IAM auf einen Blick
Identitäts- und Zugriffsmanagement (IAM) ist ein zentraler Bestandteil der Strategien vieler Organisationen, um Zeit und Kosten zu sparen, die IT-Sicherheit zu erhöhen und die Effizienz zu verbessern. In diesem Artikel erklären wir einige der wichtigsten Begriffe, die im Zusammenhang mit IAM häufig verwendet werden.
Ganz gleich, ob Sie sich gerade erst mit IAM vertraut machen oder diese Grundsätze regelmäßig anderen in Ihrer Organisation erklären: Es lohnt sich, diese Seite als Lesezeichen zu speichern 📚😉.
Das Bild in diesem Artikel wurde von DALL-E mit der folgenden Aufforderung gezeichnet: "Zeichne eine Illustration mit den Maßen 1640 x 924 Pixel im Webp-Format, die die Komplexität der digitalen Zugangskontrolle in einem modernistischen Stil darstellt."
Die Definition von IAM
IAM steht für "Identity and Access Management" (Identitäts- und Zugriffsmanagement) und ist ein Rahmen für die Verwaltung digitaler Identitäten und des Zugriffs auf diese Identitäten über Anwendungen, professionelle Systeme und andere Portale in einem Unternehmen oder einer anderen Organisation hinweg. Eine IAM-Lösung stellt sicher, dass die richtige Person zur richtigen Zeit Zugang zu den richtigen Informationen und den erforderlichen digitalen Tools hat.
Kernkomponenten
Identitäten
Repräsentieren einzelne Benutzer oder Systeme (Diensthauptanwendung). Dies kann ein Mitarbeiter, ein Berater, ein Kunde oder auch eine Anwendung sein.
Authentifizierung
Verifizierung der Identität. Gängige Methoden sind Passwörter, Token, biometrische Verfahren (z. B. Fingerabdrücke oder Gesichtserkennung) und die Multifaktor-Authentifizierung (MFA).
Autorisierung
Legt fest, wozu ein authentifizierter Benutzer berechtigt ist. Man kann sich darunter vorstellen, auf welche Systeme, Anwendungen und Subsysteme eine Rolle oder Identität Zugriff hat und was sie darin tun darf.
Was ist der Unterschied zwischen IdM, IAM und IGA?
Eine vereinfachte Kategorisierung der Abkürzungen ist, dass sie an Komplexität und Funktionalität zunehmen. Im Folgenden haben wir diese Begriffe vom einfachsten (IdM) zum komplexesten (IGA) geordnet.
- IdM - Identitätsmanagement (Identitätsverwaltung)
- IAM - Identitäts- und Zugriffsmanagement (Identitäts- und Zugriffsmanagement)
- IGA - Identitätsmanagement und -verwaltung (Identity Governance and Administration)
Lassen Sie uns ein wenig mehr in die Tiefe gehen, um diese Begriffe noch besser zu verstehen...
Identitätsmanagement (IdM)
Der Schwerpunkt |
Vereinfacht ausgedrückt, ist IdM die Verwaltung von Benutzeridentitäten. |
Zielsetzung |
Das Ziel von IdM ist es, sicherzustellen, dass die richtige Person entsprechend ihrer Rolle und ihrem Status im Unternehmen Zugang zu den richtigen Informationen und Ressourcen hat. |
Funktionen |
Alles von der Benutzerregistrierung, Profilverwaltung, Passwortverwaltung und Deaktivierung von Benutzerkonten. |
Identitäts- und Zugriffsmanagement (IAM)
Schwerpunkt |
IAM baut auf IdM auf, indem es die Zugriffsverwaltung einschließt. Eine IAM-Lösung kann das Identitätsmanagement und die Bereitstellung des Benutzerzugriffs auf Geschäftssysteme, Anwendungen und Daten übernehmen. |
Zielsetzung |
Wie bei IdM besteht das Ziel von IAM darin, dass Benutzern auf der Grundlage ihrer Identität, Rolle und Richtlinien die richtige Benutzerebene zugewiesen wird. Darüber hinaus stellt ein IAM-System sicher, dass die Benutzer Zugang zu dem erhalten, was sie brauchen, wenn sie es brauchen. |
Funktionen |
IAM umfasst Authentifizierungsmechanismen wie die Zwei-Faktor-Authentifizierung (2FA), Berechtigungskontrolle und Überwachung des Benutzerzugriffs. |
Identitätssteuerung und -verwaltung (IGA)
Der Schwerpunkt |
IGA ist IAM plus Governance und Überwachung. Dazu gehören Richtlinienmanagement, Zugriffsprüfung, Risikomanagement und Kontrolle der Einhaltung interner und externer Vorschriften. |
Zielsetzung |
IGA ist im Vergleich zu IAM eher strategisch ausgerichtet und befasst sich mit der Einrichtung von Kontrollmechanismen zur Überwachung und Prüfung von Zugangsrichtlinien, Benutzerrechten und Zugangsereignissen. |
Funktionen |
Ziel der IGA ist es, sicherzustellen, dass die Zugriffsrichtlinien und -praktiken der Organisation mit den geltenden Vorschriften, Standards und Best Practices für die IT-Sicherheit übereinstimmen. IAM ist das Werkzeug, IGA ist die strategische Überwachung, die die Konformität sicherstellt. |
Was treibt die IAM-Entwicklung voran?
