Der zukunftssichere Mainframe

In rund 80 Prozent aller globalen z/OS-Installationen kommt RACF (Ressource Access Control Facility) zum Einsatz. Dabei handelt es sich um ein Sicherheitssystem von IBM für die Verwaltung der Berechtigungen im Mainframe-Umfeld. RACF sorgt dafür, dass nur diejenigen Nutzer Zugriff auf eine angefragte Ressource erhalten, die dazu autorisiert sind. Versucht ein nicht autorisierter Benutzer auf eine geschützte Ressource – das können Daten, Applikationen oder Hardware sein – zuzugreifen, so erfasst und meldet das System diesen Zugriffsversuch.

RACF erfüllt damit folgende Grundfunktionen:

• Identifikation und Verifikation von Benutzern mittels Benutzerschlüssel und Passwortprüfung (Authentifizierung)
• Schutz von Ressourcen durch Verwaltung von Zugriffsrechten (Autorisierung)
• Logging der Zugriffe auf geschützte Ressourcen (Auditing).

Aus diesen Funktionen leiten sich für die IT-Abteilung verschiedene Tätigkeiten ab.

Pflege der Berechtigungsstrukturen Zentrale Aufgabe der IT-Abteilung ist es, dafür zu sorgen, dass jeder Nutzer genau die Berechtigungen erhält, die er benötigt. Dafür muss sie unter anderem neue Benutzer anlegen, Kennworte zurücksetzen oder Benutzern weitere Rechte zuordnen – relativ einfache Administrationsaufgaben, die sich allerdings mit RACF oft als sehr aufwändig gestalten. Dafür gibt es zwei Gründe: Zum einen sind die Berechtigungsstrukturen bei Unternehmen mit vielen Mitarbeitern und einer hohe Zahl an eingesetzten Anwendungen meist sehr komplex. Zum anderen ist die Bedienung von RACF nicht gerade userfreundlich: Das IBM-System bietet von Haus aus keine grafische Benutzeroberfläche.

Vor besonders großen Herausforderungen stehen IT-Administratoren immer dann, wenn umfangreiche Änderungen nötig sind. Das ist zum Beispiel dann der Fall, wenn Rechensysteme zusammengelegt werden oder das Rechenzentrum an einen Dienstleister ausgelagert wird und in diesem Zusammenhang die Berechtigungsstrukturen migriert werden müssen.

Abb.: Bei Datendiebstahl, Spionage oder Sabotage sind meist die eigenen Mitarbeiter involviert. Für Unternehmen ist daher ein Echtzeit-Monitoring der Zugriffe unverzichtbar, um solche Fälle schnell zu erkennen.

Eine immer größere Rolle im Alltag der RACF-Administratoren nimmt das Reporting ein. Denn Unternehmen müssen regelmäßig Sicherheits-Audits durchführen, um die Compliance mit gesetzlichen Vorschriften nachzuweisen. Besonders für Banken und Versicherungsdienstleister gelten hohe Anforderungen. Viele Unternehmen führen bereits im Vorfeld der verpflichtenden Zertifizierungen interne Audits durch, um eventuelle Schwachstellen aufzudecken und rechtzeitig Maßnahmen zur Erhöhung der Sicherheit ergreifen zu können.

Unabhängig davon, ob es sich um ein vorbereitendes Audit oder eine externe Prüfung handelt: Das erforderliche Reporting gestaltet sich im z/OS-Umfeld aufgrund des hohen Datenvolumens und der meist komplizierten RACF-, SMF- und Betriebssystemeinstellungen als sehr aufwändig. Durch den Einsatz plattformübergreifender Reporting-Tools kann der Aufwand nach Erfahrungen von Beta Systems um 50-80 Prozent reduziert werden.