Frühjahrsputz für Ihre Berechtigungen

• Industrie und Dienstleistungen

Von Zeit zu Zeit müssen Sie Ihre Konten und Berechtigungen gründlich bereinigen. Denn selbst wenn Sie die Berechtigungsverwaltung so weit wie möglich automatisiert haben, kann sich im Laufe der Zeit dennoch Wildwuchs entwickeln. In diesem Blogbeitrag gehen wir näher auf diesen Wildwuchs, die Notwendigkeit einer solchen regelmäßigen Bereinigung und darauf ein, wie HelloID Sie dabei unterstützt.

Warum Berechtigungen bereinigen?

Wir wissen, dass unverwaltete Konten und Konten mit zu vielen Berechtigungen wesentliche Ursachen für Datenschutzverletzungen und andere Sicherheitsprobleme sind. Indem Sie solchen Wildwuchs rechtzeitig beseitigen, vermeiden Sie viele künftige Probleme. Darüber hinaus sparen Sie Kosten, denn für alle unnötigen Lizenzen zahlen Sie selbstverständlich weiterhin. Möchten Sie Ihre IT-Umgebung sicher halten und die Kosten im Blick behalten? Planen Sie dann regelmäßig eine Bereinigungsmaßnahme ein. Ein Frühjahrsputz ist dafür natürlich der ideale Ausgangspunkt.

Informationssicherheitsnormen wie ISO 27001 und weitere Normen wie DSGVO oder BSI verlangen zudem, dass Sie einen sogenannten Plan-Do-Check-Act-Zyklus organisieren. Damit bewerten und verbessern Sie die Informationssicherheit regelmäßig. Eine regelmäßige Bereinigungsaktion ist ein logischer Bestandteil davon.

Wie entsteht Berechtigungswildwuchs?

Wie entsteht Wildwuchs in Ihrer Konto- und Berechtigungsverwaltung eigentlich? Die Idee hinter einem IAM ist doch gerade, dass es hilft, Fehler zu vermeiden? Wir erläutern dies anhand der HelloID-Funktionalität.

Provisioning

Das Ziel innerhalb von HelloID ist, Konten und Berechtigungen weitestgehend automatisch bereitzustellen. Dies geschieht anhand sogenannter Mitarbeiterattribute, wie Funktion, Abteilung, Ausbildung etc. Diese Abhängigkeiten halten wir in Business Rules fest. Dadurch erhalten Personen beim Onboarding automatisch die richtigen Berechtigungen, und Berechtigungen werden ebenfalls automatisch angepasst, wenn jemand später beispielsweise eine andere Funktion übernimmt oder die Abteilung wechselt. Darüber hinaus werden Konten automatisch gesperrt, wenn jemand die Organisation verlässt.

Gleichzeitig können sich Dinge in den Geschäftsprozessen ändern. Die Aufgaben und Verantwortlichkeiten einer Funktion können sich ändern, und dann benötigen die betreffenden Mitarbeiter häufig andere Berechtigungen. Oder die Organisationsstruktur wird um neue Funktionen oder Abteilungen erweitert. Wenn solche Änderungen nicht eins zu eins im Rollenmodell abgebildet werden, können Unregelmäßigkeiten entstehen. Dies wird häufig pragmatisch gelöst, indem beispielsweise fehlende Berechtigungen kurz manuell hinzugefügt werden. Gleichzeitig bleiben dann auch überholte Berechtigungen aktiv. So entsteht Wildwuchs durch ein nicht aktuelles Rollenmodell.

