Wie sieht eine ausgereifte IAM-Umgebung aus?
Viele Organisationen haben inzwischen in eine moderne IAM-Umgebung wie HelloID investiert. Damit ist es jedoch noch nicht getan. Die Plattform bietet einen umfangreichen Satz an Verwaltungsfunktionen, jedoch müssen Sie selbst entscheiden, welche Funktionen Sie nutzen und wie Sie diese einsetzen. In der Regel möchten Sie auch nicht sofort alle Funktionen ausrollen. Sie treffen Entscheidungen und benötigen einen Entwicklungsplan. Ziel ist eine ausgereifte IAM-Umgebung, doch was als ausgereift gilt, hängt von Ihren Unternehmenszielen und Rahmenbedingungen ab und verändert sich zudem im Laufe der Zeit. Daher ist es sinnvoll, Ihren IAM-Reifegrad regelmäßig zu evaluieren; dafür bietet Tools4ever einen eigenen Health Check.
Verpassen Sie keine IAM-Chancen
In der Praxis verpassen Organisationen Chancen, etwa weil nach der ersten IAM-Einführung Folgeschritte ausbleiben, oft unbeabsichtigt. Wir nennen einige Beispiele.
Nicht alle Zielsysteme sind angebunden
Wenn Sie bei Ihren IAM-Plänen einige Zielsysteme außer Acht lassen, schöpfen Sie die Möglichkeiten oft nicht aus. Ein Beispiel: Bereits mit einem initialen IAM-Rollout, bei dem Sie nur Entra ID als Zielsystem anbinden, erzielen Sie erhebliche Effizienzgewinne und Qualitätsverbesserungen. Sie automatisieren damit unmittelbar die komplette Zugriffsverwaltung für E-Mail, Office-Anwendungen usw., einschließlich der Gruppenzuweisungen. Es wäre jedoch in den meisten Fällen schade, wenn es dabei bliebe.
Häufig gibt es weitere stark genutzte Anwendungen mit komplexer Zugriffsverwaltung, bei denen Automatisierung enorm hilft. Zum Beispiel Klinikinformationssysteme und Case-Management-Systeme. Über eine Anbindung an das IT-Service-Management-System können Sie zudem die Ausgabe von Smartphones, Laptops und anderen Assets besser organisieren. Und durch die Kopplung des Kartensystems an HelloID vergeben Sie künftig automatisch die richtigen physischen Zutrittsrechte. Mit jeder Anbindung erweitern Sie den Umfang Ihrer Berechtigungsverwaltung.
Fehlende Benutzergruppen
Mit diesem ersten IAM-Rollout lässt sich zudem die Zugriffsverwaltung für das eigene Personal gut abdecken, jedoch noch nicht für andere Benutzergruppen. Daten von Studierenden in Bildungseinrichtungen, externen Kräften, Praktikantinnen und Praktikanten usw. sind meist nicht im HR-System erfasst. Indem Sie auch die Anwendungen, in denen diese Daten geführt werden, als Quellsysteme anbinden, können Sie auch deren Zugriffsverwaltung automatisieren.
Accountverwaltung vorhanden, aber keine Berechtigungsverwaltung
Häufig startet die Provisionierung zunächst nur mit der Automatisierung der Accountverwaltung. In vielen Systemen lässt sich jedoch mit der Verwaltung der Berechtigungen noch mehr erreichen, insbesondere bei komplexen Anwendungen mit vielen Änderungen. Berechtigungen unterscheiden sich in der Regel nach Rolle und Abteilung, und mitunter sollen sie sogar vom Dienstplan abhängen. Das macht die Berechtigungsverwaltung sehr komplex, und durch Automatisierung lässt sich hier ein großer Qualitätssprung erzielen.
Kein Management der Ausnahmen
Selbst wenn Sie alle Möglichkeiten Ihrer User-Provisioning ausschöpfen, decken Sie damit in der Regel etwa 80 Prozent der gesamten Berechtigungsverwaltung ab. Es gibt immer Ausnahmen, die individuell bearbeitet werden müssen. Gleiches gilt für andere Verwaltungsaktionen wie Namensänderungen, Passwort-Resets usw. Solange Sie dies manuell direkt in den jeweiligen Zielsystemen erledigen, bleibt die Fehleranfälligkeit hoch und Änderungen sind schwer zu kontrollieren und nachzuverfolgen. Erst durch Zentralisierung und Straffung über Ihre IAM-Plattform erhalten Sie auch über die verbleibenden 20 Prozent Ihres Berechtigungsmanagements Kontrolle.
Der Nutzen eines IAM-Maturity-Checks
Um Verbesserungspotenziale zu erkennen und gezielt umzusetzen, benötigen Sie eine gut organisierte Identitäts- und Berechtigungsstrategie, in der Sie die Verwaltung regelmäßig evaluieren und die Ergebnisse mit dem Management besprechen. Wie ausgereift sind unsere IAM-Prozesse aktuell, gemessen an den Zielen der Organisation und der bestehenden Betriebsführung? Was läuft gut, was kann verbessert werden und erfüllen wir noch alle relevanten Gesetze und Normen?
