Was ist Auditing?

Auditing kann mit Begriffen wie «Buch­prüfung» oder «Beweis­sicherung» übersetzt werden. In der Informations­technik ist die Proto­kollierung der Änderung von Daten gemeint. Auditing ist damit eine Methode zur präventiven Verbesserung der Informations­sicherheit.

Die Einrichtung eines Auditings erhöht die Komplexität einer Anwendung und damit deren Kosten spürbar, daher ist die Funktionalität keine Selbst­verständlichkeit. Vielmehr ist selektiv zu entscheiden, für welche Daten und für welche Bearbeitungs­methoden eines IT-Systems eine Auditierung erfolgen soll.

Auditing ist insbesondere bei sicherheits­relevanten Daten des Identity and Access Management (IAM) zu empfehlen. Dies betrifft die Pflege der Benutzer­stammdaten, derer zugeordneter Berechtigungen sowie des Berechtigungs­konzeptes (Berechtigungs­struktur). Eine vollständige Auditierung dieser Vorgänge ermöglicht beispielsweise belastbare Aussagen darüber, wer wann Zugriff auf welche Daten hatte.

Nutzen

Obwohl Auditing nicht unmittelbar auf die Zugriffs­steuerung eines Systems Einfluss nimmt, erhöht es die Informations­sicherheit mittelbar auf zweierlei Arten:

• Die aufgezeichneten Änderungen (Log-Protokoll) ermöglichen bei Verdacht auf miss­bräuchliche Veränderung oder Nutzung von Daten entsprechende Recherchen und damit einen entscheidenden Beitrag zur Aufarbeitung von Sicherheits­vorfällen.
• Die Kenntnis der Benutzer um die Proto­kollierung hat dahingehend präventive Wirkung, ein potentiell mögliches miss­bräuchliches Verhalten zu unterlassen. Auditing ist daher eine wichtige Funktionialität von Unternehmens­software, wenn die Einhaltung bestimmter Verhaltensregeln (Compliance) unterstützt und überwacht werden soll.

Auditing zum Benutzer

Die aus Sicht der Daten­sicherheit entscheidende Auditing-Methode ist die Proto­kollierung des ändernden Benutzers. Die Komplexität des Benutzer-Auditings ist in oryco® dabei in folgenden Stufen konfigurierbar:

1. Bearbeiter letzte Änderung (auch Löschung)
2. Bearbeiter Erstanlage und Bearbeiter letzte Änderung
3. Bearbeiter zu jeder Änderung (bei vollständigem Logging aller Veränderungen)

Auditing zum Zeitpunkt

Die Proto­kollierung des Änderungs­zeitpunktes kann eine entscheidende Grundlage für die Beurteilung der Relevanz eines Datensatzes aufgrund seines Alters sein. So kann beispiels­weise das Datum der letzten Kennwort­änderung eines Benutzers dazu verwendet werden, ihn systemseitig zur regelmäßigen Änderung seines persönlichen Kennworts gemäß einer Sicherheits­richtlinie zu zwingen. Die Konfigurier­barkeit des Zeitpunkt-Auditings entspricht dabei dem des Benutzers:

1. Zeitpunkt letzte Änderung (auch Löschung)
2. Zeitpunkt Erstanlage und Zeitpunkt letzte Änderung
3. Zeitpunkt zu jeder Änderung (bei vollständigem Logging aller Veränderungen)

Auditing zum Datensatz

Hierbei wird bei Änderung eines Datensatzes der jeweils vorangegangene Inhalt in einer Protokoll­datei gesichert. Dies ermöglicht einerseits die Rekonstruktion des ursprünglichen Inhalts ähnlich der Wieder­herstellung (Restore) einer Datei aus einer Daten­sicherung (Backup). Andererseits können so bei Bedarf Informationen über frühere Inhalte und deren Veränderung gewonnen werden. Letzteres ist ein weiterer Beitrag zur Informations­sicherheit, da so missbräuchliche Veränderungen vollständig nach­vollziehbar sind.

Das datensatz­bezogene Auditing kann als Sonder­form des Loggings in folgenden Varianten konfiguriert werden:

1. selektives Logging (nur definierte Veränderungen führen zur Protokollierung)
2. datenfeldbezogenes Logging (nur definierte Datenfelder werden protokolliert)
3. vollständiges Logging