Identity and Access Management: Sicherheit durch Zugriffsverwaltung

Ein ausgereiftes Identity and Access Management ist erforderlich, um den Zugriff auf die Ressourcen des Unternehmens wirksam zu verwalten und zu kontrollieren und dessen Daten umfassend zu schützen.

Eine unzureichende Regelung der Zugriffsrechte, die Datenlecks oder Datendiebstahl erleichtert, stellt zudem häufig einen Compliance-Verstoß dar. Insbesondere Unternehmen aus Branchen mit strengen Regularien wie Gesundheit, Finanzen oder E-Commerce drohen Sanktionen und hohe Schadensersatzforderungen.

Diese Herausforderungen müssen Unternehmen meistern:

• Unberechtigte Zugriffe: Werden die Zugriffe auf die IT-Systeme nicht kontrolliert und überwacht, erhalten Unbefugte leicht Zugang zu sensiblen Daten und Systemen.
• Datensicherheitsrisiken: Die Bedrohungen durch Hacks, Datenpannen und Identitätsdiebstahl aufgrund unzureichender Zugriffskontrollen wachsen stetig.
• Cyber-Bedrohungen: Ohne IAM sind Organisationen anfälliger für Cyber-Angriffe, Datenmanipulation, Insider-Bedrohungen und andere Sicherheitsrisiken.
• Compliance-Verstöße: Wenn Unternehmen Zugriffsrechte nicht sicher und compliant regeln und den IT-Zugang nicht adäquat schützen, riskieren sie Datenschutzverletzungen, rechtliche Konsequenzen, Bußgelder und Reputationsschäden.
• Ineffiziente Abläufe: Eine Benutzer- und Zugriffsverwaltung, die rein manuell erfolgt, erhöht oft den Verwaltungsaufwand und verzögert die Bereitstellung von Ressourcen.

IAM mit „Identity Fabric“ schafft Abhilfe

Nur ein IAM, das die gesamte IT-Infrastruktur abdeckt – von Apps über Daten bis hin zu Nutzerkonten – minimiert Risiken effektiv. Dieser sogenannte „Identity Fabric“-Ansatz zielt darauf ab, Identitätsdaten und Zugriffskontrollen über verschiedene Systeme und Anwendungen hinweg zu vereinheitlichen und zu zentralisieren.

Ähnlich wie bei einem aus vielen Fäden gewobenen Stoff (englisch „Fabric“) werden dabei verschiedene Identitätsdatenquellen und -systeme nahtlos miteinander verknüpft, um eine ganzheitliche Sicht auf Nutzeridentitäten und Zugriffsrechte zu ermöglichen.

Welches IAM-Konzept zu den Anforderungen eines Unternehmens passt, lässt sich am besten in einem persönlichen Gespräch klären. Hier ein Überblick über die bekanntesten IAM-Ansätze.

• Klassisches IAM Identitäten und Zugriffsrechte von einer zentralen Stelle aus. Es umfasst Funktionen wie Benutzerverwaltung, Authentifizierung, Autorisierung, Berechtigungs-Management und Single Sign-On (SSO).
• Role-Based Access Control (RBAC) setzt auf die Zuordnung von „Rollen“ zu Benutzern und die darauf basierende Vergabe von Zugriffsrechten. Die vergebenen Berechtigungen entsprechen der jeweiligen Funktion des Benutzers im Unternehmen, werden also nicht individuell vergeben.
• Attribute-Based Access Control (ABAC) basiert auf Benutzer- und Systemattributen sowie Umgebungsvariablen. Es ermöglicht sehr genaue Zugriffskontrollen.
• Policy-Based Access Control legt die Zugriffsrechte fest, indem es Richtlinien definiert und anwendet, .
• Adaptive Access Control passt die Zugriffskontrollrichtlinien dynamisch an den jeweiligen Kontext und die aktuellen Risiken an, indem es das Benutzerverhalten, Geräteinformationen und andere Faktoren kontinuierlich überwacht und auswertet.
• Privileged Access Management (PAM) dient vor allem der Verwaltung und Zugriffsüberwachung von privilegierten Benutzerkonten – und bietet zusätzliche Sicherheitsebenen für den Zugriff auf sensible Systeme und Daten. PAM trägt dazu bei, Angriffe mit Ransomware und auf Supplysowie Datenlecks zu reduzieren.
• Customer Identity and Access Management (CIAM) ist eine spezielle IAM-Form, die darauf abzielt, die Identitäten und Zugriffe von Kunden in B2C-Anwendungen zu verwalten.
• Identity Governance and Administration (IGA) verwaltet digitale Identitäten und Berechtigungen, um Compliance sicherzustellen und Risiken zu reduzieren. IGA ist entscheidend für die Einhaltung von Standards und die Verwaltung von Rechten auf Apps, Services und Daten.

IAM-Expertinnen und -Experten begleiten Unternehmen beim Aufbau eines flexiblen IAM-Systems, das auf ihre IT-Systeme zugeschnitten ist. Empfehlenswert ist eine Implementierung in fünf Schritten, wie sie SITS anbietet:

1. Vorbereitung und Aufbau: Evaluation der IT-Systeme und Auswahl passgenauer Lösungen von erfahrenen Partnern wie Ping, EntraID oder Okta
2. Implementierung des IAM: Installation und Optimierung der IAM-Tools als solide Basis für sichere Zugriffsverwaltung und Zugriffsschutz
3. Application Onboarding: , sodass sie durch effiziente „Single Sign-On“-Methoden sowie intelligente Authentifizierungs-Policies geschützt sind
4. Business Onboarding: Schulungen und Awareness-Trainings für Mitarbeitende, damit die IAM-Implementation so einfach und nahtlos wie möglich erfolgt
5. Managed Service: Wartung und Anpassung des IAM rund um die Uhr – von Vorteil insbesondere bei komplexen IT-Infrastrukturen

Ein umfassendes IAM umfasst verschiedene Elemente. Dazu gehören unter anderem:

• Verzeichnisdienste wie Active Directory (AD) oder LDAP (Lightweight Directory Access Protocol), die zur Speicherung von Benutzerkonten und -attributen verwendet werden
• Single Sign-On (SSO): Lösungen, die nach einmaliger Anmeldung den Zugriff auf mehrere Anwendungen und Systeme ohne erneutes Log-in ermöglichen
• Zwei-Faktor-Authentifizierung (2FA) und Multi-Faktor-Authentifizierung (MFA): Erhöhung der Sicherheit durch zusätzliche Authentifizierungsfaktoren neben dem Passwort
• Benutzer- und Berechtigungsmanagement: Tools zur Verwaltung von Benutzerkonten, Gruppenzugehörigkeiten und Zugriffsrechten auf Basis von Rollen oder Richtlinien
• Privileged Access Management (PAM): Lösungen zur Verwaltung und Überwachung privilegierter Benutzerkonten
• Identity Governance and Administration (IGA): Sicherstellung der Compliance
• Föderierte Identitäten: Mechanismen zur Authentifizierung und Autorisierung von Benutzern über verschiedene Domänen und Organisationen hinweg, um die Interoperabilität zu erleichtern
• API-Sicherheit und Zugriffskontrolle
• Identity as a Service (IDaaS): Cloud-basierte IAM-Lösungen

Um für umfassenden Schutz zu sorgen, werden diese Technologien häufig zusammen eingesetzt.