Leitfaden für Sicherheitsvorkehrungen für die Zugriffssteuerung
Microsoft Entra ID erfüllt identitätsbezogene Anforderungen für die Implementierung von Schutzvorrichtungen gemäß Health Insurance Portability and Accountability Act (HIPAA) von 1996. Um HIPAA-konform zu sein, implementieren Sie die Sicherheitsvorkehrungen mithilfe dieses Leitfadens. Möglicherweise müssen Sie auch andere Konfigurationen oder Prozesse ändern.
Um die Sicherheitsvorkehrung für die Benutzeridentifikation zu verstehen, empfehlen wir Ihnen, Informationen einzuholen und Ziele festzulegen, die es Ihnen ermöglichen:
sicherzustellen, dass IDs für alle Personen, die eine Verbindung mit der Domäne herstellen müssen, eindeutig sind.
einen Eintritts-, Versetzungs- und Austrittsprozess (Joiner, Mover, Leaver, JML) einzurichten.
eine Enabler-Überwachung für die Identitätsnachverfolgung einzurichten.
Legen Sie für Sicherheitsvorkehrungen zur autorisierten Zugriffssteuerung Ziele fest, sodass:
der Systemzugriff auf autorisierte Benutzer beschränkt ist.
autorisierte Benutzer identifiziert sind.
der Zugriff auf personenbezogene Daten auf autorisierte Benutzer beschränkt ist.
Für die Sicherheitsvorkehrung zum Notfallzugangsprozess sollten Sie:
die Hochverfügbarkeit der wichtigsten Dienste sicherstellen.
Single Points of Failure beseitigen.
einen Notfallwiederherstellungsplan einrichten.
Sicherungen von Daten mit hohem Risiko anlegen.
Konten für den Notfallzugriff einrichten und auf dem neuesten Stand halten.
Für die Sicherheitsvorkehrung der automatischen Abmeldung sollten Sie:
eine Prozedur einrichten, die eine elektronische Sitzung nach einer bestimmten Zeit der Inaktivität beendet.
eine Richtlinie für das automatische Abmelden konfigurieren und implementieren.
Eindeutige Benutzeridentifikation
Die folgende Tabelle enthält Sicherheitsvorkehrungen aus dem HIPAA-Leitfaden für die Zugriffssteuerung für die eindeutige Benutzeridentifikation. Hier finden Sie auch Empfehlungen von Microsoft, um die Anforderungen hinsichtlich der Implementierung von Schutzmaßnahmen zu erfüllen.
HIPAA-Sicherheitsvorkehrung – eindeutige Benutzeridentifikation
Assign a unique name and/or number for identifying and tracking user identity.
| Empfehlung | Aktion |
|---|---|
| Einrichten von Hybrid zur Verwendung von Microsoft Entra-ID | Microsoft Entra Connect integriert lokale Verzeichnisse in Microsoft Entra ID und unterstützt die Verwendung einzelner Identitäten für den Zugriff auf lokale Anwendungen und Clouddienste wie Microsoft 365. Es orchestriert die Synchronisierung zwischen Active Directory (AD) und Microsoft Entra ID. Überprüfen Sie für die ersten Schritte mit Microsoft Entra Connect die Voraussetzungen, und notieren Sie sich die Serveranforderungen und die für die Verwaltung Ihres Microsoft Entra-Mandanten nötigen Vorbereitungen. Die Microsoft Entra Connect-Synchronisierung ist ein Bereitstellungs-Agent, der in der Cloud verwaltet wird. Der Bereitstellungs-Agent unterstützt die Synchronisierung mit Microsoft Entra ID aus einer nicht verbundenen AD-Umgebung mit mehreren Gesamtstrukturen. Einfache Agents sind installiert und können mit Microsoft Entra Connect verwendet werden. Es wird empfohlen, die Kennwort-Hashsynchronisierung zu verwenden, um die Anzahl von Kennwörtern zu verringern und vor der Erkennung kompromittierter Anmeldeinformationen zu schützen. |
