Cyber-Ark: Admin-Passwort-Management ist Grundbedingung für PCI-Zertifizierung

Heilbronn, 8. Juli 2009 - Die Datenschutz-Richtlinien der Kreditkartenindustrie fordern von allen Unternehmen, die Kreditkarten-Transaktionen tätigen, ein striktes Passwort-Management. Sicherheitsexperte Cyber-Ark sieht bei vielen Firmen aber einen erheblichen Nachholbedarf: Sie vernachlässigen wesentliche Vorschriften sträflich

(firmenpresse) - Das Regelwerk des Payment Card Industry Data Security Standard (PCI-DSS) umfasst eine Liste von zwölf Sicherheitsanforderungen an die Rechnernetze von Handelsunternehmen und Dienstleistern, die Kreditkarten-Transaktionen speichern, übermitteln oder abwickeln. Ralph Wörn, CEO der Acertigo AG, die auf Compliance Services für die Payment-Card-Industrie wie Validierung und Zertifizierung nach dem PCI-Standard spezialisiert ist, betont: "Bei vielen Auditierungen müssen wir die Verwaltung der privilegierten Benutzerkonten bemängeln. Auch wenn die Unternehmen dazu hinreichend organisatorische Prozesse definiert haben, gibt es bei der laufenden Einhaltung der Vorgaben zum Teil noch sehr große Lücken."

Besonders privilegierte Accounts, wie sie IT-Administratoren besitzen, stellen in jedem Unternehmen ein erhebliches Sicherheitsrisiko dar. Die Passwörter der administrativen Accounts sind der Schlüssel zu allen unternehmenskritischen Datenbeständen. Ein verantwortungsvoller Umgang mit den Kennwörtern ist jedoch die Ausnahme. Kernproblem ist dabei, dass sich auf den IT-Systemen teilweise identische und oft leicht zu entschlüsselnde Passwörter finden. Sie werden zudem meistens nur selten oder sogar nie geändert. Der Grund ist klar: Die Passwörter werden in der Regel manuell verwaltet und eine Änderung ist mit einem erheblichen zeitlichen Aufwand verbunden.

Jochen Koehler, Deutschland-Chef von Cyber-Ark, betont: "Hier werden eindeutig PCI-Vorschriften missachtet. Eine Lösung der Problematik ist nur mit der Implementierung einer Applikation möglich, mit der alle privilegierten administrativen Accounts automatisch verwaltet und überwacht werden können."

Cyber-Ark bietet hier die Lösung Enterprise Password Vault an, die eine geschützte Verwahrung und regelmäßige, automatische Änderung von Passwörtern ermöglicht. Die Passwörter befinden sich dabei verschlüsselt in einem "digitalen Tresor", dem Vault. Durch eine vollständige Zugriffskontrolle und Protokollierung kann die Nutzung von privilegierten Accounts zu jeder Zeit überprüft werden.



Ralph Wörn ergänzt: "Eine Feststellung bei unseren Audits ist der unbedarfte Umgang mit in Software-Code eingebetteten Passwörtern. Die Änderungsintervalle werden oftmals nicht eingehalten. Und zudem sind die Passwörter meistens einem größeren Personenkreis zugänglich. Das verletzt die Anforderungen des PCI-Standards."

Die Cyber-Ark-Lösung in diesem Bereich lautet Application Identity Manager. Er ermöglicht die automatische Verwaltung und Änderung von Passwörtern in Skripten oder Config-Files - den sogenannten Hardcoded Software Accounts. Mit der Lösung müssen Zugangsdaten nicht mehr in Anwendungen, Skripten oder Konfigurationsdateien gespeichert werden, sondern können zentral im digitalen Datentresor von Cyber-Ark abgelegt, überprüft und verwaltet werden.

Cyber-Ark-Lösungen für ausgewählte PCI-Vorschriften im Überblick:

* In Punkt 2 der PCI-Regelungen wird die Änderung von Kennwörtern gefordert. Mit dem Enterprise Password Vault erfolgt eine periodische Veränderung von Passwörtern auf Servern und Appliances.

* Punkt 3 regelt den Schutz der gespeicherten Daten von Kreditkarteninhabern detailliert. Cyber-Ark bietet hier PCI-konforme Lösungen von einer Verschlüsselung mit AES 256-Bit und SHA-1 bis zur Sicherung und regelmäßigen Änderung der Encryption Keys.

* In Punkt 10 wird das Protokollieren und Prüfen aller Zugriffe auf Daten von Kreditkarteninhabern gefordert. Cyber-Ark erfüllt diese Anforderungen mit einer detaillierten, revisionssicheren Protokollierung der Passwortnutzung - alle Aktivitäten werden in einem AuditLog aufgezeichnet.

