Outsourcing und IAM. Was ändert sich?

• Strategie & Umsetzung

Beim Outsourcing lagern Sie Tätigkeiten, Prozesse oder Dienstleistungen an einen externen Anbieter aus. So lagern Organisationen beispielsweise Teile ihrer IT-Verwaltung, ihres Kundenservice, ihrer Administration oder ihrer Logistik an Outsourcing-Partner aus. Diese sind darauf spezialisiert und können diese Aufgaben häufig effizienter und besser ausführen, während Sie sich auf Ihre eigenen Kernaktivitäten konzentrieren können.

Doch was bedeutet das für Ihre Verpflichtungen als auslagernde Organisation? Auch wenn Sie Aufgaben an eine andere Partei auslagern, bleiben Sie weiterhin letztverantwortlich. Sie bleiben für die Qualität der Dienstleistungen gegenüber Ihren Endkunden haftbar, und dasselbe gilt für die Informationssicherheit. Outsourcing-Partner müssen sorgfältig mit personenbezogenen Daten und Unternehmensinformationen umgehen. Wie kann Identity & Access Management Sie dabei unterstützen?

Outsourcing und Compliance: Das ändert sich für IAM

Wo liegen die Berührungspunkte zwischen Outsourcing und IAM? Das hängt von der Art des Outsourcings ab. Nehmen wir beispielsweise einen Großhändler, der Medizinprodukte von Blutdruckmessgeräten bis hin zu Krankenhausbetten liefert. Die Organisation verfügt über eine eigene Logistikabteilung, die Lieferungen entgegennimmt und in eigenen Distributionszentren lagert und von dort aus den Versand an Gesundheitsdienstleister oder direkt an private Kunden abwickelt. Sie können diese Logistik vollständig selbst verwalten, aber auch auslagern. Wir nennen drei Beispiele für solche Auslagerungen.

Anwendungsoutsourcing

Logistiksoftware wurde, wie die meiste Software, traditionell von den eigenen IT-Abteilungen On-Premises implementiert und verwaltet. Inzwischen wird die Verwaltung von Unternehmenssystemen immer häufiger ausgelagert. Anfangs vor allem an Managed Service Provider, die die Verwaltung bestehender Anwendungen übernahmen, doch heute ist Software as a Service das beliebteste Geschäftsmodell. Dabei nutzen mehrere Kunden dieselbe cloudbasierte Standardlösung.

Der SaaS-Anbieter übernimmt in diesem Fall den operativen und technischen IT-Betrieb sowie die Weiterentwicklung der Software. Für Anwender ist sie einfach eine der Anwendungen, und die IT-Administratoren beim Kunden können sich auf die fachliche Verwaltung beschränken. Die Verwaltung von Benutzerkonten und Zugriffsrechten erfolgt grundsätzlich auf die gleiche Weise wie bei anderen Anwendungen, mithilfe der eigenen IAM-Lösung.

Team-Outsourcing

Viele Organisationen arbeiten mit Zeitarbeitskräften, um Lücken in den Dienstplänen zu schließen. Häufig handelt es sich dabei um einzelne Einsätze, doch eine Organisation kann über einen Outsourcing-Partner auch ein vollständiges externes Team beauftragen. Ein solches Team übernimmt eine Reihe von Aufgaben vollständig und wird auch von Managern des Outsourcing-Partners geführt. Auch Projekte werden auf diese Weise manchmal vollständig ausgelagert. In unserem Beispiel besitzt das Unternehmen weiterhin die Distributionszentren, Hilfsmittel und Systeme, während die operativen Logistiktätigkeiten in diesen Zentren an das externe Team ausgelagert sind. Das Unternehmen muss sich nicht um Personalbesetzung, Planung und andere Personalmanagementangelegenheiten kümmern.

