Verwaltung privilegierter Benutzerkonten

PCI-Compliance: Neue PCI-Version 2.0 beseitige nicht die Passwort-Management-Problematik
Implementierung von PCI-konformen Lösungen bleibe für viele Unternehmen eine große Herausforderung

(13.12.10) - Ende Oktober hat das PCI Security Standards Council (PCI SSC) die neue Version 2.0 des "Payment Card Industry Data Security Standard" (PCI DSS) und des "Payment Application Data Security Standard" (PA DSS) vorgestellt. Die neuen Versionen sind ab 1. Januar 2011 gültig. Sicherheitsexpertin Cyber-Ark weist darauf hin, dass die automatische Verwaltung privilegierter Benutzerkonten und sichere Speicherung vertraulicher Informationen weiterhin zu den zentralen PCI-Vorgaben gehören.

Laut PCI SSC soll mit der neuen PCI-Version 2.0 die Flexibilität von Unternehmen erhöht werden, Kontrollmechanismen zu implementieren, mit wachsenden Bedrohungen umzugehen oder Reporting-Anforderungen zu erfüllen.

Jochen Koehler, Deutschland-Chef von Cyber-Ark in Heilbronn, betont: "Auch wenn in der neuen Version nur geringe Änderungen und keine erhöhten Anforderungen vorhanden sind, bleibt die Implementierung von PCI-konformen Lösungen für viele Unternehmen eine große Herausforderung - gerade im Bereich des Passwort-Managements. Ein Kernproblem ist hier zum Beispiel die durchgängige Personalisierung privilegierter Benutzerkonten, was sich insbesondere im Datenbank-Bereich mit den vielen Shared Accounts als äußerst schwierig erweist."

Abhilfe für diese Compliance-Problematik würden nur Lösungen schaffen, mit der alle privilegierten administrativen Accounts automatisch verwaltet und überwacht werden können.

Jochen Koehler betont: "Ein Grundproblem ist, dass immer noch viele Unternehmen die PCI-Vorgaben mit manuellen Prozessen erfüllen oder erfüllen wollen. Insbesondere die manuelle Änderung von Passwörtern ist ein nach wie vor weit verbreiteter Lösungsansatz. Das ist in unseren Augen aber eindeutig der falsche Weg, weil zum einen extrem zeitaufwändig und zum anderen auch fehlerbehaftet. Eine Lösung, mit der administrative Passwörter sicher und zentral abgelegt, automatisch verwaltet, regelmäßig geändert und überwacht werden können, sollte heute eigentlich Standard im IT-Betrieb sein." (Cyber-Ark: ra)

Cyber-Ark: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

Meldungen: Markt / Hintergrund