Software für das Identity- und Access Management Management von Usern und Be­rech­ti­gung­en in SAP und darüber hinaus

Anbieter zum Thema

Fsas Technologies GmbH

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Zu einem gut ausgestatteten Arbeitsplatz gehören neben der notwendigen Hardware auch verschiedene Berechtigungen – und die können nicht an jeden Mitarbeitenden pauschal vergeben werden. Welcher Mitarbeitende welche Zugriffsberechtigung für welches System benötigt, um seiner Arbeit nachgehen zu können, muss im Einzelfall entschieden werden. Identity- und Access Management ist deshalb ein komplexes Thema, das viel Zeit in Anspruch nimmt.

Mit zunehmender Digitalisierung steigt auch die Komplexität des Identity- und Access Managements. Denn für jeden Mitarbeitenden müssen je nach seiner Arbeitsplatzbeschreibung Berechtigungen für ganz unterschiedliche Systeme freigeschaltet werden, die weder im Konflikt zu seinen Befugnissen noch in Konflikt zueinander stehen dürfen. Erschwerend hinzu kommt, dass die IT-Landschaft in Unternehmen historisch gewachsen ist und nicht nur Systeme eines Herstellers genutzt werden. Es gilt daher, Berechtigungen für SAP- und non-SAP-Systeme zu verwalten und somit plattformübergreifende Back- und Frontends ansprechen zu können (ABAP, UI5-Fiori-Frontend, JAVA o.a.). Hinzu kommen Zugriffsrechte für die Cloud, HANA-native Berechtigungen, die auf Datenbankebene gesetzt werden, sowie Active Directory Funktionen bzw. Parameter, über die Berechtigungen und auch Software-Pakete im Microsoft-Umfeld vergeben werden.

Zwar hat SAP bereits in der Vergangenheit eine eigene Lösung für die Verwaltung von Berechtigungen angeboten – das SAP Identity Management (IdM). Doch die Software war nicht in allen Fällen praktikabel, und auch der Nachfolger, SAP Cloud Identity Access Governance (IAG), weist noch Lücken in der Handhabung als auch der durchgängigen Funktionalität auf. Daher setzen viele Unternehmen für das User Lifecycle Management externe Softwarelösungen ein und erheben an diese den Anspruch, sie auch einfach in ihre bestehende SAP-Systemwelt einbinden zu können. Zugleich verlangen sie ausreichend Flexibilität, um auch non-SAP Systeme in den User- und Berechtigungs-Managementprozess einbeziehen zu können. Solche Softwarelösungen müssen – neben den fertigen Prozessen und Oberflächen - über eine Vielzahl an Schnittstellenmöglichkeiten (APIs) verfügen, um diese Anforderungen bedienen zu können. Dazu zählen auch Kommunikationsschnittstellen, und zwar sowohl Outbound-Message-Interfaces, die auf einer ABAP-Objektklasse abgebildet werden, als auch Inbound-Message-Interfaces, die über einen Client-Proxy laufen. Dann nämlich ist erst eine direkte Kommunikation und damit einhergehend ein effizienter Berechtigungsprozess möglich, der wirklich systemweit und in einem hybriden Umfeld auch dauerhaft und zukunftssicher einsetz- und anpassbar ist.

Anlageprozess neuer User: automatisiert und schnell vs. manuell und langwieriger

Mit einer offenen und generischen Softwarelösung für das Identity- und Accessmanagement ist die Erstellung und Verwaltung von Benutzern einfach und zeitsparend. Tritt beispielsweise ein neuer Mitarbeitender ins Unternehmen ein und muss ein neuer User im System angelegt werden, stellt die Personalabteilung dies in ihrem SAP Human Capital Management (HCM) ein. Über eine Schnittstelle gelangt die Information als Trigger an die User Lifecycle Management-Software und stößt den Anlageprozess des neuen Users an: Es folgen eine Antragsstellung und ein mehrstufiger automatisierter Genehmigungsprozess im Hintergrund. Die Software versendet die notwendigen Nachrichten, fordert Genehmigungen ein, speichert die neugewonnen Informationen ab und regelt schlussendlich die Provisionierung und Prüfung in den entsprechenden Backend-Systemen. Der Prozess kann manuell über Apps, teilweise automatisiert oder sogar voll-automatisch ablaufen – je nachdem, wie es von Unternehmensseite gewünscht ist. Sinnvoll ist es in diesem Zusammenhang auch, wenn eine Zugriffs­management­software Arbeitsplatzrollenpakete liefert, die mit verschiedenen Berechtigungen gefüttert werden können. Die Vergabe von Zugriffsrechten kann dann für die einzelnen Arbeitsplätze noch leichter und schneller erfolgen.

