ACCESS INTELLIGENCE mehr als intelligente Zugriffsverwaltung - White Paper
←
→
Transkription von Seiteninhalten
Wenn Ihr Browser die Seite nicht korrekt rendert, bitte, lesen Sie den Inhalt der Seite unten
Inhaltsverzeichnis Access Intelligence – mehr als intelligente Zugriffsverwaltung ....................3 Das neue Paradigma des Identity Access Management.................................3 Aus Identity Access Management wird Identity Access Governance............4 Eine neue Business-Schicht im Identity Access Management.......................6 Datenfülle und Komplexität als Herausforderung...........................................6 Verständlicheres Berechtigungsmanagement durch Access Intelligence.............................................................................................7 Der Vorteil etablierter BI-Plattformen...............................................................8 Bessere Analysen und Berichte.........................................................................10 Bereitstellung der relevanten Inhalte für eine BI-Infrastruktur.......................10 Zusammenfassung.............................................................................................11 2
Access Intelligence – mehr als intelligente Zugriffsverwaltung Access Intelligence – mehr als intelligente Zugriffsverwaltung Governance in der Zugriffsverwaltung – auch als „Identity and Access Governance“ (IAG) bezeichnet – bedeutet, dass die Fachabteilungen mehr Verantwortung für den Schutz von Ressourcen und die Be- schränkung von Aktivitäten übernehmen. Das heißt, dass die Berechtigungsvergabe enger überwacht werden muss und dass vorhandene Berechtigungen in regelmäßigen Abständen bestätigt (re-zertifiziert) werden müssen. Eine der wichtigsten Herausforderungen von Access Governance ist die Notwendigkeit, riesige Datenmengen samt ihrer extrem komplexen Strukturen aufzubereiten. Dieses Problem kann durch die Verdichtung und Visualisierung dieser Daten in einer Business-verständlichen Form gelöst werden. Um dieses Ziel zu erreichen, können bewährte Verfahren und Methoden aus dem Bereich Business Intel- ligence (BI) genutzt werden. Die Verwendung von BI-Methoden zur Erstellung von Berechtigungsstruktu- ren macht den Weg für Access Intelligence frei. Die erprobten Grundprinzipien, die Business Intelligence bei Business-Entscheidungen so erfolgreich machen, können auch bei IAG angewendet werden, um eine echte Transparenz der Aktivitäten unter Einbeziehung der Zugriffsrechte im Unternehmen zu erreichen. Entsprechend finden bewährte Methoden ihren Weg in neue Anwendungsbereiche. Das neue Paradigma des Identity Access Management Wie immer im IT-Bereich muss Identity Access Management (IAM) auf die sich schnell wandelnden Anfor- derungen des Marktes reagieren. Beispielsweise lässt sich eine Parallele zwischen dem Community-getrie- benen Ansatz, den Web 2.0 zur Erzeugung von Inhalten verwendet, und den Fähigkeiten von IAM in einem von Access Governance durch Access Intelligence beeinflussten Umfeld ziehen. Darum denken wir heute an IAM als IAM 2.0. IAM 1.0 war IT-lastig und Administrator-orientiert. Im Vordergrund standen der Single-Point-of-Administ- ration, die Steuerung von Identitäten und Berechtigungen aus der Personalabteilung heraus (HR-gestütztes Provisioning) sowie die rollenbasierte Zugriffskontrolle (Role Base Access Control, RBAC). Im Gegensatz dazu handelt es sich bei IAM 2.0-Systemen um Business-Kollaboration-Plattformen, die eine umfassendere Beteiligung der Fachabteilungen an der Zugriffsverwaltung ermöglichen. Die Systeme werden von den Be- nutzern anders wahrgenommen und genutzt. Die Fachabteilungen sind in die IAM-Entscheidungsprozesse eingebunden. Die IAM 2.0-Systeme sind mit umfangreichen Self-Service-Funktionen ausgestattet, so dass jeder einzelne Anwender persönlich in die sichere und regelkonforme Verwaltung der Zugriffsrechte einbe- zogen ist. Früher standen Faktoren wie Kostensenkung und effizientes Benutzermanagement im Vordergrund, heute suchen Unternehmen nach einem System, mit dem sie ebenso Regularien und Gesetze sowie das Risiko- management bewältigen können. Darum reden wir von „Access Governance“, wenn wir an IAM 2.0 denken. www.betasystems.com Alt-Moabit 90d Telefon +49 - (0)30 - 72 61 18 - 0 10559 Berlin Fax +49 - (0)30 - 72 61 18 - 800 3
