Ganzheitliches IAM

ipg ag Tel. +41 52 245 04 74 information process group Fax +41 52 245 04 73 Jägerstrasse 2 www.ipg-ag.com CH-8406 Winterthur info@ipg-ag.com Ganzheitliches Identity & Access Management (IAM) Inhalt 1. Einführung 2 2. Aufgabe des Business 4 3. Die Technologie 5 3.1. Zugriff 5 3.2. Zugang 5 3.3. Identität 6 4. Abrundung 7 Ganzheitliches IAM Bericht von Daniel Reisacher, Senior IAM Consultant ipg ag ipg ag Tel. +41 52 245 04 74 information process group Fax +41 52 245 04 73 Jägerstrasse 2 www.ipg-ag.com CH-8406 Winterthur info@ipg-ag.com Dieser Artikel gibt Ihnen Antworten auf folgende Fragen: • Wie ergänzen sich die verschiedenen Themen der Informationssicherheit aus einem ganzheitlichen Betrachtungswinkel? • Was ist unter einem ganzheitlichen Identity & Access Management zu verstehen? • Wo beginnt das ganzheitliche Identity & Access Management und wo hört es auf? • Was muss auf der technologischen Seite bei einem ganzheitlichen Identity & Access Management berücksichtigt werden? 1. Einführung Was bedeutet Identity & Access Management (IAM)? IAM ist kein Produkt, es ist eine Lösung, die aus dem gezielten Einsatz mehrerer Produkte resultiert. Ziel des IAM ist: den richtigen Personen zum richtigen Zeitpunkt die entsprechenden Zugriffsrechte auf die Ressourcen zu erteilen. Die Zugriffsrechte eines Mitarbeiters sind abhängig von den Geschäftsprozessen in denen ein Mitar- beiter eingesetzt wird. Die benötigten Zugriffsrechte werden durch die Aufgaben und Funktionen (oder Rollen) sowie durch die Einbettung in der Aufbau-Organisation definiert. Damit all diese verschiedenen Vorgaben erfüllt werden können, gilt es, eine effiziente und nachvollziehbare Administration anzustreben. Der Begriff IAM wird oft missbraucht. Obwohl der Fokus auf der Technologie liegt, decken Produkt- hersteller und Lösungsanbieter oft nur einen Teil des gesamten IAM ab. Beim ganzheitlichen IAM-Ansatz müssen die Organisation und die Technologie gemeinsam betrachtet werden. Weil IAM bereits bei der Identitätsüberprüfung am Gerät beginnt und weiter über den Kommunikationsweg bis hin zu den bereitgestellten Ressourcen geht. Business Identity Management Access Management Mitgliedschaft Zugriffsrecht Benutzer Rollen / Gruppen Ressourcen Technologie Zusammenspiel von Business und Technologie Ganzheitliches IAM Bericht von Daniel Reisacher, Senior IAM Consultant ipg ag Seite 2/7 ipg ag Tel. +41 52 245 04 74 information process group Fax +41 52 245 04 73 Jägerstrasse 2 www.ipg-ag.com CH-8406 Winterthur info@ipg-ag.com Neben dem IAM gibt es noch diverse weitere Diszip- IAM linen, wie das Business Continuity Management (Identity & Access Management) (BCM), das Information Security Management Sys- tem (ISMS) und das Risk Management (RM), um nur ISMS einige zu nennen. Diese können sich gegenseitig …weitere (Information Security stark beeinflussen. Die Beeinflussung dieser Themen Management System) machen das Business und die IT stark voneinander abhängig. Die grosse Herausforderung im IAM be- steht darin, die Businessanforderungen im Zusam- BCM menspiel mit der IT auf einen gemeinsamen Nenner RM (Business (Riks Management) Continuity zu bringen. Management) angrenzende Disziplinen an IAM Der ganzheitliche IAM-Ansatz muss den gesamten Prozess des Benutzer- und Berechtigungsma- nagements abdecken. Es ist sicherzustellen, dass die Person, die sich an einem System anmeldet, auch die Person ist, für die sie sich ausgibt. Am Anfang der Prozesskette steht daher die