IT-Compliance: Transparente Benutzerverwaltung

Die rollenbasierte Rechteverwaltung (Identity und Access Management, IAM), das heißt, die Definition von Business- und IT-Rollen, trägt zur Transparenz und damit zur sicheren und kosteneffizienten Einhaltung und Kontrolle aller internen und externen regulatorischen Vorschriften und Compliance-Richtlinien bei. Beta Systems gibt im Folgenden sieben Tipps zur Einführung einer rollenbasierten Rechteverwaltung:

1) Rollenmanagement als strategische Aufgabe

Rollen bilden die Schnittstelle zwischen den Geschäftsprozessen und der IT eines Unternehmens. Das Rollenmanagement ist daher eine wichtige Organisationsaufgabe, die entsprechend zu etablieren ist. Die Geschäftsprozessverantwortlichen müssen entscheiden, welche Rechte die Rollen beinhalten und welchen Personen diese Rollen zugewiesen werden. Wichtig ist, dass die Zahl der Rollen überschaubar bleibt und ihre Definitionen verständlich und nachvollziehbar sind.

2) Aufräumen durch Data Cleansing

Die rollenbasierte Rechteverwaltung sollte mit einem grundlegenden Aufräumen beginnen. Der Cleansing-Vorgang schafft die Voraussetzung für ein sauberes Rollenmanagement und besteht aus einer Bereinigung von Informationen. Je nach Stellenbeschreibung arbeiten die Mitarbeiter mit diversen IT-Ressourcen. Daten und Anwendungen werden kombiniert und von Menschen innerhalb und außerhalb einer Organisation genutzt. Role-Mining-Werkzeuge ordnen die einzelnen Accounts den Benutzern zu, um festzustellen, welche Berechtigungen ein Benutzer im Unternehmensnetzwerk hat. Ein Bericht zeigt dann schnell blinde Flecken und "Karteileichen" auf, das heißt verwaiste Benutzerkonten oder Berechtigungen. Abgesehen von den Sicherheitsrisiken kosten nicht benötigte Anwendungslizenzen Geld.

3) Erhöhung der Automatisierung

Übergeordnetes Ziel der IT-Abteilung und Geschäftsführung sollte es sein, durch die Berechtigungsbündel, also Rollen, den Administrationsaufwand deutlich zu reduzieren und Automatisierungsprozesse zu unterstützen. Role-Mining-Werkzeuge unterstützen bei der automatisierten Definition und fortlaufenden Optimierung der Berechtigungsrollen.

4) Mix aus Top-Down und Bottom-Up

Die standardisierte Modellierung von Rollen erfordert sowohl einen Top-Down- als auch Bottom-Up-Ansatz. Organisatorische Rollen entstehen nach dem Top-Down-Prinzip. Sie sind damit vom Aufbau der Organisation und von den Funktionen der Mitarbeiter geprägt. Mit dem Bottom-Up-Ansatz werden dann auf den Zielsystemen die vorhandenen Berechtigungen hinsichtlich Gemeinsamkeiten und Standards analysiert und den Rollen zugeordnet. Durch die Analyse bestehender Benutzerberechtigungen unterstützt eine Role-Mining-Software die Bottom-Up-Entwicklung von Rollenmodellen. Erst eine Soll-Ist-Analyse deckt Abweichungen vom Soll in existierenden Rollenvergaben auf.

5) Anwendung von diversen Analyse-Szenarien

Diverse Analyse-Szenarien sollten im Rollenfindungsprozess durchgespielt werden. Role-Mining-Werkzeuge bieten hierfür eine Vielzahl einstellbarer Parameter. Bei der Nachbearbeitung, dem sogenannten Role Engineering, werden die Rollen nach Abstimmung mit den fachlichen Anforderungen auf Basis der automatisch erstellten Analyseergebnisse definiert.

6) Rollenmanagement über den gesamten Lebenszyklus hinweg

Mit der einmaligen Rollendefinition ist es nicht getan: Permanente Änderungsprozesse verlangen, die Rollen und das übergeordnete Rollenmodell einfach und rasch an neue Stellencharakteristika oder IT-Anwendungen anzupassen. Die gewählte Role-Mining-Software sollte daher ein effizientes Role-Life-Cycle-Management unterstützen - unter Berücksichtigung der Einhaltung und Kontrolle unternehmensweiter und gesetzlicher Vorgaben (Security Policies) bei der Vergabe von Zugriffsberechtigungen.

7) Hohe Integrationsfähigkeit

Die Role-Mining-Software sollte sich leicht in eventuell vorhandene IAM-Software integrieren lassen. So ist die Implementierung eines ganzheitlichen und intelligenten User-Role-Life-Cycle-Management-Konzepts garantiert. Auch sollte sie plattformunabhängig sein, da sie auf Basis der importierten Daten (HR-Daten und bestehende Berechtigungsinformationen) Rollen vorschlägt und optimiert. Ebenso bedeutend sind Import- und Export-Schnittstellen für die Übergabe der Informationen mittels definierter Dateiformate (CSV- oder XML-Format).

Autoren

Redaktion

Die LexisNexis Österreich & Compliance Praxis-Redaktion versorgt Sie regelmäßig mit aktuellen News und Informationen aus der Compliance-Welt. Unser Ziel ist es, Ihre tägliche Arbeit bestmöglich zu ...