Sicherheit dank Identity and Access Management

IT-DIRECTOR: Scheinbar gibt es täglich neue IT-Trends und Innovationen. Viele Unternehmen kapitulieren vor der Herausforderung, besonders in punkto Sicherheit. Was raten Sie Unternehmen?
M. Waldherr: Erfolgreiche Unternehmen stellen sich den Herausforderungen und sehen diese als Chance. Viele Trends bringen enorme Vorteile, aber eben auch Risiken mit sich. Diese Risiken bekommt man mit Identity and Access Management (IAM) aber gut in den Griff. Mit einem durchgängigen IAM-System wissen sie immer, welcher Benutzer sich anmeldet, und können überprüfen, ob dieser über die angemessenen Zugriffsrechte verfügt, um den entsprechenden Service zu nutzen. Außerdem stellt eine solche Lösung sicher, dass sie kontrollieren können, welche Benutzer welche Aufgaben ausführen – vor allem dann, wenn kritische Informationen oder Funktionen involviert sind.

IT-DIRECTOR: Warum spielt Identitäts- und Zugriffsverwaltung eine wichtige Rolle für die IT-Sicherheit?  
M. Waldherr: Der Zweck von IAM besteht unter anderem darin, Benutzern Zugriff bereitzustellen und gleichzeitig für die Sicherheit von Systemen und Daten zu sorgen. IAM befasst sich mit einigen grundlegenden Konzepten, die sich mit vier „A" zusammenfassen lassen – nämlich Authentifizierung, Autorisierung, Administration und Audit.

Authentifizierung stellt sicher, dass die Person, die sich bei einem System anmeldet, diejenige ist, für die sie sich ausgibt. Autorisierung legt die Parameter für die Berechtigungen authentifizierter Benutzer fest. Damit sich ein Benutzer authentifizieren kann und die richtigen Berechtigungen erhält, müssen diverse Verwaltungsaufgaben für ein Konto eingerichtet werden, die häufig unter dem Begriff "“Bereitstellung bzw. Rechteprovisionierung“ zusammengefasst werden und zur Administration zählen. Audit hingegen umfasst alle Aktivitäten, mit denen nachgewiesen werden kann, dass die Authentifizierung, Autorisierung und Administration gemessen an internen oder externen Vorgaben ein Mindestmaß an Sicherheit erfüllen.

IT-DIRECTOR: Viele IT-Mitarbeiter klagen über die enorme Komplexität beim Rechtemanagement? Welcher Ansatz hilft hier weiter?
M. Waldherr: Ganz klar, die modulare, integrierte und geschäftsorientierte Identitäts- und Zugriffsverwaltung ist die Zukunft. Mit der neuen Welle von IAM-Technologien haben die Probleme noch weiter zugenommen, sodass eine noch größere Dringlichkeit für die Implementierung eines holistischeren IAM-Frameworks besteht. Da sich diese Technologien deutlich weniger auf die individuelle Anpassung stützen und stattdessen auf einem konfigurierbaren Modellansatz aufbaut, können sie schneller und zu geringeren Kosten als die traditionellen Lösungen implementiert werden. Darüber hinaus unterstützen sie die Bewältigung der nächsten Herausforderung. Die Erweiterung ist also immer erschwinglich und effektiv. Doch der größte Vorteil dieses IAM-Ansatzes besteht darin, dass er der Geschäftsseite einer Organisation wieder die nötige Transparenz und Kontrolle gibt.

IT-DIRECTOR: Wo liegt die Verantwortung für IAM? Bei der IT oder Geschäftsleitung?
M. Waldherr: Wenn spezialisierte IT-Mitarbeiter zu stark in Entscheidungen der Identitäts- und Zugriffsverwaltung involviert sind, liegt erfahrungsgemäß ein echtes Effizienzproblem vor. Letztlich ist es die Aufgabe von IT-Mitarbeitern, den Systembetrieb und die Benutzerproduktivität zu gewährleisten, und nicht, sich mit der täglichen Verwendung spezifischer Anwendungen durch einen bestimmten Benutzer zu beschäftigen. Für die Geschäftsseite steht bei der Identitäts- und Zugriffsverwaltung am meisten auf dem Spiel. Alle Entscheidungen, welche Rollen zum Beispiel in einem Buchhaltungssystem erforderlich sind und was sie repräsentieren, wer Aktionen genehmigen muss und wie stark die Daten und Funktionen gesichert werden müssen, sollten idealerweise in der Verantwortung der Geschäftsbereichsleiter liegen. Schließlich verantworten sie die Anwendungen und können sich daher ein umfassenderes und ganzheitlicheres Bild von den möglichen Auswirkungen machen.

IT-DIRECTOR: Wie sieht ein strategischer IAM-Ansatz für Sie aus? Welche Schritte sind hierbei sinnvoll?
M. Waldherr: Bei IAM-Projekten handelt es sich eigentlich immer um einen fortlaufenden Prozess. Jeder neue Trend bringt eine Reihe neuer Herausforderungen mit sich, welche die IT-Abteilung gemeinsam mit den neu entstandenen Sicherheitsrisiken bewältigen muss. Zuerst einmal sollten Unternehmen granulare Zugriffssteuerung soweit und so konsistent wie möglich implementieren. Dann sollte man alles daran setzen, die Komplexität durch die Vereinheitlichung von Identitäten, Richtlinien, Arbeitsabläufen, Audits und der Authentifizierung und Autorisierung zu reduzieren. Als nächster Schritt bietet sich an, den Fokus von IAM auf das gesamte Unternehmen und nicht auf spezielle IT-Technologien zu richten und entsprechende Verwaltungsaufgaben zu automatisieren. Es hilft ferner, dem Unternehmen und den Endbenutzern Self-Service-Optionen zur Verfügung zu stellen. Kurz: IT-Entscheidungsträger brauchen einen modularen und integrierten Ansatz, mit dem sie aktuelle Probleme lösen und gleichzeitig künftige Anforderungen optimal unterstützen können.