Sie sind hier: Home » Markt » Hintergrund

Verwaltung privilegierter Benutzerkonten

PCI-Compliance: Neue PCI-Version 2.0 beseitige nicht die Passwort-Management-Problematik
Implementierung von PCI-konformen Lösungen bleibe für viele Unternehmen eine große Herausforderung

(13.12.10) - Ende Oktober hat das PCI Security Standards Council (PCI SSC) die neue Version 2.0 des "Payment Card Industry Data Security Standard" (PCI DSS) und des "Payment Application Data Security Standard" (PA DSS) vorgestellt. Die neuen Versionen sind ab 1. Januar 2011 gültig. Sicherheitsexpertin Cyber-Ark weist darauf hin, dass die automatische Verwaltung privilegierter Benutzerkonten und sichere Speicherung vertraulicher Informationen weiterhin zu den zentralen PCI-Vorgaben gehören.

Laut PCI SSC soll mit der neuen PCI-Version 2.0 die Flexibilität von Unternehmen erhöht werden, Kontrollmechanismen zu implementieren, mit wachsenden Bedrohungen umzugehen oder Reporting-Anforderungen zu erfüllen.

Jochen Koehler, Deutschland-Chef von Cyber-Ark in Heilbronn, betont: "Auch wenn in der neuen Version nur geringe Änderungen und keine erhöhten Anforderungen vorhanden sind, bleibt die Implementierung von PCI-konformen Lösungen für viele Unternehmen eine große Herausforderung - gerade im Bereich des Passwort-Managements. Ein Kernproblem ist hier zum Beispiel die durchgängige Personalisierung privilegierter Benutzerkonten, was sich insbesondere im Datenbank-Bereich mit den vielen Shared Accounts als äußerst schwierig erweist."

Abhilfe für diese Compliance-Problematik würden nur Lösungen schaffen, mit der alle privilegierten administrativen Accounts automatisch verwaltet und überwacht werden können.

Jochen Koehler betont: "Ein Grundproblem ist, dass immer noch viele Unternehmen die PCI-Vorgaben mit manuellen Prozessen erfüllen oder erfüllen wollen. Insbesondere die manuelle Änderung von Passwörtern ist ein nach wie vor weit verbreiteter Lösungsansatz. Das ist in unseren Augen aber eindeutig der falsche Weg, weil zum einen extrem zeitaufwändig und zum anderen auch fehlerbehaftet. Eine Lösung, mit der administrative Passwörter sicher und zentral abgelegt, automatisch verwaltet, regelmäßig geändert und überwacht werden können, sollte heute eigentlich Standard im IT-Betrieb sein." (Cyber-Ark: ra)

Cyber-Ark: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

Kostenloser Compliance-Newsletter
Ihr Compliance-Magazin.de-Newsletter hier >>>>>>

Meldungen: Markt / Hintergrund

Insider-Risiken bleiben relevant
Die unermüdliche Weiterentwicklung Künstlicher Intelligenz beschleunigt die Evolution bestehender Betrugsszenarien. In unserem Tagesgeschäft - der Betrugsprävention - beobachten wir besonders im E-Commerce neue Herausforderungen, die differenziert betrachtet werden müssen.
Leben ohne Digitalzwang
Menschen, die auf bestimmte Dienstleistungen im Alltag angewiesen sind, haben einen Anspruch darauf, diese auch analog nutzen zu können. Dies ist das Kernergebnis des Rechtsgutachtens, das am 11.12.2024 auf Initiative des Vereins Digitalcourage vom Netzwerk Datenschutzexpertise vorgelegt wurde.
DORA am 17. Januar 2025 in Kraft
Mit Blick auf das Jahr 2025 sticht ein Element bei der Einführung und Weiterentwicklung generativer künstlicher Intelligenz (KI) hervor: die Datensicherheit. Da generative KI-Modelle riesige Datenmengen benötigen, um zu lernen und Inhalte zu generieren, wird die Gewährleistung des Datenschutzes, der Vertraulichkeit und der Integrität dieser Daten von größter Bedeutung sein.
Schutz der privaten Sparer
Seit über 45 Jahren gibt es den Einlagensicherungsfonds der privaten Banken. Seitdem sichert er zuverlässig die Guthaben der Sparerinnen und Sparer ab, falls es zum Entschädigungsfall kommt. Klar ist jedoch, dass selbst ein funktionierendes System regelmäßig auf den Prüfstand gestellt und zur Verbesserung gegebenenfalls angepasst werden muss.
Verschiebung der Einreichfrist
Die Europäischen Aufsichtsbehörden (ESAs) haben eine Verschiebung der Einreichfrist der Informationsregister auf 30. April 2025 bekanntgegeben (Quelle: The ESAs announce timeline to collect information for the designation of critical ICT third-party service providers under the Digital Operational Resilience Act | European Banking Authority). Grund dafür ist u. a. die Verzögerung bei der Finalisierung der technischen Implementierungsstandards (ITS).

Cloud Computing birgt noch Risiken Compliance und Geschenke im Unternehmen