PDF (158 KB) - Röckle IT-Sicherheit GmbH

hin zu eigenen Berechtigungsanträgen der Benutzer, dem so genannten Self-
Provisioning. Die übersichtlichere Administration auf einer gemeinsamen
Infrastruktur verbessert aber auch die Revisionsfähigkeit des Gesamtsystems.
Zum Aufbau der Infrastruktur stehen Software-Werkzeuge zur Verfügung,
welche die administrativen Abläufe plattformübergreifend automatisieren
können. Der Funktionsumfang dieser Software-Werkzeuge variiert stark
hinsichtlich der bestehenden System-Konnektoren, der unterstützten Rollenund
Richtliniensemantik, den vorhandenen Workflows sowie den Möglichkeiten
für Auditing und Kontrolle. Dementsprechend kann solche Software grob in die
Kategorien Metadirectory, rollenbasierte Berechtigungsvergabe und Provisioning
unterteilt werden. Die Produktauswahl ist nach Erfahrung der Autoren ein nicht
zu unterschätzender Projektschritt.
Der Automatisierungsgrad, den ein solches Werkzeug erzielen kann, ist
eng mit Kosten und Aufwand für dessen Einführung verbunden. Auch die
Datenqualität und Fehlertoleranz der angebundenen Systeme spielt hierbei eine
Rolle, eine hundertprozentige Automatisierung ist in der Regel nicht möglich
oder nicht bezahlbar. Der gewünschte Automatisierungsgrad ist deshalb vorab
als Projektziel festzulegen, außerdem sollte man einen eigenen Projektabschnitt
zur Behandlung von Fehlern und Ausnahmesituationen vorsehen.
Ausgangspunkte für die Einführung einer Berechtigungsinfrastruktur sind
in vielen Fällen auch die IT-Revision und der Wunsch nach einer Verbesserung
der IT-Sicherheit des Gesamtsystems. Erfahrungsgemäß muss ein erfolgreiches
Projekt auch die Anforderungen an Kontrolle, Auditing und IT-Sicherheit bereits
bei der Festlegung der Projektziele möglichst genau definieren. Für Kontrolle
und Auditing erfolgt dies durch die Einbeziehung der IT-Revision. Dieser Punkt
darf nicht unterschätzt werden, da die Anforderungen der Revision aus
übergeordneten und nicht modifizierbaren Vorschriften entstehen, die aus
Gesetzen zur Wirtschaftsprüfung oder aus einem betriebsweiten
Risikomanagement herrühren.
Die Verantwortlichkeit für die IT-Sicherheit des Gesamtsystems ist oft
nicht eindeutig zuzuordnen, sodass sich die Anforderungen nur
bereichsübergreifend erarbeiten lassen. Verbesserungen der IT-Sicherheit
entstehen durch eine Reduktion der Fehlerhäufigkeiten und speziell der
Entfernung nicht (bzw. nicht mehr) gebrauchter Benutzerkonten und
Berechtigungen, dem so genannten De-Provisioning. Ein weiterer Effekt kann
die Reduktion der Anzahl plattformeigener Administratorkonten sein; dem