IAM: Identitäts- und Zugriffsmanagement (Identity and Access Management)

Die Gewährleistung des erforderlichen Datenflusses und die Verwaltung des Zugriffs auf die Geschäftsdaten einer Organisation erfordern stets volle Aufmerksamkeit nicht nur des technischen Bereichs, sondern auch der Geschäftsleitung.

Die heutige Geschäftsumgebung entwickelt sich ständig weiter und es kommen neue Herausforderungen für die IT-Sicherheit hinzu, wie die jüngsten Trends in diesem Bereich: „bring dein eigenes Gerät mit” (BYOD: Bring Your Own Device), Cloud Computing, Mobiltelefonanwendungen und eine zunehmend mobile Arbeitskraft sowie die Tatsache, dass die Benutzer von Mitarbeitern über Kunden bis hin zu Lieferanten reichen können.

Da immer mehr Software, Daten und digitale Dienste eingesetzt und genutzt werden, müssen Organisationen den Zugriff auf diese Systeme effektiver verwalten. Ein typischer Benutzer hat möglicherweise Dutzende (manchmal sogar Hunderte) von Anwendungen, auf die er zugreifen muss, um seine Arbeit zu erledigen, und die alle vertrauliche, sensible und regulierte Informationen enthalten können.

Ein Identitäts- und Zugriffsmanagementsystem (IAM: englische Abkürzung für Identity and Access Management) ist ein Geschäftsprozessrahmen, der die Verwaltung elektronischer Identitäten für den Datenzugriff in einer Organisation erleichtert.

Mit Hilfe der IAM-Technologie können Benutzeridentitäten und die dazugehörigen Zugriffsberechtigungen automatisiert initiiert, erfasst, gespeichert und verwaltet werden. Auf diese Weise wird sichergestellt, dass die Zugriffsberechtigungen in Übereinstimmung mit einer IT-Sicherheitsrichtlinie gewährt werden, so dass alle Personen und Dienste ordnungsgemäß authentifiziert, autorisiert und überprüfbar sind.

In diesem Sinne verwaltet IAM die Benutzer und ihre Zugriffsrechte innerhalb des Netzwerks einer Organisation. Mit dieser Verwaltung behält die Organisation die Kontrolle darüber, welche Benutzer sich anmelden und Aktionen auf Systemen, Anwendungen, Datenbanken usw. durchführen.

Funktionen eines IAM-Systems 

Die IAM-Systeme haben zwei grundlegende Funktionen: erstens die Überprüfung der Identität der Benutzer, die sich anmelden wollen, und zweitens die Feststellung von Benutzerrechten. Beide können auf unterschiedliche Weise umgesetzt werden: 

Überprüfung der Identität 

Bei der Identitäts- und Zugriffsverwaltung geht es zunächst darum, herauszufinden, wer bei dem System oder der Datenbank angemeldet ist. Der einfachste Weg, die Identität zu bestätigen, ist eine Kombination aus Benutzernamen und Passwort. Um dies in einer fortschrittlicheren Art und Weise zu tun, verwendet man die Multi-Faktor-Authentifizierung.

Ein starkes Multi-Faktor-Authentifizierungssystem erfordert eine engere Übereinstimmung zwischen der Identität des Benutzers und dem Identitätsnachweis, der wie folgt sein kann:

• Verwendung eines Tokens: Hier wird eine Identität verwendet, die mit einem physischen Gegenstand verbunden ist, den man besitzt (ein Token), zusammen mit einer persönlichen Identifikationsnummer (PIN) oder einem Passwort, das man kennt. Ihre Sicherheit hängt sowohl vom physischen Schutz des Tokens als auch von der Kenntnis des Passworts oder der PIN ab.
• Einsatz von Biometrie: Hier wird ein eindeutiges physisches Merkmal des Benutzers verwendet, wie z. B. Fingerabdrücke, Gesichtserkennung, Iriserkennung, Netzhautscan oder Stimmerkennung.

Überprüfung der Berechtigungsstufe 

Nach der Bestätigung der Identifizierung des Benutzers besteht der nächste Schritt des IAM-Systems in der Zugriffsverwaltung. Dadurch erhält der Benutzer einen personalisierten Zugriff auf der Grundlage eines komplexen Satzes von Berechtigungsregeln, die im System gespeichert sind.

