Was ist Identity and Access Management?
Identity and Access Management (IAM) bietet ein Framework aus Technologien und Prozessen, die nur Nutzer:innen mit offizieller Autorisierung den Zugriff auf Unternehmensdaten, Ressourcen, Assets und mehr ermöglichen. Dies trägt nicht nur zum Schutz des Unternehmens vor böswilligen Handlungen bei, sondern sorgt auch dafür, dass IT-Best-Practices beständig umgesetzt und Compliance-Ziele erreicht werden können.
Definition von Identity and Access Management
Um zu verstehen, was das Identitäts- und Zugriffsmanagement ist, ist es wichtig, sich zunächst ein Bild der aktuellen digitalen Landschaft von Unternehmen zu machen. Digitale Lösungen und die Möglichkeit, Datensätze zu analysieren, bieten Unternehmen enorme Vorteile, darunter die Entwicklung effektiverer Strategien und eine höhere Produktivität. Dieser Übergang zu digitalen Technologien hat jedoch auch dazu geführt, dass die Daten, Assets und Ressourcen von Unternehmen internen und externen Bedrohungen weitaus stärker ausgesetzt sind – insbesondere solchen, die mit Identität und Zugriff verbunden sind.
Aber wie stellt ein Unternehmen sicher, dass nur die richtigen Personen mit den richtigen Berechtigungen auf sensible Daten, Ressourcen und Systeme zugreifen können? Diese Frage beschäftigt IT-Abteilungen, da die falsche Strategie katastrophale finanzielle Schäden für ein Unternehmen verursachen und auch dessen Ruf in Mitleidenschaft ziehen kann.
Ein moderner Ansatz für ein modernes Problem
Für genau solche Probleme gibt es das Identity and Access Management. Damit wird ein Framework bereitgestellt, mit dem IT-Manager Einschränkungen dafür definieren können, wer auf die Daten, Ressourcen, Assets und Systeme des Unternehmens zugreifen kann. Wer als legitim „identifiziert“ wird, kann schnell auf die Ressourcen zugreifen, für die er autorisiert ist.
Wer jedoch nicht als legitim gilt – wie Hacker oder MItarbeiter:innen ohne die entsprechenden Berechtigungen –, wird ausgeschlossen. Um es ganz deutlich zu sagen: Kein System bietet lückenlosen Schutz für ein Unternehmen, das in einer sich ständig weiterentwickelnden Bedrohungslandschaft operiert. Eine Lösung für das Zugriffs- und Identitätsmanagement ist derzeit jedoch die bestmögliche Option. Eine solche Lösung ist in der Lage, potenzielle bösartige Aktionen zu erkennen und abzufangen oder Datensicherheitsverletzungen zu stoppen, bevor es wirklich dazu kommt. Entscheidend ist, dass Tools für das Identitäts- und Zugriffsmanagement einen grundlegenden Wandel im Datenschutz bedeuten und gleichzeitig ein echtes Commitment für Best Practices im IT-Bereich zeigen.
Wie funktioniert das Identity and Access Management?
Identitätsmanagement
Der Identitätsbestandteil des Identity and Access Managements wird auf drei verschiedene Weisen verwaltet:
Identifizierung
Das Herzstück jeder Lösung für Zugriffs- und Identitätsmanagement bildet die Datenbank für das Identitätsmanagement. Hier werden alle Mitarbeiter:innen und Stakeholder:innen sowie ihre digitalen Identitäten wie Name und ID-Nummer und ihre Rolle aufgeführt. Entscheidend ist, dass je nach digitaler Identitätsklassifizierung unterschiedliche Zugriffsstufen möglich sind. So können beispielsweise sensible Finanzdaten so zugeordnet werden, dass sie nur für relevante Identitäten zugänglich sind, während weniger bis gar nicht sensible Daten für mehrere Identitäten oder Jobtypen zugänglich sind.
Updates
Die Rollen von Mitarbeiter:innen und Stakeholder:innen des Unternehmens entwickeln sich ständig weiter. Dementsprechend ist ein effektives Identitätslebenszyklusmanagement (Identity Lifecycle Management) erforderlich. Das bedeutet, dass bei Ausscheiden einer Person aus dem Unternehmen deren Zugriff entzogen wird oder die Zugriffsrechte von Mitarbeiter:innen im Falle einer Beförderung entsprechend ihrer neuen Rolle in der IAM-Lösung geändert werden können.
