Häufig kommen durch die Einführung einer IAM-Lösung auch Details auf den Tisch, zu denen sich vorher niemand Gedanken gemacht hat

Experten Interview Identity & Access Management: Ein Muss oder einfach nur ein Hype? Identity & Access Mana- Titel des Interviews: gement: Ein Muss oder einfach nur ein Hype? Name: Markus Hennig Funktion/Bereich: Chief Technology Officer Organisation: Astaro AG, Karlsruhe Liebe Leserinnen und liebe Leser, es ist eines der Top-Themen der IT: Identity & Access Management. Jeder braucht es, sagen die Experten, doch noch nutzt es nicht jeder. Immerhin bleibt laut Forrester Studie IAM auch weiterhin für 78 % der Befragten „wichtig“ oder „sehr wichtig“. Auch kleine und mittelständische Unternehmen sehen sich zunehmend kom- plexen und heterogenen Herausforderungen und Risiken gegenüber. Mit zu- nehmendem Wachstum des Unternehmens steigt die Zahl der Identitäten, die die IT-Abteilung verwalten muss, womit auch der benötigte Grad der Kontrolle und Transparenz zusehends wächst. Die Lösung scheint einfach, doch noch hapert es bei der Umsetzung. Was ist notwendig für die Einführung einer IAM Lösung und lohnt sich über- haupt der Aufwand? Was bringt eigentlich IAM? Diese und andere Fragen möchten wir mit führenden Köpfen dieser Branche diskutieren. Viel Spaß beim Lesen wünscht Ihnen Ihr NetSkill-Team www.competence-site.de Seite 1 Experten Interview Sehr geehrter Herr Hennig, Frage 1: Die oft komplexen und heterogenen Aktivitäten, die Mobilität der Mitarbeiter so-wie die enge Zusammenarbeit mit Geschäftspartnern ziehen oft einen erheblichen Verwaltungsaufwand in der IT nach sich und der Bedarf an Sicherheit über die vielen Rollen und Identitäten in der IT- Nutzung wächst zusehends. Die moderne Servertechnik bietet bereits einige gute Möglichkeiten für die Verwaltung der Benutzer. Wozu benötigt man noch IAM als Konzept und als Lösungssystem? Antwort: Identy & Access Management ist mehr als eine Smartcard oder eine Datenbank. Es ist ein stra- tegisches Konzept. Identy & Access Management Lösungen allein einzusetzen ist sinnlos – sie müssen in das restliche Sicherheitssystem integriert werden. Denkt man an IAM, hat man phy- sische Kontrollstellen wie zum Beispiel Chipkartenleser vor Augen, aber IAM ist mehr – ein Webproxy, der Zugriffe auf bestimmte Internetadressen abhängig von Gruppenzugehörigkeiten zulässt oder eben ablehnt, gehört ebenfalls dazu. Gerade aufgrund der genannten Punkte wie heterogene Aktivitäten, mobile Mitarbeiter und die enge Zusammenarbeit mit externen Partnern, ist es erforderlich, diese Vielzahl von Identitäten clever zu verwalten, und dazu bedarf es Identity & Access Management als strategisches Kon- zept und Grundlage. Auch wenn moderne Betriebssysteme für Server gute Möglichkeiten zur Benutzerverwaltung bieten - ein beherrschbares und skalierbares IAM-Konzept ist wichtig für Unternehmen, die stark wachsen, bei der Einführung neuer und der Ablösung veralteteter Technologien oder wenn externe Personen auf die eigenen Ressourcen zugreifen sollen, z.B. Zulieferer. Denoch macht Identy & Access Management erst ab einer gewissen Unternehmens- größe Sinn, für zehn Mitarbeiter lassen sich noch manuell konfigurieren. Frage 2: Das Beratungshaus deron hat laut einer aktuellen Studie herausgefunden, dass sich bei 70 Prozent der befragten Unternehmen, die ein Identity Management Projekt aufgenommen hat- ten, Fehler in der Gestaltung der IT-Geschäftsprozesse zeigten. Was sind aus Ihrer Sicht die größten Probleme bei der Implementierung von IAM-Lösungen und was würden Sie den Unternehmen in der Einführungsphase empfehlen? Antwort: Die Implementierung einer IAM-Lösung macht nicht automatisch alles besser oder einfacher oder spart automatisch Kosten – das ist ein Trugschluss, dem Verantwortliche immer wieder aufsitzen. Man muss bestimmte Fragen klären: Kann die IAM-Lösung den fraglichen Ge- schäftsprozess abbilden oder nicht? Sind Anpassungen notwendig: Entweder an der IAM- Lösung oder am Geschäftsprozess? Unter Umständen ist der Geschäftprozess nicht durch die IAM-Lösung abbildbar, zum Beispiel weil sich die Lösung nicht in die bestehende IT-Landschaft integrieren lässt, etwa aufgrund mangelnder Unterstützung von Verzeichnisdiensten. Häufig kommen durch die Einführung einer IAM-Lösung auch Details auf den Tisch, zu denen www.competence-site.de Seite 2 Experten Interview sich vorher niemand Gedanken gemacht hat. Plötzlich ist Transparenz da, Prozesse müssen geklärt werden, ebenso wie Detailfragen zu Identitäten, Berechtigungen und deren Umsetzung. Dies ist sehr zeitaufwändig und wird von den Beteiligten oftmals als Komplikation missinterpre- tiert – stattdessen