Einführung

Access Control bezieht sich auf die Richtlinien, Verfahren und Tools, die den Zugriff auf und die Nutzung von Ressourcen regeln. Beispiele für Ressourcen sind Cloud-Services, physische Server, Dateien, Anwendungen, Daten in einer Datenbank und Netzwerkgeräte.

• Das Least-Privilege-Prinzip ist ein systemorientierter Ansatz, bei dem Benutzerberechtigungen und Systemfunktionen sorgfältig geprüft werden und der Zugriff auf die Ressourcen beschränkt wird, die Benutzer oder Systeme zur Erfüllung ihrer Aufgaben benötigen.
• „Default—deny“ ist ein netzwerkorientierter Konfigurationsansatz, der die Übertragung des gesamten Datenverkehrs verweigert und dann nur den erforderlichen Datenverkehr basierend auf Protokoll, Port, Quellnetzwerkadresse und Zielnetzwerkadresse zulässt.

Zugriffskontrollrichtlinien und -praktiken von Oracle

Die Oracle Logical Access Control Policy gilt für Zugriffskontrollentscheidungen für alle Oracle Mitarbeiter und alle Informationsverarbeitungsanlagen, für die Oracle die Verwaltungshoheit besitzt. Die Richtlinie gilt nicht für Endnutzerkonten von Kunden für Oracle Cloud Services. Logische Zugriffskontrollen für Anwendungen und Systeme müssen Funktionen zur Identifizierung, Authentifizierung, Autorisierung, Verantwortlichkeit und Überwachung bieten.

Benutzerzugriffsverwaltung

Der Oracle Benutzerzugriff wird über ein Kontobereitstellungssystem bereitgestellt, das in die Oracle Human Resources-Datenbank integriert ist. Zugriffsrechte werden auf der Grundlage von Jobrollen gewährt und bedürfen der Genehmigung durch die Geschäftsleitung.

Berechtigungsverwaltung

Die Berechtigung hängt von einer erfolgreichen Authentifizierung ab, da die Kontrolle des Zugriffs auf bestimmte Ressourcen von der Feststellung der Identität einer Entität oder Person ausgeht. Oracle verlangt, dass Berechtigungsentscheidungen für die Gewährung, Genehmigung und Überprüfung des Zugriffs auf den folgenden Grundsätzen beruhen:

• Zu beachten: Benötigt der Benutzer diesen Zugriff für seine Arbeit?
• Aufgabentrennung: Führt der Zugriff zu einem Interessenkonflikt?
• Least Privilege: Ist der Zugriff auf die Ressourcen und Informationen beschränkt, die für legitime Geschäftszwecke erforderlich sind?

Passwortmanagement

Die Verwendung von Passwörtern wird in der Oracle Password Policy behandelt. Oracle erzwingt strenge Passwortrichtlinien (einschließlich Anforderungen an Länge und Komplexität) für das Oracle Netzwerk, das Betriebssystem, E-Mail, Datenbanken und andere Konten, um die Wahrscheinlichkeit zu verringern, dass Eindringlinge durch Ausnutzung von Benutzerkonten und zugehörigen Passwörtern Zugriff auf Systeme oder Umgebungen erhalten. Systemgenerierte und zugewiesene Passwörter müssen sofort nach Erhalt geändert werden.

Oracle Mitarbeiter sind verpflichtet, die Regeln für die Länge und Komplexität von Passwörtern sowie andere Passwortanforderungen einzuhalten. Die Mitarbeiter müssen ihre Anmeldedaten, wie z. B. Passwörter, jederzeit vertraulich behandeln und sicher aufbewahren und dürfen ihre individuellen Kontopasswörter unter keinen Umständen an Dritte weitergeben. Mitarbeitern ist es untersagt, Passwörter für Oracle Systeme oder -Anwendungen für andere Anwendungen oder Systeme zu verwenden.

Zugriffsprüfung und -widerruf

Oracle verlangt regelmäßige Überprüfungen der Netzwerk- und Betriebssystemkonten hinsichtlich der angemessenen Zugriffsrechte der Mitarbeiter. Im Falle von Kündigungen, Todesfällen oder Austritten von Mitarbeitern ergreift Oracle geeignete Maßnahmen, um den Netzwerkzugang und den physischen Zugang unverzüglich zu sperren.

Netzwerkzugriffskontrolle

Oracle verlangt strenge Netzwerkkontrollen zum Schutz und zur Kontrolle sowohl der Oracle Daten als auch der Kundendaten während der Übertragung. Die Netzwerksicherheitsrichtlinie von Oracle legt Anforderungen für die Netzwerkverwaltung, den Netzwerkzugriff und die Verwaltung von Netzwerkgeräten fest, einschließlich Authentifizierungs- und Autorisierungsanforderungen für physische Geräte und softwarebasierte Systeme. Nicht verwendete Netzwerkanschlüsse müssen deaktiviert werden.