Verschärfter regulatorischer Compliance-Druck


Studie analysiert die organisatorischen Rahmenbedingungen für Identity Access Management und Governance in der Finanzindustrie
Operationales Risikomanagement ist Kernthema für die Unternehmen der Finanzindustrie - Thema Compliance wird in den Organisationen zwar diskutiert, die richtige Zuordnung oft noch nicht gefunden


(15.10.12) - Eine aktuelle Studie des europäischen Analystenunternehmens KuppingerCole in Zusammenarbeit mit der Berliner Beta Systems Software AG zeigt, welche organisatorischen Rahmenbedingungen das Thema Identity Access Management (IAM) und Identity Access Governance (IAG) in der Finanzindustrie derzeit bestimmen. Laut Studie rücken IAM und IAG insbesondere durch den verschärften regulatorischen Compliance-Druck wesentlich mehr als bisher ins Blickfeld der Unternehmen. Die meisten beschäftigen sich damit sehr viel intensiver als bisher, allerdings gibt es auch noch einige offene Baustellen. Hierzu zählen insbesondere die Einbindung von IAM und IAG in die Gesamtstrukturen für Governance, Risk Management und Compliance sowie die Schaffung geeigneter organisatorischer Strukturen für dieses Themenfeld.

Bei der Untersuchung der organisatorischen Rahmenbedingungen für IAM/IAG ist laut Studie zu berücksichtigen, dass Banken und Versicherungen beim Risikomanagement - trotz der gestiegenen Bedeutung von regulatorischen Anforderungen auch für das Zugriffsmanagement - noch andere, oft wesentlich kritischere Bereiche haben.

Bei der Frage nach den priorisierten Bereichen im Risikomanagement der Finanzindustrie steht das operationelle Risikomanagement klar an der Spitze. IAM/IAG ist in diesen Bereich einzuordnen, weil die Reduzierung von IT-Risiken durch IAM/IAG auf die operationalen Risiken wirkt. Sie sind jedoch nur ein Teil des Gesamtthemas.

Ein ganz anderes Bild zeigt sich beim Blick auf die Initiativen zum Risikomanagement innerhalb der IT. Hier hat IAM die mit Abstand größte Bedeutung. Auch Access Governance und Access Intelligence sind nicht unwichtig, werden aber von vielen Unternehmen als Teil der IAM-Initiative verstanden. Ansonsten verteilen sich die Antworten über unterschiedliche Themenfelder.

Ein sehr breit gefächertes Spektrum an Antworten ergibt die Frage nach den Stakeholdern für das Thema IAM/IAG. Deutlich wird, dass es typischerweise mehrere Stakeholder gibt. Zudem kommt das Thema immer mehr auf der Leitungsebene des Unternehmens an. Bei immerhin einem Drittel der Unternehmen ist der Gesamtvorstand ein Stakeholder, bei weiteren gut 20 Prozent sind es Einzelvorstände. Auch die Konzernorganisation, die interne Revision und das Risk Management führen die befragten Unternehmen als häufig involviert an.

"Bei immerhin rund 28 Prozent der befragten Unternehmen haben sich die Stakeholder in den vergangenen zwei Jahren verändert, wobei die Erfahrungswerte aus Advisory-Projekten zeigen, dass dabei regelmäßig die Business-Organisation ein höheres Gewicht bekommt", erläutert Martin Kuppinger von KuppingerCole. "Die vergleichsweise hohe Veränderungsrate bei Stakeholdern zeigt, dass das Thema Compliance in den Organisationen diskutiert wird, die richtige Zuordnung aber oft noch nicht gefunden ist. Insgesamt ist IAM/IAG allerdings inzwischen generell auch ein Thema für die Business-Organisation und längst nicht mehr nur für die IT."

Ein noch breiter gefächertes Bild zeigt sich bei den beteiligten Organisationseinheiten. Hier gibt es eine große Zahl von unterschiedlichen beteiligten Stellen in den Projekten. Die Verantwortlichkeiten sind über viele Stellen verteilt. In praktisch jedem Unternehmen sind auch mehrere Stellen involviert, was schon aus der Notwendigkeit des Zusammenspiels zwischen Fachbereichen und IT resultiert. Entsprechend nennen immerhin rund 85 Prozent der befragten Unternehmen die Fachbereiche als beteiligte Organisationseinheiten.

Bei der Frage danach, welche speziellen organisatorischen Einheiten es in den Unternehmen für IAM und IAG gibt, ergibt sich dagegen ein ernüchterndes Bild. Zwar besteht in einer großen Zahl von Unternehmen ein festes Team für IAM/IAG als organisatorische Einheit. Funktionen wie ein Governance Board oder eine unabhängige Prüfstelle, die sich in der Linienfunktion um Richtlinien, SoD-Regeln (Seggregation of Duties) oder die Festlegung von kompensatorischen Kontrollen kümmern, fehlen dagegen fast überall.

Das zeigt, dass der organisatorische Status für IAM/IAG in sehr vielen Fällen noch nicht auf dem eigentlich erforderlichen Niveau ist. Viele Unternehmen haben keine speziellen Richtlinien für IAM/IAG, SoDs oder die Rezertifizierung, sondern viel zu unspezifische IT-Sicherheitsrichtlinien.

