Privilegierter Zugriff
Zugriff auf privilegierte Konten verwalten und überwachen.
Privilegierter Zugriff wird durch das NIST CSF 2.0 Outcome PR.AA-05 (Access permissions, entitlements, and authorizations are defined in a policy, managed, enforced, and reviewed, and incorporate the principles of least privilege and separation of duties) definiert. Crosswalk Über einen veröffentlichten Crosswalk zugeordnet in ISO 27001, PCI DSS, CMMC, 800-53 und NIS2. Redaktionell Redaktionell zugeordnet in CIS v8.1, SOC 2, Essential Eight, DORA und Cyber Essentials. In HIPAA nur lose verwandt. Keine Zuordnung in unseren Daten Keine Zuordnung in unseren Daten für GDPR und CPS 234.
| Framework | Anforderung | Titel | Verknüpfung | Quelle / Begründung |
|---|---|---|---|---|
| NIST CSF 2.0 | PR.AA-05 | Access permissions, entitlements, and authorizations are defined in a policy, managed, enforced, and reviewed, and incorporate the principles of least privilege and separation of duties | Themendefinition | PR.AA-05 |
| ISO 27001 | A.8.2A.8.18 | Privileged access rights; Use of privileged utility programs | Crosswalk | A.8.2: via PR.AA-05; NIST 800-53 map: AC-2, AC-6 A.8.18: via PR.AA-05; NIST 800-53 map: AC-6 |
| CIS v8.1 | CIS 5.4CIS 12.8 | Restrict Administrator Privileges to Dedicated Administrator Accounts; Establish and Maintain Dedicated Computing Resources for All Administrative Work | Redaktionell | CIS 5.4: Restrict administrator privileges to dedicated accounts; not in CIS's own crosswalk to CSF 2.0, which covers 49 of 153 safeguards. CIS 12.8: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): dedicated computing resources for administrative work. |
| SOC 2 | CC6.3 | Role-based access, least privilege and segregation of duties | Redaktionell | CC6.3: AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 7.2.2 | Access assigned by job function and least privilege | Crosswalk | 7.2.2: via PR.AA-05 |
| CMMC | AC.L2-3.1.5AC.L2-3.1.6AC.L2-3.1.7 | Least Privilege; Non-Privileged Account Use; Privileged Functions | Crosswalk | AC.L2-3.1.5: via 800-171r3 03.01.05 ↔ PR.AA-05 → AC-6; 800-171r2 Appendix D → AC-6 AC.L2-3.1.6: via 800-171r3 03.01.06 ↔ PR.AA-05 → AC-6 AC.L2-3.1.7: via 800-171r3 03.01.07 ↔ PR.AA-05 |
| 800-53 | AC-2(7)AC-6(5) | Privileged User Accounts; Privileged Accounts | Crosswalk | AC-2(7): via PR.AA-05 AC-6(5): via PR.AA-05 |
| HIPAA | §164.308(a)(3)§164.308(a)(3)(ii)(A)§164.308(a)(3)(ii)(B)§164.308(a)(4)§164.308(a)(4)(ii)(A)§164.308(a)(4)(ii)(B) | Diesem Thema nicht zugeordnet | Diese Anforderungen teilen nur die CSF-Ergebnisse dieses Themas (PR.AA-05) über veröffentlichte Crosswalks: prüfenswert, aber keine Zuordnung. | |
| GDPR | — | Keine Anforderung | Keine Zuordnung in unseren Daten | In unseren Daten ist keine GDPR-Anforderung diesem Thema zugeordnet. |
| NIS2 | 11.311.4 | Privileged accounts and system administration accounts; Administration systems | Crosswalk | 11.3: via ENISA ISO map: A.8.2, A.8.18 11.4: via ENISA ISO map: A.8.2, A.8.18 |
| Essential Eight | ISM-1507ISM-1508ISM-0445ISM-1175ISM-1380ISM-1648ISM-1647ISM-1387 | Requests for privileged access to systems and their resources are validated when first…; Privileged access to systems and their resources is limited to only what is required…; Privileged human users are assigned a dedicated privileged user account to be used…… | Redaktionell | ASD assigns these ISM controls to the Essential Eight; ASD publishes no crosswalk to NIST or ISO, so linking them to topics is ControlMapping editorial. |
| DORA | Art.9(4)(c) | Protection and prevention | Redaktionell | Art.9(4)(c): Sound administration of access rights covers privileged accounts, although the regulation's own text doesn't single them out. |
| CPS 234 | — | Keine Anforderung | Keine Zuordnung in unseren Daten | In unseren Daten ist keine CPS 234-Anforderung diesem Thema zugeordnet. |
| Cyber Essentials | CE 4 | User Access Control | Redaktionell | CE 4: Separate accounts for administrative work only, and special access privileges removed when no longer needed. |
Themendefinition CSF-2.0-Ergebnisse, die dieses Thema definieren · Crosswalk mindestens eine Auswahl, gestützt durch einen veröffentlichten Crosswalk · Redaktionell Einschätzung von ControlMapping mit Begründung · nicht zugeordnet, teilt nur die CSF-Ergebnisse dieses Themas · Keine Zuordnung in unseren Daten In unseren Daten nichts zugeordnet; oft neue Arbeit, aber prüfen Sie die Hinweise zur Abdeckung. Methodik.
Anforderungs-IDs und Titel werden so angezeigt, wie jedes Framework sie veröffentlicht, auf Englisch.
Falsche oder fehlende Zuordnung? Melden
Über Privilegierter Zugriff
Privileged Access Management (PAM) konzentriert sich auf die Absicherung, Steuerung und Überwachung von Konten mit erhöhten Berechtigungen, etwa Domänenadministratoren, Datenbankadministratoren und Root-Konten. Die Implementierung umfasst in der Regel die Bereitstellung einer PAM-Lösung, die Passwort-Tresore, Sitzungsaufzeichnung, bedarfsgerechte Zugriffsvergabe (Just-in-Time) und die automatische Rotation von Zugangsdaten bietet. Da kompromittierte privilegierte Konten an der Mehrheit der Datenpannen beteiligt sind, sollten Organisationen das Prinzip der minimalen Berechtigungen durchsetzen, für sämtlichen privilegierten Zugriff MFA verlangen und regelmäßige Überprüfungen durchführen, um sicherzustellen, dass erhöhte Berechtigungen weiterhin gerechtfertigt sind.