“Access Government” statt Identity Management

KarriereNetzwerkeSicherheitSicherheitsmanagement

 

Reines Zugriffsmanagement auf Netze und Anwendungen reicht in vielen Unternehmen nicht mehr aus, um den Anforderungen an Wirtschaftlichkeit, Datenschutz und gesetzlichen Vorgaben gerecht zu werden. Dazu errichten Softwarehersteller wie NetIQ eine Art “Meta”-Ebene über den vielen einzelnen Rechte-Managern – die auch von Nicht-Technikern verstanden werden soll.

NetIQ, aus Novell hervorgegangen und inzwischen eine ausgelagerte Tochter von Novell-Käufer Attachmate, will die Lücke zwischen den Identity-Management-Systemen aus IT-Management-Sicht und den Compliance-Anforderungen aus Manager-Sicht füllen. Und so machten sich die Mitarbeiter des Novell-Spin-Offs auf den Weg, für die neue Softwarekategorie zu werben und klarzumachen, warum diese neue übergeordnete Sicht auf die bisher eher technisch geregelten Passwort- und sonstigen Zugriffsmanagement-Lösungen – also ein Art Virtualisierung des Rechte-Managements – nötig ist.

Christoph Stoica, Europachef von NetIQ: “Die bisher technikzentrierte Zugriffsrechtesteuerung muss auch von Managern verstanden werden” (Fotoquelle: Martin Schindler, silicon.de)

Man wolle sich mit seinem “Access Government” insofern vom klassischen IT-getriebenen Zugriffs-Management unterscheiden, als dass man den Managern in Unternehmen einen Überblick und eine Steuerung verschaffen könne, die das klassische IT-Wirrwarr von Rechten in unterschiedlichen Netzen und Applikationen nicht bieten kann.

Im Grunde also biete man eine Oberfläche, die auch Nicht-Techniker verstehen würden und den entsprechenden Verantwortlichen die Möglichkeit gebe, Zugriffe ihrer Mitarbeiter auf Netzwerke, Programme, Onlinedienste und andere Berechtigungen regelmäßig zu prüfen, zu rezertifizieren und in Compliance-Reports auszugeben, erklärt Christoph Stoica, Regional Director Central Europe bei NetIQ.

In einem “Identity Warehouse” werden alle Rechte der Mitarbeiter abgebildet, die sich das Access Government des Herstellers über klassische Schnittstellen wie ActiveDirectory und LDAP oder offene APIs von Programmen wie SAP oder SaaS-Services wie Salesforce einholt. Sollen Zugriffsrechte geändert werden, kann der Business-Verantwortliche dies nun selbst festlegen – die Access-Government-Software rollt die Rechte- und Policy-Änderungen automatisch auf Netzwerke, Verzeichnisse, Cloud- Schnitttellen oder Mobile-Device-Management-Systeme aus  und vermeidet so die üblichen Anstrengungen, von der IT oder der Fachabteilung im jeweiligen Zugriffs-System die Rechte-Änderungen einzeln einzufordern.

In Compliance-Reports zeigt die Access Governance Risikofaktoren in verschiedenen Abteilungen oder bei unterschiedlichen Rollen-Gruppen [Klicken, um Bild zu vergrößern]
“Die IT-Abteilung, die inzwischen ohnehin in vielen Unternehmen übergangen wird, kann vom System über die Änderungen informiert werden; sie ist aber nicht mehr zwingend notwendig”, erläutert Europa-Technikchef Götz Walecki. Was von der Software an wen gemeldet wird und wer bei welchen Rechtevergaben zustimmen muss, wird in der Software zuvor festgelegt.

Das “Access review” zeigt, welcher Nutzer versucht, welche Policies und Rollen zu ge- oder missbrauchen [Klicken, um Bild zu vergrößern]
Die Frage, ob NetIQ mit der Access Governance nun einen neuen Gattungsbegriff für Software einführen wolle, ähnlich wie die Marketinghülsen “Cloud Computing” und “Big Data”, weist Europachef Christoph Stoica vehement zurück: Mit dem Access Government klinke man sich nur in vorhandene Infrastrukturen ein, um sie verständlicher und beherrschbarer zu machen.

Die Access Governance Suite soll dazu mit einem zentralisierten Framework alle Informationen aus verschiedensten Systemen zusammenfassen, speichern und steuern. Rollen, Geschäftsrichtlinien, Risikomodelle, Lebenszyklen von Benutzerkonten und Wiedervorlagetermine für die Account-Prüfung werden hier erfasst.

In einem technischen Überblick auf seiner Website zeigt NetIQ, dass man die Idee des erweiterten Zugriffs-Managements und-Reportings schon auf zahlreiche Betriebssysteme, Datenbanken undAnwendungs-Server  angepasst hat – alles, was hier nicht erfasst ist, sollen Systemhäuser und andere Value Added Reseller einbinden können. NetIQ versucht jedoch, möglichst alle gebräuchlichen Zugriffs-Systeme automatisiert in die Software einzubinden, denn schließlich können sich viele kleine und mittlere Unternehmen nicht leisten, für jede Art von Zugriffs-Steuerung eigene Administratoren zu beschäftigen oder externe Dienstleister zu beauftragen.

Die Suche im zentralisierten Account-Management zeigt im vereinfachten Überblick, wer derzeit im Unternehmen mit welchen Rechten auf welche Services zugreifen darf. Das Ergebnis ist für manche Manager überraschend, wenn nicht gar erschreckend: Häufig verstecken sich unerkannte Administrationsrechte im Firmennetz. [Klicken, um Bild zu vergrößern]
Anklicken um die Biografie des Autors zu lesen  Anklicken um die Biografie des Autors zu verbergen