Flexible Rechteverwaltung Identity- und Access-Management ist kein starres Konstrukt

Die Aufgabe von Identity Access Management (IAM) ist es, die Zugangsrechte zu Systemen, Anwendungen und Daten zu steuern und überwachen. Das IAM sollte angesichts der dynamischen IT-Infrastrukturen allerdings möglichst flexibel und zukunftssicher sein.

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Arvato Systems

Keeper Security EMEA Ltd.

Heterogene IT-Infrastrukturen, mobile Endgeräte, Cloud-Services und permanente Änderungen stellen Unternehmen beim Identitäts- und Zugriffsmanagement vor große Herausforderungen. Eine zukunftsfähige IAM-Lösung sollte modular aufgebaut sein, offene Standards nutzen, einheitliche Identitäten und Sicherheit bieten sowie möglichst automatisiert arbeiten.

Dabei ist erst einmal wichtig zu wissen, welcher Nutzer was im Firmennetz darf. Wer nicht genau nachvollziehen kann, welcher Mitarbeiter welche Rechte für Anwendungen oder Systeme hat und wann, wie und auf welchem Gerät er diese Rechte einsetzt, bekommt schnell Probleme.

Je größer das Unternehmen, desto mehr Identitäten, personenbezogene Daten und Benutzerrechte sind zu verwalten. An diesem Punkt ist eine Identity-Access Management-Lösung gefragt. Sie stellt sicher, dass alle Mitarbeiter und Services überprüft, authentifiziert und autorisiert werden.

IAM sorgt außerdem dafür, dass die Berechtigungen gemäß den IT-Sicherheitsrichtlinien, den Compliance-Vorgaben und der Rolle des jeweiligen Benutzers im Unternehmen erfolgen. IT-Administratoren erteilen und entziehen via IAM den Benutzern über einen rollen- und regelbasierten Ansatz schnell und einfach Zugänge und Berechtigungen zu Applikationen und Systemen (Provisioning).

Herausforderungen: Vielfalt und permanenter Wandel

Die große Zahl von Nutzern mit komplexen Zugriffsrechten auf verschiedene Systeme an einer Vielzahl von Standorten bildet nicht die einzige Herausforderung für IAM. Hinzu kommen der verstärkte Einsatz mobiler Endgeräte und die Nutzung unterschiedlichster Cloud-Infrastrukturen. IAM-Systeme müssen zudem den spezifischen Anforderungen aus den Fachabteilungen und veränderten Geschäftsprozessen Rechnung tragen.

Sie sollten darüber hinaus nicht nur für mehr Sicherheit sorgen, sondern flexibel genug sein, um sich problemlos an neue Bedingungen anpassen zu können. Das heißt: Unternehmen benötigen zukunftsfähige IAM-Lösungen, die Investitionssicherheit bieten und bei der Einführung neuer IT-Systeme oder neuer Zugriffsmethoden nicht überfordert sind und ersetzt werden müssen.

Lernen aus der Vergangenheit

Bei der Definition von Anforderungen an eine zukunftsfähige IAM-Lösung lässt sich vieles aus der Unix- und Windows-Geschichte lernen. Unter Unix konnte man anfangs Systeme nur sichern, indem man jeden Server als eigenständige Insel behandelte. Aus IAM-Sicht existierten dazu für jeden Nutzer ein einzelnes Konto, eine eigene Authentifizierungsmethode und eine eigene Autorisierung.

Die Verwaltung war allerdings ein Albtraum. Am Ende übernahm die Unix-Welt das Active Directory-Konzept von Microsoft als einheitliches Verzeichnis für alle Server sowie als einzige Quelle für die Authentifizierung und Autorisierung. Dieses universelle Konzept ist zukunftsfähig, da sich neue Nutzer und Methoden einfach integrieren lassen.

Allerdings verfolgen auch heute noch viele IAM-Lösungen keinen umfassenden Ansatz. Sie sind so konzipiert, dass sie ein einzelnes Problem für eine kleine Gruppe von Systemen in klar umgrenzten Zugriffsszenarien angehen. Dies bestätigt eine aktuelle Dell-Studie, der zufolge ineffiziente Sicherheitssilos den IT-Alltag bestimmen. Demnach verfügen nur 23 Prozent der befragten Unternehmen über eine zentrale IT-Sicherheitsabteilung, IT-Bereiche stimmen sich nicht ab und es fehlt ein integrierter Ansatz.

Letzteres ist auch bei Single-Sign-On (SSO)-Produkten der Fall. Frühere SSO-Lösungen synchronisierten einfach Passwörter, um die Probleme bei heterogenen Servern zu überwinden. Ihre Nachfolger hatten beim Speichern und der Wiedergabe von Passwörtern umfangreich ausgestattete Desktopsysteme (Fat Clients) im Auge.

Mit dem Aufkommen der Cloud und verteilter Anwendungen entstanden neue Lösungen, die die Vorteile des Internets ausnutzten. Aber keine der Lösungen war zukunftssicher: Passwort-Synchronisierung eignet sich schlecht für Fat-Client-Applikationen, Passwort-Replay nur bedingt für Cloud- und SaaS-Anwendungen. Und einige Lösungen für verteilte Anwendungen ignorieren in der Regel alle Legacy-Anforderungen von Servern und Fat Clients.

