[Fachbeirat] Best Practices des CIO bei der Identitäts- und Zugriffsverwaltung

Immer mehr Organisationen adoptieren eine hybride Arbeitsumgebung oder 100 % Fernarbeit — dies bedeutet, dass immer mehr Mitarbeitende von verschiedenen Geräten und Orten aus auf Unternehmenssysteme, Daten und Informationen zugreifen, was die Verwaltung von Identitäten und Zugriffsrechten wichtiger denn je macht.

Aber wie können Sie als IT-Leiter sicherstellen, dass Ihre Praktiken der Identitäts- und Zugriffsverwaltung (IAM) sicher, geschützt und effizient sind?

Wir haben Liz Tluchowski, CIO und CISO des Versicherungsmaklers World Insurance, um Einblicke gebeten, die IT, Information und Sicherheit leitet und bewährte Praktiken der Identitäts- und Zugriffsverwaltung beaufsichtigt. Folgendes teilte sie mit uns:

Warum ist eine gute Identitäts- und Zugriffsverwaltung so wichtig?

Lassen Sie uns von vorne beginnen. Kehren wir kurz zur Rolle der Identitäts- und Zugriffsverwaltung (IAM) in einer Organisation zurück — und zur Bedeutung bewährter Praktiken in diesem Bereich.

« Die Identitäts- und Zugriffsverwaltung zielt darauf ab, sicherzustellen, dass die richtigen Personen und die richtigen Rollen auf die für ihre Arbeit erforderlichen Tools zugreifen können », erklärt Tluchowski.

Der Schlüsselbegriff in diesem Satz? Die richtigen Personen und die richtigen Rollen. Bewährte Praktiken der Zugriffs- und Identitätsverwaltung helfen dabei, das Netzwerk Ihres Unternehmens zu schützen — und geben Ihnen die Kontrolle darüber, wer worauf zugreift. « Die Identitäts- und Zugriffsverwaltung bietet eine wertvolle Sicherheitsebene gegen unbekannte Sicherheitslücken, mit verstärkter Kontrolle darüber, was aufgerufen wird und von wem », betont Tluchowski.

Und wenn Ihre Organisation nicht über einen Satz bewährter IAM-Praktiken verfügt? Das setzt Ihr Unternehmen dem Risiko aus. « Da die IT als Wächter fungiert, ist das Fehlen von Kontrollen zur Identifizierung, wer auf unsere Systeme zugreift und worauf, eine sichere Rezeptur für böse Überraschungen bei der Sicherheit », warnt Tluchowski.

Also, welche Risiken gibt es? « Unzureichende Kontrolle kann die Sicherheit einer Organisation auf mehreren Ebenen gefährden », erklärt Tluchowski. Wenn beispielsweise ein nicht autorisierter Benutzer auf Ihr Netzwerk zugreift, könnte er auf Kundendaten zugreifen — was zu vielen Problemen führen könnte, wie regulatorischen Problemen (wenn Sie vertrauliche Kundeninformationen speichern) oder finanziellen Verlusten (zum Beispiel, wenn Kreditkartendaten gestohlen würden).

Dies geschah bei der Capital One Sicherheitsverletzung 2019, als ein nicht autorisierter Benutzer auf Capital Ones Server zugriff und über 140.000 US-Sozialversicherungsnummern, 1 Million kanadische Sozialversicherungsnummern und 80.000 Bankkontonummern sowie Identifizierungsinformationen freigelegt wurden, was Kunden (und den Ruf des Unternehmens) schwer gefährdete.

Eindeutig ist ein Satz bewährter Praktiken der Identitäts- und Zugriffsverwaltung erforderlich, um die Sicherheit vertraulicher Unternehmens- und Informationsdaten zu gewährleisten — und es ist Ihre Aufgabe als CIO, diese Praktiken zu definieren und umzusetzen.

