Identity and Access Management als SaaS Keine halben Sachen beim Thema Sicherheit!

Anbieter zum Thema

Arvato Systems

SEPPmail - Deutschland GmbH

Keeper Security EMEA Ltd.

Eskenzi PR Limited

One Identity GmbH

Im vergangenen Jahr hatten IT und Sicherheitsbeauftragte in den Unternehmen weltweit mit neuen Herausforderungen zu kämpfen. Ganze Belegschaften waren gezwungen, auf Remote Work oder Homeoffice umzustellen. Das hat bei vielen die ohnehin geplante digitale Transformation und die Migration in die Cloud drastisch beschleunigt.

Eine Umfrage von Gartner belegt: 70 Prozent der Unternehmen, die bereits Cloud-Services nutzen, planen, ihre Ausgaben hierfür weiter zu erhöhen. Eine direkte Folge der durch die COVID-19-Pandemie verursachte Störung der Arbeitsprozesse.

Cloud-basierte Anwendungen bieten unzählige Vorteile. Davon hat man allerdings wenig, wenn die Sicherheit zu kurz kommt. Viele der aktuellen, SaaS-basierten, identitätszentrierten Sicherheitslösungen aus dem Identity and Access Management-Bereich, hatten bei ihrem Design Sicherheit nicht im Fokus. Deshalb sind Unternehmen gezwungen, bei ihren identitätszentrierten Prozessen Kompromisse einzugehen.

Immer mehr Firmen verfolgen inzwischen eine Cloud-first-Strategie. Bei dieser Strategie ist es essenziell, eine effiziente und sichere cloud-basierte Lösung im Einsatz zu haben, mit der Identitäten gezielt und regelkonform verwaltet, authentifiziert und analysiert werden. Das gilt für jedes Unternehmen. Ganz gleich, an welchem Punkt es sich beim Thema Cloud-Migration befindet, und unabhängig davon, ob die Firma gerade Access Management implementiert, ihr komplettes Identity Governance and Administration oder ihr Privileged Access Management in die Cloud migriert.

Die IT muss darauf vorbereitet sein, das gleiche Maß an Sicherheit bei der Verwaltung ihrer Identitäten on-premises wie auch in der Cloud zu gewährleisten. Kein Unternehmen sollte gezwungen sein, seine identitätszentrierte Sicherheitsstrategie zugunsten einer Cloud-Initiative aufgeben zu müssen. Aber es gibt Hürden, wenn Unternehmen ihr Access Management, IGA und Privileged Access Management in der Cloud implementieren wollen.

Aufbau eines einheitlichen IAM-Konzepts

Beim Access Management geht es im Kern darum, wie ein Unternehmen sicheren Zugriff der Mitarbeiter auf Systeme, Daten und Ressourcen steuert und gewährleistet. Access Management lässt sich relativ einfach in ein SaaS-Modell überführen. Viele Unternehmen nutzen bereits heute cloud-basierte Lösungen wie sie beispielsweise von Okta, Ping oder Microsoft angeboten werden. Allerdings hat die sehr schnelle Umstellung auf Cloud-Betrieb ihre eigenen Probleme geschaffen und dort zu Insellösungen geführt. Man befasst sich nur mit Access Management und ignoriert die übrigen Aspekte des Identitäts- und Access-Managements wie IGA und PAM.

Diese fragmentierte Herangehensweise erschwert es den IT-Mitarbeitern, Governance-Prozesse umzusetzen und den Überblick zu behalten, wie beispielsweise auf welche Ressourcen Benutzer überhaupt Zugriff haben sollten. Dieser Mangel an Transparenz und einheitlicher Steuerung zwingt die IT, auf manuelle und somit fehleranfällige Identity-Governance-Prozesse zurückzugreifen. Das führt zu Schwachstellen bei der IT-Sicherheit.

Ein Beispiel: Ohne einen automatisierten Prozess für das Provisionieren und Deprovisionieren von Mitarbeiterkonten kann es passieren, dass diese Konten ihre Beziehung zu Identitäten verlieren. Sie sind dann niemandem mehr zurechenbar, wenn der betreffende Mitarbeiter das Unternehmen verlassen hat. Dies betrifft auch Administratorenkonten. Genau solche Konten sind das heiß begehrte Ziel aller Hacker und öffnen schwerwiegenden Datenschutzverletzungen Tür und Tor.

Unternehmen sollten sich auf ein umfassendes IAM-Konzept konzentrieren, und nicht nur auf das Access Management. So lässt sich sicherstellen, dass es eine „Single Source of Truth“ gibt, also eine einzige Quelle mit umfassender Übersicht und Kontrollmechanismen, die für jede Identität innerhalb des Unternehmens gelten (das schließt nicht-menschliche Identitäten wie Servicekonten und Bots mit ein). Ein umfassendes IAM-Konzept erlaubt es, Zugriffsberechtigungen und den Zugriff der Nutzer auf die jeweiligen Anwendungen stärker zu kontrollieren. Und das sowohl in Cloud-Umgebungen wie auch on-premises. Gleichzeitig vereinfacht ein solches Konzept die Verwaltung der Identitäten, und IT-Administratoren können effizienter arbeiten. Mithilfe einer zentralen Definition von Identität, ist es leichter, Sicherheits-Tools und Services in der Cloud zu konsolidieren und gleichzeitig die Produktivität zu erhöhen.

