RPA – Tipps für mehr Sicherheit
Robotic Process Automation verspricht mehr Effizienz. Aber durch die Systeme fließen auch sensible Daten, die geschützt werden wollen.
Auch durch Systeme, die mit Robotic Process Automation (RPA) optimiert werden, fließen sensible Daten. Mit diesen vier Maßnahmen können Sie das Cybersecurity-Risiko beim Betrieb von Softwarerobotern senken.
Robotic Process Automation (RPA) hat sich – nicht nur in Coronazeiten – als effektives Werkzeug erwiesen, um sich wiederholende manuelle Prozesse in Unternehmen jeder Branche schnell und kostengünstig zu automatisieren. Allerdings ist der RPA-Betrieb auch mit Risiken verbunden. Die Bots verarbeiten sensible Daten und bewegen sie über Systeme hinweg von einem Prozess zum anderen. Sind die Daten dabei nicht gesichert, können Hacker auf diese zugreifen und so bei Unternehmen im schlimmsten Fall einen Millionenschaden verursachen.
Laut Naved Rashid, Associate Principal Analyst bei Gartner, gibt es zwei Hauptrisiken im
Zusammenhang mit RPA: Datenlecks und Betrug. Ohne angemessene Sicherheitsmaßnahmen könnten etwa so sensible Daten wie beispielsweise die Anmeldeinformationen des RPA Bots oder die vom Softwareroboter verarbeiteten Kundendaten in falsche Hände geraten.
Der Gartner-Analyst empfiehlt Unternehmen daher eine angemessene Governance sowie die Nutzung von Security Frameworks, um diese Risiken zu mindern. Konkret sind es aus Sicht von Gartner vier Maßnahmen, die IT-Leiter ergreifen sollten, um eine sichere robotergestützte Prozessautomatisierung zu implementieren und zu betreiben.
1. Verantwortlichkeit für Bot-Aktionen regeln
Während der Covid-19-Pandemie setzten zahlreiche Unternehmen unter Zeitdruck RPA-Projekte um, vor allem auch um durch die Automatisierung Folgen der Krise abzuschwächen. Laut Gartner wurde dabei leider häufig der Fehler gemacht, nicht zwischen Bot-Operatoren und Bot-Identitäten zu unterscheiden.
Das Analystenhaus empfiehlt Unternehmen, hier nachzubessern und dedizierte Identifikationsnachweise und Benennungsstandards sicherzustellen, indem jedem RPA Bot und -Prozess eine eindeutige Identität zugewiesen wird. Zusätzlich sollten Anwenderunternehmen eine Zwei-Faktor-Authentifizierung zwischen Mensch und System zusammen mit der Authentifizierung durch Benutzername und Passwort implementieren.
2. Bot-Rechte einschränken
Mit der Implementierung von RPA passiert es häufig, dass die Kontoprivilegien ausgeweitet werden – womit sich auch das Betrugsrisiko erhöht. Gartner-Analyst Rashid legt den Sicherheitsverantwortlichen entsprechend nahe, den RPA-Zugriff auf das zu beschränken, was jeder Bot unbedingt benötigt, um die ihm zugewiesene Aufgabe auszuführen. Beispielsweise sollte ein RPA Skript mit einem Bot, der bestimmte Werte aus einer Datenbank kopiert und in eine E-Mail einfügt, nur Lese- und keinen Schreibzugriff auf die Datenbank haben.
Ein zusätzlicher Tipp von Gartner: „Nutzen Sie Session-Management-Funktionen wie Screenshots oder Videoüberwachung, um Betrüger abzuschrecken und forensische Untersuchungen durchzuführen.“
3. Schützen Sie die Log-Integrität
Für den Fall, dass die Sicherheitsvorkehrungen ins Leere liefen, bleibt dem Security-Team die Aufgabe, die Log-Einträge zu überprüfen. Best Practice laut Gartner ist hier, dass Unternehmen die RPA-Protokolle in ein separates System einspeisen, wo die Protokolle sicher gespeichert werden und forensisch einwandfrei sind.
Die Verantwortlichen für IT-Security und Risikomanagement müssen außerdem sicherstellen, dass das ausgewählte RPA Tool ein vollständiges, vom System generiertes Protokoll ohne Lücken liefert, da diese die Untersuchung beeinträchtigen könnten.
4. RPA Security by Design implementieren
Um die Inbetriebnahme neuer Bots zu beschleunigen, neigen manche Unternehmen dazu, zunächst die RPA Skripts zu entwickeln, bevor sie sich Gedanken über die Sicherheit machen. Wie Gartner-Analyst Rashid erklärt, ist die RPA-Entwicklung jedoch ein fortlaufender Prozess und keine einmalige Aktivität.
Sie muss am Laufen bleiben, um auch vor künftigen Schwachstellen und Bedrohungen gefeit zu sein.
Sein Tipp: Etablieren Sie proaktive Dialoge und regelmäßige Abstimmungen zwischen dem IT-Security-Team und dem Line-of-Business-Team, das die RPA-Initiative leitet. Dazu gehört auch die Erstellung eines Risikorahmens, der die RPA-Implementierung als Ganzes sowie die einzelnen Skripte bewertet. Außerdem sollten RPA Skripts regelmäßig überprüft und getestet werden, mit besonderem Augenmerk auf Schwachstellen in der Geschäftslogik.