Individuelle Benutzeranfragen

Sie können ohnehin nicht alle Berechtigungen anhand von Business Rules verwalten. Es gibt immer individuelle Ausnahmen, und diese können wir innerhalb von HelloID mithilfe von Service Automation verwalten. Mit diesem Modul können Sie Oberflächen für spezifische Verwaltungsaktionen erstellen, beispielsweise für die Anlage von Postfächern, und es gibt ein Self-Service-Portal. Wichtig ist dabei, dass die Bewertung individueller Benutzeranfragen sorgfältig über speziell dafür konfigurierte Workflows erfolgt. Außerdem dürfen Berechtigungen nicht unbegrenzt vergeben werden. Werden Berechtigungen in der Praxis jedoch zu einfach genehmigt oder gibt es nur wenig Kontrolle über die bereits vergebenen Berechtigungen? Dann sammeln sich im Laufe der Zeit Berechtigungen an, die faktisch nicht mehr benötigt werden. Auch so entsteht Wildwuchs.

Unverwaltete Berechtigungen

Die obige Ausgangslage ist, dass alle Konten und Berechtigungen auf irgendeine Weise auf eine Business Rule oder eine Service-Automation-Aktion innerhalb Ihrer IAM-Plattform zurückzuführen sind. Das ist die Theorie, doch in der Praxis kann es vorkommen, dass Administratoren weiterhin manuell Konten anlegen und Berechtigungen hinzufügen.

Sie erstellen beispielsweise eigene Servicekonten, verwenden Konten zum Testen oder legen auf Anfrage schnell ein Benutzerkonto an, weil es eilig ist. Dafür gibt es oft durchaus nachvollziehbare Gründe, aber letztlich entsteht dadurch Wildwuchs, denn die betreffenden Einstellungen sind innerhalb Ihrer IAM-Umgebung nicht mehr auffindbar. Es entstehen auch sogenannte verwaiste Konten. Der Benutzer hat die Organisation inzwischen verlassen, aber das Konto ist weiterhin vorhanden.

In Kombination mit den Altlasten aus der Zeit vor dem IAM gibt es in Ihren Systemen häufig noch eine beträchtliche Anzahl unverwalteter Konten. Einige davon sind weiterhin relevant und sollten idealerweise in Ihre reguläre IAM-Verwaltung aufgenommen werden. Andere sind vollständig überholt und stellen reinen Wildwuchs dar, den Sie bereinigen sollten.

Signale dafür, dass Ihr IAM bereinigt werden muss

Kurz gesagt, es gibt genügend Gründe, regelmäßig eine Bereinigung einzuplanen. Unabhängig davon ist es sinnvoll, auch zwischendurch auf Signale zu achten, die vor möglichem Wildwuchs in Ihren Systemen warnen. Wir nennen einige Beispiele.

• Zu viele Berechtigungen. Bei Ihren Verwaltungsarbeiten treffen Sie beispielsweise auf Benutzer, die mehr Berechtigungen haben, als sie für ihre reguläre Arbeit benötigen. Und das ohne logische Erklärung, außer dass diese Berechtigungen irgendwann einmal benötigt wurden.

• Widersprüchliche Berechtigungen. Oder Benutzer verfügen sogar über widersprüchliche Berechtigungen. Jemand darf beispielsweise Rechnungen genehmigen und bezahlen. Damit erfüllen Sie nicht die übliche Funktionstrennung zur Vermeidung von Missbrauch und Betrug. Übrigens können Sie dies innerhalb von HelloID mit der Funktionalität „Toxic Policies“ proaktiv verhindern.

• Überlappende Berechtigungen. Ein weiteres Beispiel für widersprüchliche Berechtigungen sind Benutzer mit überlappenden Lizenzen. Beispielsweise eine Microsoft-E1- und eine E3-Lizenz. Die E1 bringt in diesem Fall keinen zusätzlichen Nutzen, aber Sie bezahlen sie dennoch.

• Wenig Kontrolle. Individuelle Benutzeranfragen können auch zu leicht akzeptiert werden. Dies erkennen Sie in Berichten an relativ hohen Genehmigungsquoten. Administratoren werden zudem häufig misstrauisch, wenn Benutzer selten über ihre Zugriffsrechte klagen.

• Seltene Nutzung. Es ist ein Warnsignal, wenn Sie in Systemen Berechtigungen finden, die relativ selten genutzt werden. Dies sehen Sie häufig, wenn Berechtigungen aus einer früheren Rolle übernommen wurden. Menschen geben Berechtigungen selten freiwillig wieder ab, denn sie könnten schließlich immer noch nützlich sein.