Authentifizierung
Lösungen für das Identitäts- und Zugriffsmanagement können verschiedene Authentifizierungstypen bereitstellen, um sicherzugehen, dass die Person, die eine Identität in der Identitätsmanagement-Datenbank zu nutzen versucht, tatsächlich die eigene Identität verwendet. Authentifizierungsprozesse beinhalten eine Zwei-Faktor-Authentifizierung. Hier werden Sie aufgefordert, Ihren Nutzernamen und Ihr Passwort einzugeben – der erste Faktor –, bevor Sie um einen zweiten Faktor gebeten werden.
Der zweite Faktor ist in der Regel ein einmaliger Code, der an Ihre E-Mail-Adresse oder Ihr Mobiltelefon gesendet wird und vor dem Zugriff eingegeben werden muss. Dies ähnelt dem, was die von Banken bereitgestellten Identitäts- und Zugriffsmanagementlösungen für Kunden tun, um Online-Käufe zu bestätigen.
Zugriffsverwaltung
Welche Technologien und Prozesse liegen dem Identitäts- und Zugriffsmanagement zugrunde?
Single Sign-On (SSO)
Attributbasierte Zugriffssteuerung
Privileged Access Management (PAM)
Rollenbasierte Zugriffssteuerung
Zugriffskontrollen werden in der Regel mithilfe von rollenbasierter Zugriffssteuerung (Role-Based Access Control, RBAC) implementiert. Sie können damit Berechtigungen innerhalb Ihrer Lösung für das Identitäts- und Zugriffsmanagement basierend auf der Rolle der Mitarbeiter:innen zuweisen und definieren, über welchen Zugriff sie verfügen – oder eben auch nicht. Mit dieser leistungsstarken Funktion können Sie die Berechtigungen bis hin zu einzelnen Nutzer:innen und den Aktionen, die sie ausführen können, auf granularer Ebene feinabstimmen.
So kann ein jüngeres Mitglied des IT-Teams beispielsweise die Berechtigung zum Zugreifen auf und Überwachen der Leistung bestimmter Hardware erhalten, ohne jedoch berechtigt zu sein, tatsächliche Änderungen vorzunehmen. Stattdessen müssen sie jedes Problem einem User mit den entsprechenden Berechtigungen oder einer Person mit PAM (siehe oben) melden, damit die erforderlichen Änderungen vorgenommen werden können. Zusammengenommen verbessert das die allgemeine Sicherheit erheblich und verringert das Risiko nicht autorisierter Aktionen.
Adaptive Authentifizierung
Kritische Sicherheitskontrollen
Die kritischen Sicherheitskontrollen (Critical Security Controls, CIS) tragen zusammen mit dem Identitäts- und Zugriffsmanagement zu einer robusten Cybersicherheitsstrategie bei. Die CIS liefern das Framework zum Implementieren von Best Practices für Sicherheit und Datensicherheit in einem Unternehmen, während das IAM dem Management von Identitäten und Berechtigungen dient.
Die Vorteile von IAM für Unternehmen
Schutz von Unternehmen
Vereinfachung von Prozessen
Optimale Nutzung digitaler Technologie
Wir leben in einer Digital-First-Welt, in der der Zugriff auf Unternehmenssysteme von BYOD-, Remote-Arbeits- und IoT-Geräten und noch vielen anderen angefordert werden kann. Die Fähigkeit der Identitäts- und Zugriffsverwaltung, all diese Anforderungstypen in einem einzigen Hub zusammenzuführen, der Berechtigungen definiert und die Authentifizierung ausführt, ist unerlässlich, um die Kontrolle über die Netzwerksicherheit zu behalten.
Schutz der Daten
Ebenso wichtig wie der Zugriff auf Daten ist die Art und Weise, wie diese Daten übertragen werden. Die richtige Lösung für das Identitäts- und Zugriffsmanagement bietet Tools zur Datenverschlüsselung, mit denen Daten während der Übertragung verschlüsselt werden. Das bedeutet, dass die Daten selbst verschlüsselt und demnach für Unbefugte unbrauchbar sind, falls sie beispielsweise von einem böswilligen Dritten abgefangen oder im Rahmen einer Datensicherheitsverletzung offengelegt werden.
