M 2.295 Systemverwaltung von z/OS-Systemen
Verantwortlich für Initiierung: Leiter IT, IT-Sicherheitsmanagement
Verantwortlich für Umsetzung: Administrator
Die Systemverwaltung eines z/OS-Systems ist in verschiedene Bereiche aufgeteilt. Für viele Aufgaben gibt es in den Rechenzentren Spezialisten, die oft nur ganz bestimmte Tätigkeiten auf den z/OS-Systemen ausführen. Bei der Systemverwaltung sind nachfolgende Empfehlungen zu beachten:
Unterteilung in Rollen
Es sollte ein Rollenkonzept eingeführt werden. Dies ermöglicht die Zuordnung von System-Berechtigungen zu den Rollen und erleichtert hiermit die Arbeit der RACF-Administration.
Um die Vergabe von hohen Berechtigungs-Attributen im RACF zu reduzieren, sollte überlegt werden, die Administration in mindestens folgende Rollen zu unterteilen:
- Systemadministration
- Die Systemadministration (kein besonderes RACF-Attribut) ist für die Installation und Wartung der z/OS-Systeme verantwortlich. Ihre Berechtigungen dürfen nur die zu dieser Tätigkeit nötigen Arbeiten am System erlauben. Zugriffe auf Kundendaten sollten nur in Ausnahmefällen genehmigt werden (z. B. bei der Fehlersuche). Solche Zugriffe müssen mit dem jeweiligen Informationseigentümer abgestimmt werden.
- RACF-Administration
- Die RACF-Administration (RACF-Attribut SPECIAL) hat die folgende Aufgabe: Administration des Sicherheitsprogramms RACF sowie Anlegen und Löschen von Kennungen und Autorisierungen. Der RACF-Administrator vergibt und entzieht die Rechte auf Ressourcen im z/OS-System. Hieraus ergibt sich eine besondere Vertrauensstellung. Aus Sicherheitsgründen sollte die Zahl der Mitarbeiter, die dieser Rolle zugeordnet sind, auf ein Minimum begrenzt sein.
- Space-Management
- Das Space-Management (RACF-Attribut OPERATIONS) ist für die Verwaltung der Datenträger in z/OS-Systemen verantwortlich. Das Attribut OPERATIONS erlaubt den Zugriff auf alle Daten des Systems. Es sollte überlegt werden, Kennungen mit dem Attribut OPERATIONS in die ACCESS-Liste eines RACF-Profiles mit NONE aufzunehmen. Hierdurch wird der Zugriff über die OPERATIONS-Berechtigung verhindert. Allerdings können diese Dateien dann auch nur bedingt vom Space-Management verwaltet (z. B. Plattenverlagerung) werden.
- Operating
- Das Operating (kein besonderes RACF-Attribut) ist für den Betrieb der z/OS-Systeme verantwortlich. Da die Operatoren Zugang zu den Konsolen haben, muss das Operating in zutrittsgeschützten Räumen durchgeführt werden. Aus Gründen der Nachvollziehbarkeit sollten die Schichtpläne des Operating archiviert werden.
- Audits
- Der Auditor (RACF Attribut AUDITOR) kann alle sicherheitsrelevanten Systemeinstellungen einsehen, aber nicht ändern. Der Auditor gleicht die aktuellen Systemeinstellungen mit den vorgegebenen Systemeinstellungen ab.
Stellvertreter-Regelungen
Für alle wichtigen Rollen der Systemverwaltung müssen Stellvertreter-Regelungen vorhanden sein. Keinesfalls darf eine wichtige Rolle nur mit einer Person besetzt sein. Weitere Hinweise hierzu sind in M 3.10 Auswahl eines vertrauenswürdigen Administrators und Vertreters aufgeführt.
Ergänzende Kontrollfragen:
- Gibt es ein Rollenkonzept für z/OS-Systeme?
- Gibt es Stellvertreter-Regelungen für die wichtigen Rollen der Systemverwaltung?