Banken haben Nachholbedarf in Sachen IAM

Die Digitalisierung hat 2020 in Banken und Versicherungen Fahrt aufgenommen: Waren viele Institute in der Vergangenheit noch zögerlich und scheuten vor Investitionen zurück, hat die Corona-Pandemie die Geschwindigkeit der digitalen Transformation deutlich erhöht. So haben sich allein durch den Wechsel ins Home-Office die technischen Anforderungen stark verändert. Angestellte müssen reibungslos und ohne Einschränkungen auch von zu Hause aus ihrer Arbeit nachgehen können. Eine Digitalisierung der Geschäftsprozesse ist für Banken und Versicherer deshalb auf der Agenda ganz nach oben gerückt. Neben dem Weg in die Cloud ist die Automatisierung von Abläufen entscheidend, um die dringend benötigte Effizienz, Kostenoptimierung und Skalierbarkeit zu erreichen.

Oftmals unterläuft den Unternehmen aber gleich zu Beginn ein entscheidender Fehler: Sie tendieren dazu, die Cloud als eigenständiges, separates System statt als eine Erweiterung der vorhandenen IT zu betrachten. Das kann die IT-Infrastruktur unnötig komplex machen und die eigentlich beabsichtigte Effizienz schmälern - etwa, wenn zwei isolierte Systeme existieren, die zu doppelter "Login"-Datenhaltung führen. Darüber hinaus drohen weitere Folgen für die IT-Sicherheit: Werden die Security-Systeme der eigenen Rechenzentren (On Premises) und der Cloud-Anwendungen nicht als ganzheitliches Konstrukt angesehen, zum Beispiel durch ein übergreifendes Identity and Access Management (IAM), entstehen Sicherheitslücken.

Hacker nutzen solche Schwachstellen gnadenlos aus, wie die zunehmende Zahl an Angriffsvektoren während der Corona-Pandemie gezeigt hat. Dabei gilt nach wie vor: Die größte Gefahr bei Hackerangriffen geht zu gleichen Teilen von der Architektur sowie vom Menschen aus. Deshalb sollten Finanzinstitute die Cloud und alle darauf bezogenen Anwendungen stets in die bereits vorhandene IT-Infrastruktur integrieren, statt auf Insellösungen zu setzen. So neutralisieren sie von Beginn an Schwachstellen, die sonst bei der Nutzung heterogener Systeme leicht entstehen können. Dennoch sind auch homogene IT-Landschaften nicht vor Sicherheitslücken gefeit, etwa beim Zugriff auf die Cloud. Mit einem durchdachten Identity and Access Management lassen sich Einfallstore für Hacker aber schnell schließen.

Frust vermeiden, ganzheitlichen Ansatz wählen

Ein weiterer Pluspunkt eines zentralen IAM: Es sorgt für übersichtliche und klare Strukturen, die den Vorgaben der Regulatorik entsprechen. Doch allzu oft kümmern sich die Verantwortlichen der Institute nicht ausreichend um die eindeutige Zuordnung von Rechten innerhalb des Unternehmens. Denn zunächst bedeutet die Etablierung eines IAM mit End-to-End-Ansatz viel Arbeit, die oftmals unnütz erscheint, da mitunter die Einführung einer technischen IAM-Lösung schon ausreichen könnte.

Umso größer sind Frust und Enttäuschung, wenn das gewünschte Ergebnis nicht eintritt. Deshalb ist es wichtig, sich bewusst zu machen, wie ein IAM unternehmensweit aufgebaut werden muss und welche Schritte dafür nötig sind - angefangen bei Benutzer-, Rollen- und Berechtigungsstrukturen über das Prozessdesign bis hin zur technischen Umsetzung. Ein wirklicher Mehrwert ergibt sich, wenn fachliche und technische Verantwortliche frühzeitig identifiziert sind und zusammenarbeiten. Zudem sollten organisatorische Abläufe mitsamt den institutseigenen Besonderheiten bei der Implementierung berücksichtigt werden.

Dazu gehört, in einem ersten Schritt ein unternehmensweites Berechtigungskonzept inklusive notwendiger Prozesse und Kontrollen (zum Beispiel Joiner-Mover-Leaver und Rezertifizierungen) zu erarbeiten. Zeitgleich müssen sich die Experten einen Überblick über die an das IAM anzubindenden IT-Systeme verschaffen - sowohl On-Premises als auch Cloud-basiert. Da eine heterogene Systemlandschaft die Komplexität erhöht, gilt es an dieser Stelle, weitgehend auf Einheitlichkeit zu achten. Dies wirkt einer Verkomplizierung der Infrastruktur durch die Ergänzung eines IAM entgegen und ermöglicht eine risikoorientierte Vorgehensweise bei der Anbindung der Quell- und Zielsysteme. Zusätzlich legt es den Grundstein für eine künftige Automatisierung von Prozessen, da einheitliche Schnittstellen und Konnektoren (zum Beispiel LDAP oder REST API) für Best Practises genutzt werden können.

IAM ist kein reines IT-Thema. Es betrifft das gesamte Unternehmen. Dabei ist die Einbindung der Fachbereiche als Informationseigentümer entscheidend für den nachhaltigen Erfolg. Für eine pragmatische Umsetzung in Financial Services helfen vorkonfigurierte Lösungspakete. Diese bestehen aus fachlichen und technischen Templates sowie Vorgehensmodellen auf Basis von Erfahrungswerten und IT-Lösungen wie Sailpoint oder CyberArk.

