Identity und Access Management (IAM) dreht sich im Kern um die Frage, worauf welche Identität zugreifen darf. Dazu gehören Aspekte wie das Verwalten der Identitäten und ihre Authentifizierung. Im Mittelpunkt steht aber der Zugriff.
Viel mehr als nur Mitarbeiter
Viele Unternehmen beschäftigen sich in ihren IAM-Initiativen immer noch vor allem mit den Mitarbeitern. Die (richtige) Zielsetzung ist, Mitarbeitern den Zugriff auf genau die Ressourcen, die sie für ihre Arbeit benötigen, zu geben und das auch zu überprüfen. Letzteres wird auch als Access Governance bezeichnet.
Dieser Teil von IAM ist zweifelsohne wichtig. Er reicht aber längst nicht mehr aus. Heute sind viele Unternehmen dabei, ihr IAM auszubauen, um auch freie Mitarbeiter, Geschäftspartner und Kunden besser einbinden zu können. Unternehmen müssen heute in der Lage sein, alle Identitäten und deren Zugriffsberechtigungen zu steuern.
Auf der anderen Seite gibt es
schon längst in jedem Netzwerk auch technische oder funktionale
Benutzerkonten, die von Diensten für die Authentifizierung genutzt
werden und über die die Zugriffsberechtigungen eben dieser Dienste
gesteuert werden können. „Was darf was?“ ist also schon längst ein
Thema.
Mobile Benutzer, Endgeräte und vernetzte Dinge
Diese nicht personengebundenen Identitäten gibt es nicht nur bei Systemdiensten oder Anwendungen und den von diesen genutzten Benutzerkonten, sondern auch in anderen Bereichen. Wohl jedes Unternehmen hat sich in den vergangenen Jahren schon damit beschäftigt, wie man mit Zugriffen von Mitarbeitern über ihre mobilen Endgeräte umgeht.
Dabei gibt es einerseits die Situationen, in denen sich ein Mitarbeiter in traditioneller Weise beispielsweise mit Benutzername und Kennwort authentifiziert. Es gibt aber auch die immer größere Zahl von Fällen, in denen beispielsweise eine App auf einem bestimmten Gerät im Namen des Benutzers Zugriff auf Backenddienste verlangt. Für die Zugriffssteuerung wird es immer wichtiger, nicht nur die Nutzer, sondern auch die Geräte zu kennen.
Mobile Endgeräte sind dabei nur die Spitze des Eisbergs. Es geht längst nicht mehr nur um Smartphones und Tablets, sondern um „Activity Tracker“ und vieles mehr. Mit der Home Automation, vernetzten Fahrzeugen oder der Vernetzung von Fabriken – Schlagwort Industrie 4.0 – kommen noch viel mehr vernetzte Dinge dazu. Und für alle gilt: Man muss steuern, wer oder was (also welches Ding) auf was (welche Systeme und Daten) Zugriff hat.
Die Verwaltung und Berechtigungssteuerung für interne Mitarbeiter ist weiterhin ein wichtiger Bereich von IAM, auch durch die oft vielen, komplex zu verwaltenden Zielsysteme und die Vielfalt an Berechtigungen unterschiedlicher Mitarbeiter. Ein breiterer Blick auf das IAM ist heute ein Muss, um den wachsenden Anforderungen im Bereich der Informationssicherheit gerecht zu werden.
Ein IAM – nicht viele
Hier geht es auch nicht um Punktlösungen. Die Grundfragestellung ist immer die gleiche – wer oder was soll worauf Zugriff erhalten, wie werden die Identitäten verwaltet, wie wird der Zugriff kontrolliert, wie erfolgt die Authentifizierung und so weiter.
Natürlich gibt es technische Besonderheiten, wenn es um die Einbindung von Dingen geht, um die Zugriffe über technische Benutzerkonten oder um die Einbindung von Kunden. Aber letztlich wird immer wieder auf die gleichen Systeme (oder von den gleichen Systemen aus auf Dinge) zugegriffen. Es gibt kein System im Unternehmen, auf das nur Kunden zugreifen, aber keine Mitarbeiter. Es gibt kein System, das mit Dingen kommuniziert und nicht auch von Mitarbeitern genutzt wird.
Weitere Artikel und Whitepaper zum Thema Identity und Access Management finden Sie hier.