Sie sind hier: Home » Markt » Hinweise & Tipps

Rollenmanagement als strategische Aufgabe


Rollenbasierte Rechteverwaltung zur Einhaltung von Compliance-Vorschriften
Transparente Benutzerverwaltung: Sieben Tipps zur praktischen Einführung


(18.03.11) - Die Beta Systems Software AG gibt sieben Tipps zur erfolgreichen Einführung einer rollenbasierten Rechteverwaltung im Rahmen der Benutzerverwaltung (Identity und Access Management, IAM). Auf dem gerade zu Ende gegangenen Gartner Identity & Access Management Summit in London zählte das Rollenmanagement zu den Top-Themen der Veranstaltung.

Die rollenbasierte Rechteverwaltung, das heißt, die Definition von Business- und IT-Rollen, trägt zur Transparenz und damit zur sicheren und kosteneffizienten Einhaltung und Kontrolle aller internen und externen regulatorischen Vorschriften und Compliance-Richtlinien bei. Role-Mining-Werkzeuge unterstützen dabei das gesamte Rollenmanagement. Beta Systems gibt im Folgenden sieben Tipps zur Einführung einer rollenbasierten Rechteverwaltung:

1) Rollenmanagement als strategische Aufgabe
Rollen bilden die Schnittstelle zwischen dem eigentlichen Business, d. h. den Geschäftsprozessen, und der IT eines Unternehmens. Das Rollenmanagement ist daher eine wichtige Organisationsaufgabe, die entsprechend zu etablieren ist. Die Geschäftsprozessverantwortlichen müssen entscheiden, welche Rechte die Rollen beinhalten und welchen Personen diese Rollen zugewiesen werden. Wichtig ist, dass die Zahl der Rollen überschaubar bleibt und ihre Definitionen verständlich und nachvollziehbar sind.

2) Aufräumen durch Data Cleansing
Die rollenbasierte Rechteverwaltung sollte mit einem grundlegenden Aufräumen beginnen. Der Cleansing-Vorgang schafft die Voraussetzung für ein sauberes Rollenmanagement und besteht aus einer Bereinigung von Informationen. Je nach Stellenbeschreibung arbeiten die Mitarbeiter mit diversen IT-Ressourcen. Daten und Anwendungen werden kombiniert und von Menschen innerhalb und außerhalb einer Organisation genutzt. Role-Mining-Werkzeuge ordnen die einzelnen Accounts den Benutzern zu, um festzustellen, welche Berechtigungen ein Benutzer im Unternehmensnetzwerk hat. Ein Bericht zeigt dann schnell blinde Flecken und "Karteileichen" auf, das heißt verwaiste Benutzerkonten oder Berechtigungen. Abgesehen von den Sicherheitsrisiken kosten nicht benötigte Anwendungslizenzen Geld.

3) Erhöhung der Automatisierung
Übergeordnetes Ziel der IT-Abteilung und Geschäftsführung sollte es sein, durch die Berechtigungsbündel, also Rollen, den Administrationsaufwand deutlich zu reduzieren und Automatisierungsprozesse zu unterstützen. Role-Mining-Werkzeuge unterstützen bei der automatisierten Definition und fortlaufenden Optimierung der Berechtigungsrollen. Die Erfahrung zeigt, dass Unternehmen durch die rollenbasierte Berechtigungsverwaltung einen Automatisierungsgrad von mehr als 90 Prozent erreichen können und damit wesentliche Kosten sparen.

4) Mix aus Top-Down und Bottom-Up
Die standardisierte Modellierung von Rollen erfordert sowohl einen Top-Down- als auch Bottom-Up-Ansatz. Organisatorische Rollen entstehen nach dem Top-Down-Prinzip. Sie sind damit vom Aufbau der Organisation und von den Funktionen der Mitarbeiter geprägt. Mit dem Bottom-Up-Ansatz werden dann auf den Zielsystemen die vorhandenen Berechtigungen hinsichtlich Gemeinsamkeiten und Standards analysiert und den Rollen zugeordnet. Durch die Analyse bestehender Benutzerberechtigungen unterstützt eine Role-Mining-Software die Bottom-Up-Entwicklung von Rollenmodellen. Erst eine Soll-Ist-Analyse deckt Abweichungen vom Soll in existierenden Rollenvergaben auf.

