So kritisch sehen Unternehmen den Zugriff Dritter auf interne Systeme

So lautet ein Ergebnis einer Untersuchung des IT-Sicherheitsspezialisten CyberArk   , für die 130 Unternehmen zur 3rd-Party-Nutzung ihrer Systeme befragt wurden.

90 Prozent geben an, dass sie Drittanbietern den Zugriff auf kritische interne Ressourcen ermöglichen. Mehr als ein Viertel (26 Prozent) bezieht sogar Services von über 100 Drittanbietern. Dementsprechend müssen die Unternehmen eine extrem hohe Zahl an Accounts verwalten und sichern.

Für die Sicherung des Zugriffs setzen die Befragten unterschiedliche Lösungen ein - und zwar häufig in Kombination. Genannt werden VPN-Unterstützung, Multi-Faktor-Authentifizierung, zur Verfügung gestellte Firmen-Notebooks, Verzeichnisdienste oder Agenten. Der Verwaltungsaufwand ist entsprechend hoch.

Unternehmen befürchten Sicherheitsrisiken

Für fast drei Viertel (72 Prozent) der Unternehmen gehört der Zugriff Dritter zu den größten Sicherheitsrisiken. Doch die deutliche Mehrheit der Befragten vertritt die Auffassung, dass das eigene Unternehmen in punkto Verwaltung und Sicherung des externen Zugriffs nicht gut aufgestellt ist: 89 Prozent der Befragten sind damit "unzufrieden" beziehungsweise "völlig unzufrieden".

50 Prozent sehen dabei die Provisionierung und Deprovisionierung als größte Herausforderung, gerade auch hinsichtlich des Umfangs und der Dauer einer Zugriffsmöglichkeit. Zum einen darf nämlich nicht zu viel Zugriff gewährt werden: Externe dürfen keinen Zugang zu Systemen und Daten erhalten, die sie nicht benötigen. Außerdem sollten ihnen Zugriffrechte auch nicht länger als nötig eingeräumt werden. Zum anderen darf auch nicht zu wenig Zugriff gewährt werden, denn dann besteht die Gefahr, dass Externe gezwungen sind, unsichere Backdoor-Routinen zu kritischen Ressourcen zu erstellen.

86 Prozent der Unternehmen setzen auf VPN-Anwendungen, die laut CyberArc allerdings nicht für die Verwaltung dynamischer privilegierter und rollenbasierter Zugriffe oder ein Session Recording konzipiert sind. Dadurch könnten Unternehmen nicht nachvollziehen, was ein Drittanbieter konkret tut, sobald er authentifiziert ist. Ein Problem, denn Audit- und Compliance-Vorgaben erforderten oft eine Aufzeichnung, Protokollierung und Überwachung privilegierter Aktivitäten. Unternehmen sollten deshalb auf Lösungen setzen, die speziell für die Verwaltung von priviligierten Zugriffe von Drittanbietern entwickelt wurden. Da dafür weder VPNs noch Agenten oder Passwörter benötigt werden, sinke der Administrationsaufwand für Unternehmen - bei gleichzeitig erhöhter Sicherheit.