CobiT - authentication | CobiT - authenticated data administration with PKI

Please note, that the Knowledge Base isn't translated to english completely at the moment. You will still find some german texts - we are translating permanently the outstanding parts! Thank you for understanding!

CobiT-system security with PKI

		INFO & KNOWLEGDE

Das Kontrollziel der Systemsicherheit beschäftigt sich mit der Erfüllung der Geschäftsanforderungen, Schutz von Informationen vor unberechtigter Verwendung, Aufdeckung oder Änderung sowie Beschädigung oder Verlust, wird ermöglicht durch logische Zugriffskontrollen. Es sind Mechanismen gefordert, die einen Zugriff auf Systeme, Daten und Programme durch berechtigte Personen unter Berücksichtigung von Vertraulichkeits- und Datenschutzanforderungen, zur Verfügung stellen, wobei die Berechtigung, die Authentisierung und der Zugriffsschutz über Benutzeridentifikation, Berechtigungsprofile sowie eine zentralisierte Sicherheitsadministration laufen soll.

Obwohl allgemein formuliert gehalten zeigt die Erwähnung der "digitalen Signatur" sowie die geforderte Anwendung "kryptographischer Mechanismen", dass CobiT-Ziele mittels PKI sehr sehr gut umzusetzen sind.

PKI relevante CobiT-Kontrollziele

Neben der Übersicht über Kontrollziele, Managementziele, Leistungsindikatoren und kritische Erfolgsfaktoren des Systemsicherheitsprozesses, ist eine detaillierte Analyse, welche CobiT Kontrollziele durch den Einsatz einer PKI umgesetzt werden können, im frei herunterladbaren Cryptoshop Knowledgeguide " Umsetzung von CobiT-Zielen mittels PKI [102 KB] ", ersichtlich.

PKI-Auswirkung auf CobiT Managementziele

Die Güte der Umsetzung der Managementziele für die Systemsicherheit, die durch Einsatz einer PKI erreicht werden kann, ist durch folgende Indikatoren schon im Vorhinein abschätzbar.

1. Mit professionellem Einsatz einer PKI kann die Einhaltung notwendiger Sorgfalt gegenüber Dritten gut nachgewiesen werden. Einerseits lassen sich Vorfälle verhindern bzw. sofort erkennen und eine öffentliche Diskredition angeblich fahrlässiger Handlungen kann problemlos und GLAUBWÜRDIG zurückgewiesen werden und Imageverluste lassen sich begrenzen.

2. Ein Mitarbeiter kann den Verlust seiner Karte und damit den Verlust seines Berechtigungsnachweises sofort erkennen und Maßnahmen setzen.

3. Die Zugriffskontrolle kann autorisiert erfolgen, wobei die Autorisation auf Authentizität aufbaut, welche durch eine PKI am besten sichergestellt wird.

4. Ist der Einsatz von PKI-Funktionalität als Organisationsstandard definiert, sind für neue Anwendungen und Systeme viele Sicherheitsfragen schon beantwortet, da die Wiederverwendung einfach zu bewerkstelligen ist und zu den Stärken der PKI gehört, was eigentlich die Stärke jeder Infrastruktur ist. Verzögerungen aufgrund Sicherheitsbedenken werden erheblich reduziert.

5. Eine einmal aufgesetzte PKI kann in ihren Sicherheitsfunktionalitäten durch Anwendungen kaum aufgeweicht werden - entweder sie wird eingesetzt oder nicht.

6. Eine reduzierte Anzahl an Sicherheitsvorfällen bzw. mit begleitenden Maßnahmen eine leichtere Verfolgbarkeit, ist eigentlich der Hauptvorzug gegenüber anderen, herkömmlichen Authentisierungsmethoden.

PKI-Auswirkung auf CobiT Leistungsindikatoren

Eine PKI wirkt sich auf die CobiT-Leistungsindikatoren der Systemsicherheit folgend aus.

1. Eine reduzierte Anzahl an Passworten reduziert natürlich die Häufigkeit von vergessenen Passwörtern. Gleichzeitig werden unsichere Passwörter vermieden. Lediglich ein Workflow zur Sperre muss geschaffen werden. Da nur ein Authentifizierungssystem aufrechtzuerhalten werden muss, sind auch weniger sicherheitsrelevante Änderungsanforderungen und Patches zu verwalten.

2. Weniger Änderungen und Patches, weniger vergessene Passwörter, etc. bedeuten auch weniger Ausfallzeit von Systemen.

3. Die Verwaltung und Überwachung eines einzelnen Systems erfordert weniger Aufwand als die Administration vieler heterogener Systeme.

4. Der Versuch gesperrte Zertifikate zu verwenden wird sofort erkannt und es können zeitnah Maßnahmen gesetzt werden. Dadurch ist eine PKI effizienter zu überwachen und nicht autorisierte Zugriffe effektiver auszuschließen.

5. Awareness Training kann fokussierter und schneller erfolgen, es ist einfacher Sicherheitsbewusstsein zu schaffen und Sicherheitsregeln durchzusetzen, wobei PKI durchaus einfach zu verwenden ist.

6. Infrastrukturkosten sinken mit steigender Benutzung. Authentifizierungskosten mit PKI besitzen mit steigender Benutzung eine degressive Kostenkurve, wohingegen extensivere Passwortnutzung zu immer höheren Kosten pro Passwort führt, also ein progressiver Kostenverlauf charakteristisch ist.

		DOWNLOADS

Umsetzung von CobiT-Zielen mittels PKI [102 KB]

CobiT - authenticated data administration with PKI

PKI