RBAC Best Practices für ein effektives Zugriffsmanagement
Moderne IAM-Lösungen wie HelloID nutzen die sogenannte rollenbasierte Zugriffskontrolle, Role Based Access Control (RBAC), um die Vergabe und Verwaltung von Konten und Berechtigungen zu organisieren. In größeren Organisationen ist es schließlich nicht praktikabel, dies für jeden Mitarbeiter einzeln zu verwalten. Stattdessen wird für jede Rolle festgelegt, welche Berechtigungen erforderlich sind, um die zugehörigen Aufgaben erfüllen zu können. Jeder mit derselben Rolle erhält identische Berechtigungen. So vereinfachen Sie Ihr Berechtigungsmanagement, können die Vergabe von Berechtigungen automatisieren und verhindern, dass einzelne Benutzer falsche Berechtigungen erhalten. In diesem Blog stellen wir einige konkrete RBAC Best Practices vor. Zunächst fassen wir jedoch das RBAC-Konzept kurz zusammen.
Die Grundlagen von RBAC
RBAC erfordert einen Satz eindeutiger Benutzerdaten, auch Attribute genannt, die beispielsweise in HR-Systemen gepflegt werden. Beispiele für solche Attribute sind die Funktion des Mitarbeiters, die Abteilung, in der er oder sie arbeitet, der Arbeitsort und die Qualifikationen einer Person. Indem Sie das System über diese Quelldaten mit der IAM-Plattform verbinden, können Sie all diese Daten nutzen, um die Berechtigungen einer Person festzulegen. Jeder, der beispielsweise als „Pflegefachkraft“ auf der „Kinderstation“ tätig ist, erhält dieselben Berechtigungen. Da Sie mehrere Benutzerattribute verwenden können und der Begriff „Rolle“ daher eigentlich zu eingeschränkt ist, wird auch von Attribute Based Access Control, ABAC, gesprochen.
Für die Implementierung verwendet HelloID sogenannte Business Rules, die Sie einfach erstellen, erweitern und kombinieren können. Damit lassen sich Berechtigungen auch auf mehreren Ebenen unkompliziert vergeben. Berechtigungen für E-Mail, Office und Intranet sind häufig für die gesamte Organisation generisch. Oft gibt es auch Berechtigungen, die jeder innerhalb einer bestimmten Abteilung oder an einem bestimmten Standort erhält, unabhängig von der jeweiligen Funktion. Nur ein Teil der Berechtigungen ist tatsächlich an einzelne Funktionen gebunden.
Mehrmals täglich führt Ihre HelloID-Plattform einen „Run“ aus, bei dem anhand der Quelldaten und Business Rules ermittelt wird, in welchen Systemen eine Person ein Konto benötigt und welche Berechtigungen sie erhalten soll. Anschließend werden die Änderungen gegenüber dem vorherigen Run in den angebundenen Zielsystemen umgesetzt. Zielsysteme reichen von Active Directory und Office-Anwendungen bis hin zu verschiedensten organisationsspezifischen Geschäftssystemen.
Das sind die Grundlagen, aber wie nutzen Kunden RBAC in der Praxis? Wir haben in unseren HelloID-Kundenreferenzen einige konkrete Beispiele gesammelt, wie RBAC eingesetzt wurde. Dabei beginnen wir mit den Grundlagen und arbeiten uns zu spezifischeren RBAC Best Practices vor.