Regulatorik definiert die automatisierte Rechtevergabe

In Banken und Versicherern regeln Policy, Governance und Aufsicht klar, wie solche Rechte vergeben werden - etwa durch das Need-to-know-Prinzip und die Funktionstrennung. Dies setzt eine klare Definition der Rechte beziehungsweise zugehörige Rollenmodelle voraus. Zudem ist nicht jeder Mitarbeiter ein privilegierter User im Sinne eines Privileged Access Managements (PAM): So benötigen nur wenige Angestellte zum Beispiel Admin- oder Super-User-Rechte. Und Mitarbeiter im Fachbereich brauchen andere Zugriffsrechte als beispielsweise Dienstleister. Eine enge Zusammenarbeit mit den unternehmenseigenen Kontrollorganen zur Erarbeitung entsprechender Vorgaben in konzernweiten Richtlinien ist ein entscheidender Baustein zum Erfolg.

Zudem sollte die Abstufung der Rollen nicht zu filigran sein, sondern in festen Kategorien erfolgen. Existieren beispielsweise in einem Unternehmen mit 10.000 Mitarbeitern mehr als 60.000 Rollen, sorgt dies für eine vermeidbare Komplexität bei der Verwaltung der Rechte und wirkt sich negativ auf die Akzeptanz der Mitarbeiter aus. Schließlich müssen diese die entsprechenden Rollen beantragen, genehmigen und rezertifizieren. Die Kunst besteht darin, eine möglichst niedrige, dafür aber verständlich beschriebene Anzahl an Rollen zu erstellen, die dennoch den regulatorischen Vorgaben entsprechen. Dies bedeutet zum Beispiel, privilegierte Rechte möglichst in eigene Rollen zu bündeln, damit abteilungsweite Standardrollen - sogenannte Business-Rollen - möglichst automatisiert über ein Regelwerk verteilt werden können.

Die Grundlagen für die Umsetzung eines Rollenmodells liefert das Berechtigungskonzept. Bei dessen Entwicklung können die Verantwortlichen auf Unterstützung durch verschiedene - teils KI-basierte - Analyseverfahren wie beispielsweise Role Mining zurückgreifen. Dafür werden die vorhandenen Rollen genau unter die Lupe genommen: Ihre Rechte, Nutzer und die zeitliche Anwendung werden in einem mehrstufigen Analyse-Verfahren ermittelt. Dabei wird auch die Organisationsstruktur der jeweiligen Bank oder des Versicherers einbezogen. Basierend auf diesen Daten und Erkenntnissen bietet das Tool Vorschläge zur sinnvollen Rechtevergabe und deren Risiken an. Im Falle eines vertretbaren Risikos wird dann die regelbasierte Vergabe vorgeschlagen.

Die bereits erwähnte Zusammenarbeit zwischen IT und Fachabteilungen ist nicht nur für eine sinnvolle und logische Rechtevergabe, sondern auch für eine regelmäßige Überprüfung derselben wichtig. Benötigt der Mitarbeiter noch sämtliche Rechte, die ihm ursprünglich gewährt wurden? Haben Mitarbeiter die Abteilung gewechselt, sodass ihnen Rechte entzogen werden müssen? Wurden innerhalb eines Unternehmens Umstrukturierungen vorgenommen, sodass Anpassungen an den Rechten nötig sind? All diese Informationen liegen meist in den Fachabteilungen und müssen an die IT weitergegeben werden, damit eine einheitliche Datengrundlage entsteht.

Übergeordnetes System für besseren Überblick

Viele Institute stehen in diesem Zusammenhang weiterhin vor der Herausforderung, kein übergeordnetes System zur Rechtevergabe zu nutzen. Für die eigentliche Arbeitsentlastung sorgt einerseits die Automatisierung in Form der Provisionierung, mit der der Berechtigungsantrag in den Zielsystemen umgesetzt wird, andererseits die Reconciliation, die die korrekte Umsetzung kontrolliert. Ohne übergeordnetes System kann die Arbeitsentlastung jedoch nicht vollständig greifen. Folglich fehlt den IT- sowie den Fachabteilungen der Überblick sowohl über den Status aller Rechte als auch damit einhergehend über die finanziellen und nicht-finanziellen Risiken.

Banken und Versicherer können dieser Herausforderung begegnen, indem sie die Rechtevergabe von Anfang an stringent umsetzen: mit einem führenden System, an das alle Applikationen sowie IT-Systeme angeschlossen sind. So entsteht eine homogene IT-Landschaft mit vorangestellter IAM-Lösung. Diese umfasst auch die Anbindung an ein Security Operations Center (SOC) oder Cloud-Angebote, von Infrastructure as a Service (IaaS) bis hin zu Software as a Service (SaaS) unterschiedlicher Anbieter wie AWS, Microsoft Azure und Google Cloud.

Besonders wichtig dabei: Die ausschließliche Verwaltung und Kontrolle der Zugriffsrechte innerhalb der Cloud reicht nicht aus. Ein umfassender Schutz kann erst dann greifen, wenn das IAM ganzheitlich über alle vorhandenen Systeme und Rechenzentren hinweg eingesetzt wird. Dafür benötigen Unternehmen unter anderem auch ein Portal und Schnittstellen des Cloud-Anbieters. Nur wer sich diesen Anforderungen stellt, wird mit einem System belohnt, das optimale Sicherheit schafft und ausbaufähig ist. Das gilt besonders für die Verwaltung von Kundenzugriffen auf unternehmenseigene Services und Cloud-Anwendungen (Customer IAM). (wh)