Just-in-Time (JIT)
Was ist Just-in-Time (JIT)?
Just-in-Time bedeutet, dass Produkte und Halbfertigprodukte erst geliefert werden, wenn sie benötigt werden. So sparen Sie unter anderem Lagerkosten. In diesem Artikel erläutern wir zunächst dieses effiziente Unternehmenskonzept und seine Hintergründe näher. Anschließend zeigen wir, dass dieser JIT-Mechanismus auch in IT-Umgebungen sinnvoll eingesetzt werden kann. Dabei gehen wir ausführlich auf die spezifischen Möglichkeiten von JIT Access und JIT Provisioning ein, um Ihr Identity and Access Management zu verbessern.
Ursprung der Just-in-Time-Methode
Just-in-Time (JIT) ist ursprünglich eine Managementstrategie, die in Japan entwickelt und erstmals bei Industrieunternehmen wie Toyota eingesetzt wurde. JIT wird häufig zusammen mit Konzepten wie Kaizen und Lean Management verwendet. Dabei handelt es sich durchweg um Methoden, die darauf ausgerichtet sind, die Betriebsabläufe und die Produktion von Organisationen zu optimieren und bei minimalen Kosten möglichst viel Wertschöpfung zu erzielen.
Wie funktioniert Just-in-Time in einem Unternehmen?
JIT wurde speziell entwickelt, um Verschwendung zu minimieren und die Effizienz in Produktions- und Logistikprozessen zu optimieren. Ziel ist es, die gesamte Produktionskette so zu organisieren, dass Rohstoffe und Halbfertigprodukte unmittelbar vor der eigentlichen Produktion geliefert werden. Anschließend werden auch die eigenen Produkte zum richtigen Zeitpunkt hergestellt, damit sie direkt an die Abnehmer weitergeleitet werden können. Das bietet wichtige Vorteile, birgt jedoch auch Risiken, die Sie berücksichtigen müssen:
Vorteile von Just-in-Time: Jede unnötige Lagerung von Materialien verursacht Kosten. Lagerflächen sind teuer, Gegenstände können beschädigt werden, und es besteht das Risiko, dass Restbestände übrig bleiben. Mit JIT optimieren Sie Ihre Bestände, was sich positiv auf Ihre Rentabilität auswirkt.
Nachteile von JIT: Gleichzeitig lässt sich dies nur organisieren, wenn alle Zulieferer, Abnehmer und Logistikunternehmen eng zusammenarbeiten. Das ist äußerst komplex. Wenn an einer Stelle etwas schiefläuft, kann die gesamte Kette unmittelbar ins Stocken geraten. Der gesamte Betriebsablauf kann praktisch zum Stillstand kommen, weil ein einziges Bauteil fehlt.
Ist JIT rentabel?
Das bedeutet, dass nicht von vornherein sicher ist, ob ein JIT-Ansatz immer die gewünschte Rendite erzielt. Dies ist je nach Unternehmen unterschiedlich und hängt von den Unternehmenszielen sowie den Anforderungen der Kunden ab. Aus Kostensicht ist JIT häufig die ideale Wahl. Wenn jedoch die Lieferzuverlässigkeit entscheidend ist, wählen Sie möglicherweise ein anderes Geschäftsmodell.
Just-in-Time IAM
Just-in-Time hat seine Wurzeln somit im Industriesektor, wo es die Produktion optimieren kann. Gleichzeitig können Sie dieselbe JIT-Philosophie auch in anderen Bereichen anwenden. Das reicht vom Gesundheitswesen, Einzelhandel und Supermärkten bis hin zur Gastronomie, zu Fast-Food-Ketten und zum Bauwesen. Selbst in der IT können Sie JIT-Konzepte einsetzen, insbesondere bei der Bereitstellung von Lizenzen, Konten und Zugriffsrechten.
Organisationen nutzen Identity-and-Access-Management-Systeme, um sicherzustellen, dass ihre IT-Anwender mit den richtigen digitalen Konten und den erforderlichen Zugriffsrechten ausgestattet werden.
Principle of Least Privilege und niedrigere Lizenzkosten
Dabei gilt in der Regel der Grundsatz, dass Personen nur Zugriff auf Funktionen und Daten erhalten dürfen, die sie für ihre Arbeit benötigen. Dies bezeichnen wir als das „Principle of Least Privilege“. Darüber hinaus sollen Anwender diese Konten und Rechte erst erhalten, wenn sie diese tatsächlich benötigen, nicht früher. Zugriffsrechte sollen also „just in time“ vergeben und auch rechtzeitig wieder entzogen werden. Dadurch verbessern wir die Informationssicherheit und verhindern zudem, dass teure Lizenzen unnötig in Nutzung bleiben. Dafür sind zwei Konzepte relevant:
Just-in-Time Provisioning. Dieses Konzept zielt darauf ab, Benutzerkonten möglichst erst dann anzulegen, wenn sie tatsächlich benötigt werden. Unbenutzte Lizenzen und Konten, die bereits ungenutzt in unseren Systemen bereitstehen, möchten wir vermeiden.
Just-in-Time Access. Dies ist der nächste Schritt. Anwendern mit einem Konto möchten wir bestimmte Nutzungsrechte nur für einen begrenzten Zeitraum gewähren, wenn sie diese tatsächlich benötigen. Sollte eine andere Person unbeabsichtigt Zugriff auf ein solches Konto erhalten, begrenzen wir dennoch den Schaden.
Nachfolgend geben wir einige Beispiele.
