Deshalb ist eine Gesamtsicht auf das Identity und Access Management wichtig, um dann Besonderheiten als solche behandeln zu können und nicht mit einem IAM für Kunden, einem für Mitarbeiter, einem für die Produktionsumgebung und ganz vielen für unterschiedliche Dinge zu enden.
Wem gehört welches Ding?
Eine besondere Herausforderung dabei sind die Beziehungen zwischen verschiedenen Identitäten. Diese Herausforderung tritt schon in internen IAM-Projekten mit Fokus auf Mitarbeiter auf, wenn Mitarbeiter beispielsweise Geschäftsführer mehrerer Konzerngesellschaften sind oder vorübergehend ins Ausland wechseln. Schon dann können sie temporär oder dauerhaft mehrere IDs haben, deren Beziehung verwaltet werden muss.
Tatsächlich ist die Realität aber deutlich komplexer, wenn beispielsweise Mitarbeiter einer Versicherung gleichzeitig auch freiberuflich als Makler arbeiten und Kunde sind oder wenn Mitarbeiter nach der Rente in eine Teilzeitbeschäftigung wechseln und gleichzeitig als Rentner noch im firmeneigenen Produktverkauf einkaufen können.
Wenn man nun auf immer mehr Benutzergruppen, deren Geräte und die von ihnen genutzten Dinge schaut, werden diese Beziehungen noch sehr viel komplexer. Identity Management muss sich hier verändern. Es geht nicht mehr nur darum, Benutzer und ihre Zugriffsrechte zu verwalten, sondern auch die komplexen und dynamischen Beziehungsgeflechte – Geräte und Dinge können ihren Besitzer wechseln oder ersetzt werden – zu verstehen und zu verwalten. Hier gibt es unter dem Schlagwort IRM (Identity Relationship Management) bereits eine erste Standardisierungsinitiative.
Eines wird hier aber deutlich: IAM verändert sich. Die Veränderungen der Digitalen Transformation mit einer immer stärkeren (und variableren) Vernetzung von Unternehmen mit ihren Kunden und Partnern, aber insbesondere auch vernetzten Dingen im weitesten Sinne macht ein IAM erforderlich, dass diese unterschiedlichen Identitäten und ihre Beziehungen versteht und hier die Zugriffssicherheit schaffen kann, die erforderlich ist.
Warum es IAM auch für Dinge braucht
Das IoT (Internet of Things, Internet der Dinge) ist, wie so oft bei Schlagwörtern, ein Oberbegriff für eine Vielzahl unterschiedlicher Themen. Zudem ist es auch untrennbar mit der vernetzten Produktion (Industrie 4.0, Smart Manufacturing) verbunden, wo letztlich beispielsweise immer mehr Sensoren („Dinge“) vernetzt und in die Wertschöpfungskette eingebunden werden, um von der Bestellung des Kunden bis zur Produktion (Änderungen) und zurück (Status) eine vollständige Integration zu bieten.
Unter das Schlagwort IoT fallen so unterschiedliche Bereiche wie die Home Automation, dezentrale stromerzeugende Systeme, vernetzte Fahrzeuge oder die Activity Tracker, die heute viele bereits am Handgelenk tragen, um nur einige Beispiele zu nennen. Egal welchen Bereich man betrachtet, gibt es aber immer die Herausforderung, dass die Zugriffe auf diese Dinge für die Steuerung oder Updates ebenso geschützt werden müssen wie die Zugriffe auf die von diesen Dingen bereitgestellten Daten.
Besonders deutlich wird das am Beispiel vernetzter Fahrzeuge. Diese sind nicht ein großes Ding, sondern bestehen aus einer Vielzahl von vernetzten Teilsystemen, wobei die Kommunikation heute primär über ein zentrales Bussystem erfolgt. Zu diesen Teilsystemen gehören beispielsweise die Motorsteuerung, die Klimaanlage, viele andere Bereiche der Fahrzeugelektronik, der zukünftige EDR (Event Data Recorder, „Blackbox“ für die Aufzeichnung von Unfalldaten) oder das Multimedia-System, das über das Bussystem übrigens erst unlängst bei Chrysler Jeep als Einstiegspunkt für die Angreifer diente, die dann aufgezeigt haben, wie man die Bremsen manipulieren kann.
Auf der anderen Seite gibt es eine Vielzahl von Organisationen und Personen, die mit diesen Teilsystemen interagieren. Dazu zählen der Fahrer, Insassen, Eigentümer, die Polizei, Mitarbeiter in der Werkstatt, Versicherungsunternehmen, andere Fahrzeuge bei einer zunehmenden Vernetzung im Verkehr, der Hersteller oder die Händler und viele weitere.
Es ist ganz offensichtlich, dass nicht jeder gleichberechtigt ist, wenn es um den Zugriff auf Daten geht. Die Daten eines EDR dürfen überhaupt nur für wenige der genannten Gruppen nutzbar sein – und auch dann nur in genau definierten Situationen. Letztlich geht es hier um nichts anderes als IAM: Wer darf wann auf welche Informationen zugreifen?
Weitere Artikel und Whitepaper zum Thema Identity und Access Management finden Sie hier.