5) Anwendung von diversen Analyse-Szenarien
Diverse Analyse-Szenarien sollten im Rollenfindungsprozess durchgespielt werden. Role-Mining-Werkzeuge bieten hierfür eine Vielzahl einstellbarer Parameter. Bei der Nachbearbeitung, dem sogenannten Role Engineering, werden die Rollen nach Abstimmung mit den fachlichen Anforderungen auf Basis der automatisch erstellten Analyseergebnisse definiert. Vereinzelt ist auch eine manuelle Rollendefinition nötig.

6) Rollenmanagement über den gesamten Lebenszyklus hinweg
Mit der einmaligen Rollendefinition ist es nicht getan: Permanente Änderungsprozesse verlangen, die Rollen und das übergeordnete Rollenmodell einfach und rasch an neue Stellencharakteristika oder IT-Anwendungen anzupassen. Die gewählte Role-Mining-Software sollte daher ein effizientes Role-Life-Cycle-Management unterstützen – unter Berücksichtigung der Einhaltung und Kontrolle unternehmensweiter und gesetzlicher Vorgaben (Security Policies) bei der Vergabe von Zugriffsberechtigungen.

7) Hohe Integrationsfähigkeit
Die Role-Mining-Software sollte sich leicht in eventuell vorhandene IAM-Software integrieren lassen. So ist die Implementierung eines ganzheitlichen und intelligenten User-Role-Life-Cycle-Management-Konzepts garantiert. Auch sollte sie plattformunabhängig sein, da sie auf Basis der importierten Daten (HR-Daten und bestehende Berechtigungsinformationen) Rollen vorschlägt und optimiert. Ebenso bedeutend sind Import- und Export-Schnittstellen für die Übergabe der Informationen mittels definierter Dateiformate (CSV- oder XML-Format). Wichtig ist zudem, dass das gewählte Produkt auf dem RBAC-Standard des National Institute of Standards and Technology basiert.
(Beta Systems Software: ra)

Beta Systems Software: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Kostenloser Compliance-Newsletter
Ihr Compliance-Magazin.de-Newsletter hier >>>>>>


Meldungen: Markt / Hinweise & Tipps

  • Stresstest der Europäischen Zentralbank

    Am 2. Januar 2024 hat der Stresstest der Europäischen Zentralbank für große Institute im Euroraum begonnen. Insgesamt sind mehr als 100 Banken betroffen, ein tiefer gehender Test steht im Nachgang für über 20 dieser Banken an. Mit der "Trockenübung" eines Cyberangriffs möchte die EZB Melde- und Wiederherstellungsprozesse der Banken prüfen. Welche größeren Schwachstellen wird die EZB dabei identifizieren?

  • Compliance, Regulierung und betriebliche Risiken

    Betriebsleiter jonglieren täglich mit unterschiedlichen Risiken. Es ist ihre Aufgabe, bestehende Risiken zu bewerten und abzuschwächen sowie Strategien zur Vermeidung künftiger Risiken zu entwickeln. Dabei steht viel auf dem Spiel: Risikofolgen reichen von Produktivitätsverlusten - während die Mitarbeiter mit der Behebung von Fehlern beschäftigt sind - bis hin zu Geldverschwendung, wenn Fristen und Fortschritte nicht eingehalten werden.

  • An der Quelle der Informationen beginnen

    Im Kontext steigender Cyberbedrohungen gewinnt die strikte Einhaltung bzw. Umsetzung entsprechender Compliance-Vorschriften stetig an Bedeutung. Als Bereitsteller kritischer Infrastruktur gilt insbesondere für Finanzunternehmen, IT-Ausfälle und sicherheitsrelevante Vorfälle zu verhindern, um für die Aufrechterhaltung des Betriebs zu sorgen.

  • DORA-Compliance komplex

    Bereits im Januar 2023 ist der Digital Operational Resilience Act (DORA), eine Verordnung der europäischen Union, in Kraft getreten. Umzusetzen ist das EU-Gesetz bis zum 17.01.2025. Obwohl es sich vorrangig an den Finanzsektor richtet, können auch andere Unternehmen, wie beispielsweise IT-Dienstleister davon betroffen sein.

  • Umsetzung der ESG-Verordnung

    Im Sommer 2021 wurde von der EU das "Europäische Klimagesetz" verabschiedet. Es soll helfen, den Klimaschutz spürbar voranzutreiben. Eine der beschlossenen Maßnahmen ist das sogenannte ESG-Reporting, das viele Unternehmen erst einmal vor Herausforderungen stellt.

Wir verwenden Cookies um unsere Website zu optimieren und Ihnen das bestmögliche Online-Erlebnis zu bieten. Mit dem Klick auf "Alle akzeptieren" erklären Sie sich damit einverstanden. Erweiterte Einstellungen