Just-in-Time Provisioning
Mithilfe des automatisierten User Provisioning moderner IAM-Lösungen wie HelloID stellen wir sicher, dass Konten und die dazugehörigen Rechte erst bereitgestellt werden, wenn sie tatsächlich benötigt werden. Hierfür verwenden wir Benutzerattribute wie die Funktion, Abteilung und weitere Merkmale einer Person. Diese Daten werden beispielsweise im HR-System aktuell gehalten und über eine direkte Anbindung an die IAM-Plattform übermittelt.
So können wir einen neuen Mitarbeiter zum Vertragsbeginn automatisch mit Benutzerkonten und Zugriffsrechten ausstatten, die zu seiner Funktion und Abteilung passen. Wenn er oder sie später eine andere Funktion oder Abteilung erhält, werden die Konten und Rechte unmittelbar angepasst. Ihre IAM-Provisioning-Funktion verarbeitet damit alle Änderungen „just in time“. Verlässt eine Person die Organisation? Auch dann stellt die Plattform sicher, dass Konten und Rechte rechtzeitig gesperrt werden.
JIT Provisioning über Identity Provider und SSO
Sie sehen, dass wir dem Ideal des Just-in-Time Provisioning damit bereits sehr nahekommen. Manchmal suchen Organisationen jedoch nach einem noch strengeren JIT-Provisioning-Ansatz. Beispielsweise bei Gastkonten für Partner oder Kunden. Solche Konten werden häufig unverbindlich angeboten, und es ist nicht im Voraus sicher, ob und wann der Gast sie verwenden wird. Daher möchten Sie nicht bereits im Vorfeld ein Benutzerkonto anlegen.
Deshalb bieten Identity Provider wie Entra ID eine JIT-Provisioning-Lösung, bei der ein Konto erst erstellt wird, wenn sich der Anwender zum ersten Mal am System anmeldet. In den Single-Sign-On-Einstellungen ist bereits angegeben, dass der betreffende Anwender Anspruch auf diese Anwendung hat, das Konto wird jedoch erst jetzt angelegt. So vermeiden Sie, dass sich über längere Zeit ungenutzte Konten in Ihren Systemen befinden.
Just-in-Time Access
In den vorangegangenen Beispielen ging es darum, Konten und die dazugehörigen Basisrechte zum richtigen Zeitpunkt bereitzustellen. Darüber hinaus kann es spezifische Rechte geben, die Sie nur zu bestimmten Zeitpunkten verfügbar machen möchten. Auch dafür stehen Lösungen zur Verfügung.
JIT Access im Privileged Access Management
Bei Administratorkonten, auch Privileged Accounts genannt, möchten Sie Sicherheitsrisiken häufig begrenzen, indem Sie Administratoren Verwaltungsrechte für Server, Datenbanken, Cloud-Umgebungen und Anwendungen jeweils nur vorübergehend gewähren. Hat ein Administrator eine Aufgabe ausgeführt, werden die erhöhten Rechte wieder entzogen. Diese Form von Just-in-Time Access oder JIT Access wird beispielsweise von sogenannten Privileged-Access-Management-Systemen, PAM-Systemen, eingesetzt.
Diese Systeme helfen dabei, unbefugten Zugriff und Missbrauch solcher Privileged Accounts zu verhindern. Beispiele sind CyberArk, BeyondTrust und Microsoft PIM. Innerhalb dieser Systeme werden erhöhte Rechte jeweils nur vorübergehend gewährt und nach einer bestimmten Zeit automatisch wieder entzogen.
Conditional Access
Eine weitere Möglichkeit, um zu verhindern, dass Anwender jederzeit und überall Zugriff auf Anwendungen und Daten haben, ist Conditional Access. Eine Person verfügt dann zwar über ein dauerhaftes Konto und festgelegte Rechte, diesen Rechten werden jedoch zusätzliche Bedingungen hinzugefügt. Sie gelten beispielsweise nur während der Arbeitszeiten oder aus dem Unternehmensnetzwerk. Abends oder bei einer Remote-Anmeldung verfügen Sie automatisch nur über eingeschränkte Zugriffsrechte.
Rechtemanagement bei flexiblen Arbeitskräften
In vielen Organisationen arbeiten Mitarbeitende und externe Kräfte, die an verschiedenen Standorten und in unterschiedlichen Abteilungen wechselnde Schichten übernehmen. Eine solche Person benötigt häufig für jede Schicht andere Zugriffsrechte. Wenn Sie eine Pflegekraft für verschiedene Dienste einteilen, muss sie innerhalb der elektronischen Patientenakte jeweils die Daten anderer Abteilungen und Patienten einsehen können.
Glücklicherweise planen die meisten Organisationen solche Dienste mit einem Planungstool. Durch die Anbindung dieser Planungsanwendung als zusätzliches Quellsystem an Ihre IAM-Plattform können wir sicherstellen, dass jeder Anwender automatisch für jede Schicht mit den richtigen Rechten ausgestattet wird. Standardmäßig verfügen Mitarbeitende über ihre Basiskonten und Rechte. Zusätzlich werden „just in time“ die ergänzenden Rechte hinzugefügt, die erforderlich sind, um die bevorstehende Schicht übernehmen zu können.
Just-in-Time Konto- und Rechtemanagement?
Mit dem HelloID Provisioning-Modul stellen Sie sicher, dass jeder Mitarbeiter automatisch zum richtigen Zeitpunkt Zugriff auf die benötigten Konten und Zugriffsrechte erhält. Mehr dazu erfahren Sie hier .