Grundlegende RBAC-Implementierung
Mit HelloID können Sie ganz einfach starten und Ihr Berechtigungsmanagement dann in Folgeprojekten kontinuierlich erweitern und verfeinern. Bei der ersten Einführung beschränken Sie sich auf die Anbindung eines Quellsystems, meist des HR-Systems, sowie eines oder zweier Zielsysteme mit nur wenigen Rollen. Eine mittelgroße Kommune berichtete dazu:
„Dank der Anbindung an das HR-System werden alle Personaländerungen automatisch an HelloID übermittelt. HelloID sorgt dafür, dass die richtigen Konten und Zugriffsberechtigungen bereitgestellt werden. Dies beschränkt sich nicht auf das Onboarding neuer Mitarbeiter. Auch Funktionsänderungen werden automatisch verarbeitet und wenn jemand die Organisation verlässt, sorgt HelloID dafür, dass das betreffende Konto und die Zugriffsberechtigungen automatisch gesperrt werden. Role Based Access Control wurde grundlegend mit einem klar abgegrenzten Satz von Rollen implementiert. Dieser kann später bei Bedarf um spezifischere Rollen und zugehörige Zugriffsberechtigungen erweitert werden.“
Auch bei einer solch grundlegenden Einführung ist der Nutzen oft bereits erheblich. Selbst wenn sich die Automatisierung beispielsweise auf die Vergabe von Konten und Berechtigungen in Active Directory beschränkt, erhält die IT-Abteilung deutlich mehr Kontrolle über das Berechtigungsmanagement und spart manuelle Arbeit ein.
.webp)
Größter Business Case mit Berechtigungsmanagement
Die größten Vorteile erzielen Sie jedoch, wenn Sie das vollständige Berechtigungsmanagement komplexer Geschäftsanwendungen automatisieren. Ein typisches Beispiel sind elektronische Patientenakten in Krankenhäusern und anderen Gesundheitseinrichtungen. So konnte eine mittelgroße Pflegeorganisation erhebliche Verbesserungen erzielen, indem sie das Berechtigungsmanagement ihres Pflegesystems Nedap Ons automatisierte. Bis dahin wurden nur die Konten automatisch bereitgestellt, während die Berechtigungen manuell eingestellt wurden:
„Für jeden Benutzer müssen Sie festlegen, welche Rolle oder Rollen er hat, welches Wochenplan- und Kompetenzprofil gilt und vor allem, welchen Bereich die Person im System abdeckt. Es geht nämlich nicht nur darum, welche Handlungen Sie ausführen dürfen, sondern auch darum, welche Klientendaten Sie einsehen und bearbeiten müssen. Das wird noch komplexer, weil viele Personen häufig mehrere Beschäftigungsverhältnisse oder Rollen haben. Auf vergleichbare Weise müssen Sie auch fein granular festlegen können, welche Mitarbeiterdaten für welchen Manager zugänglich sind.
Anhand von Abteilung, Jobtitel und Fachkompetenz einer Person bestimmt HelloID mithilfe einfach konfigurierbarer Business Rules vollautomatisch, welche Berechtigungen zugewiesen werden müssen. Auf diese Weise verfügt jeder neue Mitarbeiter jederzeit automatisch über die richtigen Ons-Berechtigungen. Bei Eintritt, aber auch bei zwischenzeitlichen Änderungen. Jede Änderung in den HR-Daten wird beim nächsten „Refresh“ in HelloID verarbeitet und in Zielsysteme wie Nedap Ons übertragen. Und wenn jemand unsere Organisation verlässt, werden alle sensiblen Daten automatisch sofort gesperrt. Insgesamt hat uns die Automatisierung einschließlich des Nedap-Ons-Berechtigungsmanagements eine Einsparung von rund 15 bis 20 Stunden pro Woche gebracht, und auch die Qualität hat sich wirklich verbessert.“
Mithilfe von Business Rules werden Benutzerattribute aus dem Quellsystem umfassend in die Berechtigungen übersetzt, die innerhalb der Anwendungen festgelegt werden. Dabei handelt es sich nicht um einfache Berechtigungen. Häufig sind es umfangreiche „zweidimensionale Kombinationen“ von Rechten:
Zum einen geht es um Funktionen, die eine Person mit einer bestimmten Funktion nutzen darf. Eine Pflegefachkraft darf beispielsweise keine Medikamente verschreiben, ein Arzt jedoch schon.
