Sicheres Identity Management

Standards zum Schutz unternehmenskritischer Prozesse

Die Gewährleistung von Informationssicherheit in einem Unternehmen hat nicht nur mit der Abwehr von (externen) Angreifern über bestehende Netzverbindungen oder mit dem Begegnen der Virenproblematik zu tun, sondern umfasst auch den Schutz vor Missbrauch der bestehenden Zugriffsberechtigungen durch Personen mit internen Kenntnissen. 40% - 50% der Unternehmen nennen in Umfragen solche Insider als Verursacher der größten Sicherheitsverstöße. Die Dunkelziffer dürfte jedoch noch höher liegen, da gezielte interne Angriffe seltener entdeckt und oft nicht publik gemacht werden.

Gleichzeitig steigt mit den zunehmenden Anforderungen an die Öffnung und Dynamisierung der Unternehmensorganisationen, der Verbesserung von Quality of Service sowie der Reduzierung von Kosten im IT-Umfeld der Bedarf für ein sicheres Identity Management System. Unter einem solchen System werden hier Prozesse und integrierte Technologien der Informationsverarbeitung subsumiert, die die Verwaltung, Rechtevergabe, Authentisierung und Zugriffskontrolle bezogen auf Identitäten in der Informationstechnik unterstützen und Mechanismen zu deren Steuerung und Überwachung zur Erfüllung von Compliance-Anforderungen bereitstellen. Ziel dabei ist es stets, dass jeder Benutzer zu jedem Zeitpunkt im Einklang mit der in der jeweiligen Organisation bestehenden Kultur zur Offenheit der Kommunikation nicht mehr und nicht weniger Rechte für den Zugriff auf Informationen besitzt als erforderlich sind, um seine Aufgaben zu erfüllen.

Damit dies in der Praxis auch gelebt wird, bedarf es eines strukturierten Lösungskonzeptes, das sowohl die Ebene der Organisation mit den relevanten Teilprozessen als auch deren Implementierung und angemessene Unterstützung als wichtigen Bestandteil der IT- Basisinfrastruktur berücksichtigt.

Relevante Prozesse müssen klar definiert sein und insbesondere die folgenden betrieblichen und/oder sicherheitsrelevanten Anforderungen erfüllen:

	Vollständigkeit: Alle Verknüpfungen zwischen Benutzern und Ressourcen werden erfasst.
	Revisionsfestigkeit: Benutzerrechte sind zu jedem Zeitpunkt nachvollziehbar - auch rückwirkend auf einen Zeitpunkt in der Vergangenheit.
	Effizienz und Wirtschaftlichkeit: Der Prozess bindet möglichst wenige Ressourcen.
	Übersichtlichkeit und Transparenz: Rechtestrukturen sind durch geeignete Bündelung übersichtlich gestaltet.
	Sicherheit: Die technischen Supportfunktionen und die organisatorischen Teilfunktionen sind manipulations- und ausfallsicher.
	Zeitnahe Abwicklung: Der Prozess erfordert möglichst kurze Durchlaufzeiten.

Zur Minimierung zu erwartender Projektkosten empfiehlt es sich, bei allen der genannten Aktivitäten auf möglichst standardisierte Prozesse und Lösungsbausteine zurückzugreifen. Damit bleiben Aufwände für die schrittweise Einführung eines sicheren Identity Managements (auch für mittelständische Unternehmen) im Rahmen und verbundene Projektrisiken begrenzt.

ConSecur legt daher der Gestaltung der erforderlichen sIdM-Prozesse die folgende standardisierte logische Gliederung zu Grunde:

	User Management: operative Verwaltung von Identitätsprofilen auf organisatorischer Ebene,
	Account Management: operative Verwaltung von Benutzer-Accounts mit ihren zugeordneten Rechten auf technischer Ebene,
	Role Management: projektorientierte Definition und Implementation von system- und applikationsspezifischen Rollenmodellen sowie
	Security Management: Bereitstellung strategischer Vorgaben zur Gewährleistung der Informationssicherheit sowie kontinuierliche Kontrolle einer geeigneten Umsetzung.

Bei der Analyse bestehender Anforderungen an eine informationstechnische Umsetzung und Unterstützung der definierten Prozesse orientiert ConSecur sich an nachfolgenden funktionalen Standard-Lösungsbausteinen:

	Directory Services: Unterstützung der Verwaltung relevanter Stammdaten der zu betrachtenden Identitäten.
	RBAC Services: Unterstützung der Modellierung und Verwaltung relevanter Rollen und Benutzerprofile, abgeleitet aus der Organisationsstruktur und den zu erledigenden Aufgabenstellungen.
	Workflow Services: Unterstützung von Beantragungs- und Genehmigungsprozessen
	(De-)Provisioning Services: Unterstützung bis hin zur Automatisierung der Einrichtung von Accounts und zugeordneten Berechtigungen in den Zielsystemen und -applikationen
	Authentication Services: Unterstützung der Verifikation der Authentizität behaupteter Identitäten.
	SSO / Federation Services: Optimierung der system-, applikations- und ggf. organistionsübergreifenden Authentisierung und Berechtigungskontrolle.
	User Self Services: Unterstützung der eigenständigen Bearbeitung ausgewählter Identitäts- und Berechtigungsattribute durch den Benutzer.
	Auditing Services: Unterstützung der Analyse und Überwachung der Konformität bestehender Berechtigungen mit definierten Policies und regulativen Vorgaben.

ConSecur setzt auf eine starke Risikoorientierung aller Aktivitäten. Als Grundlage wurde hierzu ein umfangreicher Katalog relevanter Prozessrisiken entwickelt, der in entsprechenden Projekten bereits erfolgreich Anwendung fand. Dieser umfasst u. a. die Aspekte

	mangelnder Qualität von Stammdateninformationen,
	der Nicht-Eindeutigkeit von Identitätsmerkmalen,
	unzureichender Prüf- und Kontrollinstanzen bei der Berechtigungsvergabe,
	eines unzureichenden De-Provisionierungsprozesses,
	unzureichender Definitionen von Rollenunvereinbarkeiten,
	unvollständiger Dokumentation von sIdM- und/oder Administrationsprozessen,
	unzureichender Auditierbarkeit von sIdM-Prozessen.

Herstellerunabhängig und ausschließlich den Business-Anforderungen ihrer Kunden verpflichtet hilft ConSecur, eine sIdM-Gesamtlösung - von der Prozessebene bis hin zu technischen Lösungen - zu entwickeln. Das dabei entstehende Ergebnis ist ausgewogenen ausgerichtet auf den Schutz sensibler Informationen und den damit verbundenen wirtschaftlichen Erfolg.

Damit wird sicheres Identity Management zu einem selbstverständlichen Bestandteil der IT-Basisinfrastruktur, leistet einen wichtigen Beitrag zu einem wirksamen internen Kontrollsystem und damit zur Erfüllung regulatorischer Anforderungen, schafft durch Effizienz- und Qualitätssteigerungen einen darstellbaren Return on Invest und hält der IT-Leitung den Rücken frei für innovative Projekte zur unmittelbaren Unterstützung des Business.

© by ConSecur

Bestellen Sie unser ausführliches White Paper! >>

Weihnachtsmann

Dipl.-Phys. J. Eckardt

Dipl.-Inform. (FH) J. Robbe,

Dipl.-Ing. Norbert Book,

<< zurück zur Übersicht