Line of Business Regulations, Laws, Risk Management IAM 2.0 IAM 1.0 Cost reduction & Efficient User Management IT Professionals Aus Identity Access Management wird Identity Access Governance Durch den Paradigmenwechsel von IAM zu IAG sind neue Aufgaben und Funktionen entstanden. Zu den wichtigsten Bausteinen zählen das Antrags- und Genehmigungsverfahren für neue Berechtigungen und die Überprüfung und Zertifizierung vorhandener Berechtigungen. Grundlage dafür ist die Modellierung von Zugriffsinformationen über die Benutzer, die auf der Rolle des Benutzers im Unternehmen basieren. Im Rahmen dieser Modellierung kann auch eine Bewertung des Risikos vorgenommen werden, die der Zugriff auf sensible Daten durch einen Benutzer darstellt. Die einfache Vergabe von Berechtigungen an Benutzer erfüllt nicht mehr den beabsichtigten Zweck. Statt- dessen ist Bedarf an einem Antrags- und Genehmigungsverfahren entstanden, das Rollen zuweist und Zugriffsrechte gewährt. Dieses Verfahren kann in größeren Unternehmen durch einen automatisierten Workflow gestützt werden. Grundlegende Bedeutung kommt auch einer größeren Transparenz bei bestehenden Berechtigungen zu. Sie ist eine Grundvoraussetzung für die Re-Zertifizierung. Für die Zertifizierung müssen die Vorgesetzten regelmäßig prüfen, ob bestimmte Mitarbeiter ihre speziellen Zugriffsrechte behalten sollen. Falls ja, müs- sen diese erneut bestätigt werden. Dadurch wird das Risiko verringert, dass Mitarbeiter mehr Berechtigun- gen als nötig anhäufen. Die Messlatte dabei sollte das Prinzip des „Least Privileged“ sein, also die Begren- zung der Rechte auf das notwendige Minimum. 4
Access Intelligence – mehr als intelligente Zugriffsverwaltung Die Business-orientierte Modellierung von Rollen beinhaltet das Erstellen von Rollen, die für die Fachab- teilung verständlich sein sollten. Dies ist die Voraussetzung für das Antrags- und Genehmigungsverfahren und für die Zertifizierung. Die Fachabteilungen können nur dann Rollen beantragen, genehmigen oder re-zertifizieren, wenn sie diese kennen und verstehen. Neben der ursprünglichen Aufgabe der Rechtezu- weisung müssen die Rollen daher jetzt auch aus Sicht der Antrags- und Genehmigungsverfahren erstellt werden, einschließlich Prüfung und Zertifizierung. Bei der Berechtigungsvergabe sind verschiedene Richtlinien, die IAM 2.0 unterstützen, zu berücksichtigen. Eine der wichtigsten ist die Trennung der Funktionen (segregation of duties, SoD). Um „toxische Kombina- tionen“ zu vermeiden, muss ausgeschlossen werden, dass bestimmte Kombinationen von Zugriffsrechten möglich sind. Im Rahmen von Identity Access Governance müssen die zugrundeliegenden SoD-Regeln bei der Berechtigungsvergabe definiert und angewendet werden. Darüber hinaus muss es möglich sein, beste- hende Berechtigungen auf die Einhaltung dieser Regel zu prüfen. Bei der Prüfung von Berechtigungen muss auch die historische Dimension berücksichtigt werden. Das bedeutet, dass eine einfache Prüfung der aktuellen Genehmigungen nicht ausreicht, sondern dass es außerdem möglich sein muss, diese im Kontext einer bestimmten Zeitachse zu prüfen. Eine grundlegende Frage ist: Welche Zugriffsrechte hatte dieser Benutzer in der Vergangenheit? Ferner gilt es zu prüfen, wer diese Zugriffsrechte beantragt, genehmigt und re-zertifiziert hat. Dies ist beispielsweise eine der wichtigs- ten Voraussetzungen für die forensische Untersuchung von Unregelmäßigkeiten in betrieblichen Abläu- fen. A nhand dieser historischen Analysen lassen sich auch bestimmte Trends und Muster aufdecken, z. B. indem offen gelegt wird, dass jemand über die Zeit immer mehr Rechte angehäuft hat. Durch die Überwachung von Benutzeraktivitäten lassen sich die Benutzeraktivitäten zu den Genehmigungs- strukturen in Beziehung setzen. Zu diesem Zweck werden die Protokolldateien des Systems herangezogen. Mithilfe der Überwachung von Benutzeraktivitäten lässt sich beispielsweise sagen, wie oft und wann Be- rechtigungen von den Benutzern überhaupt verwendet werden. Auf Basis dieser Informationen lassen sich die Berechtigungsstrukturen besser an die betrieblichen Anforderungen anpassen. Main Building Blocks Business Role Modelling Access Request & Approval Access Review & Certification Risk Rating & Analysis Access Access & Process History Governance Policy Definition & Validation User Activity Monitoring Additional Compliance Audit & Reports Aspects www.betasystems.com Alt-Moabit 90d Telefon +49 - (0)30 - 72 61 18 - 0 10559 Berlin Fax +49 - (0)30 - 72 61 18 - 800 5
Eine neue Business-Schicht im Identity Access Management Die zusätzlichen Anforderungen im Rahmen von Access Governance müssen Unternehmen durch neue Verfahren in der Berechtigungsverwaltung abbilden. Das bedeutet, dass ein klassisches IAM-System eine fachabteilungstaugliche Komponente benötigt, die den Mitarbeitern dort eine am Geschäftsprozess ausge- richtete und verständliche Sicht auf Identitäten und deren Rechte vermittelt. Dafür müssen bestehende IAM-Systeme um Business-orientierte Strategien erweitert werden. Dies kann beispielsweise durch Hinzufügen einer weiteren Schicht zum IAM-System erfolgen. Diese Schicht sollte auch Funktionen für die Analyse von Zugriffsrechten, Reporting-Funktionen sowie die regelmäßige Über- wachung der Zugriffe durch Prüfroutinen beinhalten. Um den Zugang für die Mitarbeiter der Fachbereiche zu vereinfachen, bietet sich ferner ein Webportal an. Datenfülle und Komplexität als Herausforderung Die feingranulare Aufschlüsselung der Rechte und deren Überwachung, die auch die Historie betrachten sollte, stellt jedoch eine besondere Herausforderung dar – einfach aufgrund der enormen Mengen und der Komplexität der Daten. Große IAM-Lösungen im Banksektor umfassen beispielsweise bis zu 100.000 Benut- zer mit insgesamt 500.000 Konten und 35.000 Rollen sowie 700.000 Berechtigungsgruppen aus einer Viel- zahl von Anwendungen. Darüber hinaus lässt sich aus den Änderungsprotokollen des Systems mit mehr als 250 Millionen Einträgen pro Jahr ersehen, dass diese Daten keine statische Struktur aufweisen. Access Governance Intelligence Data Warehouse Triggering Load Load IAM System Operation Data Store Data Sources Identity & Entitlement Store Provisioning Consistency Target Systems 6
Access Intelligence – mehr als intelligente Zugriffsverwaltung Damit entsteht eine unglaubliche Datenfülle, und die zu verwaltende Komplexität hat riesige Dimensionen. Hinzu kommt außerdem, dass die Berechtigungen und damit die generierte Datenbasis permanenten Ver- änderungen unterworfen sind. Aufgrund von Veränderungen an der Organisationsstruktur, neuen Anwen- dungen und neuen Regularien wächst die Datenbasis fortlaufend an, was eine manuelle Analyse unmöglich macht. Datenvolumen in diesen Dimensionen und dieser Komplexität können letztendlich nur von automa- tischen Systemen erfolgreich verarbeitet werden. Verständlicheres Berechtigungsmanagement durch Access Intelligence Statt der sonst üblichen Frage „herstellen oder kaufen“, heißt die Frage nun „selbst fertigen oder wieder- verwenden“. In der IT gibt es bereits eine Menge wiederverwendbarer Technologien zur schnellen und effizienten Verarbeitung großer Datenmengen. Die eigenständige Entwicklung von Softwaresystemen ist dagegen teuer und aufwändig. Dies trifft vor allem auf den Bereich Business Intelligence (BI) zu. Zu dessen Kernfunktionen gehört es, Daten durch ETL-Tools (ETL = Extract, Transform and Load) aufzubereiten, die Informationen in einem Data Warehouse zu speichern und in der Folge zu analysieren sowie die Ergebnisse mit Auswertungen in Form von Grafiken, Pivot-Tabellen und KPIs zu präsentieren. Warum also sollten diese Technologien nicht auch für die Analyse von Berechtigungen genutzt werden? An- statt nur Umsätze und Marktdaten zu analysieren, warum nicht auch die Strukturen von Zugriffsrechten analy- sieren? Mit Sicherheit macht dies für die in BI-Tools integrierte Methoden und Verfahren keinerlei Unterschied. Business Intelligence liefert die wichtige Infrastruktur für die Analyse von Zugriffsdaten. Der Inhalt wird jedoch durch unsere IAM-Lösung bereit gestellt: durch das zugrundeliegende Datenmodell mit seinen analytischen Fähigkeiten. Unser Ansatz ist die Bereitstellung der erforderlichen Daten, indem sie aus den verschiedenen und wesentlichen IT-Systemen abgerufen werden. Die Verwendung dieses Datenmodells ermöglicht die ent- sprechende Verarbeitung und Umwandlung von Zugriffsdaten zur weiteren Verwendung innerhalb des Data Warehouse. Daher ist dieses Modell die Voraussetzung für eine umfangreiche Bandbreite an Zugriffsanalysen. Dies ebnet den Weg für verschiedene Berechtigungsberichte und -aktivitäten wie z. B.: • gebrauchsfertige und vorkonfigurierte Standardberichte, die entweder über Scheduler/E-Mail-Benach- richtigung oder auf Anforderung ausgegeben werden. Außerdem lassen sich die On-demand-Berichte auch manuell durch Filter- und Sortieroptionen sowie Größenbestimmung anpassen. • Ad-hoc-Berichte: Nach dem Self-Service-Prinzip bereitgestellte Business Intelligence ermöglicht eine einfache und effiziente Erstellung eigener individueller Berichte gemäß persönlicher Anforderungen und auf der Grundlage eines Business-verständlichen Datenmodells. Zu den Aktivitäten kann die Attestierung zählen, z. B. Zugriffsbeantragung und -genehmigung, Re-Zertifizie- rung oder andere Aktivitäten, die sich in naher Zukunft mit einem integrierten Geschäftsprozess-Workflow kombinieren lassen. Aus diesem Grund ist die Schlussfolgerung berechtigt, dass nur eine volle Integration von BI und Access Intelligence über die enormen analytischen Fähigkeiten verfügt, die einen fundierten Einblick in die Berech- tigungen erlauben. Es sind diese Einblicke, die das Treffen der richtigen Entscheidungen als Grundlage für Access-Governance-Aktivitäten ermöglichen. www.betasystems.com Alt-Moabit 90d Telefon +49 - (0)30 - 72 61 18 - 0 10559 Berlin Fax +49 - (0)30 - 72 61 18 - 800 7
Dadurch werden völlig neue Möglichkeiten für Access Governance eröffnet, Möglichkeiten, die sich unmit- telbar für die Analyse und Erstellung von Daten aus Berechtigungssystemen verwenden lassen. Ad-hoc Reporting, Information Portal, Certification Analytics DashboardsNotification, Portal KPIs Reporting Analytics Dashboards Portal Microsoft BI Suite Business Role Modeling Risk Rating & Analysis Access Governance Access Request & Approval Access & Process History & User Activity Monitoring Intelligence Access Review & Certifikation Compliance Audit & Reports BI Platform Data Warehouse & Cubes Triggering Load Load IAM Identity & Entitlement Store System Provisioning IL, CM Target Systems Data Sources Der Vorteil etablierter BI-Plattformen Bei der Auswahl einer BI-Plattform stellt sich den Unternehmen die Frage, ob sie selbst eine eigenständige Lösung