Das digitale Berechtigungsmanagement verändert sich bei dieser Form des Outsourcings in der Regel nicht grundlegend. Mitarbeiter des externen Teams nutzen häufig dieselbe Software wie das eigene Personal, sodass Konten und Berechtigungen über bestehende IAM-Prozesse und -Systeme verwaltet werden können. Diese Konstruktion erfordert jedoch zusätzliche Aufmerksamkeit bei der Verarbeitung der Daten externer Teammitglieder. Darauf kommen wir im nächsten Abschnitt zurück.

Business Process Outsourcing, BPO

Die weitreichendste Form des Outsourcings liegt vor, wenn Geschäftsprozesse, beispielsweise die Rechnungsstellung oder der Kundenservice, vollständig an einen Dienstleister ausgelagert werden. Der Großhändler kann beispielsweise einen Vertrag mit einem Logistikpartner schließen, der mit eigenen Distributionszentren und Transportmitteln die gesamte Lieferkette des Unternehmens übernimmt. Von der Lagerung und Kommissionierung bis zum Transport der Lieferungen und der Abwicklung von Rücksendungen. Der Partner nutzt dafür eigene Distributionszentren, Transportmittel, Software und Personal.

Aus IAM-Perspektive verlagert sich ein Teil des operativen Zugriffs- und Berechtigungsmanagements zum Dienstleister. Der Anbieter verwendet überwiegend eigene Prozesse, Systeme und Mitarbeiter, benötigt jedoch häufig auch Zugriff auf bestimmte Systeme und Daten des Auftraggebers. Der Auftraggeber bleibt letztverantwortlich für die Zugriffsrichtlinien, die Governance und die Einhaltung gesetzlicher Vorschriften. Deshalb sind klare Vereinbarungen, Überwachung und Kontrollmechanismen unerlässlich.

4 typische IAM-Probleme beim Outsourcing

Beim Outsourcing lagern Sie Teile Ihrer Geschäftstätigkeit aus, doch wir haben bereits gesehen, dass dies Auswirkungen auf Ihr Identity & Access Management hat. Im Folgenden nennen wir einige IAM-Herausforderungen bei Outsourcing-Projekten.  

Integration von Cloud-Anwendungen

Beim Anwendungsoutsourcing geht es häufig um Cloud-Anwendungen und insbesondere um SaaS-Dienste. Für die Kundenorganisation sollte ein solcher Dienst ein integraler Bestandteil der weiteren Geschäftstätigkeit sein. Mitarbeiter müssen sich einfach über den eigenen Identity Provider anmelden können, und die Organisation möchte die Benutzer- und Berechtigungsverwaltung selbstverständlich selbst durchführen. In modernen Hybrid- oder Cloud-Umgebungen mit einer geeigneten IAM-Lösung, wie HelloID, ist die Anbindung eines zusätzlichen SaaS-Dienstes relativ einfach. Handelt es sich jedoch um die erste Migration in die Cloud aus einer bis dahin reinen On-Premises-Infrastruktur, kann dies einen erheblichen Migrationsaufwand bedeuten.

Provisionierung externer Teams

Beim Team-Outsourcing nutzen die Mitarbeiter eines solchen externen Teams in der Regel dieselben Systeme wie interne Mitarbeiter. Daher liegt es nahe, Konten und Zugriffsrechte auf die gleiche Weise über die bestehende IAM-Umgebung und die vorhandenen Prozesse zu provisionieren. Häufig fungiert das HR-System als primäres Quellsystem für Identitätsdaten. Es enthält Informationen wie Abteilung, Standort, Funktion und absolvierte Schulungen einer Person. Daten, die verwendet werden können, um automatisch die erforderlichen Konten und Berechtigungen bereitzustellen.

Bei externen Mitarbeitern funktioniert dies jedoch anders: Ihre Daten werden normalerweise nicht im HR-System, sondern in den Systemen des Outsourcing-Partners erfasst. Die Anbindung, Synchronisierung und Verifizierung dieser Daten erfordert sowohl technische Integration als auch Governance-Prozesse.

