GmbH. Gesellschaft für IT-Revision und Datenschutz

Transkript

1 Die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) stützt die MaRisk auf den 25a KWG, der vn den Instituten eine rdnungsgemäße Geschäftsrganisatin frdert (siehe AT 1 Textziffer 1 - der MaRisk). An die Berechtigungsvergabe in den IT-Systemen werden hhe Anfrderungen vn der Bankenaufsicht gestellt. S wird in den Mindestanfrderungen an das Risikmanagement (MaRisk) im AT 7.2 (Technischrganisatrische Ausstattung) gefrdert, dass insbesndere Przesse für eine angemessene IT- Berechtigungsvergabe einzurichten sind, die sicherstellen, dass jeder Mitarbeiter nur über die Rechte verfügt, die er für seine Tätigkeit benötigt. Die Eignung der IT-Systeme und der zugehörigen Przesse ist regelmäßig vn den fachlich und technisch zuständigen Mitarbeitern zu überprüfen. Die internatinale Nrm ISO (Infrmatin technlgy Security techniques Infrmatin security management systems Requirements) spezifiziert die Anfrderungen für Herstellung, Einführung, Betrieb, Überwachung, Wartung und Verbesserung eines dkumentierten Infrmatinssicherheits-Managementsystems unter Berücksichtigung der IT-Risiken innerhalb der gesamten Organisatin. Die Nrm spezifiziert Anfrderungen für die Implementierung vn geeigneten Sicherheitsmechanismen, welche an die Gegebenheiten der einzelnen Organisatinen angepasst werden sllen. Nach ISO ist bei der IT-Berechtigungsvergabe flgendes zu beachten: Der Przess der IT-Berechtigungsvergabe umfasst die Vergabe, die Veränderung und den Entzug vn Zutrittsberechtigungen, vn Zugangsberechtigungen und vn Zugriffsrechten. Entsprechend ISO müssen die IT-Berechtigungen risikrientiert regelmäßig, unter Anwendung eines frmalen Przesses, durch den Vrstand der in seinem Auftrag überprüft werden. Nach dem IT-Grundschutzkatalg des BSI wird definiert: Zutrittsberechtigungen erlauben Persnen, bestimmte Umgebungen zu betreten, als beispielsweise ein Gelände, ein Gebäude der definierte Räume eines Gebäudes. Zugangsberechtigungen erlauben smit einer Persn, bestimmte Ressurcen wie IT-Systeme bzw. System- Kmpnenten und Netze zu nutzen. Über Zugriffsberechtigungen wird geregelt, welche Persnen im Rahmen ihrer Funktinen der welche IT- Anwendungen bevllmächtigt sind, Infrmatinen, Daten der auch IT-Anwendungen, zu nutzen der Transaktinen auszuführen. Entsprechend dem Maßnahmenkatalg Organisatin des IT-Grundschutz-Katalges (M 2.31 Dkumentatin der zugelassenen Benutzer und Rechteprfile) muss eine Dkumentatin der am IT-System zugelassenen Benutzer, angelegten Benutzergruppen und Rechteprfile erflgen. Entsprechend der Neufassung des AT der MaRisk sind die IT-Berechtigungen, Zeichnungsberechtigungen und snstigen eingeräumten Kmpetenzen regelmäßig und anlassbezgen zu überprüfen. Dies beinhaltet auch die regelmäßige Überprüfung vn IT-Berechtigungen, Zeichnungsberechtigungen und snstigen Kmpetenzen. 1