Zum anderen geht es um den Zugriff auf Patienten- und andere Daten. Im Rahmen der DSGVO sollten Beschäftigte im Gesundheitswesen möglichst nur Zugriff auf Patienten der eigenen Abteilung erhalten, zu denen eine Pflege- oder Behandlungsbeziehung besteht. Zudem hängt es von der Funktion ab, ob jemand medizinische Daten lediglich einsehen oder auch ändern darf.
Sie sehen also, dass diese Berechtigungen unmittelbar für die Compliance mit Informationssicherheitsnormen relevant sind. Tools4ever bietet in den meisten Fällen einen Standard-Connector für das betreffende System. Die Nutzung dieses Connectors kann exakt für Ihre spezifische RBAC-Ausgestaltung konfiguriert werden.
Zusätzliche Quellsysteme für beispielsweise Zeitarbeitskräfte
In den vorherigen RBAC Best Practices ging es noch um eigene Mitarbeiter. Viele Organisationen arbeiten jedoch mit externen Kräften, um Dienstpläne vollständig abzudecken. Dafür nutzen sie heute häufig Online-Broker-Plattformen, auf denen der gesamte Vermittlungsprozess automatisiert ist, von der Suche bis zur Einsatzplanung externer Kräfte.
Damit ist es jedoch noch nicht getan. Sie möchten diese externen Kräfte vollständig einbinden, und dazu gehören eigene Konten und Zugriffsberechtigungen. Gleichzeitig möchten viele Organisationen diese temporären Mitarbeiter nicht in das HR-System aufnehmen. Eine Lösung besteht darin, eine solche Online-Vermittlungsplattform direkt als zusätzliches Quellsystem an Ihr IAM anzubinden. Im folgenden Beispiel wurde dies bei einer Gesundheitseinrichtung umgesetzt, die die Vermittlungsplattform Elanza nutzt:
„Wir möchten externen Kräften während eines Einsatzes ebenfalls Zugriff beispielsweise auf das Pflegesystem geben, jedoch mit exakt den richtigen Berechtigungen. Früher haben wir dies provisorisch organisiert. Einige externe Kräfte, die viele Einsätze hatten, wurden in unser Personalsystem aufgenommen, für andere war schlicht kein Konto verfügbar. Dann mussten externe Kräfte einen internen Kollegen um Hilfe bitten, wobei natürlich das Risiko besteht, dass Personen „kurz“ das Konto des anderen verwenden. Das ist im Rahmen Ihrer NEN-7510-Compliance selbstverständlich nicht wünschenswert. Die Lösung war der HelloID-Elanza-Connector. Dadurch fungiert Elanza als zusätzliches Quellsystem für HelloID. Wir können externe Kräfte nun vergleichbar mit festen Kollegen mit Konten und Zugriffsberechtigungen ausstatten.“
Für Ihr RBAC nutzen Sie normalerweise die Attribute Ihres HR-Systems, um die richtigen Berechtigungen zu vergeben. Nun ist auch die Elanza-Plattform angebunden, und die Daten einer externen Kraft sowie deren Dienstplandaten werden an HelloID übermittelt, um anhand von Business Rules die richtigen Berechtigungen bereitzustellen. Übrigens kann eine externe Kraft für jeden Einsatz andere Berechtigungen benötigen. Außerdem möchten Sie den Zugriff außerhalb der Einsätze automatisch sperren. Dies wurde wie folgt gelöst:
„Die Konten werden natürlich nicht ständig gelöscht, aber außerhalb der Einsätze automatisch deaktiviert. Eine Person wird also für einen bestimmten Einsatz zu einem bestimmten Zeitpunkt, für eine bestimmte Funktion und Abteilung eingestellt. Anhand dieser Daten sorgt HelloID dafür, dass die Konten aktiviert und beispielsweise in Nedap ONS mit den passenden Berechtigungen versehen werden. Nach dem Einsatz werden die Konten wieder deaktiviert und die Berechtigungen entzogen. Beim nächsten Einsatz werden wieder andere Berechtigungen eingestellt usw. Eine externe Kraft kann somit bei jedem Einsatz direkt arbeiten, hat aber zwischen den Einsätzen keinen Zugriff auf unsere Systeme.“
Steuerung manueller Prozesse
Bei RBAC denken wir zunächst an die automatisierte Verwaltung digitaler Berechtigungen. Dieser Mechanismus lässt sich jedoch auch zur Steuerung verschiedenster manueller Tätigkeiten einsetzen. Hierfür nennen wir zwei Beispiele.
