Startseite > Security > »Der Business Owner ist entscheidend für die Akzeptanz von IAM«

CRN-Interview mit Hans-Peter Dietrich von Controlware

»Der Business Owner ist entscheidend für die Akzeptanz von IAM«

25. April 2018, 8:03 Uhr | Daniel Dubsky

Fortsetzung des Artikels von Teil 1

»Am besten mit einer Applikation und wenigen Usern starten«

CRN: Haben Sie Tipps, wie man die Projekte erfolgreich gestalten kann?

Dietrich: Der Kunde sollte möglichst oft seinen umfangreichen Wunschkatalog in Teilabschnitte zerlegen und mit Prioritäten versehen. In der Regel ist besser, mit einer Applikation und wenigen Usern zu starten und hierfür die IAM-Funktionen zu integrieren. Erst später sind weitere Regeln, Rollen und Apps zu ergänzen.

CRN: Welche Komponenten bzw. Module eines IAM-Systems sollten zum Start unbedingt eingeführt werden, welche eignen sich auch für eine spätere Einführung?

Dietrich: Das ist natürlich abhängig von der Kundenumgebung, der Zielstellung und dem Budget – aber sicherlich basiert alles im IAM-Umfeld darauf, dass ich im ersten Schritt die Identität des Users eindeutig verifiziert habe.

CRN: Ist es sinnvoll, bei der Implementierung eines Identity und Access Managements auch gleich das Privileged Account Management mit anzugehen oder sollte man beide Themen besser getrennt behandeln?

Dietrich: Nach unserer Erfahrung haben viele Kunden vor Jahren bereits Ansätze zur sicheren Authentisierung via Einmalpasswort oder Zertifikaten implementiert. Viele haben diese für bestimmte Kern-Applikationen mit Provisioning- und Single-Sign-on-Tools ergänzt, sofern es hier eindeutige Vorteile gab. Aktuelle Anfragen beschäftigen sich eher mit der Integration der XaaS-Services und der Vielzahl von Apps und Endgeräten, einer Risikominimierung durch dynamische Rechtevergabe und Rechteentzug, Session-Recording von externen privilegierten Dienstleistern sowie einer Anomalie-Verhaltenserkennung durch Machine Learning oder auch der Einbindung von IoT-Devices. In bestimmten Branchen verspüren wir darüber hinaus den verstärkten Wunsch nach einem Werkzeug, das automatisch und unabhängig vom existierenden IAM-Tool kontinuierlich einen Compliance Check durchführt und Alarm schlägt, sofern sich jemand mehr Rechte zugestanden hat, als ihm in seiner Rollen-Beschreibung zustehen.