Rechtlich-regulatorische Anforderungen an das Identitäts- und Berechtigungsmanagement bei den Kunden
Authentisierungsmechanismen (IDC-01)
Die DREAM-Lösung muss es dem Anbieter ermöglichen, Authentisierungsmechanismen zu verwenden, mit denen für Nutzende, IT-Komponenten oder Anwendungen im Verantwortungsbereich der Kunden eine starke Authentisierung (z. B. durch zwei oder mehrere Faktoren) erzwungen werden kann. Diese Authentisierungsmechanismen müssen an allen Zugangspunkten eingerichtet werden können, die Nutzenden, IT-Komponenten oder Anwendungen eine Interaktion mit der DREAM-Lösung einschließlich der bereitgestellten Dienste ermöglichen. (Vgl. BSI C5:2026 PSS-05)
Vergabe eindeutiger Benutzerkennungen (IDC-02)
Die DREAM-Lösung muss den Kunden die Möglichkeit bieten, eindeutige Benutzerkennungen zu vergeben. (Vgl. BSI C5:2026 OPS-15)
„Least-Privilege“-Prinzip (IDC-03)
Die DREAM-Lösung muss es den Kunden ermöglichen, bei der Verwaltung der Zugangs- und Zugriffsberechtigungen das „Least-Privilege“-Prinzip (Prinzip der minimalen Rechte) umzusetzen. Dies bedeutet, dass Nutzenden, Diensten, Anwendungen oder Systemen nur die Berechtigungen gewährt werden, die für ihre spezifischen Aufgaben zwingend erforderlich sind. (Vgl. BSI C5:2026 PSS-08)
„Need-to-Know“-Prinzip (IDC-04)
Die DREAM-Lösung muss es den Kunden ermöglichen, bei der Verwaltung der Zugangs- und Zugriffsberechtigungen das „Need-to-Know“-Prinzip (Erforderlichkeitsprinzip ) umzusetzen. Dies bedeutet, dass der Zugriff auf vertrauliche oder sensible Informationen nur den Nutzenden gewährt wird, die diese zwingend für ihre spezifischen Aufgaben benötigen. (Vgl. BSI C5:2026 PSS-08)
„Separation-of-Duties“-Prinzip (IDC-05)
Die DREAM-Lösung muss es den Kunden ermöglichen, bei der Verwaltung der Zugangs- und Zugriffsberechtigungen das „Separation-of-Duties“-Prinzip umzusetzen, also eine Funktionstrennung zwischen operativen und kontrollierenden Funktionen. (Vgl. BSI C5:2026 PSS-08)
Überprüfen von Zugriffsrechten (IDC-06)
Die DREAM-Lösung muss es den Kunden ermöglichen, die Rollen und Zugriffsrechte unter ihrer Verantwortung zu überprüfen. (Vgl. BSI C5:2026 PSS-08)
Ändern von Zugriffsrechten (IDC-07)
Die DREAM-Lösung muss es den Kunden ermöglichen, Rollen und Zugriffsrechte in ihrem Verantwortungsbereich bei notwendigen Änderungen (z. B. Ausscheiden von Personal) zeitgerecht anzupassen oder zu entziehen. (Vgl. BSI C5:2026 PSS-08)
Kontrolle der Nutzung von Authentisierungsmechanismen (IDC-08)
Die DREAM-Lösung muss es den Kunden ermöglichen, durch geeignete Kontrollen sicherzustellen, dass die von der DREAM-Lösung angebotenen Authentisierungsmechanismen gemäß den jeweiligen Vorgaben genutzt werden. (Vgl. BSI C5:2026 PSS-05)
Verteilung von Zugangsdaten (IDC-09)
Die DREAM-Lösung muss fähig sein, Zugangsdaten bei der Verteilung durch den Einsatz zusätzlicher Sicherheitsmechanismen wie Multi-Faktor-Authentisierung zu schützen. (Vgl. BSI C5:2026 PSS-07)
Passwörter als Authentisierungsinformationen (IDC-10)
Falls Passwörter als Authentisierungsinformationen verwendet werden, muss die DREAM-Lösung es den Kunden ermöglichen, die Vertraulichkeit der Passwörter durch folgende Verfahren zu schützen: initiale Erstellung von Passwörtern durch die Nutzenden (alternativ: Initialpasswort mit befristeter Gültigkeit, die bei der ersten Anmeldung geändert werden müssen); Erzwingen der Einhaltung von Passwort-Vorgaben; Information der Nutzenden über die Änderung oder Zurücksetzung des Passworts; serverseitige Speicherung der Passwörter unter Verwendung von Hashfunktionen in Kombination mit Salt-Werten, die beide dem Stand der Technik entsprechen. (Vgl. BSI C5:2026 PSS-07)
Kontrolle der Passwort-Verwendung (IDC-11)
Falls Passwörter als Authentisierungsinformationen für die DREAM-Lösung eingesetzt werden, muss die DREAM-Lösung die Kunden dabei unterstützen, durch geeignete Kontrollen sicherzustellen, dass hinreichend sichere Passwörter verwendet werden. (Vgl. BSI C5:2026 PSS-07)
Verfahren zum Zurücksetzen von Passwörtern (IDC-12)
Falls Passwörter als Authentisierungsinformationen für die DREAM-Lösung verwendet werden, muss es die DREAM-Lösung dem Anbieter ermöglichen, Verfahren zum Zurücksetzen von Passwörtern zu verwenden, die höchstens 48 Stunden gültig sind, und bei denen das Passwort nach der Verwendung des Zurücksetzungsverfahren vom Nutzenden zu ändern ist. (Vgl. BSI C5:2026 PSS-07)
Liste der gewährten Zugriffsrechte (IDC-13)
Falls die DREAM-Lösung die Verwaltung von Kundenidentitäten umfasst, muss die DREAM-Lösung muss fähig sein, für eine bestimmte Kundenidentität eine Liste der dieser Identität derzeit gewährten Zugriffsrechte gemäß den vertraglichen Bedingungen bereitzustellen. (Vgl. BSI C5:2026 PSS-08)
Self-Service für Zugangs- und Zugriffsberechtigungen (IDC-14)
Die DREAM-Lösung sollte es dem Anbieter ermöglichen, seinen Kunden einen Self-Service anzubieten, mit dem diese Zugangs- und Zugriffsberechtigungen eigenständig vergeben und ändern können. (Vgl. BSI C5:2026 IAM-02)