Zertifizierte IT-Sicherheit durch Secret Management Damit Geheimnisse auch geheim bleiben

Im Zeitalter von Digitalisierung und Cloud muss die Öffentliche Verwaltung ihre IT-Systeme zunehmend konsolidieren und standardisieren, um wirtschaftlicher sowie sicherer agieren zu können. Konsolidierte IT-Systeme in der Cloud erfordern jedoch andere Sicherheitsmechanismen als physische IT-Systeme. Secret Management ermöglicht es, geheime Daten wie Schlüssel, Zertifikate und Passwörter zentral zu erstellen, zu erneuern oder auch zu sperren und zu löschen.

Ob Private oder Public Cloud – die zunehmende Menge der Anwendungen und die damit einhergehende Anzahl an schützenswerten Daten und Geheimnissen stellen eine große Herausforderung für die Öffentliche Verwaltung dar. Gleichzeitig muss sichergestellt sein, dass eine Behörde auch in konsolidierten Systemen nur Zugriff auf die für sie relevanten Daten erhält. Dazu ist eine strikte Mandantentrennung erforderlich. Passwörter, Zertifikate und Schlüssel sind entsprechend sicher aufzubewahren.

Aktuell ist dies jedoch längst nicht immer der Fall: Oftmals werden eigentlich geheime Daten unkodiert oder mit leicht zu entwendenden Software-Schlüsseln genutzt. Diese Geheimnisse lassen sich relativ leicht kompromittieren. Es ist keine Seltenheit, dass Passwörter als Klartext im Quellcode zur Authentifizierung verwendet werden, während die Erstellung und Erneuerung von Zertifikaten in vielen öffentlichen Verwaltungen manuell erfolgt – und damit unregelmäßig und mit hohem Aufwand.

Dieser Prozess ist nicht nur unsicher und fehlerbehaftet, es besteht auch das Risiko von Systemausfällen, wenn die Erneuerung nicht rechtzeitig erfolgt. Immer kürzere Zertifikatslaufzeiten, wie sie in letzter Zeit erforderlich sind, verschärfen diese Problematik. Datenspeicherung und -management erfordern daher neue Sicherheitskonzepte, insbesondere im Behörden-Umfeld mit seinen hohen Datenschutz-Anforderungen.

Geheimnisse zentral speichern und verwalten

Mit einem Secret Management lassen sich Geheimnisse wie Zertifikate, Schlüssel und Passwörter zentral erstellen, erneuern und sperren. Damit diese nicht gehackt werden, kommt ein Hardware-Sicherheitsmodul zum Einsatz. Darüber hinaus ist das Secret Management in der Lage, Zertifikate automatisiert zu erstellen. So lassen sich geheime Daten bei konsolidierten Systemen zentral und sicher erzeugen, ablegen und verwalten.

Mit Secret Management kann eine kryptografische Mandantentrennung für konsolidierte IT-Systeme einfach etabliert werden. Es lassen sich beispielsweise die Daten des Zoll von denen des Bundesministeriums für Gesundheit trennen. Dadurch ist ein durchgehend hohes Sicherheitsniveau in gemeinsam genutzten Umgebungen gewährleistet.

Über Standardschnittstellen, wie beispielsweise KMIP (Key Management Interoperability Protocol), lässt sich das Secret Management schnell und einfach integrieren. Durch die Integration in Netzwerkspeicherlösungen und Virtualisierungsplattformen ist es möglich, verschiedene Mandaten durch Verschlüsselung auf den Ebenen des Datenspeichers und der Virtualisierung zu trennen.

Um eine automatische Versorgung der Dienste mit Zertifikaten sicherzustellen, nutzt das Secret Management wahlweise eine interne Public Key Infrastructure (PKI) oder Zertifikate eines externen Zertifikatsdienstleisters. Die Verteilung der Zertifikate bzw. der Zugriff auf die Geheimnisse erfolgt über entsprechende Programmierschnittstellen (APIs) oder über Agenten für definierte Hostsysteme.

Unabhängig von Integrationsweg und der Art, der zu schützenden Geheimnisse, kann das Secret Management zentral zusätzlich durch Hardware-Sicherheits-Module (HSM) abgesichert werden. So werden die hohen Sicherheitsanforderungen der Öffentlichen Verwaltung ebenfalls in konsolidierten Systemen erfüllt. Dank automatisierter Prozesse ist der Betriebsaufwand für Behörden gering – gerade im Zeitalter des Fachkräftemangels von IT-Security-Spezialisten – ein wichtiger Faktor.

Umfassende Security-Expertise

Als langjähriger Partner der öffentlichen Hand unterstützt Computacenter Behörden seit vielen Jahren dabei, neue Anforderungen zu erfüllen. Der IT-Dienstleister berät aus einer Hand bei der Umsetzung von Sicherheitsanforderungen.

Er hilft bei der Auswahl und Implementierung eines vollautomatisierten, mandantenfähigen Secret Managements, das sich mit geringem Aufwand betreiben lässt: Ende-zu-Ende. Dies reicht von der Anfrage über die Konzepterstellung, einem Proof of Concept und der Implementierung bis hin zum Betrieb – inklusive Schnittstellen für die Cloud und die eigenen Systeme.

(ID:47697463)