entwickeln oder auf eine offene BI-Infrastruktur auf dem Markt zurückgreifen sollen. Die Erfahrung hat gezeigt, dass eigenständige Implementierungen meist mehr Nachteile als Vorteile mit sich bringen, da sie häufig zu Silo-Anwendungen führen. Ferner sind Erweiterungs- und Skalierbarkeitsmöglichkeiten oft begrenzt. Vieles spricht daher für die Nutzung einer offenen Plattform. Dabei kümmert sich bereits der An- bieter der BI-Tools um eine ausreichende Leistung und Skalierbarkeit der Systeme. Des weiteren sind diese Systeme in der Regel offen für kundenspezifische Erweiterungen. Durch den Ausbau mit weiteren Lösungs- paketen können die Unternehmen ihre eigene unternehmensweite Informationsplattform einrichten. Diese Nutzung eines vorhandenen BI-Tools lässt Benutzerdaten und ihre jeweiligen Berechtigungen in einem völlig neuen Licht erscheinen. Dies lässt sich an einem einfachen Datenmodell verdeutlichen: Die Datenaufbereitung in einem Data Warehouse erfolgt primär nach dem Star-Schema, in dem Daten und Metadaten sternförmig angeordnet werden. Im Mittelpunkt stehen die zu analysierenden Fakten, zum 8
Access Intelligence – mehr als intelligente Zugriffsverwaltung Beispiel die Gruppenzuweisungen eines Benutzers. In diesem Fall sind die Gruppenzuweisungen die Ver- bindung zwischen dem Benutzer und seinem Berechtigungspfad. Weiter außen findet sich eine beschrei- bende Dimension mit weiteren Attributen wie etwa die Funktion des Benutzers oder sein Standort (der Beschäftigungsort). Mithilfe dieses sternförmigen Datenmodells lassen sich die Berechtigungsstrukturen so abbilden, dass diese nach verschiedensten Kriterien effizient analysiert werden können. Corporate Compliance Platform Extensions Access Custom Inteligence Solution Solution Packages Client Excel Portal Platform … BI Data Warehouse Platform Das Datenmodell dient nicht nur einer effizienten Auswertung, sondern stellt mit seinen Business-verständ- lichen Metainformationen auch eine Art „Business-Access-Semantikmodell“ dar. Unterstützt durch die bestehenden Werkzeuge lassen sich Analysen und Berichte beschleunigen und vereinfachen. Dabei helfen auch die modernen Bedienlogiken in Windows mit Drag-and-Drop, Drilldown und einer breiten Auswahl an Visualisierungsmöglichkeiten. Approval Certification Approval Approver Date Date Date Read, Write, Delete, Admin Approval Certification OrgUnit Operation Target Job Function System User Group Assignment Permission Group Location Resource Type RiskClass History Role Path Large, Medium, Internal, Small External, Technical, Shared Date State Type Assigned, Current, direct, Removed Historical indirect · via one Role · via Role Hierarchy www.betasystems.com Alt-Moabit 90d Telefon +49 - (0)30 - 72 61 18 - 0 10559 Berlin Fax +49 - (0)30 - 72 61 18 - 800 9
Bessere Analysen und Berichte Access Intelligence gibt Antworten auf typische Fragen in der Berechtigungsverwaltung, wie etwa: „Wer hat aktuell welche Berechtigung?“ oder „Wie waren dessen Rechte in der Vergangenheit?“ Ferner lassen sich auch weitergehende Analysen leichter gewinnen, die über Themen wie Risikobewertung und Zertifizie- rungsvorgänge Aufschluss geben. Eine Access-Intelligence-Lösung auf der Grundlage von BI-Technologien eröffnet eine Vielzahl anderer Möglichkeiten. Es lassen sich maßgeschneiderte Berichte erstellen, die speziell auf die Anforderungen eines Kundenunternehmens zugeschnitten sind. Dank seiner leistungsfähigen Drill-Down- und Drill- Through-Funktionalität können Unternehmen unmittelbar fundierte Antworten auf Ad-hoc-Fragen geben. Beispielsweise lassen sich über verschiedene Kriterien der Berechtigungsverwaltung schnell und einfach Leistungsindikatoren (KPI) erhalten. Dies gilt sowohl für die Analysen von Einzelobjekten, wie etwa den Benutzern oder