Bereitstellung physischer Arbeitsmittel
Abhängig von der Rolle innerhalb einer Organisation kann ein Mitarbeiter beispielsweise auch einen Laptop, ein Smartphone, einen Zugangsausweis und Arbeitskleidung benötigen. Die Bereitstellung dieser Arbeitsmittel, ebenso wie deren Rücknahme, wenn sie nicht mehr benötigt werden, ist ein komplexer logistischer Prozess, der häufig über ein IT-Service-Management-System wie TOPdesk verwaltet wird. Ihre IAM-Plattform kann dabei die Steuerung übernehmen. Eine Gesundheitseinrichtung berichtete hierzu:
„Wir werden auch unsere TOPdesk-Anbindung noch umfassender nutzen. Künftig kann HelloID TOPdesk automatisch anweisen, neuen Mitarbeitern, abhängig von ihrer Rolle, rechtzeitig Laptops, Smartphones und Zugangsausweise bereitzustellen. Ebenso können diese rechtzeitig wieder eingezogen werden, wenn jemand die Organisation verlässt oder sie nicht mehr benötigt.“
Auch eine Sicherheitsregion organisiert so die Bereitstellung von Geräten und Kleidung beispielsweise für Feuerwehrmitarbeiter. Die physische Bereitstellung erfolgt auf Grundlage von Service-Tickets, die an das Service-Management-System gesendet werden. Sie möchten diese Tickets anhand aktueller Benutzerdaten und Ereignisse automatisch erstellen. Wann tritt jemand ein, oder wann verlässt ein Benutzer die Organisation? Ihre IAM-Plattform hat diesen Überblick und verfügt über alle Daten, um die erforderlichen Tickets rechtzeitig auszulösen.
Zunächst Ihr Provisioning steuern, anschließend automatisieren
Grundsätzlich ist es hilfreich, dass Sie mit HelloID Ihr Konto- und Berechtigungsmanagement schrittweise automatisieren können. Es gibt beispielsweise Organisationen, in denen die neue IAM-Plattform zunächst primär zur Steuerung ihres Provisioning-Prozesses eingesetzt wird. Sie beginnen mit automatischen Benachrichtigungen der IAM-Plattform an die Fachadministratoren. Diese Benachrichtigungen enthalten die Aufforderung, Konten zu erstellen und Berechtigungen in den betreffenden Systemen zu ändern. Erst in einem Folgeschritt wird tatsächlich automatisiert. Eine Gesundheitseinrichtung berichtete:
„Das ist der Entwicklungspfad, den wir gesucht haben. Zunächst nutzen wir HelloID daher vor allem, um den gesamten Prozess besser zu steuern und zu überwachen. Anschließend können wir immer mehr Zielsysteme an HelloID anbinden. Dann sind auch die Benachrichtigungen nicht mehr erforderlich und die Verwaltung von Konten und Zugriffsberechtigungen wird vollständig automatisiert. Derzeit planen wir beispielsweise die Einführung der neuen Anbindung zwischen HelloID und der elektronischen Patientenakte Chipsoft HiX. Zunächst haben wir also die „Orchestrierung“ unseres Kontenmanagements umgesetzt und entwickeln uns von dort aus nun zur vollständigen Automatisierung weiter.“
Physisches Zugriffsmanagement mit Ihrem IAM
Mithilfe von RBAC können Sie auch das physische Zugriffsmanagement besser organisieren. Zugangsausweise werden heute häufig noch getrennt durch das Facility Management oder eine vergleichbare Abteilung in einem eigenen Standalone-System verwaltet. Das ist eigentlich ungewöhnlich, denn die Verwaltung ist mit Ihrem digitalen Zugriffsmanagement vergleichbar. Auch bei Gebäuden und Räumen hängt der Zugriff häufig von Funktion, Abteilung und anderen Merkmalen einer Person ab.