| Bereitstellen von Benutzerkonten | Microsoft Entra ID ist ein cloudbasierter Dienst für die Identitäts- und Zugriffsverwaltung, der einmaliges Anmelden, Multi-Faktor-Authentifizierung und bedingten Zugriff zum Schutz vor Sicherheitsangriffen bietet. Um ein Benutzerkonto zu erstellen, melden Sie sich beim Microsoft Entra Admin Center als Benutzeradministrator an, und erstellen Sie ein neues Konto, indem Sie im Menü zu Alle Benutzer navigieren. Microsoft Entra ID bietet Unterstützung für die automatisierte Benutzerbereitstellung für Systeme und Anwendungen. Zu den Funktionen gehören das Erstellen, Aktualisieren und Löschen von Benutzerkonten. Die automatisierte Bereitstellung erstellt neue Konten in den richtigen Systemen für neue Personen, wenn sie einem Team in einer Organisation beitreten. Die automatisierte Aufhebung der Bereitstellung deaktiviert Konten, wenn Personen das Team verlassen. Konfigurieren Sie die Bereitstellung, indem Sie zum Microsoft Entra Admin Center navigieren und Unternehmensanwendungen auswählen, um die App-Einstellungen hinzuzufügen und zu verwalten. |
| Personalbasierte Bereitstellung | Durch die Integration der Microsoft Entra-Kontobereitstellung im Rahmen eines HR-Systems wird das Risiko übermäßiger sowie nicht mehr erforderlicher Zugriffe verringert. Das HR-System wird zum Autoritätsursprung (Start of Autority, SOA) für neu erstellte Konten und erweitert die Funktionen, sodass die Bereitstellung von Konten aufgehoben werden kann. Die Automatisierung verwaltet den Identitätslebenszyklus und verringert das Risiko einer Überbereitstellung. Dieser Ansatz folgt der bewährten Sicherheitsmethode des Zugriffs mit den geringsten Rechten. |
| Erstellen von Lebenszyklus-Workflows | Lebenszyklus-Workflows bieten Identitäts-Governance zum Automatisieren des Joiner/Mover/Leaver-Lebenszyklus (JML). Lebenszyklus-Workflows zentralisieren den Workflowprozess, indem entweder die integrierten Vorlagen verwendet oder eigene benutzerdefinierte Workflows erstellt werden. Diese Vorgehensweise trägt dazu bei, dass manuelle Aufgaben im Rahmen von JML-Strategieanforderungen der Organisation verringert werden oder sogar ganz entfallen. Navigieren Sie innerhalb des Azure-Portals im Microsoft Entra-Menü zu Identity Governance, um Aufgaben zu überprüfen oder zu konfigurieren, die den Anforderungen Ihrer Organisation entsprechen. |
| Verwalten privilegierter Identitäten | Microsoft Entra Privileged Identity Management (PIM) ermöglicht Zugriffsverwaltung, -steuerung und -überwachung. Sie gewähren bei Bedarf Zugriff auf eine zeit- und genehmigungsbasierte Rollenaktivierung. Dieser Ansatz begrenzt das Risiko übermäßiger, unnötiger oder missbräuchlicher genutzter Zugriffsberechtigungen. |
| Überwachung und Warnung | Microsoft Entra ID Protection bietet eine umfassende Übersicht über Risikoereignisse und potenzielle Sicherheitsrisiken, die die Identitäten Ihrer Organisation kompromittieren könnten. Durch Aktivieren des Schutzes werden die vorhandenen Microsoft Entra-Funktionen zur Anomalieerkennung angewendet und Risikoereignistypen eingeführt, die Anomalien in Echtzeit erkennen. Mithilfe des Microsoft Entra-Portals können Sie sich anmelden, das System überwachen und Bereitstellungsprotokolle überprüfen. Die Protokolle können heruntergeladen, archiviert und an Ihr SIEM-Tool (Security Information & Event Management) gestreamt werden. Microsoft Entra-Protokolle finden Sie im Abschnitt „Überwachung“ des Microsoft Entra-Menüs. Die Protokolle können auch mithilfe eines Azure Log Analytics-Arbeitsbereichs an Azure Monitor gesendet werden, in dem Sie Benachrichtigungen über die verbundenen Daten einrichten können. Die Microsoft Entra-ID identifiziert Benutzer eindeutig über die ID-Eigenschaft des jeweiligen Verzeichnisobjekts. Mit diesem Ansatz können Sie in den Protokolldateien nach bestimmten Identitäten filtern. |
Autorisierte Zugriffssteuerung
In der folgenden Tabelle finden Sie einen HIPAA-Leitfaden zur die autorisierte Zugriffssteuerung als Sicherheitsvorkehrung. Hier finden Sie auch Empfehlungen von Microsoft, um die Anforderungen hinsichtlich der Implementierung von Schutzmaßnahmen zu erfüllen.