handelt es sich aber um eine natürliche Notwendigkeit. Zu Projektstart sollte bereits eine aktuelle Datenbasis, eine genaue Definition des Ist- und des Soll-Zustandes sowie ein tiefgehendes Verständnis für die bereits eingesetzten Produkte vorhanden sein, mit denen die IAM-Lösung später kommunizieren soll. Frage 3: Lohnt sich Ihrer Meinung nach der Aufwand ein IAM Projekt zu starten? Inwieweit bringt es ei- nen Zugewinn an Sicherheit und kann langfristig gesehen Kosten einsparen? Haben Sie Beispiele aus Ihrer Praxis oder können Sie Größenordnungen für Einsparungen auf Grund von „typischen“ IAM-Projekten und –Umsetzungen nennen? Antwort Die Sicherheitslösungen von Astaro können mit verschiedensten Directory Systeme interagie- ren und somit auch mit unterschiedlichen IAM-Lösungen. Es gibt eine Reihe von Anwenderbei- spielen in unserem Kundenkreis. Ein Beispiel: US-amerikanische Schuldistrikte mit mehreren Schulen verwalten die Idenitäten ih- rer vielen Tausend Schüler einfach und effizient über ihre IAM-Lösung. Der Zugang zu Websi- ten wird mittels der Identitätsinformationen für jeden einzelnen Schüler auf dem Astaro Security Gateway geregelt. Die Frage, ob sich der Aufwand lohnt, stellt sich hier gar nicht – so viele un- terschiedliche Identitäten können auf anderem Wege gar nicht sinnvoll verwaltet werden. Die Schuldistrikte können so einiges an Zeit in der Administration sparen, Jugendschutzbestim- mungen effizient umsetzen und Missbrauch vorbeugen. So schützen sie sich letzten Endes selbst – vor Klagen. Ein anderes Anwendungsbeispiel wäre die Einbindung von sogenannten „Road Warriors“, d.h. Mitarbeitern, die aufgrund ihrer Aufgaben häufig unterwegs sind. Hier emfpiehlt es sich, ver- schiedene Berechtigungsebenen abzustufen und diese einfach über einen zentralen Policy En- forcement Point zu verwalten. Fokussiert man sich dabei auf das Anlegen und Verwalten von Accounts bzw. Identitäten, so ergibt sich ein immenser Aufwand und damit ein Sicherheitsrisiko. Besser ist es, man steuert den Zugriff der Mitarbeiter über Policy Management und Security Settings basierend auf den Daten in einer IAM-Lösung – das vereinfacht das Handling und er- höht die Sicherheit. www.competence-site.de Seite 3 Experten Interview Frage 4: Wie denken Sie wird sich das Thema IAM in den kommenden Jahren noch entwickeln? Welche Trends in Bezug auf IAM sehen Sie für 2010? Antwort Identity & Access Management wird meiner Meinung nach dieselben Wege gehen wie andere Bereiche der IT – Schlagworte sind „IAM as a Service“ und „In the Cloud“. Ein Beispiel sind Services wie OpenID – hier meldet sich der Benutzer einmalig an und kann dann auf andere Plattformen im Netz zugreifen, die die Authentifikation über den jeweiligen Anbieter als ver- trauenswürdig ansehen. Die Entwicklung wird weg gehen von Usernamen und Passwörtern, hin zu Identitätsnachweisen über Hardwarelösungen, die mit Identity Servern oder Identity Services verbunden sind, bei- spielsweise Chipkarten, RFID oder Fingerabdruck. In diesem Zusammenhang steht die Nut- zung von Mobilgeräten zur Out of Band Authentifizierung. Im Bankenbereich sind solche Ver- fahren schon lange im Einsatz: Kunden, die online-Banking nutzen, erhalten ihre TANs über ei- nen anderen Kommunikationskanal, in diesem Fall per SMS. Ein weiterer Trend werden „Identity Aware Networks“ sein. Zugriffe auf Netzwerkressourcen wurden bislang statisch nach der IP-Adresse festgelegt, das heißt, es waren keine Unterschei- dungen möglich, welche Person Zugriff erfragt. Produkte wie zum Beispiel unser Astaro Securi- ty Gateway ermöglichen es, den Zugriff abhängig von der Identität einer Person zu erlauben oder zu untersagen. In Kombination mit „single sign-on“ – einmalige Bestätigung der Identität zur Nutzung vieler verschiedener Dienste ohne erneutes Anmelden – erreicht man so ein hohes Maß an Effizienz im Workflow. Ein wichtiger Punkt ist, dass IAM-Lösungen immer stärker formalisiert werden, da sie immer mehr externe Vorgaben einhalten müssen, u.a. aus Gesetzen oder Zertifizierungsauflagen,, wie z.B. HIPPA oder PCI. Dies bedeutet mehr Sicherheit für den Kunden – er kann sich darauf ver- lassen, dass das Produkt, das er einsetzt, die Vorgaben für sein Business erfüllt. Eine wesentliche Diskussion, die wir in Zukunft werden führen müssen, ist einmal mehr die über den Datenschutz und der Privatsphäre: Wer hat Zugriff auf die Verzeichnisdatenbanken, auf denen persönliche Daten der Mitarbeiter abgelegt sind? Wie werden diese Daten gesichert, was passiert mit den Backups einer IAM Installation? Wann werden gespeicherte Datensätze ge- löscht? Vielen Dank für das Interview! www.competence-site.