Vertrauen ist nicht gleich Compliance: Die Mainframe-Schwachstelle gefährdet Finanzdienstleistungen

Zusammenfassung

Finanzdienstleistungsunternehmen vertrauen ihren Compliance-Programmen, doch Vertrauen entspricht nicht immer der Realität. Trotz solider Governance-Prozesse und regelmäßiger Zugriffsprüfungen sehen sich viele Organisationen weiterhin mit Feststellungen bei Audits, Kosten für die Behebung von Sicherheitslücken und verstärkter regulatorischer Kontrolle im Zusammenhang mit Mainframe-Zugriffskontrollen konfrontiert. Mit der zunehmenden Verbreitung KI-gestützter Audits und Analysen werden langjährige Sicherheitslücken, die einst schwer zu erkennen waren, immer deutlicher sichtbar. Unternehmen benötigen einen modernen Ansatz für Identitätssicherheit, der die Compliance stärkt, ohne geschäftskritische Systeme zu beeinträchtigen.

Die wachsende Compliance-Lücke

Viele Finanzinstitute glauben, die regulatorischen Anforderungen zu erfüllen, doch die Ergebnisse von Prüfungen zeichnen ein anderes Bild. Die Aufsichtsbehörden konzentrieren sich zunehmend auf Identitäts-, Zugriffsmanagement, Überwachung und Verantwortlichkeit in kritischen Systemen. Gleichzeitig setzen Unternehmen weiterhin auf manuelle Prozesse und veraltete Zugriffsmethoden, die ein Compliance-Risiko darstellen.

Häufige Herausforderungen sind:

• Unzureichende Zugriffsüberwachungs- und Protokollierungsfunktionen.
• Gemeinsam genutzte oder nicht individuelle Benutzerkonten, die die Verantwortlichkeit einschränken.
• Abhängigkeit von manuellen Überprüfungen und Korrekturmaßnahmen.
• Eingeschränkte Transparenz hinsichtlich der Benutzeraktivitäten auf den Hostsystemen.
• Steigende regulatorische Anforderungen an Identitätssicherheit und Prüfbarkeit.

Das Ergebnis ist eine Diskrepanz zwischen der wahrgenommenen Bereitschaft zur Einhaltung der Vorschriften und dem tatsächlichen Stand der Einhaltung der Vorschriften in einer Organisation.

Die oft übersehene letzte Meile der Identitätssicherheit

Für viele Organisationen liegt das größte Risiko nicht in ihren modernen Identitätsplattformen, sondern im letzten Schritt des Zugriffs auf Kernsysteme.

Während Unternehmen weiterhin in Governance-Programme und Initiativen zum Identitätsmanagement investieren, werden fortschrittliche Sicherheitskontrollen in Host- und Mainframe-Umgebungen nach wie vor unzureichend genutzt. Funktionen wie passwortlose Authentifizierung, Sitzungsüberwachung und stärkere Identitätskontrollen fehlen häufig in kritischen Systemen, die wesentliche Geschäftsprozesse unterstützen.

Bereiche, die Organisationen bewerten sollten:

• Methoden zur Benutzerauthentifizierung
• Nutzung eines gemeinsamen Kontos
• Zugriffsüberwachung und Sitzungssichtbarkeit
• Vollständigkeit des Prüfprotokolls
• Privilegierte Zugriffskontrollen
• Verantwortlichkeit und Rückverfolgbarkeit der Nutzer

Die Stärkung dieser Kontrollmechanismen trägt zur Risikominderung bei und unterstützt gleichzeitig die Einhaltung regulatorischer Vorgaben.
 

Wie KI die Prüfungslandschaft verändert

Künstliche Intelligenz verändert die Art und Weise, wie Unternehmen Sicherheit und Compliance bewerten.

Herkömmliche Audits basierten häufig auf Stichproben, manuellen Prüfungen und periodischen Bewertungen. Heute können KI-gestützte Analysen große Mengen an Zugriffsdaten schnell untersuchen, Anomalien identifizieren und Kontrollschwächen aufdecken, die zuvor unbemerkt geblieben waren.

Da KI-gestützte Audits immer häufiger eingesetzt werden:

• Versteckte Sicherheitslücken lassen sich leichter identifizieren.
• Zugriffsverletzungen können schneller erkannt werden.
• Die Regulierungsbehörden erhalten einen besseren Einblick in die Wirksamkeit der Kontrollmaßnahmen.
• Organisationen stehen zunehmend unter Druck, detaillierte Prüfungsnachweise vorzulegen.
• Die Sanierungsmaßnahmen lassen sich immer schwieriger aufschieben.

Was einst unsichtbar war, kann nun durch automatisierte Analysen und kontinuierliche Überwachung sichtbar gemacht werden.

 

Die Kosten reaktiver Compliance

Die Behebung von Compliance-Problemen nach einem Prüfungsfeststellung oder einem Sicherheitsvorfall kann teuer und aufwändig sein.

Viele Organisationen wenden erhebliche Zeit und Ressourcen für Sanierungsmaßnahmen auf und vernachlässigen dadurch strategische Modernisierungsinitiativen. Reaktive Ansätze können das operationelle Risiko erhöhen, Prüfungsdruck erzeugen und die Geschäftsinnovation bremsen.

Die Auswirkungen können Folgendes umfassen:

• Kostspielige Sanierungsprojekte
• Verstärkte Prüfungsaufsicht
• Verlängerte Überprüfungszyklen
• Höheres operationelles Risiko
• Druck auf Sicherheits- und Infrastrukturteams

Eine proaktive Sicherheitsstrategie kann Organisationen dabei helfen, diese Belastungen zu reduzieren und gleichzeitig die Vorbereitung auf zukünftige Audits zu verbessern.

Modernisierung der Identitätssicherheit ohne Beeinträchtigung der Kernsysteme

Unternehmen müssen kritische Systeme nicht ersetzen, um die Compliance zu verbessern. Moderne Identitäts- und Zugriffskontrollen können dazu beitragen, Transparenz, Verantwortlichkeit und Governance zu verbessern und gleichzeitig bestehende Investitionen zu schützen.

Rocket Software unterstützt Organisationen:

• Modernisierung der Zugriffssicherheit von Hosts und Mainframes.
• Stärkung der Authentifizierung und der Verantwortlichkeit der Nutzer.
• Verbesserung der Überwachung und der Auditbereitschaft.
• Die Abhängigkeit von gemeinsam genutzten Anmeldeinformationen verringern.
• Unterstützung der Sicherheits- und Compliance-Anforderungen in kritischen Systemen.
• Gewährleisten Sie einen zuverlässigen Zugriff auf unternehmenskritische Anwendungen.

Ziel ist es, von reaktiven Korrekturmaßnahmen zu kontinuierlicher Compliance und einer stärkeren operativen Widerstandsfähigkeit überzugehen.

Zu berücksichtigende Fragen

Können Sie überprüfen, wer auf Ihre kritischen Systeme zugreift?

Stellen gemeinsam genutzte IDs ein Compliance-Risiko in Ihrer Umgebung dar?

Haben Sie ausreichend Einblick in die Benutzersitzungen und -aktivitäten?

Könnten KI-gestützte Audits versteckte Lücken in der Zugangskontrolle aufdecken?

Ist Ihr Compliance-Programm proaktiv oder primär auditgesteuert?