Wer über DORA (den Digital Operational Resilience Act) spricht, spricht häufig über die zahlreichen, neuen regulatorischen Vorgaben an die eigene IT-Sicherheit. Tatsächlich geht es dabei weniger um neue Technologien als um die Frage, wie Sicherheitsmaßnahmen nachgewiesen werden müssen. Investitionen in mehrere Sicherheitstechnologien bedeuten deshalb noch lange keine bessere DORA-Compliance.
Fakt ist: Es reicht nicht mehr aus, Sicherheitsmaßnahmen lediglich zu dokumentieren. Entscheidend ist, ob jederzeit belegt werden kann, dass kritische Systeme kontrolliert, privilegierte Zugriffe nachvollziehbar und Sicherheitsprozesse wirksam umgesetzt wurden. Diese Nachvollziehbarkeit entscheidet über erfolgreiche Audits.
DORA ist vor allem eine Nachweis-Verordnung
DORA schreibt bewusst keine konkreten Technologien vor. Stattdessen definiert die Verordnung Anforderungen an Risikomanagement, Incident Response, Drittparteienmanagement, Resilienztests und Governance.
Gemeinsam haben diese Bereiche vor allem eins: Alle Maßnahmen müssen nachvollziehbar dokumentiert und gegenüber Prüfern & Auditoren revisionssicher belegt werden können.
In der Praxis stehen dabei vor allem privilegierte Zugriffe auf kritische Systeme im Fokus. Denn genau hier entscheidet sich, ob wir nachvollziehen können, wer auf kritische Systeme zugegriffen, Änderungen vorgenommen oder administrative Berechtigungen genutzt hat.
Ob ein Audit erfolgreich sein wird, wird also davon abhängen, ob diese Fragen zuverlässig und sicher beantwortet werden:
Adminkonten, externe Dienstleister, Maschinenidentiäten oder Servicekonten zählen zu den privilegierten Zugriffen und besitzen weitreichende Berechtigungen. Gleichzeitig sind genau diese Zugriffe im Alltag oft schwer vollständig nachzuvollziehen.
Fehlt eine zentrale Verwaltung privilegierter Zugriffe, beginnt häufig die mühsame Suche durch Log-Dateien, Ticketsysteme und unterschiedliche Management-Tools. Aber dieser manuelle Aufwand kostet wertvolle Zeit.
„PAM wird für viele Finanzunternehmen zum strategischen Baustein der DORA-Compliance", erklärt Florian Kraus, General Manager der DAGMA GmbH. „Nicht, weil DORA PAM verlangt, sondern weil sich damit zahlreiche Anforderungen deutlich einfacher umsetzen lassen. Viele suchen für DORA nach neuen Technologien. Tatsächlich geht es aber häufig um Transparenz und Nachvollziehbarkeit."
Genau deshalb könnte Privileged Access Management zum eigentlichen Geheimtipp für die DORA-Compliance werden: DORA verlangt Kontrolle. Und PAM liefert diese Kontrolle.
Fakt ist: Es reicht nicht mehr aus, Sicherheitsmaßnahmen lediglich zu dokumentieren. Entscheidend ist, ob jederzeit belegt werden kann, dass kritische Systeme kontrolliert, privilegierte Zugriffe nachvollziehbar und Sicherheitsprozesse wirksam umgesetzt wurden. Diese Nachvollziehbarkeit entscheidet über erfolgreiche Audits.
DORA ist vor allem eine Nachweis-Verordnung
DORA schreibt bewusst keine konkreten Technologien vor. Stattdessen definiert die Verordnung Anforderungen an Risikomanagement, Incident Response, Drittparteienmanagement, Resilienztests und Governance.
Gemeinsam haben diese Bereiche vor allem eins: Alle Maßnahmen müssen nachvollziehbar dokumentiert und gegenüber Prüfern & Auditoren revisionssicher belegt werden können.
In der Praxis stehen dabei vor allem privilegierte Zugriffe auf kritische Systeme im Fokus. Denn genau hier entscheidet sich, ob wir nachvollziehen können, wer auf kritische Systeme zugegriffen, Änderungen vorgenommen oder administrative Berechtigungen genutzt hat.
Ob ein Audit erfolgreich sein wird, wird also davon abhängen, ob diese Fragen zuverlässig und sicher beantwortet werden:
- Wer hatte Zugriff?
- Warum wurde dieser Zugriff genehmigt?
- Welche Aktivitäten wurden durchgeführt?
- Lassen sich diese Informationen kurzfristig nachweisen?
Adminkonten, externe Dienstleister, Maschinenidentiäten oder Servicekonten zählen zu den privilegierten Zugriffen und besitzen weitreichende Berechtigungen. Gleichzeitig sind genau diese Zugriffe im Alltag oft schwer vollständig nachzuvollziehen.
Fehlt eine zentrale Verwaltung privilegierter Zugriffe, beginnt häufig die mühsame Suche durch Log-Dateien, Ticketsysteme und unterschiedliche Management-Tools. Aber dieser manuelle Aufwand kostet wertvolle Zeit.
„PAM wird für viele Finanzunternehmen zum strategischen Baustein der DORA-Compliance", erklärt Florian Kraus, General Manager der DAGMA GmbH. „Nicht, weil DORA PAM verlangt, sondern weil sich damit zahlreiche Anforderungen deutlich einfacher umsetzen lassen. Viele suchen für DORA nach neuen Technologien. Tatsächlich geht es aber häufig um Transparenz und Nachvollziehbarkeit."
Genau deshalb könnte Privileged Access Management zum eigentlichen Geheimtipp für die DORA-Compliance werden: DORA verlangt Kontrolle. Und PAM liefert diese Kontrolle.