Anmerkungen:
1) IAM steht für Identity und Access Management und bezeichnet die Technologien, mit denen die Identitäten von Benutzern und ihre Zugriffsberechtigungen verwaltet werden.

2) Identity und Access Governance (IAG) betrachtet die Governance um Identitäten (beispielsweise verwaiste Konten von Benutzern, die längst nicht mehr im Unternehmen sind) und Zugriffsberechtigungen. Hier geht es darum sicherzustellen, dass Benutzer minimale oder angemessene Berechtigungen haben, aber eben keine Berechtigungen über das hinaus, was sie sinnvollerweise in ihrer Arbeit benötigen. Die Analyse von Zugriffsberechtigungen und die regelmäßige Rezertifizierung durch manuelle Prüfprozesse sind wesentliche Funktionen der Identity und Access Governance.

3) Bei Identity und Access Intelligence geht es um analytische Funktionen, bei denen vermehrt Technologien aus dem Bereich Business Intelligence/Data Warehouse zum Einsatz kommen, um Berechtigungen analysieren und beispielsweise spezifische Risiken erkennen zu können. Im Gegensatz zu IAG werden dabei vermehrt nicht nur statische Berechtigungszuweisungen, sondern auch die aktive Nutzung von Berechtigungen einbezogen.
(Beta Systems Software: ra)

Beta Systems Software: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Meldungen: Studien

  • Bildungsstand spielt eine Rolle

    In Deutschland gehen die Meinungen über generative Künstliche Intelligenz, wie ChatGPT, weit auseinander - Auch die Nutzung im privaten und beruflichen Alltag ist sozial ungleich verteilt. "Diese Unterschiede sind relevant", sagt Professor Florian Stoeckel, der die Studie geleitet hat. "Sie betreffen den Zugang zu Chancen, die digitale Teilhabe und letztlich die Frage, wer die Zukunft mitgestaltet, wenn sich Arbeit und Gesellschaft durch KI verändern."

  • Soziale Medien werden immer wichtiger

    Produkt auspacken, Anwendung zeigen, Marke vorstellen, Stimmen von zufriedenen Kundinnen und Kunden einfangen: Die Inhalte, die Handelsunternehmen auf ihren Social-Media-Profilen ausspielen, sind vielfältig. Trotzdem fällt es fast der Hälfte der deutschen Handelsunternehmen, die über ein solches Profil verfügen, schwer, regelmäßig Inhalte zu posten (46 Prozent). Hand in Hand damit gehen auch die Erstellung interessanter Inhalte, die ein Drittel der Händler als Herausforderung sieht (34 Prozent), und die kontinuierliche Kanalbetreuung bzw. das Community Management, mit dem etwa ein Viertel zu kämpfen hat (23 Prozent).

  • Finanzinstitute unter Zugzwang

    Mit Inkrafttreten der EU-Verordnung zur digitalen operationellen Resilienz (DORA) Mitte Januar 2025 stehen Finanzinstitute unter Zugzwang: Sie müssen ihre IT-Sicherheit aufgrund der herrschenden Gefahrenlage entlang eines Katalogs an Maßnahmen auf einen zeitgemäßen Stand der Technik bringen. Eine aktuelle Studie von Veeam Software, dem weltweit führenden Anbieter für Datenresilienz nach Marktanteil, hat bei betroffenen Organisationen den Status Quo bei der Umsetzung abgefragt. Darin zeigt sich: Eine Mehrheit der deutschen Finanzdienstleister hält die hauseigene Resilienz noch nicht für ausreichend. 95 Prozent der über 100 befragten deutschen Unternehmen sehen noch Verbesserungsbedarf, um die Anforderungen zu erfüllen.

  • Billig-Händler verschärfen den Wettbewerb

    Seit einigen Jahren drängen verstärkt Online-Händler auf den deutschen Markt, die zu Niedrigstpreisen Produkte vor allem aus China importieren. Mehr als drei Viertel der deutschen Händler (78 Prozent) fordern deshalb ein Verbot chinesischer Billig-Marktplätze. Aus Sicht von je neuen von zehn Händlern würden sie häufig gegen das hier geltende Recht verstoßen (92 Prozent) und ihre Produkte enthielten oft potenziell gefährliche Inhaltsstoffe (88 Prozent). Das sind Ergebnisse einer repräsentativen Studie im Auftrag des Digitalverbands Bitkom, für die 505 Handelsunternehmen ab zehn Beschäftigten in Deutschland befragt wurden.

  • Cybersicherheit als strategisches Thema

    Eine aktuelle Studie von Qualys in Zusammenarbeit mit Dark Reading zeigt: Trotz wachsender Ausgaben und zunehmender Relevanz in Vorstandsetagen bleibt das Cyber-Risikomanagement vieler Unternehmen unausgereift. Der Grund: Der geschäftliche Kontext fehlt.

Wir verwenden Cookies um unsere Website zu optimieren und Ihnen das bestmögliche Online-Erlebnis zu bieten. Mit dem Klick auf "Alle akzeptieren" erklären Sie sich damit einverstanden. Erweiterte Einstellungen