* Im Unterpunkt 10.1 wird sogar konkret gefordert, dass ein Prozess zu implementieren ist, der es ermöglicht, den Zugriff auf Systemkomponenten - insbesondere auch von administrativen Accounts - einem individuellen User zuzuordnen. Bei der Cyber-Ark-Lösung erfolgt eine Personalisierung von Shared-Accounts auf Administratorenebene. Damit ist eine Nachvollziehbarkeit der Verwendung eines generischen Accounts bis auf die Personenebene gewährleistet.Weitere Infos zu dieser Pressemeldung:

Themen in dieser Pressemitteilung:


Unternehmensinformation / Kurzprofil:
Leseranfragen:
PresseKontakt / Agentur:
Bereitgestellt von Benutzer: natascha301182
Datum: 08.07.2009 - 11:53 Uhr
Sprache: Deutsch
News-ID 101204
Anzahl Zeichen: 0

Kontakt-Informationen:
Ansprechpartner: Natascha Müller
Stadt:

München

Telefon: 08959997808

Kategorie:

New Media & Software

Meldungsart: Produktinformation
Versandart: Veröffentlichung
Freigabedatum: 08.07.2009

Diese Pressemitteilung wurde bisher 478 mal aufgerufen.

Fehler erlaubt: Vier Voraussetzungen für den Erfolg von DevOps ​ ...
Oberhaching bei München, 07. Oktober 2020 – Eine schnellere Software-Entwicklung bei gleichzeitiger Verbesserung der Software-Qualität? Was sich nach konträren Zielen anhört, soll DevOps möglich machen. IT-Dienstleister Avision erklärt, welche Voraussetzung erfüllt sein müssen, damit die U

NiceLabel: IAE optimiert Etikettierungs- und Arbeitsauftragsprozesse mit Cloudlösung ...
Mit dem Cloud-basierten Etikettenmanagement-System von NiceLabel optimiert IAE die Herstellung seiner Etiketten und seiner Arbeitsauftragsdokumentation. Durch die Modernisierung des Etikettenmanagementprozesses kann das Unternehmen die Dokumentationen heute einfacher erstellen und parallel dazu die

Wer große Sprünge macht, verliert den Überblick ...
Jedes Unternehmen, das Applikationen selbst entwickelt, weiß: Software ist nie fertig. Regelmäßig werden neue Bugs entdeckt, und Fachabteilungen fordern in zunehmendem Maße Flexibilität von der IT ein, damit sie neue Prozesse schneller implementiert. Das mag ein Nachteil der Digitalen Transform

Weitere Mitteilungen von PR-COM GmbH

ERP-Offensive 2009, aepris Produkt- und Lösungsportfolio 2009 ...
Das bekannte Softwarehaus in Oberhausen ist kompetenter Ansprechpartner in Sachen branchenorientierte Software- und IT-Lösungen für den Mittelstand sowie Kassenhardware und Kassensoftware. Erleben Sie den Unterschied! Aufbauend auf der AFS-Software Produktpalette startet die SSE-Software Bu

pdf Control hält papierlose Vertragsdaten per USB-Stick stets aktuell ...
Saarbrücken, 10. Juni 2009 - O.E.M., Pionier in der On-Demand-Produktion von Medien, präsentiert "pdf-Control für die Vertragsdatenverwaltung". Die Lösung ermöglicht Versicherungen, Maklern und ihre Kunden, Vertragsdaten intelligent und einfach zu verwalten. Mit dieser USB-basierten L

Behrens & Schuleit GmbH zieht positives Fazit nach der diesjährigen Xerox Innovation Session ...
Als wahrer Besuchermagnet erwies sich die von Behrens & Schuleit präsentierte Lösung für den grafischen Bereich. Hierzu hat das Unternehmen den neuen Großformatdrucker Xerox 8264E in Verbindung mit der Caldera RIP Software vorgestellt. Damit können Medien nahezu jeder Art zu günstigen Kost

DMS EXPO: IQDoQ setzt Fokus auf Prozessoptimierung mit Themenlösungen ...
IQDoQ unterstützt Unternehmen und öffentliche Einrichtungen nachhaltig bei der Optimierung ihrer Prozesse. Die Plattform hierfür bildet das Dokumentenmanagement-System (DMS) HyperDoc, in das Themenlösungen wie kaufmännische Archivierung oder die digitale Personal- und Vertragsaktenverwaltung in