Der Kernpunkt eines IAM liegt insbesondere in der Einbeziehung aller notwendigen Nicht-Technischen Details und deren dynamische Berücksichtigung bei allen Vorgängen.

Experten Interview Identity & Access Management: Ein Muss oder einfach nur ein Hype? Identity & Access Management: Ein Muss Titel des Interviews: oder einfach nur ein Hype? Name: Andreas Netzer Funktion/Bereich: Geschäftsführer Organisation: iC Compas GmbH & Co.KG Liebe Leserinnen und liebe Leser, es ist eines der Top-Themen der IT: Identity & Access Management. Jeder braucht es, sagen die Experten, doch noch nutzt es nicht jeder. Immerhin bleibt laut Forrester Studie IAM auch weiterhin für 78 % der Befragten „wichtig“ oder „sehr wichtig“. Auch kleine und mittelständische Unternehmen sehen sich zunehmend kom- plexen und heterogenen Herausforderungen und Risiken gegenüber. Mit zu- nehmendem Wachstum des Unternehmens steigt die Zahl der Identitäten, die die IT-Abteilung verwalten muss, womit auch der benötigte Grad der Kontrolle und Transparenz zusehends wächst. Die Lösung scheint einfach, doch noch hapert es bei der Umsetzung. Was ist notwendig für die Einführung einer IAM Lösung und lohnt sich über- haupt der Aufwand? Was bringt eigentlich IAM? Diese und andere Fragen möchten wir mit führenden Köpfen dieser Branche diskutieren. Viel Spaß beim Lesen wünscht Ihnen Ihr NetSkill-Team www.competence-site.de Seite 1 Experten Interview Sehr geehrter Herr Netzer, Frage 1: Die oft komplexen und heterogenen Aktivitäten, die Mobilität der Mitarbeiter so-wie die enge Zusammenarbeit mit Geschäftspartnern ziehen oft einen erhebli-chen Verwaltungsaufwand in der IT nach sich und der Bedarf an Sicherheit ü-ber die vielen Rollen und Identitäten in der IT- Nutzung wächst zusehends. Die moderne Servertechnik bietet bereits einige gute Möglichkeiten für die Ver-waltung der Be- nutzer. Wozu benötigt man noch IAM als Konzept und als Lösungssystem? Antwort: Die angesprochene „moderne Servertechnik“ bietet zur Zeit im besten Fall nur eine technische Verwaltung der vorhandenen Benutzer. Dies ist aber nur ein sehr kleiner Teil der Funktionalitä- ten, die ein komplettes IAM beinhaltet. Um eine durchgängige Lösung aufzubauen, sind Funk- tionen wie z.B. die Verwaltung der relevanten organisatorischen Informationen und die sich auf dieser Basis ergebenden Berechtigungen essentiell. Der Kernpunkt eines IAM liegt insbesonde- re in der Einbeziehung aller notwendigen Nicht-Technischen Details und deren dynamische Be- rücksichtigung bei allen Vorgängen. Darüber hinaus ist es aber auch notwendig die für das jeweilige Geschäftsfeld wichtigen Ge- schäftsprozesse im Rahmen eines Gesamtkonzeptes innerhalb eines IAM zu berücksichtigen. Frage 2: Das Beratungshaus deron hat laut einer aktuellen Studie herausgefunden, dass sich bei 70 Prozent der befragten Unternehmen, die ein Identity Management Projekt aufgenommen hat- ten, Fehler in der Gestaltung der IT-Geschäftsprozesse zeigten. Was sind aus Ihrer Sicht die größten Probleme bei der Implementierung von IAM-Lösungen und was würden Sie den Unternehmen in der Einführungsphase empfehlen? Antwort: Das mit Abstand größte Problem ist sicherlich, dass zu oft ein Projekt mit einem reinem Wunschkatalog gestartet wird, der sich dann als zu realitätsfremd erweist. Wichtig ist hier vor al- lem die rechtzeitige Einbeziehung von Firmen, die ein lange Erfahrung in der Umsetzung von derartigen Projekten haben und so ein schlüssiges Konzept zum Projektstart sichergestellt wer- den kann. Darüber hinaus werden zu Projektbeginn oft nicht alle wirklich notwendigen Abteilun- gen eingebunden, so dass sich dadurch oft Änderungen an