• Zu viel Individualisierung. Es kann grundsätzlich ein Signal sein, wenn sehr viele Berechtigungen individuell vergeben wurden, also außerhalb Ihres Rollenmodells. Nach unserer Erfahrung können in der Regel etwa 80 % aller Berechtigungen über Business Rules vergeben werden. Den Rest verwalten Sie beispielsweise über Service Automation. Ist das Verhältnis deutlich anders, kann dies ein Warnsignal sein.

Abhängig von den eigenen Geschäftsprozessen und der IT-Verwaltung gibt es in der Praxis sicherlich weitere Signale, und Administratoren haben dafür häufig auch ein ausgezeichnetes Fingerspitzengefühl entwickelt. Wir wissen außerdem, dass bei Systemen, deren Berechtigungen früher noch teilweise manuell verwaltet wurden, meist eine umfangreiche Historie vorhanden ist, die in jedem Fall sorgfältig geprüft und bereinigt werden muss.

Wie läuft der Bereinigungsprozess ab?

Eine Plattform wie HelloID erleichtert Ihre Berechtigungsbereinigung bereits erheblich durch alle verfügbaren Übersichten, Logs und Berichte. Gleichzeitig müssen Sie bei einer solchen Bereinigung häufig vor allem Daten miteinander vergleichen und Zusammenhänge erkennen können. Dafür sind zusätzliche Hilfsmittel praktisch unverzichtbar. Deshalb stehen Ihnen innerhalb des Governance-Moduls mehrere hilfreiche Tools zur Verfügung. Damit können Sie eine Reihe logischer Bereinigungsschritte einfach organisieren:

Umfang und Häufigkeit festlegen

Legen Sie zunächst fest, welche Systeme die höchste Priorität haben. Die Einstellungen innerhalb von Active Directory sind normalerweise deutlich anfälliger für Missbrauch als beispielsweise die eines E-Learning-Systems. Beginnen Sie daher mit diesen Prioritäten und darin mit dem wichtigsten Wildwuchs. Wenn wir die Bereinigungsroutine dafür im Griff haben, können wir bei nachfolgenden Bereinigungen immer mehr Systeme in den Umfang aufnehmen. Abhängig davon, wie viele Auffälligkeiten Sie feststellen und wie dynamisch Ihre IT-Landschaft ist, können Sie nun auch einschätzen, wie häufig Sie eine solche Bereinigung wiederholen sollten.

Bereinigung fehlerhafter und unverwalteter Konten

Mit dem Reconciliation-Tool können Sie Inkonsistenzen zwischen den Einstellungen erkennen, die über Business Rules bereitgestellt werden sollten, und der tatsächlichen Situation. Mit anderen Worten, Sie vergleichen den Soll-Zustand in Ihrem HelloID Provisioning mit dem Ist-Zustand in den angebundenen Zielsystemen. So können Sie grundsätzlich zwei Arten von Abweichungen erkennen:

• Konten und Zugriffsrechte, die in der IAM-Umgebung als verwaltet registriert sind, aber aus irgendeinem Grund nicht korrekt in den betreffenden Zielsystemen umgesetzt wurden. In diesem Fall können Sie die Daten in der Regel nachträglich provisionieren lassen.

• Häufiger handelt es sich jedoch um Konten und Zugriffsrechte, die in spezifischen Zielsystemen aktiv sind, aber nicht aus Ihrer IAM-Umgebung provisioniert wurden.

Insbesondere in der zweiten Kategorie liegt das Potenzial für Wildwuchs. Ziel ist es übrigens nicht, alle Ausnahmen zu beseitigen, sondern sie zu validieren und bei Bedarf zu korrigieren.

Einige Unterschiede können auf Konten und Berechtigungen zurückzuführen sein, die individuell über Service Automation vergeben wurden. Diese wurden bewusst angelegt, ihr Status muss jedoch regelmäßig überprüft werden. Darauf gehen wir im nächsten Bereinigungsschritt näher ein.