Rollen, aber auch den Beziehungen zwischen diesen Objekten. Des weiteren lassen sich Schwellwerte überwachen, durch die beispielsweise Benutzer, die ein erhöhtes Risiko darstellen, einfach auffindbar sind. Und schließlich ermöglichen die BI-Werkzeuge komplexe Analysen, die einen Fundus an Informationen zu Trends und Mustern liefern. Bereitstellung der relevanten Inhalte für eine BI-Infrastruktur Unter Zuhilfenahme verschiedener Quellen filtert unsere Lösung alle Arten von Zugriffsdaten im Zusam- menhang mit Identity Access Management heraus und übermittelt sie in ein einziges Data Warehouse. Diese Inhalte umfassen sowohl historische als auch aktuelle Access-Daten, die in den multidimensionalen Schichten eines Datenwürfels gespeichert werden. In unserer Access-Intelligence-Lösung können die Kun- den mit standardisierten und gebrauchsfertigen Berichten arbeiten. Außerdem können sie spezielle Berich- te erstellen, die sich einfach an individuelle Anforderungen anpassen lassen. Das bedeutet, dass es kein starres Modell ist, das nur über Standardberichte verfügt, sondern dass kundenspezifische Konfigurationen zur Erstellung spezieller Berichte ohne jeglichen Programmierungsbedarf möglich sind. Zu den Reporting- und Analyse-Tools gehören übersichtlich gestaltete Startseiten, die schnelles und einfaches Vorspringen zu untergeordneten Seiten ermöglichen. Sie bieten eine Vielzahl an Berichten auf der Basis verschiedener Dimensionen, wie z. B. Rolle, Unterrolle, Benutzer, Konto sowie die Beziehungen zwischen diesen Dimensionen. Es lässt sich eine große Bandbreite an einfach zu verwendenden und klar gegliederten Querverweistabellen erstellen, welche den direkten Vergleich zwischen verschiedenen Grup- pen ermöglichen, z. B. eine Gruppierung der Benutzer nach Tätigkeitsfunktion und zugewiesenen Berechti- gungen. Die so erstellten Berichte lassen sich in fast jedes Kundenportal integrieren, wo sie je nach Bedarf einge- sehen werden können. Dies bietet den Kunden ein hohes Maß an Flexibilität bei der Erstellung der für ihre speziellen Zwecke benötigten Berichte. 10
Access Intelligence – mehr als intelligente Zugriffsverwaltung Line of Business Workflow Reporting Dashboard Analytic IAM Access Governance elligenc nt e I Role BI Platform Mgmt. Access Management Provisioning IAM Target System Zusammenfassung Access Governance und Intelligence ist einer der Interessenschwerpunkte von Beta Systems. Es spielt eine wesentliche Rolle bei der strategischen Ausrichtung des Unternehmens. Unsere Lösungen bieten ein Work- flow-basiertes Antrags- und Genehmigungsverfahren und sind auf eine Access-Intelligence-Infrastruktur für Business-orientierte Auswertungen in Form von Analysen, Reports und Dashboards ausgelegt. Dies alles sorgt für mehr Kontrolle und Transparenz in der GRC-Umgebung. Wir können auf unsere langjährige Erfahrung und unsere Kompetenz beim automatisierten Provisioning (Verteilen von Berechtigungen) sowie unsere Fähigkeit zur breiten Unterstützung verschiedenster Zielsysteme durch Standard-Konnektoren bauen. Durch die Nutzung eines Access-Intelligence-Moduls ebnen wir den Weg für eine Zugriffsverwaltung, die sich in die innovativen Bereiche von Access Governance erweitern lässt. Mit der Integration einer etablier- ten BI-Suite bieten wir eine IAG-Lösung, die auf einer hoch skalierbaren, stabilen und ausgereiften BI- Umgebung mit vollem Funktionsumfang aufbaut. www.betasystems.com Alt-Moabit 90d Telefon +49 - (0)30 - 72 61 18 - 0 10559 Berlin Fax +49 - (0)30 - 72 61 18 - 800 11
Wir verbinden Access und Governance www.betasystems.com Beta Systems Software AG | Alt-Moabit 90d | 10559 Berlin Telefon +49 - (0)30 - 72 61 18 - 0 | Fax +49 - (0)30 - 72 61 18 - 800 White Paper, Beta Systems Software AG / Februar 2013
Sie können auch lesen