2 In den Erläuterungen zu den MaRisk in der Fassung vm wird zur Überprüfung vn Berechtigungen und Kmpetenzen aufgeführt: Zumindest bei IT-Berechtigungen und Zeichnungsberechtigungen in Verbindung mit Zahlungsverkehrsknten wird eine mindestens jährliche, bei kritischen IT-Berechtigungen eine mindestens halbjährliche Überprüfung erwartet. Das vn der Andermann und Partner zusammen mit der genbit (Tchtergesellschaft des Genssenschaftsverbandes Weser Ems e.v. und der VR Dienstleistungsgenssenschaft eg) entwickelte Tl Deep Thught dient zur autmatisierten Auswertung der Rechtesysteme und ermöglicht eine einfache Darstellung der einzelnen Sllknzepte. Der Sll-/Ist-Vergleich ist dadurch einfach möglich. In dem Basismdul bank21 werden die hinterlegten Regeln in Zusammenarbeit mit den Banken und den Verbänden kntinuierlich weiterentwickelt. Smit haben die Banken hierdurch eine gute Möglichkeit die nach den Erläuterungen zu den MaRisk in AT gefrderte halbjährliche Überprüfung (Rezertifizierung) der kritischen IT-Berechtigungen vrzunehmen. Die in Deep Thught hinterlegten Regeln für die Sensiblen Felder Sensiblen Geschäftsvrfälle und den IKS-Check zeigen die kritischen IT-Berechtigungen in bank21 auf. Die kritischen IT-Berechtigungen für WP2, VR-Cntrl und Ltus Ntes haben wir mit unseren Partnern erarbeitet. Diese Ausführungen zeigen auf, dass wir nicht nur die Rechtesysteme abbilden sndern in zum Teil sehr mühseliger Arbeit die kritischen Berechtigungen in den jeweiligen Systemen herausarbeiten und den Anwendern transparent machen. Hierdurch wird die nach den MaRisk gefrderte Überprüfung (Rezertifizierung) der kritischen IT-Berechtigungen deutlich vereinfacht, da die einzelnen Banken sich diese kritischen IT-Berechtigungen ansnsten selbst kmplett erarbeiten müssen. Das Tl ist mdular aufgebaut. Das Basismdul dient zur autmatisierten Auswertung des Rechtesystems vn bank21. In den Zusatz-Mdulen sind weitere Rechtesysteme (z.b. WP2, Ltus Ntes, VR-Cntrl) implementiert bzw. werden kurzfristig weitere Rechtesysteme (z.b. IVS, MinD.banker, Anlagenbuchhaltung, Beleglesung) implementiert werden bis hin zu den IT-Zutrittsberechtigungen (Schlüssel-/Tanspndersysteme). Die jeweilige Bank kann neben dem Basismdul ptinal weitere Mdule bestellen. Neben dem Basismdul zahlt die Bank nur für die gewählten Mdule. Der jeweilige Preis für das einzelne Basismdul richtet sich nach dem Aufwand der Implementierung. Das Tl unterstützt die zuständigen Mitarbeiter bei den Berechtigungsvergaben, den ntwendigen Kntrllen ( Die IT-Berechtigungen müssen risikrientiert regelmäßig, unter Anwendung eines frmalen Przesses, durch den Vrstand der in seinem Auftrag überprüft werden aus ISO / swie Entwurf der Neufassung zu AT der MaRisk Dies beinhaltet auch die regelmäßige Überprüfung vn IT-Berechtigungen, Zeichnungsberechtigungen und snstigen Kmpetenzen. ) swie den Überprüfungen Entsprechend dem Maßnahmenkatalg Organisatin des IT-Grundschutz-Katalges (M 2.31 Dkumentatin der zugelassenen Benutzer und Rechteprfile) sllte die Dkumentatin der zugelassenen Benutzer und Rechteprfile regelmäßig (mindestens alle sechs Mnate) daraufhin überprüft werden, b sie den tatsächlichen Stand der Rechtevergabe widerspiegelt und 2