HIPAA-Sicherheitsvorkehrung – autorisierte Zugriffssteuerung
Person or entity authentication, implement procedures to verify that a person or entity seeking access to electronic protected health information is the one claimed.
| Empfehlung | Aktion |
|---|---|
| Mehrstufige Authentifizierung (Multi-Factor Authentication, MFA) aktivieren | MFA in Microsoft Entra ID schützt Identitäten durch Hinzufügen einer weiteren Sicherheitsebene. Diese zusätzliche Ebene der Authentifizierung trägt dazu bei, nicht autorisierte Zugriffe zu verhindern. Wenn Sie einen MFA-Ansatz verwenden, können Sie während des Authentifizierungsprozesses weitere Überprüfungen der Anmeldeinformationen anfordern. Beispiele hierfür sind das Einrichten der Authenticator-App für die 1-Klick-Überprüfung oder das Aktivieren einer kennwortlosen Authentifizierung. |
| Aktivieren von Richtlinien für bedingten Zugriff | Richtlinien für bedingten Zugriff unterstützen Organisationen dabei, den Zugriff auf genehmigte Anwendungen einzuschränken. Microsoft Entra analysiert Signale von Benutzer*innen, Geräten oder Standorten, um Entscheidungen zu automatisieren und Organisationsrichtlinien für den Zugriff auf Ressourcen und Daten zu erzwingen. |
| Aktivieren einer rollenbasierte Zugriffssteuerung (Role-Based Access Control, RBAC) | RBAC bietet durch das Konzept der Aufgabentrennung Sicherheit auf Unternehmensebene. RBAC ermöglicht es Ihnen, Berechtigungen anzupassen und zu überprüfen, um Vertraulichkeit, Datenschutz und Zugriffsverwaltung für Ressourcen und vertrauliche Daten sowie die Systeme zu schützen. Microsoft Entra ID unterstützt integrierte Rollen. Damit ist eine festgelegte Reihe von Berechtigungen gemeint, die nicht geändert werden können. Sie können auch eigene benutzerdefinierte Rollen erstellen, denen Sie eine vordefinierte Liste hinzufügen können. |
| Aktivieren einer attributbasierten Zugriffssteuerung (Attribute-Based Access Control, ABAC) | Eine ABAC definiert den Zugriff auf der Grundlage von Attributen, denen Sicherheitsprinzipale, Ressourcen und die Umgebung zugeordnet sind. Sie bietet eine präzise Zugriffssteuerung und verringert die Anzahl der Rollenzuweisungen. Eine ABAC kann auf den Inhalt innerhalb des dedizierten Azure-Speichers festgelegt werden. |
| Konfigurieren eines Zugriffs für Benutzergruppen in SharePoint | SharePoint-Gruppen sind eine Sammlung von Benutzern. Die Zugriffsberechtigungen auf die Inhalte sind auf der Ebene von Websitesammlungen festgelegt. Die Anwendung dieser Einschränkung kann auf Dienstkonten beschränkt werden, die den Zugriff auf Datenflüsse zwischen Anwendungen erfordern. |
Prozedur für den Zugriff in Notfällen
Die folgende Tabelle enthält einen HIPAA-Leitfaden zur Zugriffssteuerung im Rahmen von Notfällen als Sicherheitsvorkehrung. Hier finden Sie auch Empfehlungen von Microsoft, um die Anforderungen hinsichtlich der Implementierung von Schutzmaßnahmen zu erfüllen.
HIPAA-Sicherheitsvorkehrung – Prozedur für den Zugriff in Notfällen
Establish (and implement as needed) procedures and policies for obtaining necessary electronic protected health information during an emergency or occurrence.
