- Anzeigen -


Sie sind hier: Home » Fachbeiträge » Grundlagen

Identity- und Access-Management-Systeme


Was Sie über Compliance-Anforderungen und Identity Management wissen sollten
Heutzutage stellt der Workflow von IAM-Systemen in vielen Unternehmen einen unverzichtbaren Baustein in der Compliance-Policy dar

Von Thomas große Osterhues, Senior Manager Produktmanagement bei der Beta Systems Software AG

(03.07.15) - Der regulatorische Druck auf Unternehmen und Organisationen, geeignete Kontrollmechanismen zu etablieren, steigt stetig. Moderne IAM-Lösungen (Identity & Access Management) können wichtige Kernfunktionen übernehmen, um Vermögenswerte und Prozesse der Firmen besser zu schützen. IAM trägt bereits präventiv zur Risikominimierung bei, indem es Identitäten regelmäßig überprüft und nur autorisierten Nutzern Zugriff auf bestimmte Daten gewährt. Zentrale Compliance-Anforderungen erfüllen moderne IAM-Lösungen auch mit der Bereitstellung umfangreicher Analysen und Reports, die jederzeit tiefgreifende Einblicke in die Zugriffsstrukturen eines Unternehmens gewähren.

Moderne IAM-Systeme beziehen hierfür ihre Daten aus zahlreichen Quellen und erstellen jederzeit detaillierte Analysen und Berichte. Dies beschleunigt die Reaktionszeit, um Autorisierungsfehler korrigieren zu können, verbessert die Systemsteuerung und vermindert die Risiken.

Auf der Basis von Standard- und Ad-hoc-Analysen sollten Anwender Ad-hoc-Aussagen über einzelne Berechtigungen, ihre Besitzer und damit verbundene Risiken treffen und den Nachweis erbringen, dass alle Compliance-Richtlinien hinsichtlich der IT-Zugriffsberechtigungen erfasst und dokumentiert sind. Gleichzeitig sollten sie aufzeigen, wo hohe Risiken oder mögliche Compliance-Verstöße bestehen, sowie Risiken beseitigen und neuen Gefahren vorbeugen.

Konkretisierte Anforderungen an technische und organisatorische Ausstattung durch MaRisk
Die neuen "Mindestanforderungen an das Risikomanagement" (MaRisk) der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) konkretisieren die Anforderungen an die Ausgestaltung von IT-Systemen und die Anpassung von betrieblichen Strukturen hinsichtlich ihrer möglichen Auswirkungen auf Kontrollfunktionen und -intensität. Bei Nichteinhaltung ergeben sich hieraus direkte Haftungsrisiken für die Geschäftsleitung. Vor diesem Hintergrund sind intelligente IAM-Lösungen gefragt, die sich mit umfassenden, praxisgerechten Ansätzen in ein immer komplexeres regulatorisches Umfeld integrieren lassen.

Berechtigungen freigeben und rezertifizieren durch automatisierte Workflows
Heutzutage stellt der Workflow von IAM-Systemen in vielen Unternehmen einen unverzichtbaren Baustein in der Compliance-Policy dar. Die durch Workflow-Systeme gewonnene Prozesssicherheit, Transparenz und Nachvollziehbarkeit ebenso wie die Flexibilität und Leistungsfähigkeit der Workflow-Systeme sind aus heutigen IT-Konzeptionen nicht mehr wegzudenken.

In den Bereichen Berechtigungsvergabe, Berechtigungsentzug und Berechtigungsänderung gewinnen businessorientierte Genehmigungs-Workflows rasant an Bedeutung. Ein modernes IAM-System sollte zahlreiche Workflow-gestützte Antrags- und Genehmigungsprozeduren bieten.

