Identity-Access-Management neu definieren
Cloud und BYOD - Herausforderungen für IAM-Strategien
Gestohlene Passwörter öffneten chinesischen Hackern die Tür ins Unternehmensnetz. Über Jahre hinweg stahlen sie unbemerkt technische Dokumentationen, Entwicklungsberichte und Geschäftspläne. Nur durch einen Zufall flog der Einbruch schließlich auf. Die Spionagesoftware war aber so gut versteckt, dass das wahre Ausmaß des Problems noch lange unklar blieb.
Was dem mittlerweile insolventen Netzausrüster Nortel widerfuhr, ist der Albtraum eines jeden IT- und Security-Verantwortlichen und macht einmal mehr deutlich, wie wichtig ein funktionierendes Identity- und Access-Management (IAM) für jedes Unternehmen ist.
Ein IAM-System erlaubt es festzulegen, welche Anwender auf welche Daten und welche Applikationen zugreifen dürfen. Der Zugang wird erst gewährt, wenn sich der User eindeutig identifizieren kann, etwa mittels Passwort, Chipkarte oder eines biometrischen Verfahrens. Doch was sich zunächst relativ einfach anhört, ist alles andere als trivial. Das liegt vor allem daran, dass sich die zu überwachenden Grenzen längst nicht mehr so scharf ziehen lassen wie noch vor einigen Jahren, als die Mitarbeiter über stationäre Arbeitsplatzrechner auf Daten und Applikationen zugriffen, die streng gehütet in den unternehmenseigenen Rechenzentren betrieben wurden.
IAM erfordert Geschick und Fingerspitzengefühl
Heute müssen die IT-Verantwortlichen einer ganz neuen Situation Herr werden. Immer mehr Anwender, intern wie extern, begehren Einlass in die Firmensysteme, um auf die dort lagernden Daten und Anwendungen zuzugreifen. Die Anwender nutzen dafür mehr und mehr mobile Devices wie Tablets und Smartphones, die noch dazu aus ihrem Privatbestand kommen können und sich damit der Kontrolle der IT-Abteilung entziehen. Komplexer wird das Ganze auch dadurch, dass Daten und Anwendungen, auf die mit den unterschiedlichsten Devices zugegriffen wird, nicht mehr nur in den firmeneigenen Systemen liegen, sondern zunehmend auch in der Cloud.
An dieser Stelle sind Geschick und Fingerspitzengefühl gefragt. Denn rigide IAM-Policies, die auf Kosten der Flexibilität gehen, verleiten dazu, die Sicherheitsvorkehrungen zu umgehen. Auf Verständnis der Nutzer für ihre Sorgen und Nöte können die IT-Verantwortlichen allerdings nicht hoffen. Denn die sind aus ihrem privaten Umfeld ein einfaches Handling ihrer User-Identity gewöhnt.
- BYOD - CIOs müssen reagieren
Private iPhones und iPads akzeptieren oder aussperren? Über diese Frage zerbrechen sich viele IT-Verantwortliche die Köpfe. Trägt man die Empfehlungen der verschiedenen Analysten zusammen, ergibt sich folgendes Bild: - Tipp 1:
IT-Leiter sollten offen für die Wünsche der Anwender sein. Der Trend zur Consumerisierung lässt sich nicht aufhalten. Nur wer sich darauf einlässt, wird den wachsenden Druck meistern und die Vorteile umsetzen können. - Tipp 2:
Die IT-Organisation sollte eine Strategie ausarbeiten, wie sie ihre Client-Landschaft gestalten will und welche Techniken - etwa Desktop-Virtualisierung - sie dafür benötigt. Wichtig dabei ist auch festzulegen, welche Geräte wozu genutzt werden dürfen. - Tipp 3:
Sicherheit ist ein wichtiges Thema: Doch wer den Gebrauch privater Geräte rigoros zu reglementieren versucht, riskiert im Endeffekt ebenso viele Sicherheitslecks, weil die Devices dann an der IT vorbei ihren Weg ins Unternehmen finden werden. - Tipp 4:
Die Security-Infrastruktur muss in Ordnung sein. Die IT sollte Richtlinien aufstellen, wer auf welche Informationen zugreifen darf. Zudem sollte es Notfallpläne geben, für den Fall, dass Geräte mit sensiblen Daten abhandenkommen. - Tipp 5:
Beweisen Sie Fingerspitzengefühl bei der Definition der Regeln. Wer beispielsweise damit droht, die Geräte in bestimmten Situationen zu beschlagnahmen, treibt die User dazu, die Devices unter dem Radar der IT-Abteilung durchzuschleusen. - Tipp 6:
Angesichts der wachsenden Komplexität rund um neue Endgeräte und Apps empfiehlt Forrester Research, die Verantwortlichkeit für das Management der damit verbundenen Infrastruktur zu bündeln und beispielsweise die Position eines Chief Mobility Officer einzurichten.
Ein gutes Beispiel ist an dieser Stelle einmal mehr Apple, erläutert David Frechette, Vice President beim Identity-Management-Anbieter Symplified. Für die Kunden sei es sehr einfach, mit ihrer Apple-ID auf ihre Inhalte zuzugreifen, egal von wo und mit welchem Gerät. Das erwarteten die Nutzer nun aber auch im Business-Umfeld. "Die Anwender wollen sich nicht mehrfach mit verschiedenen IDs einloggen, um eine App oder einen Service aus dem Unternehmens-Backend zu nutzen", sagt Frechette.