Sichere, vorschriftskonforme und widerstandsfähige Identitätssicherheit für Behörden

Die Executive Order 14028 und die „Zero Trust Architecture“-Strategie der CISA legen klare Vorgaben für Bundesbehörden fest: Einführung einer phishing-resistenten Authentifizierung, Durchsetzung der Zero-Trust-Prinzipien und Steuerung der Identitäten in komplexen, umgebungsübergreifenden Belegschaften. Die Meilensteine sind konkret, und die Folgen von Identitätsfehlern sind geschäftskritisch. RSA unterstützt Bundesbehörden dabei, die Lücke zwischen Vorgabe und Umsetzung zu schließen – mit starker Authentifizierung, Identitäts-Governance und KI-gestützten Risikoanalysen, die in lokalen, Cloud-, Hybrid- und Air-Gap-Umgebungen gleichermaßen funktionieren.

Bundesbehörden sind mit anhaltenden, raffinierten Angriffen konfrontiert, die auf Benutzerzugangsdaten und Authentifizierungssysteme abzielen. Angreifer nutzen die passwortbasierte Authentifizierung aus, wenden Social-Engineering-Taktiken gegenüber IT-Helpdesks an, um die Multi-Faktor-Authentifizierung (MFA) zu umgehen, und nutzen kompromittierte Konten, um sich lateral durch die Netzwerke der Behörden zu bewegen. Die „Zero Trust“-Vorgabe der CISA schreibt ausdrücklich eine phishingresistente MFA vor – dennoch hat eine deutliche Mehrheit der Organisationen noch nicht den optimalen Reifegrad für „Zero Trust“ erreicht, was kritische Lücken in der Identitätsschicht hinterlässt.

Wie RSA hilft:

• Eine phishing-resistente, passwortlose Authentifizierung – Hardware-Token, FIDO2, PIV/CAC, biometrische Verfahren – verhindert Angriffe, die auf Zugangsdaten abzielen
• Adaptive Zugriffsrichtlinien blockieren verdächtige Anmeldeversuche und setzen risikobasierte Sitzungskontrollen durch
• Die bidirektionale Identitätsprüfung schützt die Mitarbeiter des IT-Helpdesks vor Social Engineering und der Umgehung der Multi-Faktor-Authentifizierung (MFA)
• KI-gestützte Identitätsrisikoanalysen erkennen anomales Verhalten und ermöglichen eine automatisierte Reaktion auf Bedrohungen, bevor Schaden entsteht
• Erkennt inaktive und herrenlose Konten in allen Umgebungen und beseitigt damit einen häufigen Angriffsvektor bei Angriffen auf Bundesnetzwerke

Bundesbehörden müssen eine wachsende Zahl von Vorschriften zur Identitätsprüfung und Authentifizierung erfüllen – darunter die EO 14028, die CISA Zero-Trust-Architektur, FISMA und NIST SP 800-63B. Diese Rahmenwerke erfordern eine gegen Phishing geschützte Multi-Faktor-Authentifizierung (MFA), rollenbasierte Zugriffskontrollen, die Verwaltung privilegierter Konten, eine kontinuierliche Überwachung sowie dokumentierte Zugriffsberechtigungen. Behörden, die diese Anforderungen nicht erfüllen, müssen mit Beanstandungen bei Audits, Verzögerungen bei der Erteilung der Betriebsgenehmigung (ATO) und einem erhöhten Risiko für Sicherheitsverletzungen rechnen.

Wie RSA hilft:

• Die nach FIPS 140-2 und 140-3 validierte Authentifizierung erfüllt die kryptografischen Anforderungen der US-Bundesbehörden für alle Umgebungen
• FedRAMP-zugelassene Bereitstellung für Cloud-Umgebungen der öffentlichen Verwaltung verfügbar
• PIV/CAC und Smartcard-Integration werden für den Zugang von Bundesbediensteten und Auftragnehmern nativ unterstützt
• Automatisierte Prüfpfade und Zugriffsbescheinigungen unterstützen die FISMA-Berichterstattung und die Überprüfungen durch den Generalinspekteur
• Erfüllt die Anforderungen der CJIS-Sicherheitsrichtlinie hinsichtlich Identitätsprüfung, Multi-Faktor-Authentifizierung (MFA) und Kontolebenszyklusmanagement für Behörden, die mit strafrechtlichen Informationen umgehen

Bundesbehörden verwalten große, komplexe Belegschaften, zu denen Beamte, Auftragnehmer, Partnerorganisationen und Zeitarbeitskräfte gehören – oft über Dutzende von Systemen und mehrere Sicherheitsdomänen hinweg. Manuelle Identitätsprozesse führen zu Verzögerungen bei der Bereitstellung von Zugriffsrechten, verwaisten Konten, übermäßigen Berechtigungen und Insiderrisiken. FISMA und NIST 800-53 verlangen dokumentierte Kontrollmaßnahmen zur Zugriffssteuerung, die mit der Größe der Behörde skalierbar sind.

Wie RSA hilft:

• Automatisiert die Einarbeitung, Rollenänderungen und das Ausscheiden von Mitarbeitern, um sicherzustellen, dass die Benutzer zum richtigen Zeitpunkt über die richtigen Zugriffsrechte verfügen
• Setzt rollenbasierte Zugriffskontrollen (RBAC) und Richtlinien zum Prinzip der geringsten Berechtigungen in lokalen, privaten Cloud- und Hybridumgebungen durch
• Nutzt KI, um Berechtigungen in lokalen, Cloud- und Hybridumgebungen kontinuierlich zu analysieren und übermäßige Berechtigungen sowie Abweichungen bei den Zugriffsrechten aufzudecken, bevor sie zu Prüfungsfeststellungen werden
• Automatisiert Arbeitsabläufe für Zugangsanträge, Genehmigungen und Zertifizierungen zur Unterstützung der FISMA-Berichterstattung
• Bietet einen einheitlichen Überblick über Zugriffs-, Authentifizierungs- und Governance-Aktivitäten in der gesamten Identitätslandschaft und verschafft Behörden so die nötige Transparenz, um Maßnahmen zu ergreifen, bevor aus Risiken Vorfälle werden

• Vor-Ort
• Air-Gapped-Umgebungen / Umgebungen mit Sicherheitsklassifizierung
• Private Cloud
• Hybrid (Cloud und lokal)

• FIPS 140-2
• FIPS 140-3
• FedRAMP
• FIDO2
• PIV/CAC
• ISO9001:2015
• CMMC 2.0

Hier finden Sie die vollständige Liste der RSA-Zertifizierungen.

• EO 14028 + CISA-Zero-Trust-Architektur
• FISMA / NIST SP 800-53
• NIST SP 800-63B (AAL2 / AAL3)
• FedRAMP
• CJIS-Sicherheitsrichtlinie
• CMMC 2.0