Referenzprojekt STX Finland Oy Identity Management muss in beide Richtungen funktionieren

Redakteur: Stephan Augsten

Ein flexibles Identity Management ist unumgänglich, wenn externe Firmen wie Zulieferer und Partner auf interne IT-Systeme zugreifen müssen. So auch bei der Werft STX Finland Oy, die Kreuzfahrtschiffe wie die „Oasis of the Seas“ vom Stapel lässt. Diese Fallstudie beleuchtet, wie der administrative Aufwand mithilfe von SAM von Beta Systems gesenkt wurde.

Firma zum Thema

Nicht nur die Logistik, auch die IT-Sicherheit stellt bei Großprojekten wie dem Schiffbau eine Herausforderung dar.
Nicht nur die Logistik, auch die IT-Sicherheit stellt bei Großprojekten wie dem Schiffbau eine Herausforderung dar.
( Archiv: Vogel Business Media )

Stolz und wohl auch etwas wehmütig standen die Beschäftigten der Werft STX Finland Oy in der letzten Oktoberwoche 2010 am Pier: Das jüngste Prunkstück – die „Allure of the Seas“ – legte zur Jungfernfahrt in Richtung neue Heimat ab. Großprojekte dieser Art sind stets auch eine Herausforderung für die IT-Sicherheit. Immerhin greift knapp die Hälfte der 3.500 STX-Mitarbeiter auf die IT-Systeme zu.

Darüber hinaus benötigen bis zu 8.000 Außenstehende einen Zugang zu verschiedensten Anwendungen bei STX. Schließlich arbeitet die Werft mit rund 600 Corporate-Partnern zusammen – vom Elektronik-Zulieferer über den Aufzug-Hersteller bis zu Design- und Architekturbüros.

Die Anzahl der externen User ändert sich von Projekt zu Projekt. Diesen Nutzern den Zugriff auf die benötigten Systeme zu erteilen und vor allem wieder rechtzeitig zu entziehen, war in der Vergangenheit Aufgabe eines 14-köpfigen IT-Teams. Das sind vergleichsweise wenig Mitarbeiter, denn STX hat seine gesamte Systemlandschaft an den Provider Fujitsu ausgelagert, von der Hardware über alle Anwendungen bis zum Helpdesk.

Mitte 2008 starteten deshalb die Planungen zur Implementierung einer IdM-Lösung, das folgende Jahr war bestimmt von der Marktrecherche. Für den geregelten Zugriff und den Rechte-Entzug ist seit Anfang 2010 die Aufgabe vom SAM Enterprise, der Identity Management Lösung der Beta Systems Software AG. Die Implementierung inklusive Single-Sign-On startete im Frühjahr 2010 und wird seitdem kontinuierlich ausgebaut.

Mehrfach gestaffeltes Partner-Netzwerk

Heute kann STX die Berechtigungen einzelner Angehöriger von Partner- und dahinter liegenden Sub-Partnerfirmen detailliert steuern. „Das ist wichtig, denn unser Partner-Netzwerk besteht aus drei Kategorien, die jeweils unterschiedliche Zugriffsarten auf wiederum unterschiedliche Anwendungen haben“, erklärt Kimmo Metso, Corporate Chief Information Security Officer (CISO) bei STX Finland Oy.

An erster Stelle stehen so genannte Key Partner: zwischen zehn und 20 Unternehmen, die permanenten Zugang auf das STX-Netzwerk über ein vorgelagertes Netz auf MPLS- (Multi Protocol Label Switching) Basis haben.

Netzwerk-Partner wie Designer und Einrichtungshäuser sind Zulieferer der zweiten Ebene, die über ein SSL-gesichertes VPN (Virtual Private Network) und Passwort-Vergabe per SMS auf ausgewählte Applikationen von STX zugreifen.

IT-Partner schließlich produzieren Software für Robotik, Schneidetechnik (Nestix) u.a. und erhalten für deren Maintenance ebenfalls VPN-Zugang. Seinen Key Partnern räumt STX eigene Firmenlevel und vollen Netzwerkzugriff ein, währenddessen für die anderen beiden Kategorien nur personenbezogene Zugänge auf ausgewählte Anwendungen eingerichtet werden.

Insgesamt greifen die Angehörigen der Corporate Partner auf zehn Haupt-Anwendungen zu, darunter Kronodoc, das Dokumenten Management System für die Projektdokumente, MARS, eine Schiffsbau-Software mit Schwerpunkt Materialhandel, Handels-, Planungs- und CAD-Systeme, MS Exchange und Windows Active Directory. Daneben gibt es 30 weitere Kern-Applikationen sowie rund 150 sonstige Systeme.

Seite 2: Rechteverwaltung in beide Richtungen

Rechteverwaltung in beide Richtungen

Mit SAM funktioniert die Beantragung der Zugänge komfortabel. Früher mussten die Außenstehenden noch Excel- oder Papierformulare ausfüllen und an ihren Geschäftskontakt bei STX schicken. Dieser verhandelte den Antrag anschließend mit der IT-Abteilung, welche die Zugriffe wiederum über den Fujitsu Helpdesk einrichten ließ.