Als die Pandemie die Notwendigkeit förderte, von überall aus zu arbeiten, stellten viele Unternehmen fest, dass ihre IAM-Lösungen nicht für eine effektive Zugriffsverwaltung und -bereitstellung geeignet waren. Die Bedeutung und der Bedarf an Zugangsprüfungen und Compliance-Checks, um festzustellen, wie gut Unternehmen und Organisationen dies tatsächlich handhaben, wurde von einer wichtigen Priorität zu einem kritischen Faktor für einen sicheren Betrieb. Wie bereits erwähnt, kann (IGA) als eine Schicht von Governance und Überwachung über den operativen Funktionen von IAM betrachtet werden. Sie umfasst oft eine erweiterte Funktionalität über das hinaus, was bei einer Standard-IAM-Lösung üblich ist.
Die zunehmenden Anforderungen und Erwartungen an die Möglichkeit, von zu Hause aus zu arbeiten, haben dazu geführt, dass sich die Unternehmen anpassen mussten. Ein wichtiger Bestandteil, um die erforderliche Flexibilität zu erreichen, ohne die Produktivität, Effizienz und IT-Sicherheit zu beeinträchtigen, ist zum Beispiel die Möglichkeit, Regelsätze einzurichten, die vordefinierte Aktionen auslösen. Diese Aktionen können oft ganz oder teilweise automatisiert werden (sogenannte "Workflows"), um sicherzustellen, dass neue Mitarbeiter zum richtigen Zeitpunkt den erforderlichen Zugang erhalten.
Diese Art der Automatisierung kann auch Abteilungsleitern ungewöhnliche Nutzungen anzeigen, den Onboarding-Prozess weitaus stärker automatisieren, damit nichts durch die Maschen fällt, und die Berichterstattung erleichtern, wenn es um die Einhaltung gesetzlicher Vorschriften oder Ihrer eigenen Sicherheitsverfahren geht.
Andere IAM-Terminologie
Lebenszyklusverwaltung (Lifecycle Management)
Bei der Verwaltung digitaler Identitäten muss alles von der Erstellung über die Pflege bis hin zur eventuellen Löschung oder Archivierung von Benutzerkonten berücksichtigt werden. Dazu gehören Prozesse für die Aufnahme neuer Mitarbeiter in die Organisation (Onboarding), die Änderung von Rollen oder Titeln und das Ende des Arbeitsverhältnisses (Offboarding).
Einmalige Anmeldung (SSO)
Ermöglicht es Benutzern, sich einmal anzumelden und auf mehrere Anwendungen und Systeme zuzugreifen, ohne sich jedes Mal neu anmelden zu müssen. Zum Beispiel ist es heute üblich, sich mit seinem Google-, Microsoft-, Facebook- oder Apple-Konto bei mehreren verschiedenen Portalen anzumelden.
Multifaktor-Authentifizierung (MFA)
Verstärkt die IT-Sicherheit, indem sie zwei oder mehr Verifizierungsmethoden erfordert:
- Etwas, das Sie WISSEN (Passwort)
- Etwas, das Sie HABEN (ein Token oder Telefon), oder;
- Etwas, das Sie SIND (biometrische Daten wie Gesichtserkennung)
Rollenbasierte Zugangskontrolle (Role-Based Access Control)
Bei der rollenbasierten Zugriffskontrolle (Role-Based Access Control, RBAC) wird der Zugriff auf Ressourcen auf der Grundlage der Rolle gewährt, die Sie in einer Organisation innehaben. Den Benutzern werden Rollen zugewiesen, und die Rollen haben vordefinierte Berechtigungen und Zugriffsmöglichkeiten.
Dies ist ein wesentlicher Bestandteil der Funktionalität des cloudbasierten IAM-Systems von Identum, eAdm, das Daten aus dem HR-System für die automatische Kontenerstellung und Zugriffskontrolle verwendet.
Zugriffskontrolle mit Privilegium (Privileged Access Management)
PAM konzentriert sich auf die Überwachung und Kontrolle des Benutzerzugriffs für Rollen mit Privilegien (häufig administrative Benutzer). Dies ist entscheidend für den Schutz vor dem Eindringen in Unternehmenssysteme und vor Datenverlusten.
Zusammenschluss und Vertrauen (Federation and Trust)
Stellt das Vertrauen zwischen verschiedenen IAM-Systemen her, oft zwischen Organisationen, und ermöglicht Benutzern in einer Domäne den Zugriff auf Ressourcen in einer anderen Domäne.
Auditing und Berichterstattung (Auditing und Reporting)
Auditing und Reporting sind für die Dokumentation der Compliance und die Untersuchung von IT-Sicherheitsvorfällen unerlässlich. Mithilfe der Auditing- und Reporting-Module lässt sich feststellen, welche Systeme von wem, wann und möglicherweise auch zu welchem Zweck genutzt wurden.
Sicherheitstechnische Herausforderungen
Ein IAM-Tool muss regelmäßig gewässert werden. Es reicht nicht aus, es einmal einzurichten und es dann unbesehen laufen zu lassen. Zusätzlich zu einer robusten (und vorzugsweise cloudbasierten) IAM-Lösung müssen Sie auf eine kontinuierliche Überwachung und Aktualisierung vorbereitet sein und wissen, wie sich die Bedrohungen für die IT-Sicherheit weiterentwickeln - nur dann haben Sie die Voraussetzungen für einen erfolgreichen Einsatz von IAM geschaffen.
Diese Liste gibt einen guten Überblick über die in der IAM-Welt verwendete Terminologie, aber es gibt viele Nuancen und Komplexitäten, die in einer kurzen Zusammenfassung wie dieser nicht zum Ausdruck kommen. Wenn Ihnen dieser Inhalt gefällt oder Sie ein noch tieferes Verständnis dafür gewinnen möchten, was mithilfe von IAM möglich ist, empfehlen wir Ihnen, unseren Newsletter zu abonnieren.
