Bundesamt für Sicherheit in der Informationstechnik

M 2.295 Systemverwaltung von z/OS-Systemen

Verantwortlich für Initiierung: IT-Sicherheitsbeauftragter, Leiter IT

Verantwortlich für Umsetzung: Administrator

Die Systemverwaltung eines z/OS-Systems ist in verschiedene Bereiche aufgeteilt. Für viele Aufgaben gibt es in den Rechenzentren Spezialisten, die oft nur ganz bestimmte Tätigkeiten auf den z/OS-Systemen ausführen. Bei der Systemverwaltung sind nachfolgende Empfehlungen zu beachten:

Unterteilung in Rollen

Es sollte ein Rollenkonzept eingeführt werden. Dies ermöglicht die Zuordnung von System-Berechtigungen zu den Rollen und erleichtert hiermit die Arbeit der RACF-Administration.

Um die Vergabe von hohen Berechtigungs-Attributen im RACF zu reduzieren, sollte überlegt werden, die Administration in mindestens folgende Rollen zu unterteilen:

  • Systemadministration
    Die Systemadministration (kein besonderes RACF-Attribut) ist für die Installation und Wartung der z/OS-Systeme verantwortlich. Ihre Berechtigungen dürfen nur die zu dieser Tätigkeit nötigen Arbeiten am System erlauben. Zugriffe auf Kundendaten sollten nur in Ausnahmefällen genehmigt werden (z. B. bei der Fehlersuche). Solche Zugriffe müssen mit dem jeweiligen Informationseigentümer abgestimmt werden.
  • RACF-Administration
    Die RACF-Administration (RACF-Attribut SPECIAL) hat die folgende Aufgabe: Administration des Sicherheitsprogramms RACF sowie Anlegen und Löschen von Kennungen und Autorisierungen. Der RACF-Administrator vergibt und entzieht die Rechte auf Ressourcen im z/OS-System. Hieraus ergibt sich eine besondere Vertrauensstellung. Aus Sicherheitsgründen sollte die Zahl der Mitarbeiter, die dieser Rolle zugeordnet sind, auf ein Minimum begrenzt sein.
  • Space-Management
    Das Space-Management (RACF-Attribut OPERATIONS) ist für die Verwaltung der Datenträger in z/OS-Systemen verantwortlich. Das Attribut OPERATIONS erlaubt den Zugriff auf alle Daten des Systems. Es sollte überlegt werden, Kennungen mit dem Attribut OPERATIONS in die ACCESS-Liste eines RACF-Profiles mit NONE aufzunehmen. Hierdurch wird der Zugriff über die OPERATIONS-Berechtigung verhindert. Allerdings können diese Dateien dann auch nur bedingt vom Space-Management verwaltet (z. B. Plattenverlagerung) werden.
  • Operating
    Das Operating (kein besonderes RACF-Attribut) ist für den Betrieb der z/OS-Systeme verantwortlich. Da die Operatoren Zugang zu den Konsolen haben, muss das Operating in zutrittsgeschützten Räumen durchgeführt werden. Aus Gründen der Nachvollziehbarkeit sollten die Schichtpläne des Operating archiviert werden.
  • Audits
    Der Auditor (RACF Attribut AUDITOR) kann alle sicherheitsrelevanten Systemeinstellungen einsehen, aber nicht ändern. Der Auditor gleicht die aktuellen Systemeinstellungen mit den vorgegebenen Systemeinstellungen ab.

Stellvertreter-Regelungen

Für alle wichtigen Rollen der Systemverwaltung müssen Stellvertreter-Regelungen vorhanden sein. Keinesfalls darf eine wichtige Rolle nur mit einer Person besetzt sein. Weitere Hinweise hierzu sind in M 3.10 Auswahl eines vertrauenswürdigen Administrators und Vertreters aufgeführt.

Prüffragen:

  • Gibt es ein Rollenkonzept für z/OS-Systeme?

  • Gibt es Stellvertreter-Regelungen für die wichtigen Rollen der Systemverwaltung von z/OS-Systemen?

Stand: 13. EL Stand 2013