Um das zu beurteilen, verwenden wir bei Tools4ever unseren eigenen IAM Health Check. Damit bewerten Sie Ihren IAM-Reifegrad im Detail in verschiedenen Domänen.
Evaluation Ihres IAM-Reifegrads pro Domäne
Bei dieser Evaluation geht es um die folgenden IAM-Domänen:
Richtlinien. Gibt es eine klare, organisationsweite Richtlinie für Identitäts- und Zugriffsverwaltung? Ist die Verantwortung dafür im Management verankert und besteht ein Zusammenhang mit der übrigen Sicherheitsstrategie? Werden Mitarbeitende ausreichend geschult und wird die Richtlinie regelmäßig evaluiert und verbessert?
Identitätsverwaltung. Werden alle Benutzerkonten zentral verwaltet, auch die von externen und temporären Kräften? Erstreckt sich dies über den gesamten Identity Lifecycle, von der Onboarding-Phase bis zum Austritt? Wie gehen Sie mit Service- und Systemkonten um und wie verhindern Sie verwaiste Konten in Ihrer IT-Umgebung?
Zugriffsverwaltung. Nutzen Sie Modelle wie RBAC, um Zugriffsrechte zu vergeben und zu verwalten, und unterstützen Sie Prinzipien wie Least Privilege und Funktionstrennung? Können die eingesetzten Mechanismen einfach evaluiert und verbessert werden? Unterstützen Sie auch die individuelle Rechtevergabe und -verwaltung? Bieten Sie Self-Service-Funktionen, können Verwaltungsaufgaben sicher zum Beispiel an Manager delegiert werden, und unterstützen Sie Workflows, um Benutzeranfragen zu prüfen und vergebene Rechte periodisch zu rezertifizieren?
Authentifizierung. Welche Authentifizierungsmethoden unterstützen Sie? Gibt es eine Passwortrichtlinie, wie wird diese gepflegt und in allen Systemen durchgesetzt? Wird Single Sign-On eingesetzt, wird Multi-Faktor-Authentifizierung als zusätzlicher Verifizierungsmechanismus verwendet und erfolgt deren Einsatz risiko- und kontextabhängig, etwa abhängig davon, wo oder wann sich jemand anmeldet? Ist der Zugriff auf Administrator- und Servicekonten zusätzlich abgesichert?
Monitoring und Logging. Können Sie Aktivitäten rund um Benutzerkonten und Zugriffsrechte protokollieren, einschließlich Anmeldeversuchen? Umfasst das Monitoring auch den Zugriff von Lieferanten und Partnern? Werden Protokolldaten gemäß gesetzlichen Anforderungen aufbewahrt und wie werden sie gegen Manipulation und Löschung geschützt? Berichten Sie dem Management darüber und wie werden die Daten analysiert und zur Prävention, Erkennung und Behandlung von Sicherheitsvorfällen genutzt?
Compliance und Regulierung. Wie stellen Sie die Compliance mit relevanten Gesetzen und Normen sicher und lassen diese zum Beispiel durch Auditoren prüfen? Verarbeiten Sie personenbezogene Daten und erfolgt dies konform zur DSGVO? Verfügen Sie über Prozesse zur Meldung von Datenpannen und Cybervorfällen sowie zu deren Behandlung? Können Sie in einem solchen Vorfall nachweisen, wer wann Zugriff auf welche Daten hatte?
Prüfen Sie Ihren IAM-Reifegrad mit dem HelloID Health Check
Mit einer solchen Analyse je Domäne, einem Gespräch mit den Stakeholdern und einer technischen Analyse der IAM-Umgebung können wir den Status quo und mögliche Verbesserungsbereiche transparent machen. Gibt es Themen, die Sie noch manuell verwalten und inzwischen besser automatisieren könnten? Gibt es Systeme, die noch nicht angebunden sind, oder verwalten Sie bei einer Anwendung nur die Accounts und noch nicht die Berechtigungen? Vermuten Sie, dass Zielsysteme noch viele alte Einstellungen enthalten? Und möchten Sie künftig auch externe Kräfte über Ihre IAM-Plattform verwalten?
Mit dem HelloID Health Check erhalten Sie Einblick in Gesundheit, Aufbau und Reife Ihrer IAM-Umgebung. Inklusive konkreter Empfehlungen für Quick Wins und Optimierungen, die unmittelbar Auswirkungen auf Verwaltung, Sicherheit und Benutzerfreundlichkeit haben. Sie erhalten die Empfehlungen als praxisnahen Aktionsplan mit klaren nächsten Schritten, um gezielt mehr aus HelloID herauszuholen. Interessiert an einem solchen HelloID Health Check? Neugierig, wo Sie noch Zeit sparen, Risiken reduzieren und mehr aus HelloID herausholen können? Melden Sie sich hier an für einen