Rezertifizierung nicht erst beim Audit erzwingen

Anbieter zum Thema

Fsas Technologies GmbH

FAST LTA GmbH

FTAPI Software GmbH

KuppingerCole Analysts AG

Kontinuierliche Prüfung kann den Aufwand verringern

Richtig geplant, wird die Last durch die Rezertifizierung verringert und die Qualität erhöht. Dennoch ist und bleibt die Berechtigungsprüfung eine Bürde, die viel von einer Organisation verlangt und eine durchdachte Einführung und Governance erfordert, um erfolgreich sein zu können. Deshalb muss man durchaus auch darüber nachdenken, wie man die Situation verbessern kann.

Im Kern geht es darum, nur die erforderlichen Berechtigungen zu vergeben und sicherzustellen, dass diese Anforderung auch eingehalten wird. Wenn man schon rezertifiziert, dann nicht alles pauschal, sondern kritische Berechtigungen öfter und weniger kritische Berechtigungen seltener. Schon das kann den Aufwand deutlich reduzieren.

Es lohnt sich aber auch, über Alternativen nachzudenken. Das genannte Ziel einer Vergabe nur der erforderlichen Berechtigungen und einer regelmäßigen Überprüfung lässt sich auch erreichen, wenn alle Berechtigungen nur für eine begrenzte Zeit vergeben werden: kritische Berechtigungen für einen kürzeren, weniger kritische Berechtigungen für einen längeren Zeitraum.

Rezertifizierung wird auf Dauer überflüssig

Muss der Anwender – mit entsprechender rechtzeitiger Benachrichtigung – seine Berechtigungen neu anfordern, dann müssen die zuständigen Personen zwar öfter solche Anträge genehmigen. Das ist aber ein vertrauter Prozess und die Frage, ob bestimmte Berechtigungen wirklich noch erforderlich sind, lässt sich viel einfacher zu beantworten.

Mehr noch: Die ungeliebten Rezertifizierungsprozesse entfallen komplett. Wenn man dann noch mit Access-Intelligence-Lösungen besonders kritische Berechtigungskombinationen regelmäßig analysiert, erzielt man mit großer Wahrscheinlichkeit ein besseres Ergebnis, als mit den meist eher schlecht als recht funktionierenden Prüf- und Neuvergabeprozessen.

Es lohnt sich, über Alternativen zur gängigen Rezertifizierung nachzudenken und sie mit den internen Auditoren und den externen Prüfern zu besprechen. Und es ist auch Zeit, dass Regulatoren und externe Prüfer darüber nachdenken. Denn nicht der Weg, sondern das Ergebnis zählt. Alibi-Rezertifizierungen helfen niemandem.

* Martin Kuppinger ist Gründer des Analystenunternehmens Kuppinger Cole, das sich mit digitalen Identitäten, Identity und Access Management, GRC (Governance, Risk Management, Compliance) und Cloud Computing beschäftigt.

(ID:43392992)