Identitäts- und Zugriffsmanagement soll Datenverluste verhindern
Die Systeme eines Unternehmens sollten nur von befugten Mitarbeitern genutzt werden. Doch in Zeiten des Internets und der Smartphones müssen die Identitäten dieser Befugten ebenso flexibel gehandhabt werden wie ihr Zugang zu den Systemen.
Smartphones als Sicherheitsrisiko?
Foto: Vodafone
Firmenleiter lieben die Vorstellung, dass ihre IT-Systeme gesichert sind wie Fort Knox. Das ist in Wirklichkeit selten der Fall. Die Zugangskontrolle (Access Management) mag ja physisch mit Keycards und Passwörtern geregelt sein, doch was passiert, wenn sich ein Unbefugter tarnt, indem er eine andere Identität annimmt? Fälle beim Dateisicherungsdienst Dropbox, beim Wired-Magazin und anderen haben gezeigt, dass sich Identitäten stehlen und missbrauchen lassen, um Zugang zu Systemen und Informationen zu erhalten.
Identity and Access Management (IAM): Sicherheit für Zugriffsdaten
Will ein Unternehmen sicherstellen, dass Zugriffsdaten – quasi die Eintrittskarte – nicht gefälscht oder abgefangen werden, muss es sich etwas einfallen lassen, um sowohl die Identität, den Zugriff und deren Prüfung sicher zu gestalten. Lösungen, die diese Hauptaufgaben absolvieren, tragen die Bezeichnung Identity and Access Management, kurz IAM.
„Identity Management“, so der Stuttgarter Unternehmensberater Martin Kuppinger, „umfasst alle Aspekte des Managements und der Speicherung solcher Identitäten. Daneben gibt es noch den größeren Bereich des Access Managements, also die Frage, wer auf was zugreifen darf und wie das kontrolliert wird.“ Social Media, der Zugriff über mobile Geräte und die Anmeldung an Cloud-Anwendungen spielen für IAM zurzeit eine wichtige Rolle.
In der Regel sind die Nutzer der Firmen-IT in einem Directory (wörtlich: Verzeichnis) angemeldet und werden dort verwaltet. Das verbreitetste Directory ist Active Directory (AD) von Microsoft. Der Systemverwalter vergibt an die Nutzer Rollen und entsprechende Zugriffsrechte. So braucht beispielsweise das Reinigungspersonal nicht zu wissen, wie viel der Vorstand verdient. Knifflig wird es, wenn ein Nutzer die Fachabteilung wechselt. Er bekommt dann eine andere Rolle, also eine andere digitale Identität, zugewiesen, die mehr oder weniger Rechte umfasst.
Vor Einführung eines IAM-Systems empfiehlt sich ein „Role Mining“
Um auf Nummer sicher zu gehen, sollten Unternehmen möglichst vor Einführung eines IAM-Systems „Role Mining“ betreiben, empfiehlt Michael Neumayr, Verkaufsleiter für Sicherheitslösungen bei CA Technologies. „Role Mining ermittelt den Istzustand im Directory.“ Um zum gewünschten Sollzustand zu gelangen, gibt es zahlreiche Lösungen. Doch es gibt keine, die für jedes Unternehmen passt, warnt Unternehmensberater Kuppinger. „Man sollte verstehen, dass Authentifizierung, also die Identitätsprüfung, adäquat für das Risiko von Informationen bzw. Transaktionen sein muss und damit durchaus variabel.“
Damit die Anmeldung an einem IT-System, auch in der Cloud, möglichst flott vonstatten geht, bieten Directories wie das von Microsoft die Funktion des „Single-Sign-on“ (SSO) an, d. h. der Mitarbeiter meldet sich einmal an und wird – seiner Rolle gemäß – für alle für ihn relevanten Anwendungen und Systeme freigeschaltet. Was aber passieren muss, wenn der Nutzer ein mobiler Mitarbeiter, ist und daher ständig unterwegs ist, muss die Systemverwaltung ebenfalls über SSO bewältigen. Das geht am besten in neuen Cloud-Diensten, die Identitäten und Zugänge verwalten.
CA Technologies: Kontextabhängiges IAM schützt vor ehemaligen Mitarbeitern
Cyber-Ark von CA Technologies etwa verwaltet die Zugänge von Systemverwaltern, so dass diese nicht eigenmächtig handeln können. Das ist Identity Management und „Authentication as a Service“. So lässt sich auch der Stärkegrad einer Identitätsprüfung variieren. Neumayr setzt auf die „Two-factor Authentication“: Neben dem üblichen Passwort schickt das System dem Nutzer eine SMS aufs Handy, die ein zweites Passwort enthält. Dieses muss er ebenfalls eingeben, um Zugang zu erhalten.
CA setzt auf kontextabhängiges IAM. Damit ist die Absicherung von Identitäten, Zugriffsrechten und zusätzlich Informationen bezweckt. So soll nicht jeder Mitarbeiter, der über weitreichende Zugriffsrechte verfügt, auch automatisch jede beliebigen Information abgreifen und weiterleiten können. Mancher Mitarbeiter, dem gekündigt worden ist, hat sich vor seinem Weggang zur Konkurrenz mit wertvollen Dokumenten versehen und sich eine goldene Eintrittskarte beim Rivalen verschafft. Auch gefeuerte Ex-Mitarbeiter können so davon abgehalten werden, Sabotage zu verüben, um sich an ihrem Ex-Arbeitgeber zu rächen.
Ein Beitrag von:
