Der Weg der Mitte und achtens // Wie IAM valide Audit Reports und Auswertungen produziert
Inhalt
Die Situation ist meist eher fragmentiert!
Mittlerweile werden von Organisationen Berichte von diversen internen und externen Stellen gefordert: Berichte für Revision, Datenschutzberichte, Auswertungen oder Audit Reports im Zuge eines Audits oder für Fachbereiche.
Diese Reports und Auswertungen müssen einen belastbaren Einblick bieten, in historische Daten über den Verlauf oder den Berechtigungsstand in der Vergangenheit und teilweise sogar tagesaktuell. Dabei spielt es keine Rolle ob es Stichproben sind oder sicherheits- oder datenschutzrelevante Vorkommnisse.
Das heute jedoch meist fragmentierte Umfeld im User- & Rechte-Management macht die Erstellung von Audit Reports und Auswertungen nur mit hohem manuellem Aufwand möglich. Zu viele Verwaltungs-Werkzeuge, Datenhaushalte und Prozesse stellen die Belastbarkeit der Auswertungen in Frage.
Die Auswirkungen
Die Bereitstellung von Benutzer- oder Rechtereports bedarf heute mühsamer Handarbeit für das Zusammentragen von Informationen aus diversen Werkzeugen und Anwendungen.
Oft liegen Informationen über die Entstehung von Zugriffsrechten nur in Teilen vor: Wer hatte wann welche Zugriffsrechte? Wer hat diese angefordert, genehmigt und letztendlich vergeben? Diese Daten können nicht ohne und keinesfalls auf Knopfdruck beantwortet werden.
Die daraus resultierenden Risiken
Der Arbeits- und Zeitaufwand für die Berichtserstellung ist zu hoch. Valide Reports zum Nachweis der Rechenschaftspflicht nach EU-DSGVO sind aus folgenden Gründen kaum realisierbar:
- manuell zusammengetragene Informationen sind fehleranfällig und somit sind die Vollständigkeit sowie die Belastbarkeit der Auswertungen fraglich.
- Die Auswertung über die Historie und Herkunft ist meist gar nicht dokumentiert, was die Einhaltung von Compliance-Richtlinien schwierig oder unmöglich macht.
Perspektiven-Wechsel
Es wird also ein lückenloses Reporting benötigt. Dazu müssen die Zugriffsberechtigungen ordentlich ausgewertet werden. zeigen die Art der Berechtigung, die eine Identität auf eine bestimmte Ressource hat. Diese Ansichten sollten sich „drehen“ lassen, so dass man die Zugriffsrechte aus verschiedenen Perspektiven betrachten kann.
Es gilt, die drei Aspekte der Zugriffsberechtigungen in Balance zu bringen:
- Art: Wer hat welche Zugriffsrechte auf welche Ressourcen?
- Herkunft: Wer hat diesen Zugriff beantragt, genehmigt und/oder freigeschalten?
- Historie: Seit wann besteht bzw. in welchem Zeitraum bestand die Berechtigung?
Das gelingt, wenn bereits der Prozess der Berechtigungsvergabe entsprechend gestaltet wird. Denn nur mit einem strukturierten Prozess kann die Herkunft einer Berechtigung dokumentiert werden. Dann benötigen Sie die in den anderen Handlungsfeldern bereits geforderte systemübergreifende Identitäts- & Rechtedatenbank.
Dafür gibt es Identity & Access Management-Lösungen die hier Abhilfe schaffen, indem eine ständig aktuelle Identitätsdatenbank geführt wird sowie eine lückenlose Protokollierung der Prozesse und Provisionierungen in den Zielsystemen.
Dadurch werden Reports aus den unterschiedlichen Perspektiven möglich und stehen jederzeit abrufbar bereit. Ob für die Revision, einen Audit Report oder den Fachbereich, Reports über aktuelle und historische Berechtigungen lassen sich mit Identity & Access Management mit wenigen Mausklicks tagesaktuell erstellen.
Sie profitieren durch IAM wie folgt
- User- & Rechte-Reports & Dashboards
- Anwendungsübergreifende Reporting Datenbank
- Bildung und Revisionierung von Identitäten
> Eine Art „Time Machine“ für den Stand an Rechten - Auswertungen auf Knopfdruck | Self-Service
> Wer hatte wann welche Rechte?
> Wer hat diese beantragt und genehmigt?