„Die Rechteverwaltung funktioniert mit SAM heute deutlich schneller als früher“, erklärt Kimmo Metso. „Anstatt die jeweiligen Rechte in den einzelnen Anwendungen aktivieren zu müssen, können wir die Zugänge für den einzelnen Nutzer in Abhängigkeit seiner Tätigkeit heute zentral über die IdM-Lösung regeln.“

Dabei häufen sich nicht nur mehr und mehr Rechte an, die IT muss sie den zeitweiligen Inhabern abhängig von der Projektdauer auch wieder entziehen. Genau dies war laut Metso ein Problem, denn Key Partner konnten für die von ihnen beauftragten Sub-Unternehmen ihrerseits Rechte beantragen: „Es entzog sich unserer Kenntnis, wer unsere Systeme nutzt und ob noch Rechte für Personen vergeben waren, die die Systeme gar nicht mehr benutzen.“

Vor der IdM-Einführung hatte STX die Rechte immer pauschal für ein Jahr vergeben – der üblichen Fertigungsdauer eines Cruisers. In der Regel lassen sich die Fertigungszeiten aber doch nicht so exakt planen – und so kam es ständig zu asynchronen Zuständen zwischen berechtigtem und benötigtem Zugriff.

„Mit SAM können wir nun genau auf das jeweilige Projekt abgestimmt einstellen, wann ein Zugang zu einem bestimmten System für User X auslaufen soll“, sagt Sami Nikkanen, Projektleiter für die IdM-Einführung bei STX. Die Zugangsberechtigungen für weiter außen gelagerte Firmen lassen sich ebenso vollständig überwachen, da bei Rechte-Entzug für einen Key Partner beispielsweise automatisch sämtliche Berechtigungen für dessen Sub-Partner gelöscht werden.

Integration mit bestehender Infrastruktur

Die meisten Systeme integriert die IdM-Lösung über Active Directory und den standardisierten Windows Agenten von SAM. Wo es notwendig ist – wie z.B. bei MARS – bindet SAM die Systeme noch über einen generischen, intelligenten Konnektor an, ein SAM-Modul zum Anbinden von Nicht-Standard-Systemen.

Im Rahmen des Pilotprojektes hat Beta Systems die IdM-Lösung laut STX innerhalb nur eines Tages zum Laufen gebracht und dabei alle Informationen aus Windows Active Directory verarbeitet. „Das hat uns am meisten beeindruckt“, so Sami Nikkanen.

Seite 3: Schrittweise Umsetzung des IdM-Projektes

Schrittweise Umsetzung des IdM-Projektes

Das Hauptprojekt gliederte sich in mehrere Phasen:

  • Im Januar 2010 wurde das System zunächst generell lauffähig gemacht und mit Windows AD und Microsoft Exchange verknüpft. Anschließend wurden die Informationen aus dem HR-System eingelesen und die Key-Systeme erster Ordnung angebunden.
  • In Zusammenarbeit mit den Kollegen aus der schwedischen Niederlassung von Beta Systems konfigurierte und implementierte STX dann die Standard-Workflows für die SAM-Lösung; im gleichen Atemzug wurden auch erste Rollen aufgesetzt und in der IdM-Lösung hinterlegt.
  • Der nächste Schritt war das Einrichten eines Passwort-Managements mit der Single Sign-on Lösung SAM Jupiter eSSO. Bei Rollen und Passwort-Management startete man mit einer kleinen Anzahl von Key-Usern und stockt diese seitdem kontinuierlich weiter auf.

Beta Systems war für die technische Installation und Anpassung der Lösung an die Anforderungen der STX-Systemumgebung sowie Trainings zuständig, nahm also Aufgaben technischer wie organisatorischer Art wahr. Diese arbeitsintensive Phase dauerte bis Mai 2010.

Potenzielle Probleme werden seitens Beta Systems via Telefonsupport gelöst. STX bindet in einer weiteren Projektphase seit Mitte 2010 sukzessive seine Partner an die IdM-Lösung an. Als vorbereitender Schritt wurde in diesem Zusammenhang vorab ein so genanntes „Corporate Partner Register“ aufgebaut. Dabei handelt es sich im weitesten Sinne um eine Datenbank, in der verzeichnet ist, welche Personen für die Werft arbeiten und von wem diese bezahlt werden.

SAM wurde mit diesem Register verknüpft und verwaltet nun die jeweiligen Zugänge zu den verschiedenen Systemen. Das Partner-Register klärt also nur die Frage „Zugang für Mitarbeiter x oder kein Zugang“, während über SAM die Rollenkonzepte definiert und später auch automatisierte Workflows für die Rechteerteilung gestartet werden können.

SAM als Infrastrukturplattform für Services, Anwendungen und Partner

Für STX Finland Oy ist IdM mit SAM damit eine wichtige Infrastruktur-Plattform, in die das Unternehmen im Laufe der Zeit mehr und mehr Services, Anwendungen und Partner integriert. Für die IT-Administratoren liegt ein wesentlicher Nutzen der Software darin, dass sie heute weniger manuellen Aufwand bei der Rechtevergabe haben.

Im Vordergrund steht jedoch klar der Sicherheitsaspekt, was den geregelten Entzug von Zugriffsrechten angeht. Kimmo Metso und sein Team können über SAM die Zugriffe auditieren und detaillierte Reports darüber starten, welches System von wem genutzt wird, wo es Rechte gibt, die nicht gleichzeitig von einer Person wahrgenommen werden (dürfen) u.v.m.

Eine zentrale Rolle im IdM-Projekt spielt auch SAM eSSO, die Lösung für Single Sign-On der Beta Systems Software AG. STX Finland erhöht damit das Sicherheitsniveau im Unternehmen und angrenzenden Partnerbereichen, da sich die IT-Benutzer nur noch ein Passwort merken müssen und die Passwörter nicht mehr an ihrem Arbeitsplatz notieren bzw. einfache, leicht zu erratende Passwörter verwenden.

(ID:2050830)