| Empfehlung | Aktion |
|---|---|
| Verwenden von Azure Recovery Services | Azure Backups bietet die Unterstützung, die zum Sichern wichtiger und vertraulicher Daten erforderlich ist. Abgedeckt sind Speicher/Datenbanken und Cloudinfrastruktur sowie lokale Windows-Geräte in der Cloud. Richten Sie Sicherungsrichtlinien ein, um Risiken im Bezug auf den Sicherungs- und Wiederherstellungsprozess zu minimieren. Stellen Sie sicher, dass Daten sicher gespeichert sind und mit minimaler Ausfallzeit wiederhergestellt werden können. Azure Site Recovery bietet eine nahezu konstante Datenreplikation, um sicherzustellen, dass Kopien stets synchronisiert sind. Die ersten Schritte vor der Einrichtung des Diensts bestehen in der Ermittlung des Recovery Point Objective (RPO) und des Recovery Time Objective (RTO), um den Anforderungen Ihrer Organisation gerecht zu werden. |
| Sicherstellen von Resilienz | Resilienz trägt zur Aufrechterhaltung von Servicelevels bei, wenn es zu Unterbrechungen des Geschäftsbetriebs und der wichtigsten IT-Dienste kommt. Die Funktion umfasst Dienste, Daten, Microsoft Entra ID und Active Directory-Überlegungen. Sie erstellen einen strategischen Resilienzplan, der die Systeme und Daten enthält, die auf Microsoft Entra- und Hybridumgebungen basieren. Die Resilienz von Microsoft 365 deckt die wichtigsten Dienste ab. Dazu zählen Exchange, SharePoint und OneDrive. Auf diese Weise sind Sie vor Datenbeschädigungen geschützt und nutzen Resilienzdatenpunkte zum Schutz von ePHI-Inhalten. |
| Erstellen von Notfallkonten | Durch das Einrichten eines Notfall- oder „Break glass“-Kontos wird sichergestellt, dass im Fall von unvorhergesehenen Umständen, z. B. bei Netzwerkausfällen oder aus anderen Gründen, die zum Verlust des Administratorzugriffs führen, weiterhin auf System und Dienste zugegriffen werden kann. Es wird empfohlen, dieses Konto nicht einem einzelnen Benutzer oder Konto zuzuordnen. |
Sicherheit von Arbeitsstationen – automatische Abmeldung
Die folgende Tabelle enthält einen HIPAA-Leitfaden zur automatischen Abmeldung als Sicherheitsvorkehrung. Hier finden Sie auch Empfehlungen von Microsoft, um die Anforderungen hinsichtlich der Implementierung von Schutzmaßnahmen zu erfüllen.
HIPAA-Sicherheitsvorkehrung – automatische Abmeldung
Implement electronic procedures that terminate an electronic session after a predetermined time of inactivity.| Create a policy and procedure to determine the length of time that a user is allowed to stay logged on, after a predetermined period of inactivity.
| Empfehlung | Aktion |
|---|---|
| Erstellen einer Gruppenrichtlinie | Zur Unterstützung von Geräten, die nicht zu Microsoft Entra ID migriert und von Intune verwaltet werden, kann ein Gruppenrichtlinienobjekt (Group Policy Object, GPO) die Abmeldung oder den Zeitraum bis zum Aktivieren des Sperrbildschirms für Geräte in AD oder in Hybridumgebungen erzwingen. |
| Bewerten der Anforderungen der Geräteverwaltung | Microsoft Intune bietet die Verwaltung mobiler Geräte (Mobile Device Management, MDM) und mobiler Anwendungen (Mobile Application Management, MAM). Es ermöglicht die Steuerung unternehmenseigener und privater Geräte. Sie können die Gerätenutzung verwalten und Richtlinien erzwingen, um mobile Anwendungen zu steuern. |
| Richtlinie für bedingten Zugriff auf Geräte | Implementieren Sie eine Gerätesperre mithilfe einer Richtlinie für bedingten Zugriff, um den Zugriff auf konforme oder in Microsoft Entra eingebundene Hybridgeräte einzuschränken. Konfigurieren Sie Richtlinieneinstellungen. Für nicht verwaltete Geräte konfigurieren Sie die Anmeldefrequenz-Einstellung um Benutzer zu zwingen, sich erneut zu authentifizieren. |
| Konfigurieren eines Sitzungstimeouts für Microsoft 365 | Überprüfen Sie die Sitzungstimeouts für Microsoft 365-Anwendungen und -Dienste, um längere Timeouts zu korrigieren. |
| Konfigurieren eines Sitzungstimeouts für das Azure-Portal | Überprüfen Sie die Sitzungstimeouts für Azure-Portal-Sitzungen, indem Sie einen Timeout aufgrund von Inaktivität implementieren, um Ressourcen vor nicht autorisiertem Zugriff zu schützen. |
| Überprüfen von Anwendungszugriffssitzungen | Richtlinien für die fortlaufende Zugriffsauswertung können den Zugriff auf Anwendungen verweigern oder gewähren. Wenn die Anmeldung erfolgreich ist, erhält der Benutzer ein Zugriffstoken, das für eine (1) Stunde gültig ist. Sobald das Zugriffstoken abläuft, wird der Client zu Microsoft Entra ID zurückgeleitet, die Bedingungen werden neu ausgewertet, und das Token wird für eine weitere Stunde aktualisiert. |