Maßgeschneiderte IGA-Prozesse

Identity Governance and Administration (IGA) verwaltet und sichert digitale Identitäten für alle Arten von Benutzern, Anwendungen und Daten. Dazu bedarf es jedoch innerhalb der Unternehmen einer großen Veränderung: Die Prozesse sollten sich an den Geschäftszielen orientieren und nicht von der IT-Abteilung vorgegeben werden. Jede Firma ist einzigartig, und das erfordert individuelle Arbeitsabläufe. Eine Bank benötigt beispielsweise Unterstützung bei der Einhaltung von Prozessen für MaRisk und BAIT, während für andere Industriezweige andere Vorgaben gelten.

Deswegen ist es wichtig, eine flexible SaaS-basierte IGA-Lösung zu finden, die sich an die Bedürfnisse der jeweiligen Arbeitsabläufe anpassen lässt. Gleichzeitig sollte die Lösung eine ausreichende Tiefe und Breite bieten, um sämtliche Anforderungen zu erfüllen und Raum für Wachstum oder unvermeidliche wie unvorhergesehene Änderungen (siehe COVID-19) zu bieten. Leider ist das in der Realität eher selten der Fall. Die meisten der verfügbaren SaaS-IGA-Optionen sind in ihren Möglichkeiten begrenzt und sehr starr. Das heißt, sie lassen sich kaum an die Bedürfnisse der Kunden, deren Cloud-Strategie oder gar den aktuellen Zustand anpassen.

Wenn aber Firmen in starre, vordefinierte Prozesse gepresst werden, genügt das häufig weder den Sicherheitsanforderungen noch sind die angebotenen Funktionalitäten ausreichend. Dies führt zur Entwicklung eigener, isolierter Lösungen, die obendrein oft noch in separaten Teams entwickelt werden. Auf diese Weise wird versucht, alle Prozesse, Automatisierung und Governance aus der On-premises-Umgebung in der Cloud zu replizieren. Governance für die Cloud neu zu erfinden ist nicht nur kostspielig, sondern führt zu gefährlichen Sicherheitslücken. Unternehmen brauchen folglich flexible Lösungen, die es ihnen ermöglichen, IGA sowohl on-premises als auch in der Cloud auf die gleiche Weise zu implementieren. Ohne Kompromisse.

Leistungsfähiges PAM durch flexible APIs

Privileged Access Management (PAM) hat im letzten Jahr bei IT-Sicherheitsexperten um 18 Prozent an Bedeutung gewonnen. Laut der jüngsten Umfrage von One Identity stufen 34 Prozent der Befragten PAM als die schwierigste operative Aufgabe ein. Die besondere Herausforderung besteht für die Unternehmen darin, PAM-Lösungen in der Cloud zu implementieren. Viele der SaaS-basierten PAM-Lösungen bieten weder den vollen Umfang an Steuermechanismen und Kontrolle, noch gewährleisten sie ausreichende Sicherheit.

Eine reine Passwortverwaltung ist in der Cloud relativ einfach umzusetzen. Es wird deutlich komplexer, wenn all die zusätzlichen Elemente wie zum Beispiel Session Audits, Analytics und Delegation hinzukommen. Aufgrund dessen entscheiden sich viele Unternehmen am Ende für eine leistungsreduzierte Lösung oder sie verzichten darauf, eine komplette PAM-Lösung in der Cloud zu implementieren.

Bei der Implementierung von PAM in der Cloud sollte man sich auf eine API-First-Strategie (Application Programming Interface) konzentrieren. APIs bieten eine Vielzahl von Funktionen und Möglichkeiten, von der Automatisierung bis hin zu sicheren Entwicklungsprozessen (DevSecOps). Zudem bieten sie maximale Flexibilität, um alle gewünschten Funktionalitäten umzusetzen, und um sämtliche Benutzertypen und Sicherheitsanforderungen abzudecken. REST-APIs entsprechen genau diesen Anforderungen. PAM mit einem API-fokussierten Ansatz bietet Unternehmen die Möglichkeit, eine zukunftsfähige, maßgeschneiderte PAM-Lösung zu implementieren. Sämtliche Funktionalitäten der Lösung sind über die API zugänglich und das Design der Lösung auf der API basiert. So lassen sich alle privilegierten Konten, egal ob in der Cloud oder on-premises, besser verwalten und unautorisierte Zugriffe oder Aktivitäten schnell identifizieren.

Sicherheit verzeiht keine Kompromisse

Wenn Unternehmen eine „Cloud-First“- oder „Cloud-Only“-Strategie verfolgen, sollten sie weder beim Thema Sicherheit noch beim Umfang oder der Funktionalität Kompromisse eingehen müssen. Dazu gibt es auch keinen Grund. IT- und Sicherheitsbeauftragte müssen sich genügend Zeit nehmen, bei der Implementierung von Access Management, IGA und PAM in der Cloud kritisch vorzugehen.

Denn nur so erzielen sie das gleiche Niveau an Sicherheit, Kontrolle und Transparenz wie sie es von On-Premises-Lösungen gewohnt sind. Das ist ganz entscheidend. Wenn Firmen sich auf diese drei Schlüsselaspekte konzentrieren, schöpfen sie die Vorteile einer SaaS-basierten identitätszentrierten Sicherheit vollständig aus. Mit IGA und PAM im Blick wird aus der Migration in die Cloud eine runde Sache.

* Die Autorin Susanne Haase ist Pre-Sales EMEA bei One Identity.

(ID:47539721)