Effizienzhemmnis Rezertifizierung
Dieser Herausforderungen begegnen viele Unternehmen mit der Durchführung von Rezertifizierung-Kampagnen. Hier werden Mitarbeiter auf der Business-Seite, die für Teams oder ganze Anwendungen Verantwortung tragen, in die Pflicht genommen, bereits erteilte Berechtigungen auf ihre Notwendigkeit und Rechtfertigung zu prüfen.
In regelmäßigen Abständen, gerne zum Abschluss eines Geschäftsjahres, kommt ein erheblicher Mehraufwand auf diese Mitarbeiter zu, der sie dazu zwingt, eine Vielzahl von Berechtigungen und ihre Zuordnung zu Mitarbeitern zu prüfen. Je nach Reifegrad der Rollendefinition kann das durchaus in der Praxis dazu führen, dass ein Teamleiter kryptische, weil technische Detailberechtigungen in Zielsystemen überprüfen muss, wofür ihm sowohl die fachlichen Voraussetzungen als auch die Zeit fehlen.
Dies birgt die Gefahr, dass der Verantwortliche die eigentliche Prüfung an andere Teammitglieder oder die Teamassistenz delegiert oder im Handstreich eine Vielzahl von Genehmigungen ungeprüft akzeptiert, um nicht aus Versehen noch benötigte Berechtigungen zu widerrufen. Dies könnte nämlich für den Betroffenen und damit für das Unternehmen im Alltag erhebliche Auswirkungen haben.
Schon das Konzept einer jährlichen oder halbjährlichen Rezertifizierung ist grundlegend überdenkenswert. So herrscht nur zum Rezertifizierungs-Zeitpunkt ein oder zwei Mal im JahrCompliance. Ziel aber sollte doch sein, dass das Unternehmen kontinuierlich und dauerhaft überprüfbar Compliance zu den gestellten Herausforderungen gewährleistet. Wird die Rezertifizierung dann auch noch so wie oben beschrieben durchgeführt, ist der Wert noch weiter vermindert.
Anregungen für eine moderne Access Governance
Die folgenden Anregungen können dazu dienen, den Umfang der Rezertifizierung zu vermindern und trotzdem zu einer dauerhaften und nachweisbaren Compliance zu gelangen. Viele, erfolgsversprechende Methoden sind gar nicht technischer Art, sondern helfen, einen effizienten und fokussierten Blick auf Berichtigungen zu erreichen:
Die oben dargestellte risikoorientierte Betrachtung von Berechtigungen ist ein wichtiges Hilfsmittel wenn es darum geht, wichtige von weniger wichtigen Berechtigungen zu trennen. Beispielsweise kann man dann häufigere, kleinere und über den Jahresablauf verteilte Zertifizierungskampagnen vornehmen, bei denen kritischere Berechtigungen überprüft werden.
Als hilfreiches Werkzeug haben sich die grundlegend nur auf begrenzte Zeit erteilte Berechtigungen herausgestellt: Werden Berechtigungen nur auf einem beschränkten Zeitraum, beispielsweise kritische Berechtigungen auf wenige Wochen oder weniger kritische Berechtigungen auf einige Monate erteilt, muss diese nach Ablauf dieser Zeit erneut beantragt werden. Ist die Notwendigkeit weiterhin gegeben, wird eine erneute Berechtigung im normalen Tagesablauf leicht in Genehmigungsprozesse erfolgen. Wird sie aber nicht mehr benötigt, entzieht sie sich quasi von selbst. Alle diese Berechtigungen müssen nicht rezertifiziert werden.
Ergänzend und unterstützend haben mittlerweile aber auch neue Technologien ihren Einzug in den immer wichtiger werdenden Bereich der Access Governance gefunden. Mit Werkzeugen für Access Analytics werden heute Analyseverfahren aus der Big-Data-Welt auf die bereits erteilten Berechtigungen angewandt. Hier können eine Vielzahl von Abweichungen identifiziert werden, die schon im Vorfeld einer Rezertifizierungs-Kampagne bereinigt werden können und so das Ausmaß der notwendigen Tätigkeiten erheblich verringern. So lassen sich beispielsweise Mitarbeiter mit einer ungerechtfertigt hohen Anzahl von kritischen Berechtigungen ungeschickt geschnittene Rollen identifizieren.
Schon das Aufteilen großer monolithischer Rollen in mehrere kleine und eine angemessene Zuteilung an die sie tatsächlich benötigenden Mitarbeiter kann eine Vielzahl von Problemen beheben helfen.Zahlreiche aktuelle Werkzeuge bietet hierbei schon Unterstützung. In Projekteinsätzen ermittelte Erfahrungswerte (Best Practices) führen schnell und effizient zur Umsetzung einer besseren Governance.
Werkzeuge aus dem Bereich der User Behaviour Analytics können in Echtzeit die Analyse der Benutzung kritischer Berechtigungen unterstützen, um schon zur Laufzeit Abweichungen bei der gewünschten Berechtigungswahrnehmung zu identifizieren. Hierbei lassen sich in anonymisierten oder pseudonymisierten Bewegungsdaten durchaus auch Muster erkennen, die auf der Basis an sich zu Recht gewährter Berechtigungen basieren, aber dennoch dem gewünschten Nutzungsverhalten der Anwender widersprechen.
Die Schaffung und Aufrechterhaltung der Compliance zu allen notwendigen Anforderungen (rechtlich, regulatorisch, intern) ist eine Voraussetzung für die Existenz eines jeden Unternehmens und damit ein zentrales Unternehmensziel. Rezertifizierung als Bestandteil einer umfassenden Access-Governance-Strategie ist an vielen Stellen heute noch notwendig, Sie kann aber dennoch durch intelligente Prozesse und moderne Werkzeuge ergänzt und an vielen Stellen schon abgelöst werden. Für das Team, das Access Management und Access Governance innerhalb eines Unternehmens steuert. muss es eine zentrale Herausforderung sein, die notwendigen Prozesse für die IT und das Business so auszugestalten, dass ein Höchstmaß an Compliance erreicht werden kann, ohne dass das Business über Gebühr belastet wird. (haf)