Fähigkeiten- und Verhaltensmanagement

In der Zugriffskontrolle ist ein Subjekt jeder Akteur, der in einem System handeln kann: ein Mitarbeiterkonto, ein Administrator, ein Auftragnehmer, ein Dienstkonto oder ein Prozess, der für einen von ihnen läuft. Die beiden Wörter des Begriffs stellen zu diesem Subjekt unterschiedliche Fragen.

Das Fähigkeitsmanagement fragt, was das Subjekt technisch tun kann. Es verantwortet Vergabe, Überprüfung und Entzug von Berechtigungen: Rollen, Rechte auf Dateien und Systeme, die Erlaubnis, Wechselmedien zu nutzen oder Software zu installieren, und administrative Erhöhung.

Das Verhaltensmanagement fragt, was dem Subjekt erlaubt ist. Es verantwortet die Verhaltensregeln: zulässige Nutzung von Kanälen und Daten, Einschränkungen für festgelegte Gruppen, Bedingungen, unter denen eine Aktion gestoppt oder markiert wird, und die Folgen von Verstößen.

Beide Hälften begrenzen einander. Ein Subjekt kann einen Kundendatenbestand exportieren und dennoch dazu nicht berechtigt sein, denn keine Richtlinie kann erlauben, was die zugrunde liegende Fähigkeit verwehrt. Reife Programme steuern das Paar gemeinsam: Die Fähigkeit setzt die Obergrenze des möglichen Schadens, die Verhaltensregeln den Korridor zulässigen Handelns darunter.

Die meisten Insider-Bedrohungsmodelle beschreiben das Risiko als Zusammenspiel aus Motivation, Gelegenheit und Fähigkeit. Absichten lassen sich nicht ablesen, und die Gelegenheit ist in die tägliche Arbeit eingebaut, denn Menschen müssen an Daten gelangen, um sie zu nutzen. Der direkt steuerbare Faktor ist die Fähigkeit, zusammen mit dem Verhalten rund um ihre Nutzung.

Eine geringere Fähigkeit macht einen Vorfall nicht unwahrscheinlicher. Sie macht den Vorfall, der dennoch eintritt, kleiner, langsamer und leichter sichtbar. Damit liegt die Disziplin am präventiven Ende eines Insider-Bedrohungsprogramms: Sie wirkt jeden Tag, während die Erkennung an seltenen Ereignissen gemessen wird.

In der Praxis ist die Arbeit ein Lebenszyklus und keine einmalige Sperrung. Viele Teams pflegen Gruppen in einem Verzeichnisdienst, damit Überprüfungen von einer gemeinsamen Kontenliste ausgehen.

Fähigkeits- und Verhaltensmanagement ist präventiv, und benachbarte Kontrollen decken ab, was es nicht sieht. Identity und Access Management stellt die Infrastruktur bereit: Verzeichnisse, Gruppen und Genehmigungsworkflows. Verhaltensanalysen beobachten das Verhalten gegenüber Referenzwerten und deklarierten Regeln, und Data Loss Prevention (DLP) setzt Regeln auf Inhaltsebene durch, unabhängig davon, wer das Recht besitzt.

Die Arbeitsteilung wirkt in beide Richtungen. Überwachung ohne Fähigkeitsgrenzen erzeugt Alarme ohne Eindämmung, denn ein bestätigter Verstoß lässt das Subjekt weiterhin in der Lage, ihn zu wiederholen. Grenzen ohne Beobachtung erzeugen stille Eindämmung, weil niemand erfährt, wann Regeln geprüft werden. Untersuchung und Reaktion setzen ein, sobald ein Signal vorliegt.

In der Anexet-Konsole werden Rechte pro Benutzergruppe festgelegt. Der Reiter Berechtigungen zeigt die Module, die Gruppenmitglieder öffnen dürfen, und die Rechteansicht zeigt, welche Gruppe jedes Recht gewährt. So lässt sich eine unerwartete Berechtigung bis zu ihrer Quelle zurückverfolgen.

1 / 2

• 
• 

Verhaltensmanagement beginnt auf dem Papier und endet bei der Durchsetzung. Eine veröffentlichte Regel, die niemand durchsetzt, erzeugt den Anschein von Kontrolle, aber keine Kontrolle:

1. 1

   Regeln zur zulässigen Nutzung festlegen

   Legen Sie fest, welche Kanäle, Daten und Aktionen bei der Arbeit normal sind, in einer Richtlinie, die die Subjekte kennen und bestätigen.

2. 2

   Technische Einschränkungen ergänzen

   Dort, wo Verhalten auf Fähigkeit trifft: Sperrbedingungen, für festgelegte Gruppen deaktivierte Kanäle, Quarantäne von Aktionen außerhalb der Richtlinie.

3. 3

   Vorhersehbare Folgen anwenden

   Verhängen Sie verhältnismäßige Sanktionen und wenden Sie sie konsequent an. Abschreckung hängt stärker von Konsequenz als von Schwere ab.

4. 4

   Gegen die Regeln beobachten

   Vergleichen Sie, was Subjekte tatsächlich tun, mit dem, was die Regeln erlauben, damit Verstöße als Ereignisse sichtbar werden.

5. 5

   Anleiten und verstärken

   Schulungen, klare Beispiele und die Anerkennung guter Praxis prägen das Verhalten, nicht nur die Bestrafung seines Fehlens.

Die Fehlermuster sind vorhersehbar. Zu eng gesetzte Fähigkeiten behindern den Alltag und erzeugen Ausnahmewarteschlangen. Bleiben sie zu locker, wachsen sie zur Rechteanhäufung. Selektiv durchgesetzte Verhaltensregeln verlieren schneller an Bedeutung als fehlende Regeln, weil sie lehren, dass Durchsetzung willkürlich ist.

Die Verhaltensbeobachtung überschneidet sich mit der Mitarbeiterüberwachung und übernimmt deren rechtliche Grenzen: Verhältnismäßigkeit, Transparenz, Zweckbindung und in vielen Rechtsordnungen die Anhörung der Arbeitnehmervertretung. Sie verringert die Auswirkungen, ohne das Risiko zu beseitigen, daher kombinieren Programme sie mit Erkennung und Reaktion.

Beginnen Sie mit den Daten, deren Abfluss den größten Schaden anrichten würde, und kartieren Sie dann die Fähigkeiten und Kanäle, die dorthin führen. Richtlinien, die alle Dateien und alle Berechtigungen auf einmal erfassen, blockieren am Ende die Arbeit und werden abgeschaltet.

Weiterlesen: Profiling.