Im Gegensatz dazu verläuft die Erstellung eines neuen Benutzers ohne eine User Lifecycle Management Software langwierig und kompliziert. In vielen Unternehmen sieht der Prozess noch so aus, dass die Personalabteilung mit Eintritt eines neuen Mitarbeitenden ein Ticket für die IT erstellt oder gar ein Word- oder Excel-Formular per E-Mail verschickt, um die Anlage des neuen Users zu beauftragen. In der Regel vergeht bereits eine Weile, bis ein solches Ticket oder die E-Mail bearbeitet wird; nicht selten kommt es zu Unklarheiten, sodass die IT wiederum eine Nachricht an die Personalabteilung schickt. Bis es zur finalen Genehmigung kommt, geht so bereits wertvolle Zeit ins Land, und wie der Genehmigungsprozess schließlich abläuft, ist oftmals nicht standardisiert festgelegt (per Mail, im Dokument oder im externen Servicedesk?). Erst nach einer ganzen Weile landet ein Auftrag bei der eigentlichen User- und Berechtigungs-Administration, die die Berechtigungen für den neuen Nutzer manuell in die entsprechenden Systeme einpflegen. Ein solches Vorgehen ist nicht nur langwierig, sondern birgt auch großes Fehlerpotenzial und ist intransparent.

Software mit Kontrollfunktionen

Eine Software für das User Lifecycle Management hingegen beschleunigt den Prozess der Rechtevergabe deutlich und minimiert die Fehler. Zudem gestaltet sie den Prozess nachvollziehbar und transparent, weil sie alle Schritte, Berechtigungsnachweise und Genehmigungen dokumentiert. Zu achten ist bei der Auswahl einer solchen Software auch darauf, dass sie über ausgereifte Kontrollmechanismen verfügt, die bei der Vergabe und Bearbeitung von Berechtigung greifen. Solch ein Access-Control-Modul überprüft bei der Vergabe einer Berechtigung, ob sie dem Funktionstrennungsprinzip (Secregation of Duties – SoD) und den Compliance-Richtlinien folgt. Zusätzlich kommt es auch bei der Veränderung von Berechtigungen zum Tragen und prüft, ob die Änderung zu Konflikten oder weiteren Risiken bei bestehenden Rollen führt. Auch aus Sicht der Wirtschaftsprüfung ist eine solche Kontrollfunktion ein „must have“. Ein Rezertifizierungsprozess, in dem Vorgesetzte oder Berechtigungsverantwortliche regelmäßig zugeordnete User und Berechtigungen bestätigen müssen rundet die zu erfüllenden Anforderungen der internen und externen Prüfungsbereiche ab. Nur so wird sichergestellt, dass eine Person nicht im Laufe der Zeit zu viele Berechtigungen erhalten („eingesammelt“) hat und das „need to know“ Prinzip eingehalten wird.

Die Einführung einer solchen integrierten Lösung für das Identity und Access Management ist recht einfach und innerhalb kurzer Zeit möglich. Voraussetzung ist eine SAP-Basis, sprich: Unternehmen sollten prinzipiell SAP strategisch einsetzen. Ob sie aber noch mit der SAP Business Suite arbeiten oder bereits S/4HANA nutzen, ist für die Einführung des User Lifecycle Managements nicht relevant. Im Idealfall kann die Software in jedem beliebigen SAP-System als SAP-Transport bereitgestellt werden. SAP bleibt also das Trägersystem und es müssen weder weitere Infrastrukturen noch zusätzliche Hard- oder Software bereitgestellt werden. Bereits innerhalb weniger Stunden ist eine solche externe Lösung für die Zugriffsverwaltung einsatzbereit, wie die Erfahrung aus vergangenen Projekten zeigt.

Fazit

Die Implementierung einer User Lifecycle Management-Software vereinfacht und beschleunigt den Prozess der Benutzer- und Rechteverwaltung erheblich. Sie ermöglicht eine standardisierte, nachvollziehbare, sichere und fehlerarme Vergabe von Berechtigungen über Systemgrenzen hinweg. Die integrierten Kontrollmechanismen des Access-Control-Moduls, sorgen dafür, dass Berechtigungen den Compliance-Richtlinien (intern als auch extern) entsprechen, keine Funktionstrennungsprinzipien verletzt werden und dass User & Berechtigungszuweisungen einem nachhaltigen und transparenten Lebenszyklus unterliegen.

Über den Autor: Gerhard Peter Kiehl ist Partner und Geschäftsführer bei nexquent GmbH.

(ID:49738175)