Die Anpassungen hängen von der jeweiligen Organisation ab. Im Allgemeinen werden die Funktion, die Position oder Autorität und die Kompetenz des Mitarbeiters berücksichtigt. In einigen Fällen kann der Standort sehr wichtig sein, d. h. der Ort, von dem aus der Antrag auf Zugriff auf Dienstleistungen gestellt wird. 

Die Zugriffskontrolle sollte mit der Entscheidung beginnen, welche Benutzer begrenzte Berechtigungen haben und welche Benutzer innerhalb des organisatorischen Arbeitsablaufs einen umfassenderen Zugriff erhalten.

Sofortiger Zugriff auf verschiedene Systeme

In bestimmten Fällen ist es sinnvoll, dass die Benutzer über eine einzige Anmeldung auf verschiedene Systeme bzw. Anwendungen zugreifen können. Die Einmalanmeldung (SSO: Single Sign-On), ermöglicht beispielsweise, dass ein Benutzer mit einer einzigen Authentifizierung sowohl auf eine Datenbank als auch auf Verwaltungssysteme zugreifen kann. 

Diese Art der Authentifizierung bedeutet jedoch nicht, dass der Benutzer die volle Zugriffsberechtigung auf alle Anwendungen oder Informationen innerhalb einer Organisation erhält, sondern dass das IAM-System die festgelegten Berechtigungsregeln anwendet und den Zugriff auf der Grundlage einer individuellen Identifizierung ermöglicht.

Implementierung eines IAM-Systems

IAM-Systeme enthalten einen zentralisierten Verzeichnisdienst, der mit dem Wachstum der Organisation auch wächst. Dieses zentrale Verzeichnis verhindert, dass die Anmeldedaten zufällig in Dateien und Notizen gespeichert werden, wenn die Benutzer versuchen, mehrere Passwörter für verschiedene Systeme hochzuladen. 

Die IAM-Systeme dienen der Erleichterung der Benutzerbereitstellung und der Einrichtung von Benutzerkonten. IAM verringert den Zeitaufwand für die Authentifizierung mit einem kontrollierten Arbeitsablauf, wodurch Fehler und die Möglichkeit der böswilligen Nutzung von Privilegien reduziert werden, während Administratoren die Möglichkeit erhalten, Zugriffsrechte sofort einzusehen und zu ändern.

Ein IAM-System muss automatisch die Stellenbezeichnung, den Standort und die ID der Geschäftseinheit des Benutzers abgleichen, um die Zugriffsanfragen automatisch zu bearbeiten, was dazu beiträgt, Zugriffsanfragen entsprechend den vorhandenen Mitarbeiterpositionen zu klassifizieren.

Je nach Mitarbeiter können einige Berechtigungen mit seiner Position verbunden sein und automatisch gewährt werden, während andere auf Antrag gewährt werden können. In einigen Fällen können einige Anträge abgelehnt oder sogar ganz verboten werden; ebenso kann eine Antragsbearbeitung erforderlich sein.

Ein IAM sollte Arbeitsabläufe für die Verwaltung der Genehmigungen von Zugriffsanträgen einrichten. Dieses Verfahren kann die Einrichtung verschiedener Überprüfungsprozesse für entsprechende Risikostufe und für den Zugang auf höherer Ebene sowie eine Änderung bestehender Berechtigungen erleichtern, um eine Ausweitung der Privilegien zu verhindern.

Das Erstellen und Ändern von Benutzerrechten kann auf Gruppen angewendet und die Lösung kann auch in Modulen aufgebaut werden, was eine schnelle Implementierung und ein kosten- und leistungseffizientes Ergebnis ermöglicht.

Auf der einfachsten Ebene geht es bei der Identitätsverwaltung darum, festzulegen, was ein Benutzer im Netzwerk mit bestimmten Geräten und unter welchen Umständen tun darf. In der am meisten fortgeschrittenen Ausprägung wird es jedoch eingesetzt, um die Sicherheit und Produktivität des Unternehmens zu erhöhen und gleichzeitig Kosten und überflüssigen Aufwand zu reduzieren.

Aus Sicherheitsgründen müssen Identitätsmanagement-Tools als Anwendung auf einem dedizierten Server oder einer Netzwerk-Appliance laufen, entweder vor Ort oder in der Cloud. Dies wird kombiniert mit der Möglichkeit, Richtlinien, Berichte, Warnungen, Alarme und andere Verwaltungs- und allgemeine Betriebsanforderungen zu definieren.