Aber was sind eigentlich diese Praktiken? Lassen Sie uns einige bewährte Praktiken der Identitäts- und Zugriffsverwaltung überprüfen, die Sie ohne Zögern in Ihre Organisation integrieren sollten:

Definieren Sie klare Richtlinien und Verfahren zur Identitäts- und Zugriffsverwaltung

Es ist unmöglich, die Identitäts- und Zugriffsverwaltung Ihres Unternehmens ohne Plan zu verbessern. Wenn Sie daher das IAM-Vorgehen Ihrer Organisation vorantreiben möchten, müssen Sie diesen Plan für sich und Ihr Team deutlich machen — mit anderen Worten, klare Richtlinien und Verfahren definieren.

Stellen Sie bei der Entwicklung Ihrer bewährten IAM-Praktiken sicher, dass Sie die relevanten Richtlinien und Verfahren Ihren Mitarbeitenden deutlich mitteilen. Wenn Sie beispielsweise die Zwei-Faktor-Authentifizierung für Ihre Remote-Mitarbeitenden bereitstellen möchten, erstellen Sie ein Verfahrensdokument, das ihnen erklärt, wie sie diese konfigurieren, wie sie sich damit remote anmelden und was zu tun ist, falls etwas schiefgeht (zum Beispiel, wenn sie keinen Zugriff auf ihr Mobiltelefon haben, um ihren Autorisierungscode abzurufen).

Welche Richtlinien und Verfahren Sie erstellen müssen, hängt von der Struktur und den Zielen Ihrer Organisation ab. Aber unabhängig davon, welche Sie erstellen, stellen Sie sicher, dass Sie sie so formulieren, dass sie « Struktur bringen und messbare Ergebnisse liefern », empfiehlt Tluchowski.

Wenn Sie beispielsweise ein Verfahren entwickeln, damit Ihr IT-Team Fernzugriffe überwachen kann, könnten Sie die zu befolgenden Schritte detaillieren, um die Sicherheit zu verbessern (wie regelmäßige Sicherheitsaudits durchführen, um potenzielle Bedrohungen zu erkennen) — und dann klare Metriken festlegen, um den Erfolg der Implementierung zu messen. Sie könnten beispielsweise angeben, wie viele Audits jeder Mitarbeitende pro Monat durchführen soll — und wie schnell Sie erwarten, dass Bedrohungen gelöst werden.

Lesen Sie auch: [Fachbeirat] 4 Gebote der Sicherheit für den CIO im Zeitalter der Hybrid-Arbeit

Erwägen Sie einen Zero-Trust-Ansatz

Bei der Identitäts- und Zugriffsverwaltung ist es besser, vorsichtig zu sein. Um daher sicherzustellen, dass nur autorisierte Personen auf Ihr Netzwerk zugreifen können, « erwägen Sie ein Zero-Trust-Konzept, um Netzwerkressourcen auf bestimmte Benutzer zu beschränken », rät Tluchowski.

Mit dem Zero-Trust-Konzept wird davon ausgegangen, dass kein Gerät, das versucht, auf Ihr Netzwerk zuzugreifen, sicher ist — was bedeutet, dass jedes Gerät einen Autorisierungs- und Authentifizierungsprozess durchlaufen muss, bevor es Zugriff auf das Netzwerk erhält. Im Grunde genommen fügt die Übernahme eines Zero-Trust-Ansatzes der Identitäts- und Zugriffsverwaltung eine zusätzliche Sicherheitsebene hinzu — die Ihnen hilft, Bedrohungen oder verdächtige Aktivitäten schneller und besser zu erkennen.

Überwachen, verwalten und löschen Sie Konten fortlaufend

Praktiken der Identitäts- und Zugriffsverwaltung entwickeln sich definitionsgemäß ständig weiter. Wenn beispielsweise ein Mitarbeitender Ihr Unternehmen verlässt, möchten Sie nicht mehr, dass er auf vertrauliche Informationen zugreift. Oder, wenn Sie einen Mitarbeitenden von einer Abteilung in eine andere versetzen, müssen Sie möglicherweise die Informationen ändern, auf die er zugreift (und wie er darauf zugreift). « [Die Identitäts- und Zugriffsverwaltung ist] eine ständige Entwicklung, die... [mit den Bedürfnissen des Unternehmens und den Positionswechseln von Benutzern voranschreitet...] [oder deren Abgang] », erklärt Tluchowski.