Verwaltung individueller Berechtigungen

In diesem Zusammenhang möchten Manager bei Bedarf auch individuelle Berechtigungen für ihre Teammitglieder erstellen lassen. Wichtig ist, dass solche individuellen Anträge und deren Bearbeitung so implementiert werden, dass diese Anträge kontrolliert werden und die gewährten Berechtigungen regelmäßig erneut überprüft werden. Sie möchten verhindern, dass eine große Gruppe nicht verwalteter Konten entsteht, über die niemand mehr den Überblick hat.

Governance

Bei BPO nutzt der Outsourcing-Partner eigene Systeme, Prozesse und Mitarbeiter. Dabei verarbeitet der Dienstleister häufig personenbezogene Daten der Kundenorganisation als Grundlage für die Dienstleistung. Im Beispiel der ausgelagerten Logistik müssen beispielsweise Adress- und Kontaktdaten von Kunden weitergegeben werden, um Lieferungen zu ermöglichen. Diese personenbezogenen Daten müssen bei diesem Logistikdienstleister genauso sicher sein wie innerhalb der eigenen Organisation. Als Kundenorganisation haben Sie jedoch keine operative Kontrolle darüber, wie die Daten beim Outsourcing-Partner verwaltet werden. Das bedeutet, dass den vertraglichen Vereinbarungen mit dem Partner, der weiteren Governance und der Überwachung zusätzliche Aufmerksamkeit gewidmet werden muss. Darauf gehen wir im nächsten Abschnitt ein.

Warum Governance beim Outsourcing wichtiger wird

Identity Governance und Compliance sind grundsätzlich sehr wichtig. Organisationen müssen gut auf zunehmend größere Cyberrisiken vorbereitet sein, die Einhaltung gesetzlicher Vorschriften nachweisbar gewährleisten und Prozesse haben, um das Berechtigungsmanagement kontinuierlich zu bewerten, zu verbessern und zu optimieren. Beim Outsourcing wird diese Governance noch wichtiger und gleichzeitig komplexer. IAM entwickelt sich schließlich von einem primär internen Organisationsprozess zu einem Kettenprozess, bei dem die Organisation und der Outsourcing-Partner eng zusammenarbeiten müssen.

Team-Outsourcing

Beim Team-Outsourcing bleibt das bestehende Berechtigungsmanagement häufig weitgehend erhalten, jedoch kommen externe Benutzer und Teammanager hinzu. Woher stammen die Daten, die innerhalb der IAM-Umgebung verwendet werden, um zu bestimmen, ob jemand bestimmte Berechtigungen erhalten darf? Verfügt die Person beispielsweise über die richtige Ausbildung? Anders als bei eigenen Mitarbeitern werden diese Daten nicht von der eigenen HR-Organisation verwaltet. Wie stellen Sie sicher, dass die Daten kontrolliert und aktuell gehalten werden? Und welchen Handlungsspielraum geben wir Teammanagern des Outsourcing-Partners bei der Vergabe und/oder Genehmigung individueller Zugriffsrechte für ihre Teammitglieder?

Business Process Outsourcing

Andere Herausforderungen bestehen bei vollständigem BPO. Der Outsourcing-Partner richtet die Prozesse in diesem Fall vollständig eigenständig ein. Als Kunde sind wir jedoch weiterhin dafür verantwortlich, dass der Outsourcing-Partner die Vorschriften einhält.

Im Bereich personenbezogener Daten fungiert der Partner beispielsweise als sogenannter Auftragsverarbeiter. Die Kundenorganisation ist im Sinne der DSGVO, Datenschutz-Grundverordnung, in der Regel der Verantwortliche und bleibt für den rechtmäßigen Umgang mit personenbezogenen Daten verantwortlich. Bei einer Datenschutzverletzung liegen Reputationsschäden, Wiederherstellungskosten, Schadensersatzansprüche und eine mögliche Geldbuße zunächst bei der Kundenorganisation. Es müssen daher klare Vereinbarungen darüber getroffen werden, wer innerhalb des Outsourcing-Partners Zugriff auf die Daten erhalten darf und welche Verarbeitungen zulässig sind. Darüber muss zudem berichtet werden, und es müssen umfassende Auditmöglichkeiten vorhanden sein.