Zukunftssicherer Ansatz für IAM

Eine zukunftsfähige IAM-Lösung sollte sowohl die neuesten Trends als auch die Anforderungen der bestehenden Legacy-Systeme abdecken. Dabei spielen alle Aspekte des Identitäts- und Zugriffs-Managements eine Rolle, also Zugriffsverwaltung, Passwort-Management, Identitäts-Governance oder Verwaltung privilegierter Konten. Ein universeller und zukunftsfähiger IAM-Ansatz basiert auf fünf Grundsätzen:

• Einfachheit: Moderne IAM-Lösungen liefern einheitliche Identitäten und setzen unternehmensweit gültige IT-Sicherheitsrichtlinien und Zugangskontrollen um. Daher ist es nicht mehr notwendig, zusätzliche Identitäten oder Kontroll-Elemente zu definieren, wenn ein neues System eingeführt wird oder ein neues Zugangs-Szenario entsteht. Ein modularer und integrierter IAM-Ansatz stellt sicher, dass die IAM-Module eigenständig stabil arbeiten und in Kombination alle Anforderungen von Unternehmen erfüllen;

• Offene Standards: Offene Standards sind der Kern einer zukunftsfähigen IAM-Lösung, da sie die Interoperabilität mit allen denkbaren Systemen und Anwendungen ermöglichen. Gefragt sind hier offene Standards wie Kerberos, LDAP, SAML, WS Federation, OAuth und OpenID Connect für die Kommunikation über verschiedene Systeme hinweg sowie spezielle Standards wie PAM, NSS und RADIUS, die spezifische Funktionen in speziellen Systemen für spezifische Anwendungsfälle ermöglichen;

• Priorität auf Software: Ein zukunftsfähiges Identity Access Management konzentriert sich nicht auf Hardware, sondern auf Software. Die Lösung ist flexibler, lässt sich einfacher aktualisieren und es lassen sich schnell neue Funktionen hinzufügen, die auf die individuellen Anforderungen eines Unternehmens zugeschnitten sind;

• Sicherheit von A bis Z: Ein zukunftsfähiger Ansatz berücksichtigt die gesamte Palette der IT-Sicherheitsanforderungen eines Unternehmens und vereinheitlicht die bisher unterschiedlichen Systeme und Praktiken. Er betrachtet beispielsweise die Firewall für den Schutz des Perimeters und IAM-Lösungen für die Zugangskontrolle zusammen und nicht mehr getrennt voneinander. Auch IAM-Module für die Bereitstellung und Governance sind eng miteinander verknüpft. IAM-Governance steuert den Status von Rollen, Berechtigungen, Funktionstrennungen (Segregation of Duties) und Zertifizierungen innerhalb eines Unternehmens. Es gibt klare Festlegungen dazu, welcher Mitarbeiter mit welchen Rechten und in welcher Rolle auf welche Daten zugreifen darf. Da alle Veränderungen nachvollziehbar sind, halten Unternehmen auch die regulatorischen Vorgaben ein und arbeiten damit Compliance-konform. Sicherheit von A bis Z gelingt der Dell-Studie zufolge am besten durch den Aufbau und Betrieb einer zentralen IT-Sicherheitsabteilung. Sie entwickelt nicht nur eine integrierte Sicherheitsstrategie, sondern sorgt dafür, dass die daraus entstandenen Maßnahmen und Richtlinien sinnvoll und übergreifend durchgesetzt werden;

• Automatisierung: Moderne IAM-Systeme wie Dell One Identity minimieren manuelle Prozesse und ermöglichen der IT-Abteilung, sich auf das Wesentliche zu konzentrieren. Dazu trägt auch ein Self-Service-Portal bei, über das die Fachabteilungen selbst für den jeweiligen Mitarbeiter festlegen, mit welchen Rechten er entsprechend seiner Rolle auf welche Ressourcen zugreifen darf. Zukunftsfähig heißt hier auch, dass die IT-Abteilung nicht jedes Mal behelligt werden muss, um einen neuen Benutzer oder ein neues Zugriffs-Szenario hinzuzufügen, da sich die Fachabteilung neben dem Provisioning auch um die IAM-Governance kümmert – im Rahmen zentraler Vorgaben, wie sie durch unternehmensweite IT-Sicherheitsrichtlinien festgelegt sind.

Florian Malecki

Wenn die IT-Abteilung zukunftsfähige und effiziente IAM-Tools mit den fünf Säulen Einfachheit, offene Standards, Priorität auf Software, Sicherheit und Automatisierung einsetzt, ist sie als Folge eingesparter Ressourcen auch in der Lage, neue Impulse zu setzen. Mit innovativen, flexibel anpassbaren IT-Sicherheitskonzepten können Unternehmen sich letztlich wichtige Wettbewerbsvorteile sichern.

* Über den Autor

Florian Malecki ist International Product Marketing Director bei Dell Security.

(ID:43895516)