Tipps für die Praxis
Acht Stolpersteine auf dem Weg zu IAM
Beim Einsatz eines funktionierenden Identity- und Accessmanagements (IAM) ist gute Vorbereitung notwendig.
Der Aufbau eines funktionierenden Identity- und Accessmanagements (IAM) erfordert gute Vorbereitung. Es geht nicht nur um den Einsatz der richtigen IAM-Software. Unternehmen sollten die folgenden Stolpersteine beachten:
- IAM gehört zur IT-Security, ersetzt aber keine Sicherheitslösung
IAM ist ein typischer Bestandteil des Informationssicherheitsmanagements (ISM). Es schützt die Systeme vor unberechtigten Zugriffen und macht alle Zugriffe auf Daten, Anwendungen und Hardware zurechenbar und via Protokollierung verfolgbar. Es ersetzt allerdings nicht die üblichen Sicherheitslösungen wie Endpoint Protection, Intrusion Detection und Firewalls. - Stammdaten müssen optimal aufbereitet sein
Ohne Konsolidierung der Mitarbeiterstammdaten kann kein IAM-Projekt gelingen. Besonders wichtig ist die korrekte Zuordnung der Mitarbeiter zu Funktionsbereichen, Abteilungen, Teams, Prozessen und Rollen. Denn die Stammdaten werden zur Basis für die Directory-Lösung, die zentral für den Authentifizierungsprozess ist. - Auch die Admins brauchen Benutzerrollen und Berechtigungen
IT-Mitarbeiter dürfen keinen beliebigen Zugriff auf die Systeme haben, sondern müssen Einschränkungen bei Benutzerrollen und Berechtigungen unterliegen. Grundsätzlich gilt: Jeder hat nur die Zugriffsrechte, die er zur Erfüllung seiner Aufgaben benötigt. - Auch externe Partner gehören dazu
Geschäftspartner, Lieferanten, Leiharbeitskräfte, Freelancer und Kunden haben oft Zugriff auf bestimmte Bereiche der IT-Landschaft. Die zunehmende Vernetzung im Umfeld eines Unternehmens hat den Benutzerkreis stark erweitert. Identity- und Accessmanagement kann hier helfen, durch sehr granulare Rechtevergabe die Risiken einzugrenzen. - Cloud-Services integrieren
Cloud-Dienste haben zumeist getrennte Logins mit eigenen Benutzerkonten. Sie können mit der richtigen Lösung in das IAM integriert werden: Enterprise Identity von BlackBerry bietet eine zentralisierte Kontrolle und Verwaltung aller Identitäten für cloud-basierte Apps. Der Directory-Service kann mit BlackBerry Identity Proxy die Identitäten verwalten, ohne Daten in die Cloud zu kopieren oder dort zu synchronisieren. - Identitäten vereinheitlichen, Komplexität senken
Durch Wildwuchs bei der Vergabe von Benutzerkonten, Gruppenrechten und Einzelregeln für bestimmte Benutzer kann die Komplexität eines Directory-Service unbeherrschbar werden. Die einzige Abhilfe bietet Vereinheitlichung: Wenige Benutzergruppen, wenige Typen von Benutzerkonten, nur eine Identität pro Person. - Accounts regelmäßig verifizieren
Eine weitere Form von Wildwuchs ist das Sammeln von Berechtigungen, wenn einzelne Mitarbeiter häufiger die Abteilungen, Bereiche und Teams wechseln. Und natürlich finden sich im Directory auch hin und wieder „Datenleichen“ von Personen, die schon lange nicht mehr im Unternehmen arbeiten. So etwas kann nur durch regelmäßige Kontrolle vermieden werden. - Automatisierung
Ab einer gewissen Unternehmensgröße sind die bisher geschilderten Aufgaben kaum noch manuell zu bewältigen. Hier hilft nur rigorose Automatisierung durch Passwortregeln, automatische Zuordnung von Identitäten und automatischen Abgleich mit Stammdaten. Auch der Support sollte möglichst stark automatisiert werden, zum Beispiel durch ein Selfservice-Portal für Passwort-Resets, Beantragung von Berechtigungen und weitere Aufgaben.
Bildquelle: Thinkstock/ iStock