3 b die Rechtevergabe nch den Sicherheitsanfrderungen und den aktuellen Aufgaben der Benutzer entspricht. Durch vielfältige Auswertmöglichkeiten und Filter liefert das Tl auf Knpfdruck zum Beispiel Antwrten auf flgende Fragen: Welche User haben welche Kmpetenzen? Welchem Mitarbeiter sind welche Rllen, Prfile, Geschäftsvrfälle, sensible Felder, Infeinheiten, fachliche Regeln, Wertebereiche und Wertebereichsgruppen zugerdnet wrden? Haben die Mitarbeiter wirklich nur die Kmpetenzen, die zur Aufgabenerfüllung ntwendig und die nach den Grundsätzen eines funktinsfähigen Internen Kntrllsystem miteinander vereinbar sind? Passt das Sll-Knzept der Berechtigungsvergabe zum tatsächlichen Ist-Stand? Welche Kmpetenzen sind nach einem Releasewechsel hinzugekmmen und welche sind davn für die Bank relevant? Die Einsatzmöglichkeiten des Tls Deep Thught sind mannigfaltig. S erhalten die Administratren ein Tl, mit dem sie sich schnell einen Überblick über die aktuelle Kmpetenzlage im Unternehmen verschaffen können. Die Organisatren können mittels des Tls knkret die Kmpetenzen der Mitarbeiter planen und anpassen, um s vn Anfang an ein sauberes und vr allem administrierbares Kmpetenzsystem zu entwickeln und frtzuschreiben. Die Innenrevisin erhält mit dem Tl endlich die Möglichkeit den Kmpetenzbereich entsprechend den Anfrderungen der MaRisk risikrientiert zu prüfen. Das Tl greift im Bereich bank21 auf Auswertungen aus dem Standard-Reprting zurück, bei den weiteren Anwendungen werden die Exprtschnittstellen genutzt, s dass keine besndere Schnittstelle zum Bankenverfahren bzw. zu den Anwendungen ntwendig ist. Die Kmpetenzbjekte im Basismdul bank21 können nach Mitarbeiter Rlle Prfil Geschäftsvrfällen Sensiblen Feldern Infeinheiten 3

4 Fachlichen Regeln Wertebereiche Wertebereichs-Gruppen ausgewertet werden. ANDERMANN & PARTNER Weitere Vrteile beim Einsatz dieses Tls sind zum Beispiel im Bereich des Basismduls bank21: Einfache Bedienung Vereinfachte Kntrllen durch die verantwrtlichen Mitarbeiter Möglichkeit, in angemessener Zeit alle Kmpetenzen auszuwerten Regelbasierte Auswertung / Analyse kritischer IT-Berechtigungen IKS-Check (Es wurden über 800 Regeln für Kmbinatinen vn Geschäftsvrfällen erarbeitet, die nicht in einer Hand liegen sllten. Die Regeln wurden mit Gewichtungen versehen) Auswertung der sensiblen Felder mit Erläuterungen (Die sensiblen Felder der GAD wurden vllständig überarbeitet und mit Gewichtungen versehen) Auswertung der sensiblen Geschäftsvrfälle mit Erläuterungen (Die vn den Verbänden als sensibel bezeichneten Prfile und GVs wurden vllständig überarbeitet und mit Gewichtungen versehen) IKS Check über alle Kennungen (z.b. Gruppen-IDs, Dummys), die der Mitarbeiter nutzen kann, durch einfache Verknüpfung mit einer Leitkennung Filterfunktinen z.b. nach Abteilung, Filiale der benutzerdefiniert Vereinfachte Überprüfung vn Rechten innerhalb vn Abteilungen durch die Funktin Mitarbeiter als Referenz setzen Suche gleicher Objekte Deep Search Mdus (Darstellung verschachtelter Knstrukte) Der Anwender kann benutzerdefinierte Gruppen bilden und die Rechte innerhalb der Gruppe vergleichen Ausblenden nicht benötigter Objekte (Standard-Rllen, Individual-Rllen / Standard-Prfile, Individual-Prfile / verknüpfte der unverknüpfte Mitarbeiter) Suchfunktinen Vergleich verschiedener Objekte mit einer Referenz (z.b. Vergleich vn Standard-Rllen und individuellen Rllen der Standard-Prfilen und individuellen Prfilen) Möglichkeit zum Abbilden des stellenbezgenen Sll-Knzeptes (revisinssicher mit Histrie und Versinierung) und damit verbunden ein Sll-Ist Vergleich, der auf Knpfdruck alle Abweichungen vm Sllknzept ermittelt und übersichtlich darstellt. Umsetzung risikrientierter Prüfungsansatz im Bereich der IT-Revisin 4