Anforderungen an moderne Berechtigungsworkflow-Systeme
Ein Workflow standardisiert gleichartige Arbeitsabläufe. Es gibt normalerweise eine Vielzahl von statischen Anträgen und vordefinierten Genehmigungsstufen. Trotz dieser Statik muss ein IAM-Workflow ein Höchstmaß an Flexibilität bieten, um möglichst vielen Situationen im täglichen Geschäftsbetrieb gerecht zu werden. Schließlich sind gerade die Ausnahmen, die Eskalationen und die Sonderfälle die bekannten Zeitfresser.

Workflows steuern diese Ausnahmeprozesse durch intelligente Eskalation, Delegation und nicht zuletzt durch die Möglichkeit von Ad-hoc-Änderungen während der Laufzeit. Diese Flexibilität und Anpassungsfähigkeit beschleunigt den Einsatz in der Praxis. Der Arbeitsfluss wird durch Besonderheiten oder Fehlerquellen nicht unterbrochen, sondern lösungsorientiert fortgesetzt.

Durch den Einsatz von IAM-Workflows gewinnen Unternehmen Kontrolle und Transparenz über ihre Geschäftsprozesse im Berechtigungsmanagement. Die verantwortlichen Akteure haben die Möglichkeit, in der Prozessübersicht alle Aktivitäten zu sehen und gegebenenfalls einzugreifen. Dadurch lassen sich Richtlinien bzgl. des Zugriffs auf Applikationen unternehmensweit durchsetzen. Die selbstmitlaufende lückenlose Dokumentation stellt die vollständige Nachvollziehbarkeit aller Aktivitäten sicher. Jeder Vorgang wird mitgeschrieben und verbessert damit die Dokumentation ohne zusätzlichen Aufwand. Dies gewährleistet gleichzeitig die Nachweisbarkeit der zu erfüllenden Compliance-Anforderungen.

Governance im Berechtigungsmanagement
Governance im Berechtigungsmanagement – auch als Access Governance bezeichnet – beschreibt die Übernahme von mehr Verantwortung durch die Fachabteilungen zur Absicherung wichtiger Geschäftsressourcen. Die Überwachung der Zugriffsaktivitäten der Mitarbeiter im Unternehmen wird bereits bei der Freigabe von Zugriffsberechtigungen und durch die regelmäßige Überprüfung (Rezertifizierung) vorhandener Rechte streng kontrolliert. Durch eine Vielzahl Workflow-gestützter Antrags- und Genehmigungsprozeduren schafft ein IAM-System damit höchste Transparenz und Kontrolle über Compliance-relevante Security-Prozesse.

IAM-Workflows stellen geschäftsorientierte Prozesse für das Berechtigungsmanagement bereit, mit denen sich leistungsfähige und revisionssichere Anforderungsworkflows Compliance-gerecht implementieren lassen. Der „Need toknow“-Grundsatz und mehrdimensionale Genehmigerstrukturen können für Anforderungsprozesse bis auf die Ebene einzelner Benutzer hinuntergebrochen werden.

Risikominimierung durch bedarfsgerechte Informationen
Das Berechtigungsmanagement unterstützt zudem mit detaillierten Analysen und Reports zentrale Compliance-Anforderungen. Diese liefern sämtliche sicherheitsrelevante Berechtigungsinformationen, wie z.B. die Anzahl an Rollen, Gruppen, Accounts oder Zielsystemen pro Benutzer. Entsprechende Dashboards mit gewichteten Aussagen und Key-Risk-Indikatoren ermöglichen zielgerichtete präventive und Follow-Up-Aktivitäten für die Einhaltung interner und externer Compliance-Anforderungen.
Unternehmen stehen immer mehr vor der Herausforderung, die von komplexen IT-Systemen generierte Datenflut und die damit verbundene Zugriffskontrolle durch Identity & Access Governance zu bewältigen. Auch die Compliance-Anforderungen zielen neben der Datentransparenz konkret darauf ab, Gefahren und Risiken durch die Optimierung des Zugriffsmanagements abzuwenden.

