Strategische Kernsätze für das Identity Management

Nach einer kürzlich vorgenommenen Erhebung des Softwarehauses OGiTiX AG bestehen in den meisten Unternehmen erhebliche Probleme in der Verwaltung der Benutzeridentitäten und Berechtigungen. So bewerten hier lediglich 29 Prozent der IT-Manager ihre gegenwärtige Situation als positiv, alle anderen sind nur bedingt zufrieden oder beklagen gar kritische Verhältnisse.

„Dabei gehört heute aufgrund der technologischen Veränderungen in den Unternehmen ein übergreifendes Identity Management mit der Verwaltung von Benutzern und ihren Rechten zum Pflichtprogramm“, urteilt OGiTiX-Vorstand Ingo Buck. Er hat deshalb aus Praxissicht strategische Kernsätze für das Identity Management (IM) definiert:

• Ein technisches Umdenken in Richtung prozessorientierter Methoden ist notwendig: Klassische Lösungen mit ihrer Ausrichtung auf zentrale Directories entsprechen nur selten den tatsächlichen Anforderungen. Die Gründe liegen darin, dass sie die Anforderungen häufig unzureichend berücksichtigen und gleichzeitig dabei sogar sehr zeitintensiv und kostspielig sind. Stattdessen bedarf es einer prozessorientierten Verwaltung der Identitäten auf Basis definierter Workflows. Sie müssen die für jeden Prozessschritt notwendigen Jobs in den technischen Systemen wie Active Directory, Softwareverteilung, HR oder Mailsystem steuern. Ausgeschiedene Mitarbeiter werden automatisch von allen IT-Systemen ausgeschlossen.
• Durchgängigkeit der IM-Prozesse sicherstellen: Notwendig für ein transparentes Identity Management ist ein vollständiges Abbilden der End-to-End-Prozesse von der Beantragung bis zur technischen Einrichtung im System. Dies verlangt eine nahtlose Integration der maßgeblichen Applikationen und Systeme über entsprechende Schnittstellen, um eine tatsächlich infrastrukturweite und standardisierte Verwaltung der Benutzer und ihrer Rechte gewährleisten zu können.
• Hohe Automatisierung anstreben: Typischerweise entstehen in den Unternehmen regelmäßig personelle und organisatorische Veränderungen, die in allen Systemen und Applikationen abgebildet werden müssen. Die damit verbundenen Anforderungen erzeugen heute im Regelfall recht aufwändige Abläufe, da sie sehr manuell und damit personalintensiv geprägt sind. Das Identity Management als Verwaltungsfunktion muss jedoch modernen Effizienzansprüchen gerecht werden. Deshalb stehen die Unternehmen in der Pflicht, sich auf ressourcenschonende Verfahren auszurichten, um Prozesse über intelligente Workflows zu steuern.
• Die Compliance-Anforderungen ernster nehmen: Nicht erst durch die neuen gesetzlichen Bestimmungen namens EuroSOX müssen die Unternehmen ihr Benutzermanagement kritisch überdenken. Denn schon vorher galt es, die Revisionssicherheit und Nachvollziehbarkeit von Änderungen präzise sicherzustellen. Doch hinsichtlich der Compliance-Anforderungen versagen viele Lösungen in der Praxis, weil ihre Prozesse zu wenig transparent, nicht klar genug strukturiert und unzureichend automatisiert sind. Mit dem wieder zu beobachtenden Ergebnis, dass häufig Mitarbeiter aus dem Betrieb ausscheiden, aber ihre Benutzerrechte erst mit zeitlicher Verzögerung oder nach einer späteren zufälligen Wahrnehmung aus den Systemen entfernt werden. Deshalb bedarf es einer automatisierten Dokumentation darüber, welcher Mitarbeiter zu welchem Zeitpunkt welche Berechtigungen besaß.
• Modulare Tools einsetzen, die zudem keine Eingriffe in die IT-Infrastruktur verlangen: Starre IM-Lösungen widersprechen den Flexibilitätsansprüchen der Unternehmen, deshalb müssen sie eine einfache Skalierbarkeit beim Umfang der zu verwaltenden Benutzerkonten gewährleisten. Ebenso sind aus Flexibilitäts- und auch Aufwandsgründen Lösungen erforderlich, die modular aufgebaut sind und sich ohne Änderungen an der IT-Infrastruktur oder Organisation realisieren lassen. Auch dies verlangt jedoch einen neuen Lösungsansatz auf Basis einer prozessorientierten Automation, mit der die Unternehmen ihre Identity Management-Lösung dynamisch den eigenen Infrastrukturbedingungen und Prozessen anpassen können.