Die Risiken liegen vor allem bei Einstellungen, die direkt in einem Zielsystem angelegt wurden. Wir haben bereits erwähnt, dass es dafür manchmal einen guten Grund gibt, der weiterhin besteht. Wir können eine solche Berechtigung dann vorübergehend als Ausnahme markieren und sie beispielsweise in einem Folgeschritt später in die Verwaltung aufnehmen. Handelt es sich jedoch tatsächlich um Wildwuchs, kann dieser bereinigt werden.

Ausnahmen überprüfen

Individuelle Zugriffsrechte können wir über das Modul Service Automation verwalten. Dabei ist es wichtig, den Überblick über diese individuellen Rechte zu behalten. Sie möchten nicht, dass Benutzer die Berechtigungen unbegrenzt behalten können. Dies lässt sich auf verschiedene Arten regeln:

• Idealerweise werden Berechtigungen so weit wie möglich zeitlich befristet vergeben. Ein Projekt hat beispielsweise in der Regel einen begrenzten Zeitraum, sodass auch die Berechtigungen nicht unbegrenzt benötigt werden. Mit HelloID können Sie diese daher ebenfalls zeitlich befristet vergeben.

• Für Berechtigungen, die Sie für einen unbestimmten Zeitraum vergeben möchten, besteht die Möglichkeit, regelmäßig zu prüfen, ob diese noch relevant sind. Dafür bieten wir die Funktion Recertification an. Damit können Sie eine regelmäßige Neubewertung automatisch planen und durchführen lassen.

Unsere regelmäßige Bereinigung ist auch der ideale Zeitpunkt, um zu prüfen, ob alle Aspekte rund um die individuellen Ausnahmen weiterhin gut organisiert sind.

Bereinigung Ihres Rollenmodells

Wir haben bereits erwähnt, dass Wildwuchs auch entstehen kann, weil Business Rules nicht mehr vollständig mit den tatsächlichen Geschäftsprozessen übereinstimmen. Beispielsweise wurden neue Funktionen eingeführt oder Mitarbeiter benötigen für ihre Aufgaben andere Berechtigungen. Deshalb ist es wichtig, Ihre Business Rules regelmäßig zu bewerten. Müssen Regeln angepasst werden oder sind zusätzliche Regeln erforderlich?

Ein leistungsstarkes Werkzeug hierfür ist der regelmäßige Role-Mining-Bericht innerhalb des Governance-Moduls. Diese Analyse hilft Ihnen unter anderem, Berechtigungen zu erkennen, die derzeit noch individuell verwaltet werden, sich jedoch möglicherweise besser über eine Business Rule steuern lassen. Haben Sie beispielsweise ein Team aus 10 Kollegen und wurde ein Zugriffsrecht individuell an 7 Teammitglieder vergeben? Dann sollten Sie prüfen, ob nicht eigentlich alle Teammitglieder dieses Recht erhalten sollten. Sie erkennen auch ungewöhnliche Ausnahmen. Ein Recht wird beispielsweise nur in einer bestimmten Abteilung genutzt, aber eine Person in einer anderen Abteilung hat dieses Recht ebenfalls. Das ist möglicherweise nicht beabsichtigt. Role Mining liefert solche und weitere Vorschläge, mit denen Sie ein Rollenmodell kontinuierlich verbessern und aktuell halten können.

Regelmäßig planen

Sie können die verschiedenen Schritte wie Reconciliation, Recertification und Role Mining mithilfe von HelloID regelmäßig planen. Welche Häufigkeit für Sie passend ist, können Sie selbstverständlich selbst festlegen.

Ihre Berechtigungen gemeinsam bereinigen?

Möchten Sie mehr darüber erfahren, wie Sie das Governance-Modul zur Bereinigung Ihrer Berechtigungsverwaltung einsetzen können? Sehen Sie sich hier die Funktionalitäten an und fordern Sie eine Demo an.

Governance ansehen