Um Compliance-Anforderungen erfüllen zu können, benötigen sie wirksame Analyse-Tools für
• >> die Überwachung unterschiedlichster Datenquellen sowie
• >> die Vermeidung von Identitätsmissbrauch oder Bedrohung durch Insider.

Analyse-Tools müssen zuverlässige Antworten auf die neuen IT-Herausforderungen geben, die sich aus den gesetzlichen Compliance-Regulierungen ergeben. Sie sollen Geschäftsabläufe transparent, sicher und auch rückwirkend bewertbar machen. Dabei sind sämtliche unternehmensrelevante Datenquellen zu analysieren und möglichst in Form von individualisierten Drill-down- und Drill-through-Berichten zur Verfügung zu stellen.

Hierfür empfiehlt sich der Einsatz von Access Intelligence. Diese eröffnet den Zugang zu leistungsstarken Analysefunktionen, mit denen Unternehmen tiefen Einblick in ihre Berechtigungslandschaft und deren zugrundeliegenden Organisationsstrukturen erhalten. Diese Informationen bilden das Fundament für effektive Governance-Maßnahmen im gesamten Unternehmen, die sich unmittelbar zur Analyse und Aufbereitung der in den User-Provisioning-Systemen generierten Daten nutzen lassen.

Ein weiterer wichtiger Bestandteil, um Compliance-Anforderungen im Bereich des Identity & Access Management umfassend umzusetzen, ist der Einsatz von Access-Risk-Management-Methoden.Diese managen nicht nur die Vergabe von Zugriffsberechtigungen. Vielmehr können sie entscheidende Sicherheitslücken aufdecken und jeder Form von Missbrauch vorbeugen.

Hierfür ist es für Unternehmen unumgänglich, dass jeder Mitarbeiter nur diejenigen Zugriffsrechte erhält, die er für seine Aufgaben im Unternehmen auch wirklich benötigt (Segregation ofDuties;SoD). Ein typisches Risiko im Unternehmen entsteht oft dadurch, dass eigentlich sich ausschließende Funktionen und die damit verbundenen Zugriffsrechte nicht immer getrennt sind. Moderne IAM-Lösungen berücksichtigen diese strikte Funktionstrennung, um solche Risiken zu vermeiden.

Audit-Analysen mit Schwerpunkt "Interne und externe Revision" unter Berücksichtigung von GRC-Aspekten
Als eine von mehreren grundlegenden Analysen sollte modernes IAM Audit-Analysen bereitstellen. Hierbei ist die hohe Relevanz eines wirksamen internen Kontrollsystems (IKS) zur Prävention und Aufdeckung von Compliance-Fallen offensichtlich. Die Verknüpfung zwischen Compliance-Management-System und IKS konzentriert sich auf die folgenden Fragestellungen:

• >> Verfügt das bestehende IKS über ausreichende und angemessene Kontrollen, um die festgestellten und bewerteten Compliance-Risiken abzudecken (Control Design)?

• >> Ist sichergestellt, dass die bestehenden Kontrollen zur Vermeidung oder Aufdeckung von Compliance-Verstößen im gesamten Unternehmen wirksam durchgeführt werden (Control Effectiveness)?

Analysen mit Schwerpunkt "Business-relevante Fragestellungen" inklusive Zugriffsberechtigungen von Usern
Da die Verantwortung für Zugriffsberechtigungen immer mehr vom Bereich IT in die Fachabteilungen übergeht, sind relevante Benutzerdaten in verständlicher Form bereitzustellen. Business-Analysen und Abweichungsanalysen liefern dem verantwortlichen Manager einfach interpretierbare Informationen (z.B. Anzahl an Rollen, Gruppen, Konten, Zielsystemen), damit dieser alle sicherheitsrelevanten Berechtigungen seiner Mitarbeiter überblicken kann. Neben Standard-Berichten können über Drag & Drop auch Adhoc-Analysen zur Erstellung fundierter Antworten auf spezifische Kriterien durchgeführt werden.

