IT-Security November/Dezember 2023

IT SECURITY | 41
AUCH 2023 SEHEN WIR VIELE INNOVATIVE
PRODUKTE VOR ALLEM AUS DEN USA UND
ISRAEL. ABER AUCH EIN PRODUKT „MADE IN
GERMANY “ HAT ES DIESES JAHR AUF DAS
SIEGERTREPPCHEN GESCHAFFT.
Ulrich Partier, Publlisher it management
Entwicklungsumgebungen sind außerdem
ephemer, das heißt, sie sind kurzlebig
und werden jedes Mal neu erstellt,
wenn ein Build abgeschlossen ist.
Fazit: Das Innovationspotenzial liegt
im Bereich der Sicherheitsinfrastruktur
mit einem dreistufigen transformativen
Modell für die Softwareentwicklung
bei der große Teile der Community als
Open Source zur Verfügung gestellt
werden.
IDENTITY &
ACCESS MANAGEMENT
Nexis: Nexis 4 mit elektronischen Berechtigungskonzept
Das Problem: Banken und Versicherungen
müssen aufgrund regulatorischer
Vorgaben für alle Applikationen
Berechtigungskonzepte erstellen und
pflegen. Meistens werden dafür Wordund
Excel-Dateien erstellt, manchmal
auch Confluence Seiten eingerichtet.
Das Problem ist: Diese „ungeliebten“
Dokumente sind in der Regel
schlecht gepflegt: Die Beschreibungen
der Rollen und Rechte sind wenig aussagkräftig,
Veränderungen in den Applikationen
werden meistens nicht in
den Berechtigungskonzepten nachgepflegt.
Bei Prüfungen durch die Bankenaufsicht
und/oder die interne Revision
sind damit Findings vorprogrammiert.
Die Lösung: Nexis 4 wurde um die
Funktionalität „elektronisches“ Berechtigungskonzept
erweitert. Dahinter steckt
die Idee, dass viele Informationen zu
den Applikationen ohnehin in Nexis 4
vorliegen, wenn der Kunde Rezertifizierungen
und/oder Rollen- und Berechtigungsmanagement
mit dem Produkt
macht.
Idealerweise werden dabei die bestehenden
und oft in standardisierter Form
vorliegenden Stammdaten aus existierenden
Berechtigungskonzepten übernommen
und durch die von der IGA-Lösung
gelieferten Daten ergänzt. Soweit
Beschreibungen oder andere Metadaten
zur Kritikalität, zu SoD Klassen und
so weiter noch fehlen, können sie durch
Workflows oder Formulare durch die
Applikationsverantwortlichen ergänzt
werden.
So wird auch sichergestellt, dass die Berechtigungskonzepte
immer dem Ist-Zustand
in den Applikationen entsprechen:
➤ Eine Möglichkeit ist, dass Changeprozesse
direkt in Nexis 4 oder im
IGA-System abgewickelt werden
und damit sichergestellt wird, dass
der Ist-Zustand in den Applikationen
immer identisch mit dem Sollzustand
ist.
➤ Die andere Option arbeitet mit Triggern:
Immer wenn die IGA Lösung
beim regelmäßigen Zielsystemabgleich
eine Veränderung detektiert,
zum Beispiel eine neue Berechtigung,
löst das automatisch einen
Prozess in Nexis 4 aus.
Fazit: Egal, welche Tools man für das
Identitätsmanagement einsetzt oder
einsetzen will: Unternehmen klagen oft
über fehlende oder oberflächliche Funktionen,
kostspielige Anpassungsarbeiten
und vor allem über zu wenig Verständlichkeit
für nicht-IT Anwender.
Nexis 4 bietet fertige Analysen, Workflows
und Endanwender-Funktionen ohne
teure Integrations- oder Programmierarbeiten.
Eine weitere Stärke ist die
Visualisierung von Daten, Strukturen
und Abhängigkeiten.
Hinzu kommen als Alleinstellungsmerkmal
das elektronische Berechtigungskonzept.
Es gibt zu dieser automatisierten
Lösung kein vergleichbares anderes
Produkt auf dem Markt.
Ulrich Parthier | www.it-daily.net
www.it-daily.net | November/Dezember 2023