Security oder Usability? Was Sailpoint bei IAM mehr gewichtet

Warum ist es von Vorteil, eine konkrete Identity-Lösung beziehungsweise -Strategie zu haben?

Volker Sommer: Identity ein zentraler Aspekt der IT-Sicherheit. Viele Bedrohungen können verhindert werden, wenn Unternehmen über eine Identity- und Access-Governance-Lösung verfügen. Besonders Datenpannen durch Insider-Bedrohungen und kompromittierte Nutzerkonten können mithilfe einer IAG-Lösung verhindert oder abgeschwächt werden. Firmen können somit die Fragen beantworten, wer derzeit Zugang auf unternehmenseigene Daten hat und ob der Zugang angemessen ist.

Was muss eine IAM-Lösung alles können?

Eine IAM- oder IAG-Lösung sollte alle Konten mit ihren dazugehörigen Berechtigungen auf einem zentralen Dashboard aufzeigen. Sind alle Accounts sowie ihre Rechte bekannt, müssen sie einfach verwaltet werden können; das heisst, Zugangsberechtigungen zu Daten und Applikationen je nach Bedarf erteilen, ändern und zurückziehen zu können. Eine intelligente Lösung zur Identity Access Governance gibt darüber hinaus auf Basis bestehender Access-Rechte passende Empfehlungen heraus, wer welche Zugangsberechtigungen haben sollte und ob eine geplante Änderung sinnvoll ist oder nicht. All dies sollte einen starken Business-Fokus haben, das heisst, die Änderungen sollten ohne technischen Background möglich sein.

Passwörter, Tokens, Smartcards? Wie sollten IAM-Lösungen die Nutzer idealerweise identifizieren?

Generell ist die Art der Authentifizierung egal, solange sie sicher ist. Die Erfahrung und Passwort-Leaks, wie sie öfter in den Pressemeldungen sind, lehren aber, dass Passwörter nicht so sicher sind wie andere Identifikationsmethoden. Dahingegen haben sich Tokens, Smartcards und auch biometrische Scanner als effektiv erwiesen. Eine gute Lösung sollte alle sicheren Identifikationsstandards unterstützen und es dem Betrieb überlassen, welche Methode genutzt wird.

Was hat bei IAM Vorrang: Benutzerfreundlichkeit oder IT-Sicherheit?

Bei einer Identity-Management-Lösung muss die Sicherheit im Vordergrund stehen. Damit die Lösung aber im Unternehmen angenommen und genutzt wird, bedarf es eines durchdachten Designs und hoher User-Freundlichkeit. So können Unternehmen sichergehen, dass das IAM-System die bestmögliche Sicherheit bietet.

Welche Herausforderung stellen die Mitarbeiter dar, wenn es um ein gelungenes IAM geht?

Es sind die Mitarbeiter, die mit der IAM-Lösung arbeiten. Deshalb ist es so wichtig, sie für das Projekt zu gewinnen. Am besten gelingt dies mithilfe einer Schulung, die klarmacht, warum ein solches Projekt angestossen wurde. Verstehen die Mitarbeiter den Grund und sind die Tools intuitiv gestaltet, wird die Akzeptanz weiter erhöht. Viele Lösungen sind zu komplex gestaltet und finden deshalb keinen Anklang.

Wie wird sich das IAM-Geschäft im nächsten Jahr entwickeln?

Absehbar ist, dass IAM in Zukunft immer mehr aus der Cloud heraus betrieben wird. Gleichzeitig werden sich KI- und Machine-Learning-Technologien etablieren, die Änderungen vorausschauend adaptieren. Weiterhin kann man davon ausgehen, dass IAM ein fester Bestandteil jedes Cyber-Security-Programms wird.

Die Antworten der übrigen Podiumsteilnehmer:

• Marc Burkhard, ITsense: "Ein fehlendes IAM wird immer mehr als Einfallstor für Datendiebstahl genutzt."

• Marc Bütikofer, Ergon: "Ohne konkrete Strategie ist die Gefahr gross, dass ein unüberschaubares Flickwerk entsteht."

• Markus Limacher, Infoguard: "Aus meiner Erfahrung ist ‚risikoorientiert’ der richtige Ansatz."

• Cameron McNiff, Datastore: "Eine IAM-Lösung sollte sich nicht nur auf den Access-Teil konzentrieren."

• Christoph Peter, Axalon: "Die Akzeptanz der Lösung hängt oft auch von der Benutzerfreundlichkeit der Oberfläche ab."

• Stephan Schweizer, Adnovum: "Um mangelnder Akzeptanz vorzubeugen, müssen Betroffene rechtzeitig geschult und informiert werden."