Au- thentifizierung des Anwenders. Um die Identität an den unterschiedlichsten Zugangspunkten si- cherstellen zu können, sind entsprechende Technologien für den Authentisierungsprozess unab- dingbar. Dies erreicht ein Unternehmen in der Regel mit einer zentralen Datenbank – dem Meta- Directory. Dieses verfügt über alle Zugangsinformationen eines Mitarbeiters, für die eine Authenti- sierung stattfinden können. Das wiederum bedeutet, dass ein weiterer Prozess sicherstellt, dass die Eintritte, die Mutationen und die Austritte der Mitarbeiter laufend nachgeführt sein müssen. Nachdem der Mitarbeiter sich authentifiziert hat, greift er auf diejenigen Applikationen zu, die er für seine Tätigkeit benötigt. Beim Zugriff auf eine Ressource, sei es eine Applikation oder eine gezielte Information, wird die Zugriffsberechtigung überprüft. Dies setzt voraus, dass die Berechtigungen auf den Ressourcen der Businessanforderung/Tätigkeit entspricht. Damit der Systembetreiber diese Voraussetzung erfüllen kann, muss er die Anforderung aus dem Business kennen. Das Einrichten der Zugriffsberechtigung pro Mitarbeiter ist in grossen Organisationen mit hohem administrativem Aufwand verbunden. Ausserdem bestehen dabei grosse Fehlerquellen und die Nachvollziehbarkeit ist nicht zwingend gegeben. Daher werden die einzelnen Berechtigungen in Gruppen zusammengefasst. Auf der anderen Seite werden die Benutzeraccounts in Businessrol- len organisiert, welche wiederum die Berechtigungen steuern. Das Modellieren dieser Rollen, wel- che in Abhängigkeit mit der Person, der Organisationseinheit, dem Team oder einem Jobcode stehen, ist ein weiterer grosser Bestandteil des ganzheitlichen IAMs. Sind diese Rollen einmal definiert, braucht es eine Enterprise Authorization-Management (EAM) Lösung. Damit können dann die Benutzer und die Rollenvergaben administriert werden. Als Stan- dard hat sich dabei der Ansatz des Role Based Access Control (RBAC; Deutsch: Rollenbasierte Zugriffskontrolle) durchgesetzt. Die Herausforderung besteht nun darin, die IT-Landschaft soweit anzupassen oder zu erweitern, dass durch geeignete Schnittstellen die Berechtigungsänderungen, welche im EAM durch Mutationen von Mitgliedern einer Rolle und deren Berechtigungen entste- hen, auf dem Zielsystem nachgeführt werden. Was im Fachjargon Provisionieren (Provisioning) genannt wird. Ganzheitliches IAM Bericht von Daniel Reisacher, Senior IAM Consultant ipg ag Seite 3/7 ipg ag Tel. +41 52 245 04 74 information process group Fax +41 52 245 04 73 Jägerstrasse 2 www.ipg-ag.com CH-8406 Winterthur info@ipg-ag.com Die EAM-Lösung kann jederzeit beliebig ausgebaut und verfeinert werden. Je nach Unternehmensgrösse werden die Aufgaben, wie das Bereitstellen von Applikationen und Berechtigungen, an die IT delegiert. Das Verwalten der Be- nutzer, inkl. deren Zugehörigkeit zu einer Organisationsein- heit, erfolgt durch die Personalabteilung. Der Verantwortli- che einer Organisationseinheit verwaltet wiederum die Mit- glieder der Businessrollen, die seiner Organisationseinheit zur Verfügung stehen. Und der Sicherheitsverantwortliche überwacht das Geschehene. Weil alle Vorgänge zentral gesteuert werden, können die verschiedenen Anforderungen aus Gesetzen und Regulati- ven sowie die des Business abgebildet und nachvollziehbar dokumentiert werden. Die Investition in ein ganzheitliches IAM ist daher weniger eine Investition in die IT, sondern Enterprise Authorization-Management (EAM) in das Business und dessen Risk-Management.