Aus diesem Grund bezog eine der Sicherheitsregionen in den Niederlanden ihre Zutrittsrichtlinien in die Automatisierung ihres Konten- und Zugriffsmanagements ein:
„Selbstverständlich arbeiten die Mitarbeiter an verschiedenen Standorten, von Bürostandorten bis hin zu Feuerwachen. Jeder Mitarbeiter erhält einen eigenen Ausweis mit einem hinterlegten Profil, das festlegt, zu welchen Standorten eine Person Zugang hat oder nicht. Auch diesen Zugang verwalten wir heute über HelloID. Dafür nutzten wir bereits ein Verwaltungssystem, Paxton. Tools4ever hat auf Basis der Paxton-API eine HelloID-Anbindung entwickelt. Damit haben wir die Zuweisung von Zugangsprofilen in HelloID integriert. Das bedeutet, dass nun jeder anhand von Funktion, Abteilung und Vertragsdaten dem richtigen Paxton-Profil zugeordnet werden kann. So halten wir digitales und physisches Zugriffsmanagement synchron.“
Das ursprüngliche Ausweisverwaltungssystem bleibt also im Einsatz, da die physischen Ausweise konfiguriert und aktiviert werden müssen. Das IAM steuert jedoch, wer welches Zugangsprofil erhalten darf.
Temporäre Rollen für Ihr Preboarding
Viele Organisationen stellen über ihr automatisiertes Provisioning sicher, dass neue Mitarbeiter am Tag des Onboardings Zugriff auf ihre Systeme erhalten. Meist werden die digitale Identität und die Konten bereits vor dem Eintritt erstellt, aber erst mit dem Eintritt über Business Rules tatsächlich aktiviert. Ein Kunde entschied sich jedoch dafür, neuen Mitarbeitern früher Zugriff zu gewähren:
„Früher erhielten neue Mitarbeiter erst beim Onboarding Zugriff auf die IT-Systeme. Ein wirklich unangenehmes Szenario, denn dann ist alles neu, obwohl Sie am ersten Tag direkt produktiv starten möchten. Das haben wir nun gelöst, und neue Kollegen erhalten bereits einen Monat vorher Zugriff auf das Intranet und die Systeme. So können sie sich in Ruhe mit der Software vertraut machen, Kollegen E-Mails senden, Online-Schulungen absolvieren, Dienstplandaten einsehen und sogar bereits Dienstplananfragen stellen.
Bis zum Tag des Onboardings beschränken wir die Berechtigungen dennoch, denn selbstverständlich dürfen noch keine Klientendaten eingesehen werden. Am Tag des Onboardings passt HelloID die Einstellungen automatisch an, und ab diesem Zeitpunkt stehen die vollständigen Berechtigungen zur Verfügung. Das ist eine enorme Verbesserung. Es ist für die Menschen deutlich angenehmer, auf diese Weise zu beginnen, und eine Win-win-Situation, denn sie sind auch sofort wesentlich produktiver.“
Dies zeigt auch die Bedeutung von Business Rules, in denen Sie das Vertragsdatum und andere Daten für Ihr Konten- und Berechtigungsmanagement verwenden können. Indem Sie diese Daten direkt beispielsweise aus Ihrem HR-System erhalten, können Sie alle Änderungen exakt zum richtigen Zeitpunkt umsetzen. Manchmal genau zum Zeitpunkt der Änderung, auf Wunsch jedoch auch bereits einige Wochen vorher. Organisationen nutzen hierfür teilweise auch temporäre Rollen mit angepassten Berechtigungen, die am Tag des Onboardings in die tatsächliche Funktion überführt werden.