der Zieldefinition im Laufe des Pro- jektes ergeben, die sowohl Kosten- als auch Zeitsaufwändig sind. Ein weiteres Problem, das teilweise auch mit dem gerade aufgeführten zusammenhängt, ist die Frage nach dem eigentli- chen Projektverantwortlichen. Da solch ein Projekt immer viele Abteilungen betrifft, muss die treibende Kraft auch bei jemand liegen, die den entsprechenden Einfluss auf die betroffenen Abteilungen hat. Ist dies nicht der Fall kann ein IAM Projekt dann auch immer noch während der Einführungsphase scheitern. www.competence-site.de Seite 2 Experten Interview Frage 3: Lohnt sich Ihrer Meinung nach der Aufwand ein IAM Projekt zu starten? Inwieweit bringt es ei- nen Zugewinn an Sicherheit und kann langfristig gesehen Kosten einsparen? Haben Sie Beispiele aus Ihrer Praxis oder können Sie Größenordnungen für Einsparungen auf Grund von „typischen“ IAM-Projekten und –Umsetzungen nennen? Antwort Die Einführung eines IAM-Systems lohnt sich definitiv, wenn die Anzahl der zu verwaltenden Benutzer / Berechtigungen bzw. auch der zugehörigen Prozesse ein gewisses Limit überschrei- tet, d.h. das Gesamtsystem eine bestimmte Komplexität überschritten hat. Der Zugewinn an Si- cherheit ist aber erstmal unabhängig von möglichen Kosteneinsparungen zu sehen. Es kann zwar definitiv beides parallel erreicht werden, aber es hängt hier sehr stark von dem Fokus der Umsetzung ab, welches Ziel wie fokussiert wird. Insbesondere der gewünschte Zugewinn an Sicherheit hängt sehr stark von einer wirklich durchgängigen Einbindung des IAM in alle beteiligten IT-Systeme (technisch gesehen) und alle Firmenbereiche (nicht-technischer Teil) ab. Ein Größenordnung ab 500-100 Benutzer ist zur Zeit das untere Limit, ab dem sie die Einführung eines IAM-System lohnt. www.competence-site.de Seite 3 Experten Interview Frage 4: Wie denken Sie wird sich das Thema IAM in den kommenden Jahren noch entwickeln? Welche Trends in Bezug auf IAM sehen Sie für 2010? Antwort Aktuell hat das Thema IAM auch bei den Firmen, die sich schon aktiv damit beschäftigen, noch nicht die zentrale Rolle, die es eigenlich im Hinblick auch eine zentrale Verwaltung haben soll- ten. Wir stoßen immer wieder auf Firmen, die in diesem Umfeld noch verschiedene Projekte aufsetzten und damit Zeit und Geld unnötig verschwenden. Als Beispiel sei hier die Einführung von zwei völlig getrennten Systemen erwähnt, wobei eines als IAM für die logische Rechtever- waltung (IT-spezifisch) dient, und das zweite für die Ausweisverwaltung der Mitarbeiter und de- ren Zuordnung zu den physikalischen Zutrittsrechten. Hier findet zur Zeit noch eine eigentlich nicht zu rechtfertigende Verschwendung von Ressourcen in Form von Zeit und Geld statt, da bei der Auswahl von geeigneten IAM-Systemen alle derartigen Aufgaben durchgängig von ei- nem einzigen System erledigt werden können. Bis 2010 wird hier meiner Meinung nach ein langsames Umdenken einsetzen, das es den Firmen ermöglichen wird, leichter ein notwendiges „Abteilungsübergreifendes„ Projekt durchzuführen, das sich die möglichen Ersparnisse im Prin- zip von selbst erklären. Aktuell ist die technische Entwicklung (und damit auch die funktionellen Möglichkeiten) der verfügbaren IAM-Systeme weiter als die Bereitschaft der Firmen, diese Mög- lichkeiten auch zu verwenden. Dies liegt aber auch vielfach daran, dass der echte mögliche Leistungsumfang den Firmen noch nicht hinreichend genug bekannt ist. Hier ist es notwendig, dass sich die Bereitschaft der Firmen dahingegen ändert, vor der Planung von derartigen Pro- jekten auf eine kompetente Beratung zuzugreifen. Vielen Dank für das Interview! www.competence-site.de Seite 4