Startseite > Security > Warum Unternehmen mit IT-(Security)-Budgets nicht zaudern sollten

Gastbeitrag: Die richtige Balance

Warum Unternehmen mit IT-(Security)-Budgets nicht zaudern sollten

16. April 2010, 12:18 Uhr | Lars Bube

Fortsetzung des Artikels von Teil 2

Schlechte Planung ist weit verbreitet

Viele heute genutzte Installationen des Identity & Access Management können ebenfalls als (schlechtes) Beispiel für strategische Planung in der IT gelten. Die technischen Anforderungen der eigentlichen Verwaltung von Identitäten und Zugriffsrechten mögen erfüllt sein, jedoch fehlt zumeist die Integration in die Planung und Steuerung von neuen Entwicklungsprojekten bei den Fachseiten. Hier wird immer noch nach der Methodik des 20. Jahrhunderts entwickelt: Identitäten und Rechte werden lokal in einem Silo verwaltet und müssen mühsam in ein existierendes IAM System integriert werden.

Bei einer strategischen Planung und Weiterentwicklung des IAM-Themas aus Sicht der IT-Abteilung hätten längst strikte Vorgaben für die Verwaltung und Ablösung solcher lokalen Silos und deren absolute Vermeidung bei neuen Projekten erstellt werden müssen. Neuere Technologien wie Federation oder gar das Claims-Based Identity Management können hier helfen, die Belastung der IT und die Probleme mit dezentraler Identitätsverwaltung von vornherein zu minimieren. Eine solche Vorgaben- und Richtlinienkompetenz erfordert jedoch die oben erwähnte Ausrichtung am Business und zudem eine Stellung als aktiver kompetenter Partner der Geschäftsbereiche.

Ein Beispiel für gute strategische Ausrichtung der IT und der Informationssicherheit ist die Schaffung von Transparenz. Auch wenn Ergebnisse initialer Überprüfungen, Risikoanalysen und interner Audits schmerzhafte Ergebnisse zu Tage führen: eine darauf basierende Abschätzung des Business Impact verschiedener Ausfälle, Angriffe und Datenlecks zeigt den jeweiligen Verantwortlichen für Applikationen in Fachabteilungen recht klar, welche Probleme ihre Anwendung im Gesamtkontext macht. Eine weise Vorbereitung solcher Treffen umfasst natürlich die Definition einiger kurzfristig umsetzbarer Gegenmaßnahmen, mit denen man das Gegenüber „auf die rechte Bahn“ lenken kann. Ein solches Leuchtzeichen ist im Prinzip Vorbedingung, da ansonsten die Fachabteilung mit unkoordinierten Schnellschüssen und Punktlösungen ihre Probleme lösen wollen, diese Anstrengungen jedoch kontraproduktiv für die oben erwähnten Ansätze eines zentralen Sicherheitsmanagements wären. Die gleichzeitige Präsentation eines Lösungsansatzes ist also verpflichtend.