Bewährte Praktiken

IAM-Systeme sind heute eine echte Priorität für Organisationen, die ihre Cybersicherheit stärken wollen. Es ist jedoch klar, dass viele Initiativen nicht konsequent umgesetzt werden, weil es an einer angemessenen Vorbereitung sowohl der technischen als auch der geschäftlichen Aspekte des Projekts mangelt.

Im Allgemeinen sind die empfohlenen Verfahren für erfolgreiche Implementierung eines IAM-Systems wie folgt:

• Bildung eines kombinierten Projektteams: Ein IAM-Projekt ist organisationsübergreifend und kann daher nicht nur unter technischen Gesichtspunkten angegangen werden, sondern erfordert die Mitwirkung des Managements auf der Grundlage von Kenntnissen der Geschäftsprozesse und der Organisationsstruktur des Unternehmens.
• Festlegung der Zuständigkeiten und Ziele des Projekts: Die Aufgaben und Zuständigkeiten einzelner Teilnehmer müssen festgelegt werden, ebenso wie die verschiedenen Schritte der Durchführung. Die Ziele und Phasen des Projekts sollten in gegenseitigem Einvernehmen zwischen den Parteien vor Beginn der Durchführung dokumentiert werden, um spätere Änderungen zu vermeiden, die den Zeit- und Kostenaufwand für die Einrichtung des Projekts erhöhen können.
• Stufenweise Durchführung: die schrittweise Einführung der Lösung mit erreichbaren Meilensteinen, beginnend mit einer kleinen Anzahl von Systemen, Benutzern und Rollen, um schnell Ergebnisse zu erzielen und die Zustimmung der Organisation zur Ausweitung des Projektumfangs zu stärken.
• Verknüpfung mit den Personalsystemen: Personalbewegungen (Einstellung, Austritt, Mobilität usw.) können dem technischen Bereich mit einer gewissen Verzögerung oder gar nicht mitgeteilt werden. Diese Schwierigkeiten können zunehmen, wenn Personalverwaltungsaufgaben manuell durchgeführt werden. Daher sollte die HR-Datenquelle auf automatisierte Weise mit dem IAM-System verbunden werden, was schnell quantifizierbare Vorteile bietet, wie z. B. vereinfachter Zugriff, erhöhte Produktivität und Benutzerzufriedenheit.
• Festlegung von Rollen: verstanden als eine Reihe von individuellen Zugriffsberechtigungen, die für eine bestimmte Funktion oder einen bestimmten Bereich der Organisation erforderlich sind. Sie verringern den Verwaltungsaufwand erheblich und müssen ständig aktualisiert werden, um sich an Veränderungen in der Organisation oder in den verwendeten Systemen und Anwendungen anzupassen.
• Einbeziehung der Risikobewertung: IAM-Systeme liefern eine beträchtliche Menge an Daten, die verarbeitet werden müssen, um die risikoreichsten Elemente zu erkennen. Deren Identifizierung und Bewertung ist ein leistungsfähiges Instrument, um die Zugriffsdaten, wie Benutzer, Rollen und Konten, nach dem Grad der potenziellen Risiken zu sortieren.

Die Zentralisierung von Zugriffskontrolle, Rollen und Berechtigungen sowie die Kombination verschiedener Authentifizierungsverfahren ist heute dank innovativer IAM-Technologien möglich, was eine hervorragende Gelegenheit für alle Arten von Organisationen und Verwaltungen ist, die auf der Grundlage eines soliden, einfachen und effektiven Identitätsmanagements arbeiten möchten.

Ein erfolgreiches Identitätsprogramm besteht in der Praxis aus einigen wesentlichen Funktionen, wie z. B. dem Wissen darüber, wer den Zugriff auf welche Ressourcen und Daten hat, wer tatsächlich den Zugriff haben sollte, und der Kontrolle und Transparenz darüber, wie diese Zugriffsrechte angewendet werden.

Ein effektives Identitätsmanagement hilft nicht nur den Organisationen, ihre Sicherheit und Compliance zu verbessern, sondern auch, flexibler und erfolgreicher zu werden. Das Ergebnis ist eine flexiblere, effizientere, sicherere und rechtskonformere Organisation.