Schwachstellen in der Organisation lassen sich unmittelbar aufzeigen und Handlungsempfehlungen formulieren, um das Zugriffsrisiko zu verringern, wie z.B. für High Risk User, Nutzer ohne Berechtigung oder verwaiste Accounts.

Historische Analysen
Für die Erfüllung der Compliance-Anforderungen kommt es insbesondere auch auf die Betrachtung der Vergangenheit an. Anwender benötigen eine Lösung, die jederzeit alle Veränderungen in den Zugriffsberechtigungen auf Daten und Applikationen untersucht. Sämtliche Veränderungen der Berechtigungen müssen für alle Zugangsberechtigungen für jeden beliebigen Zeitpunkt und zu jedem Zeitraum überprüfbar sein. Auf diese Weise können Nutzer mögliche Risikosituationen im IAM bereits präventiv aufdecken. Dies reduziert sowohl Betrugsrisiken als auch Möglichkeiten des internen Datendiebstahls deutlich. Sollte es dennoch zu einem Schadensfall kommen, sind detaillierte forensische Analysen verfügbar, um der Ursache des Datenmissbrauchs auf den Grund zu gehen. Wer hat wem die Berechtigung für den Zugriff auf bestimmte Ressourcen oder Applikationen erteilt? Durfte diejenige Person die Berechtigung überhaupt vergeben? Wie lange hatte der User die Berechtigung?

Zusammenfassend ist festzuhalten: Die stetig steigenden Compliance-Anforderungen lassen sich ohne den Einsatz eines umfassenden Identity- und Access-Management-Systems kaum mehr erfüllen.
(Beta Systems: ra)

Lesen Sie auch den Schwerpunkt:
"IT-Sicherheit im Kontext von Compliance"

Beta Systems Software: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Grundlagen

  • Volumetrische DDoS-Angriffe abwehren

    Experten sind sich einig. IoT-Geräte - gerade für Endverbraucher - bekommen mangelnde Sicherheit quasi automatisch mitgeliefert. Und wir in den letzten Wochen die Quittung. Für Sicherheitsspezialisten keine große Überraschung, sie warnen schon lange. Die jüngsten Angriffe aber haben gezeigt, in welche Dimensionen uns IoT-basierte Botnetze bei DDoS-Angriffen katapultieren und welche Schäden sie in der Lage sind anzurichten. Die Attacke auf den DNS-Provider Dyn im Oktober dieses Jahres war ein solcher Weckruf. Das prognostizierte Szenario ist keine bloß theoretische Annahme mehr, sondern real. Und es gibt Handlungsbedarf. Unternehmen und Verbraucher fragen sich angesichts einer steigenden Zahl von im Internet der Dinge verbundenen Geräten wie sie sich besser schützen können. Es ist kein großes Geheimnis, dass IoT-fähige Geräte aus sicherheitstechnischer Hinsicht wenig überzeugend sind. Die überwiegende Zahl von ihnen integriert kaum Sicherheitsmechanismen, und ist mit äußerst simplen Standard-Passwörtern ausgestattet. Das macht die Geräte für potenzielle Angreifer zu einer leichten Beute. Die Folge: Hacker machen sie beispielsweise zum Teil eines Botnetzes von dem DDoS-Angriffe mit enormer Bandbreite ausgehen können.

  • S/MIME und wie es funktioniert

    S/MIME, oder Secure/Multipurpose Internet Mail Extensions, ist eine relativ bekannte Technologie um E-Mails zu verschlüsseln. S/MIME basiert auf asymmetrischer Verschlüsselung, um E-Mails vor unerwünschtem Zugriff zu schützen. Zusätzlich dient S/MIME dazu E-Mails digital zu signieren, um den legitimen Absender einer Nachricht als solchen zu verifizieren. Das macht S/MIME zu einer effektiven Waffe gegen verschiedene Arten von Phishing-Angriffen. Das ist, kurz gefasst, worum bei S/MIME geht. Wenn es allerdings darum geht, S/MIME praktisch einzusetzen, taucht meist noch eine Reihe von Fragen beim Anwender auf.

