Daten sicher im Griff: Identity und Access Management mit Augenmaß

Anbieter zum Thema

Materna Information & Communications SE

GISA GmbH

Mein Videotermin Suite | Voigtmann GmbH

RDS Consulting GmbH

Müssen mit dem Anforderungsmanagement nicht auch die Compliance-Auflagen durchdrungen werden, um über das integrierte Auditing und Reporting nicht mehr, aber auch nicht weniger als notwendig umzusetzen?

Diez-Holz: Sie sprechen damit einen ganz wichtigen Punkt an. Viele Behörden sind sich beim Einstieg ins IAM-Projekt darüber bewusst, welche Richtlinien und Vorgaben im Einzelnen befolgt werden müssen. Dieses Pflichtprogramm muss feststehen, um den Einsatz von Auditing und Reporting nicht über- oder, fast noch schlimmer, unterzudimensionieren. Sind die Verwaltungsprozesse behördenübergreifend, muss natürlich gemeinsam den Compliance-Auflagen penibel nachgegangen werden. Nicht zu vergessen die Aspekte des Datenschutzes: Ein Zuviel an Compliance mag wohl im Interesse einzelner Behördenverantwortlichen sein. Zuviel Elan in diese Richtung kann aber schnell auf Kosten des Datenschutzes gehen. Auch das muss mit Augenmaß abgewogen werden.

Stichwort „behördenübergreifender IAM-Einsatz“: Ist die Zentralisierung von Identitäten, ihren Rechten und ergänzenden Informationen im Behördenverbund überhaupt mach- und durchsetzbar? Im Verbund achten die Behörden oft peinlich genau darauf, dass nach Ihrer Einschätzung wichtige Informationen nicht außer Haus gehen.

Diez-Holz: IAM anzuwenden, heißt nicht zwangsläufig, alle Einträge in einem zentralen Verzeichnis zu bündeln und zu administrieren. Dezentrale Verzeichnisstrukturen sind darüber ebenso möglich, sodass jede Behörde nicht mehr Informationen als notwendig außer Haus geben muss. So besehen passen sich IAM-Modulsets flexibel den Anforderungen und Strategien einzelner Behörden an. Damit trotz Verteilung alle Einträge stets aktuell und stimmig sind, dafür sorgen automatische Synchronisationsprozesse zwischen den Verzeichnissen. Wichtig ist, nicht nur die Synchronisationsprozesse richtig aufzusetzen, sondern auch die Provisioning-Prozesse – die Zuordnung von Identitäten, Rechten und weiterführenden Informationen – eindeutig zu bestimmen und wohl strukturiert in Gang zu setzen.

In Verbindung mit IAM ist meist von Rollen die Rede. Dieses Thema haben Sie bisher noch nicht aufgegriffen. Hat das einen Grund?

Diez-Holz: Ein gut durchdachtes Rollenmodell ist wichtig. Allerdings sollte ein schlankes Rollenmodell angestrebt werden. Zu viele, komplizierte Rollen führen zu einer hohen Komplexität im System. Das geht nicht nur im IT-Betrieb auf Kosten der Transparenz. Komplexe Rollenmodelle erweisen sich zudem als aufwendig in der Projektierung. Die Folgen: Projektlaufzeiten verlängern sich, Aufwände und Einsparungen stehen im Missverhältnis. Ein Missverhältnis, das sich auch später im Betrieb kaum verbessert. Für die Entscheider heißt dies, die persönlichen Rollen kritisch zu hinterfragen, nur sinnvolle Rollen in die automatische Verwaltung durch das IAM-System aufzunehmen. Für ein schlankes Rollenmodell sprechen weitere, triftige Gründe: Dadurch werden Auditing und Reporting nicht unnötig verkompliziert, Compliance-Maßnahmen transparenter sowie besser nachvollzieh- und protokollierbar. Auch der Projekt- und Pflegeaufwand für Compliance sinkt, wenn bei der Etablierung von Rollen nicht übertrieben wird.

Also in der Einfachheit liegt die Kraft von IAM?

Diez-Holz: So kann man dies ausdrücken. IAM eröffnet die Perspektive, die Transparenz des Sicherheits- und Compliance-Schirms deutlich zu erhöhen. Diese verheißungsvolle Perspektive sollte nicht durch unnötige Komplexität in der Gestaltung und Umsetzung verbaut werden. Die Kraft der Einfachheit liegt auch in einer intelligenten Rechtedefinition. Gelingt es, weitgehend mit Gruppenrechten statt mit unzähligen Individualrechten zu arbeiten, wird dies die Rechteverwaltung drastisch und kostensparend erleichtern.

Ändern sich Autorisierungsrechte, braucht diese Änderung nur einmal durchgeführt werden. Sie gilt dann für die gesamte Gruppe, beispielsweise eine Abteilung. Wird innerhalb der Behörde umorganisiert, kann diese Veränderung über Gruppenrechte viel einfacher und zielsicherer abgebildet werden. Kommt ein neuer Mitarbeiter hinzu, muss ihm nur die Gruppenrechtevorlage zugewiesen werden – und schon ist er produktiv.

Wie findet die Behörde zum richtigen IAM-Produktset? Immerhin bietet der Markt zahlreiche, konkurrierende Angebote.

Diez-Holz: Die Eintrittskarte für eine richtige Produktauswahl ist ein detailliertes Anforderungsprofil und ein professionelles Anforderungsmanagement. Mit diesem Wissen kann die Behörde prüfen, welches Modulset am besten passt.

Stimmen die Struktur des Produktportfolios und die eigene angestrebte IAM-Struktur weitgehend überein, wird das die Projektierung zusätzlich erleichtern. Wichtig ist in diesem Zusammenhang, dass die einzelnen Module nicht nur technisch, sondern auch abgebildet auf die Organisation und die Verwaltungsprozesse darin nahtlos zusammenspielen. Beides sollte der Hersteller der Wahl in Workshops im Vorfeld der Entscheidung durch Simulationen unter Beweis stellen.

(ID:2021558)