erfolgen, weshalb grundsätzlich eine Kombination von Tools und Beratung sinnvoll und empfehlenswert ist.

Ausführliche Informationen zum zukunftssicheren Mainframe und Berechtigungsmanagement im digitalen Zeitalter sind verfügbar unter: http://zukunftssicherer-mainframe.betasystems-dci.de/

Weiterführende Links

• Originalmeldung von Initiative Mittelstand (Huber Verlag für Neue Medien GmbH)
• Alle Meldungen von Initiative Mittelstand (Huber Verlag für Neue Medien GmbH)