Entlastung der IT
Einsatz von AI
Wie bereits erwähnt wurde, spielt die künstliche Intelligenz (Artificial Intelligence, AI) eine größere Rolle in Identitäts- und Zugriffsmanagementsystemen. Mittels AI kann beispielsweise eine Baseline für normales Nutzerverhalten bis hin zur Ebene einzelner User erstellt werden. Erkennt die AI z. B., dass ein einzelner User ungewöhnlich viele Anmeldeversuche unternimmt, kann sie dies als potenzielle Sicherheitsbedrohung identifizieren und den User bei Bedarf aussperren.
Gewährleistung der Compliance
Unternehmen können die Zugriffsprotokolle des Identity and Access Managements für Audit-Zwecke verwenden. Intern bedeutet dies, dass Nutzer:innen überwacht werden können, um sicherzustellen, dass sie ihre Zugriffsrechte nicht missbrauchen – oder dass potenzielle Hacker identifiziert und vom IT-System des Unternehmens isoliert werden können. Ebenso wichtig ist, dass Unternehmen durch die außergewöhnlichen Auditmöglichkeiten im Rahmen des Identitäts- und Zugriffsmanagements den Regulierungsbehörden nachweisen können, dass sie sich strikt an die Sicherheitsvorschriften halten, einschließlich der Datenschutz-Grundverordnung.
Implementierung des Identity and Access Managements in einem Unternehmen
Planen
… Sie die Ziele für das Identity and Access Management und Beziehen Sie Stakeholder:innen ein, indem Sie diese nach ihren Anforderungen fragen – und vor allem nach ihren Erwartungen an die fertige Lösung.
Definieren
… Sie, wer auf welche Daten, Ressourcen, Assets und Systeme – und auf welcher Ebene – Zugriff erhalten sollte, um eine robuste Zugriffsrichtlinie zu erstellen, die auch auf die Sicherheits- und Compliance-Anforderungen des Unternehmens abgestimmt ist.
Beschaffen
… Sie Technologie für das Identitäts- und Zugriffsmanagement, die über einen seriösen IDaaS-Anbieter (Cloud-basierte Lösung) oder eine On-Premise-Lösung bereitgestellt wird und zu Ihren Unternehmensanforderungen passt.
Konfigurieren
… Sie die Lösung für das Identitäts- und Zugriffsmanagement mit den erforderlichen Authentifizierungsmethoden und stellen Sie sicher, dass die Lösung mit den vorhandenen Technologien und Anwendungen des Unternehmens integriert werden kann.
Deployen
… Sie eine Lösung für das Identitäts- und Zugriffsmanagement in mehreren Phasen und nicht auf einmal. So können Sie sicherstellen, dass die Lösung vollständig getestet ist und dass alle Probleme sofort gelöst werden, ohne dass das gesamte Unternehmen beeinträchtigt wird.
Schulen
… Sie die Mitarbeiter:innen in der Nutzung der Tools für das Identitäts- und Zugriffsmanagement, um deren Akzeptanz und Vertrauen in die neue Lösung sicherzustellen, und gehen Sie auf Best Practices für die Sicherheit ein.
Überwachen
… und pflegen Sie die Lösung für das Identitäts- und Zugriffsmanagement, während sie im gesamten Unternehmen implementiert wird. Eine solche Überwachung sollte beständig fortgesetzt und die Lösung fortlaufend aktualisiert werden, wenn Patches oder Updates verfügbar sind.
Entwickeln
… Sie die IAM-Lösung weiter, wenn sich die Anforderungen des Unternehmens ändern, um echte Skalierbarkeit für die Zukunft des Unternehmens zu bieten. Aktualisieren Sie außerdem die Zugriffsrichtlinien bei Bedarf, um sicherzustellen, dass das IAM jederzeit zu den Anforderungen des Unternehmens passt.
OVHcloud und IAM
Optimale Nutzer-/Rollenverwaltung
Mit dem OpenStack-Ansatz von OVHcloud erhalten Sie die vollständige rollenbasierte Zugriffskontrolle. Sie verwalten die Nutzerrollen und definieren die Aktionen, die diese in Ihrer Infrastruktur ausführen können – ganz gleich, ob sie von Menschen oder Automatisierungstools ausgehen.