Deshalb müssen Sie, um Ihre Identitäts- und Zugriffsverwaltungsprozesse so sicher wie möglich zu gestalten, Konten fortlaufend überwachen, verwalten und löschen.

« Überprüfen Sie den Benutzerzugriff und stellen Sie sicher, dass er den Anforderungen ihrer Verantwortung entspricht », empfiehlt Tluchowski. « Löschen Sie immer unnötig gewordene Konten und verwalten Sie allgemeine Konten. »

Machen Sie die Zugriffslöschung zu einem Schritt in Ihrem Offboarding-Verfahren — und bitten Sie Ihr IT-Team, die Identitäts- und Zugriffsverwaltung Ihrer aktuellen Mitarbeitenden regelmäßig zu überprüfen, um sicherzustellen, dass ihr Zugriff ihrer Verantwortung entspricht (und dass sie nicht mehr oder weniger Zugriff als notwendig haben).

Nutzen Sie Automatisierung

Als CIO ist Ihre Mission, alles zu tun, um eine sichere Verwaltung von Identitäten und Zugriffsrechten zu gewährleisten. Aber Sie müssen bestimmt nicht alles manuell tun! Es gibt viele Tools, die Ihre IAM-Prozesse einfacher, reibungsloser und — vor allem — sicherer machen.

Führen Sie Recherchen durch, um die IAM-Tools zu finden, die Ihren Bedürfnissen und Zielen entsprechen — und akzeptieren Sie dann, dafür zu investieren, sie in Ihrer gesamten Organisation bereitzustellen.

Und versuchen Sie, nicht beim Anblick der Rechnung zusammenzuzucken. Wenn Sie in die richtigen Tools investieren, sind diese die Investition wert. « [Die Verwendung von Automatisierungstools zur] Verwaltung der Authentifizierung und Autorisierung von Identitäten zur Risikoverringerung für das Unternehmen rechtfertigt die anfänglichen Kosten — und wird schnell ihre ROI durch Effizienzgewinne und Sicherheitsebenen dieser Tools demonstrieren », bestätigt Tluchowski.

Lesen Sie auch: CIO: Welche IT-Investitionen sollten 2021 priorisiert werden?

Übernehmen Sie diese bewährten Praktiken für eine effizientere und sicherere Identitäts- und Zugriffsverwaltung

Eine sichere, geschützte und effiziente Identitäts- und Zugriffsverwaltung ist wesentlich — besonders in der heutigen Welt der Fernarbeit und der Hybrid-Arbeit. Und jetzt, da Sie die unerlässlichen bewährten Praktiken kennen, haben Sie alles, was Sie brauchen, um besser zu kontrollieren, wie Mitarbeitende auf Netzwerk, Daten und vertrauliche Informationen Ihres Unternehmens zugreifen — und gleichzeitig diese sicherer zu machen.

*
* *

Suchen Sie weitere bewährte Praktiken zur Gewährleistung der Datensicherheit Ihrer Organisation im Zeitalter der Hybrid-Arbeit? Lesen Sie unser Whitepaper, um konkrete Ratschläge von mehreren CIOs zu erhalten:

Zugang zum Whitepaper

In unserem Whitepaper « CIO: die neuen Herausforderungen der Hybrid-Arbeit meistern » finden Sie: die 3 großen Herausforderungen für CIOs im Zeitalter der Hybrid-Arbeit, konkrete Ratschläge zur Beschleunigung Ihrer digitalen Transformation, zur Sicherung Ihrer Arbeitsplätze und zur Verbesserung der Mitarbeitererfahrung, sowie Zeugnisse von 10 CIOs, die in Unternehmen, Verwaltung und gemeinnützigen Organisationen tätig sind.

Herunterladen

–
Autorin: Deanna deBara