5 Alle Auswertungen können exprtiert und z.b. in Excel weiterverarbeitet werden Alle Auswertungen sind grundsätzlich auf Knpfdruck verfügbar Der Anwender kann auswählen, welche Mdule dargestellt werden sllen: Zum jeweiligen Mitarbeiter werden jetzt die Rechte für bank21 und WP2 dargestellt: Wir werden das Tl kntinuierlich weiterentwickeln und die Wünsche der Anwender in die Prgrammentwicklung einfließen lassen. Zur Tleinführung bieten wir eine Kurzberatung an. Die Themen einer möglichen ptinalen Einführungsberatung könnten zum Beispiel umfassen: Einführung der für das Kmpetenzsystem verantwrtlichen Mitarbeiter und der Internen Revisin in das Tl. Besprechung des Handlings, der einzelnen Auswertungsmöglichkeiten, der Analysen, der sinnvllen Vrgehensweise, etc. Besprechung und Aufbereitung der Auswertungen und Analysen. Erarbeitung eines vrläufigen Sll-Knzeptes und Darstellung der Implementierung in das Tl Erarbeitung eines Grb-Knzeptes für das bank21 Kmpetenzsystem. Dieser Punkt beinhaltet zum Beispiel: Beschreibung der Przesse der Vergabe, der Veränderung und dem Entzug vn Rechten Beschreibung des Aufbaus des bank21 Kmpetenzsystems und der Struktur in der Bank Beschreibung des Przesses Releasewechsel Beschreibung der Kntrllen im bank21 Kmpetenzsystem 5

6 Erarbeitung eines Grb-Knzeptes für die weiteren wichtigen Anwendungen mit Rechtesystemen Zum Beispiel: Wzu dient die Anwendung Aufbau des jeweiligen Rechtesystems Wie erflgen die Kmpetenzeingaben und Kmpetenzänderungen Grbdarstellung eines Sllknzeptes für die jeweilige Anwendung Beschreibung der Kntrllen Weitere Anwendungen mit Rechtesystemen könnten z.b. sein: WP2 Unin Online easycredit GAD-Marktplatz PAISY Unin Online VR-Cntrl GenBankBilanz easycredit MinD.banker Ib Persnalsftware Beleglesung z.b. GIRODATA Anlagenbuchhaltung z.b. WebAnbu Baufinanzierungssystem ELAXY IVS ABIT (bank21 Frderungsverwaltung) Lagler IMMO-Spezial Card Przess irecherche Sftware zur Prgrammierung der Transpnder XIOS DEVIS KMS-Ksten-Management-System ATOSS Safecr BBA-Plus Gunneb Safe Lck 1984 SystemObserver Deep Thught Marzipan Inf Cntrl ExtraNet Bundesbank VR Banken Prtal Erarbeitung eines Grb-Knzeptes für die IT-Zutrittsberechtigungen Erarbeitung eines Przesses zur Überprüfung der IT-Berechtigungsvergaben Erarbeitung eines Grbknzeptes für die Zeichnungsberechtigungen Erarbeitung eines Grbknzeptes für die snstigen Kmpetenzen Der Umfang der ptinalen Einführungsberatung hängt vm Umfang Ihrer bisherigen Dkumentatin eines Grb-Knzeptes im bank21 Kmpetenzsystem und den weiteren Anwendungen ab. Gern zeigen wir Ihnen das Tl im Rahmen einer Präsentatin in Ihrer Bank der per Leitung mit dem TeamViewer. Für weitere Fragen steht Ihnen Herr Schwenck unter der Telefnnummer / der Schwenck@Andermann.de gern zur Verfügung. 6