  • Zugriffskontrolle & Berechtigungsmanagement

    Gesetze, Vorschriften und Konzepte sind immer nur so tragfähig sind wie die Menschen, die sie umsetzen sollen, tatsächlich dahinter stehen - und mehr noch: wie sehr die Beteiligten in die Entscheidungen mit einbezogen werden. Dr. Cavoukian, nach ihrer politischen Karriere inzwischen Executive Director of Ryerson University's Privacy and Big Data Institute hat maßgeblich das Privacy by Design-Konzept mit entwickelt. Darüber hinaus, und das ist es, was uns an dieser Stelle interessieren soll, haben ihre Sprachregelungen Eingang in die 2018 in Kraft tretenden EU-Datenschutz-Grundverordnung gefunden. Ihr Credo hat sich nach eigenen Aussagen in der Praxis bestens bewährt: "Sie würden vermutlich überrascht sein, wie sehr Kunden sich unter diesen Bedingungen im gesamten Prozess engagieren. Warum? Weil Sie zunächst eine Vertrauensbasis geschaffen haben. Und: Ihre Kunden fühlen sich mit ihrem Bedürfnis nach Privatsphäre und Datenschutz ernst genommen."

  • Schutz der Privatsphäre als Standard

    Dr. Ann Cavoukian, eine kanadische Datenschützerin, hat maßgeblich das Privacy by Design-Konzept mit entwickelt. Darüber hinaus, und das ist es, was uns an dieser Stelle interessieren soll, haben ihre Sprachregelungen Eingang in die 2018 in Kraft tretenden EU-Datenschutz-Grundverordnung gefunden. Privacy by Design ist übrigens ganz und gar keine neue Idee und wurde bereits 1990 entwickelt. Es erlangt allerdings vor allem in Bezug auf das Internet der Dinge wieder verstärkt Bedeutung. Gerade in der Wirtschaft war und ist allerdings vielfach zu hören, dass sich Privacy by Design-Grundsätze nur eingeschränkt mit technologischem Fortschritt und wirtschaftlicher Prosperität verbinden lassen. Das sieht Cavoukian, die auch Regierungsbehörden und Unternehmen berät, anders. Ihrer Meinung nach lässt sich ein Big Data-Anspruch sehr wohl mit dem Schutz der Privatsphäre verbinden. Die Botschaft von Cavoukian mutet simpel an, die ehemalige Politikerin und Wissenschaftlerin ist aber überzeugt, dass es möglich ist Daten zu erheben und gleichzeitig die Privatsphäre zu schützen.

  • DDoS-Angriffe, die unterschätzte Gefahr

    Distributed-Denial-of-Service (DDoS)-Attacken haben es in den letzten Monaten und Wochen zu einiger Popularität gebracht. Eine ganze Reihe von spektakuläre Angriffen hat die Headlines beherrscht (und das nicht nur wie sonst in den Fachmedien). Dazu gehörten beispielsweise die Angriffe auf fünf große russische Banken sowie das UK "FBI" wie The Register vermeldete. Und am Montag dieser Woche staatliche Server in Luxemburg. Im Licht dieser Attacken betrachtet wird schnell deutlich wieso es für Firmen und Institutionen so wichtig ist, sich vor den potenziellen und zum Teil nicht sofort ersichtlichen Folgen eines solchen Angriffs zu schützen. DDoS-Angriffe sind längst nicht mehr allein dazu da einen bestimmten Dienst, eine bestimmte Website, ein Unternehmen durch eine Flut von Serveranfragen lahm zu legen. Sie haben sich inzwischen deutlich weiter entwickelt und dienen immer häufiger dazu groß angelegte Cyberangriffe zu verschleiern. Dazu gehören alle Arten von Datenschutzverletzungen, die nicht zuletzt finanzielle Schäden anrichten.