Wie behalten Sie beim Outsourcing die Kontrolle über das Zugriffsmanagement?

Beim Outsourcing verändert sich die Rolle Ihres Identity & Access Managements. Es entwickelt sich von einem primär internen Prozess zu einem Prozess, der in mehreren Bereichen mit Systemen und Prozessen beim Outsourcing-Partner zusammenarbeiten muss. Mit einer modernen IAM-Plattform wie HelloID verfügen Sie jedoch über die richtigen Werkzeuge, um dies zu unterstützen:

• HelloID unterstützt föderierte Verbindungen mit Cloud-Anwendungen, unter anderem auf Basis von SAML und OIDC. Für die Provisionierung von Anwendungen bietet die Plattform einen umfangreichen Satz an Konnektoren für die meisten gängigen Cloud-Anwendungen.

• HelloID Provisioning kann mehrere Quellsysteme anbinden, sodass neben eigenen Mitarbeitern über das HR-System beispielsweise auch Konten für externe Mitarbeiter auf Basis von Daten aus den Systemen eines Outsourcing-Partners bereitgestellt werden können. Damit lässt sich auch der Identity Lifecycle dieser externen Mitarbeiter problemlos verwalten.

• Business Rules bieten die Flexibilität, das bestehende Rollenmodell einfach anzupassen, wenn ein oder mehrere Geschäftsprozesse an einen Outsourcing-Partner ausgelagert werden. Auch das Berechtigungsmanagement von Mitarbeitern externer Teams kann mithilfe von Business Rules einfach geregelt werden.

• Beim Team-Outsourcing können wir auch sicherstellen, dass externe Mitarbeiter individuelle Berechtigungen erhalten. Hierfür können wir mit dem Modul Service Automation spezifische Verwaltungsoberflächen und Self-Service-Funktionen konfigurieren. Einschließlich der zugehörigen Workflows, damit die Organisation die Kontrolle über solche Anträge behält. Diese Berechtigungen können zeitlich befristet erteilt werden.

• Es stehen umfassende Governance-Funktionen zur Verfügung, um die Kontrolle über den Zugriff externer Mitarbeiter auf Ihre Systeme und Daten zu behalten. Dazu gehören die Recertification-Funktion zur regelmäßigen erneuten Überprüfung erteilter Berechtigungen sowie Reconciliation zur Kontrolle der Konsistenz zwischen Systemen. Außerdem können wir proaktiv auf kollidierende Berechtigungen prüfen, um die Funktionstrennung, Segregation of Duties, zu gewährleisten.

• Auch die umfassenden Protokollierungs- und Reporting-Möglichkeiten in HelloID sind sehr wichtig, um den Outsourcing-Partner zu überwachen. Neben Informationen über Zugriffsversuche auf Systeme und Daten stehen unter anderem Berichte über alle erteilten Zugriffsrechte zur Verfügung, aufgeschlüsselt nach Benutzergruppen, Abteilungen, Rollen und weiteren Kriterien. Die Plattform bietet außerdem eine Übersicht über alle Business Rules und individuellen Berechtigungsanträge, einschließlich der Antragsteller und Prüfer.

Mehr über HelloID erfahren

Im Zusammenhang mit Outsourcing ist es außerdem wichtig zu wissen, dass HelloID als IDaaS-Lösung selbst Anwendungsoutsourcing bereitstellt. HelloID wird vollständig in der Cloud betrieben, sodass sich der Kunde vollständig auf die fachliche Verwaltung konzentrieren kann. Tools4ever übernimmt den vollständigen technischen und operativen Betrieb sowie die Weiterentwicklung der Plattform. Hier finden Sie weitere Informationen über HelloID und die verfügbaren Module.