Role Mining als RBAC-Tool
Viele Organisationen beginnen mit einem klar abgegrenzten Einstiegsszenario, beispielsweise mit einem Quellsystem und Active Directory als Zielanwendung. Von dort aus entwickeln sie sich weiter. Dabei stellt sich die Frage, wie Sie ein initiales RBAC-Modell oder Rollenmodell entwickeln, also einen ersten Satz von Business Rules, den Sie anschließend schrittweise verfeinern und erweitern können.
Meist ist es nämlich komplex, die bestehende Organisation und ihre Prozesse in einen solchen ersten Entwurf zu übertragen. Deshalb haben wir einen Role-Mining-Ansatz entwickelt, bei dem wir eine Art Reverse Engineering einsetzen. Ausgangspunkt ist, dass Sie auch bei der bisherigen manuellen Verwaltung bereits versucht haben, Benutzer bestmöglich mit den richtigen Konten und Berechtigungen auszustatten. Indem Sie diese bestehenden Daten intelligent wiederverwenden, erstellen Sie ein erstes Rollenmodell.
Das funktioniert wie folgt: Sobald Sie HelloID an einige Systeme angebunden haben, können Sie die dort bestehenden Einstellungen hochladen. Diese lassen sich analysieren, und Sie können Zusammenhänge zwischen den Attributen der Benutzer im Quellsystem einerseits sowie den bestehenden Benutzerkonten und Zugriffsberechtigungen in Zielsystemen andererseits erkennen.
So erhalten Sie Einblick darin, welche Ressourcen normalerweise Teams, Abteilungen oder Funktionen zugeordnet sind. Mit diesen Erkenntnissen können ein IT-Administrator und ein HR-Mitarbeiter gemeinsam mit einem Tools4ever-Berater bereits in einer Sitzung ein erstes Rollenmodell erstellen. Ein Kunde berichtete über die Ergebnisse:
„Wir hatten keine im Voraus durchdachte Rollen- und Berechtigungsstruktur und waren daher besorgt, wie wir dies angehen sollten. In einer solchen Role-Mining-Sitzung kombinieren Sie jedoch die Daten aus AFAS mit den bereits vorhandenen Einstellungen in Active Directory. Daraus lässt sich ein erstes Rollenmodell ableiten. Sie erkennen beispielsweise schnell, welche Benutzergruppen ähnliche Berechtigungen benötigen, und können so eine erste Berechtigungsstruktur mit einem handhabbaren Satz von Business Rules erstellen. Damit haben wir bereits rund 70 % aller Berechtigungen automatisiert und können dies nach und nach weiter ausbauen.“
Gleichzeitig ist dieses erste Rollenmodell natürlich nicht endgültig. Sie können es um neue Anwendungen erweitern und die Berechtigungsstruktur verfeinern. Auch Organisationen verändern sich. Abteilungen werden zusammengeführt oder aufgeteilt, und neue Funktionen entstehen. Ein Rollenmodell ist daher ein dynamisches Gebilde, das Sie regelmäßig überprüfen und bei Bedarf anpassen sollten.
Deshalb integrieren wir Role-Mining-Funktionalität in das HelloID-Governance-Modul. Mithilfe von Mustererkennung bietet HelloID regelmäßig Empfehlungen zur Optimierung Ihres Berechtigungsmodells. Damit verfügen Sie nicht nur über ein Role-Mining-Tool zur Erstellung eines ersten Rollenmodells. Sie können dieses Modell anschließend auch kontinuierlich weiterentwickeln und optimieren.
Möchten Sie mehr über die Nutzung von RBAC in HelloID erfahren?
In diesem Blog haben wir verschiedene Beispiele genannt, wie bestehende HelloID-Kunden RBAC und unsere Business Rules einsetzen, um ihr Berechtigungsmanagement optimal für ihre eigene Organisation und ihre Anforderungen einzurichten. Kontaktieren Sie uns wenn Sie mehr über RBAC in HelloID erfahren möchten.