Tools4ever Informatik GmbH

Ja und nein. HelloID hat viele bedeutende Vorteile, die jedoch manchmal schwierig zu quantifizieren sind. Ein Datenleck kann sowohl Rufschäden als auch finanzielle Strafen nach sich ziehen, wobei die genaue Höhe dieser Schäden oft schwer zu beziffern ist. Im Gegensatz dazu lässt sich die Einsparung bei den IT-Kosten durch die Automatisierung der Identity-Lifecycle-Prozesse genau bestimmen, ebenso wie die Einsparungen durch die weitere Prozessautomatisierung und Lizenzkosten. Im Allgemeinen lässt sich allein mit diesen konkreten Kostenpunkten bereits ein rentabler Business-Case erstellen.

Wir stellen sicher, dass die Plattform dem ‚Least Privilege‘-Konzept entspricht. Das stellt eine wesentliche Grundlage für die Compliance mit Informationssicherheitsstandards wie ISO 27001 und der DSGVO dar. Zu diesem Zweck integrieren wir HelloID in ein betriebliches Quellsystem (häufig das Personalsystem). Die hier festgelegten  Informationen über Mitarbeiter – wie deren Rolle oder Funktion – stellen die ‚Single Source of Truth‘ für HelloID dar. Im Role-Based-Access-Control (RBAC)-Modell wird dann für jede Rolle genau festgelegt, welche Zugriffsrechte gelten. So erhält jemand nur Zugang auf Basis des ‚Need-to-Know‘-Prinzips, und da jede Rollenänderung direkt aus dem Quellsystem verarbeitet wird, bleibt HelloID stets auf dem neuesten Stand. Für zusätzliche oder temporäre Anfragen lassen sich die notwendigen Rollentrennungen und Genehmigungsprüfungen festlegen, während die Audit-Protokolle des Systems eine kontinuierliche Kontrolle aller Änderungen, Aktivitäten und aufgezeichneten Daten bieten.

Da HelloID als Identity-as-a-Service fungiert, ist keine umfassende Implementierung erforderlich, sondern lediglich eine Konfiguration. Wir automatisieren im Wesentlichen zwei Bereiche: Zum einen die Prozesse des Identity Lifecycles und zum anderen die Serviceprozesse, wie etwa die Beantragung von zusätzlichen oder temporären Zugriffsrechten. Bei der Identity-Lifecycle-Implementierung geht es darum, HelloID mit einem oder mehreren Quell- sowie Zielsystemen zu verbinden und das RBAC-Modell mithilfe von Business Rules zu konfigurieren. Die Migration kann schrittweise mit einem Quellsystem, einem Zielsystem und einem grundlegenden RBAC-Modell begonnen werden. Auf dieser Basis können nach und nach mehr Integrationen hinzufügt und das RBAC-Modell angepasst und optimiert werden. Die Automatisierung der Serviceprozesse kann für jeden Prozess separat erfolgen. Außerdem ist es möglich, zunächst so genannte ‚delegierte Formulare‘ zu nutzen und die vollautomatisierte Self-Service-Option erst später einzuführen.

Ja. Wir sehen, dass für die ursprüngliche IAM-Funktionalität – Authentifizierung und Autorisierung – heutzutage oft die eigene AD-Umgebung verwendet wird. Was jedoch fehlt, ist eine vollwertige Verwaltungslösung, um in einer großen Organisation mit manchmal Hunderten von Benutzern und Dutzenden von Anwendungen jedem die richtigen Berechtigungen vollautomatisch und zeitnah zu erteilen. HelloID übernimmt diese Aufgabe. In der AD werden die Authentifizierung und Autorisierung technisch umgesetzt, HelloID übernimmt die weitere Integration und Verwaltung. Unabhängig davon bietet unser flexibles Access-Management-Modul mit umfangreichen Single-Sign-On-Funktionen und Multi-Faktor-Authentifizierung oft die notwendigen Workarounds in Migrations- und Integrationsprojekten. Auch ist es nicht immer notwendig, dass alle Benutzergruppen eine umfangreiche, d.h. teurere MS-Lizenz verwenden. Für sie sind die SSO- und MFA-Funktionen des Access Management von HelloID in Kombination mit einer relativ günstigen E1-Lizenz oft ausreichend.

IAM verwaltet die Benutzerkonten und Zugriffsrechte für alle Mitarbeiter der Organisation auf IT-Systeme. Ein neuer Mitarbeiter benötigt ein Benutzerkonto und, je nach Funktion, Zugriff auf verschiedene Anwendungen und Datenverzeichnisse. Bei einem Wechsel der Funktion oder Rolle sind oft Anpassungen der Zugriffsrechte erforderlich. Wenn das IAM-System diese Änderungen automatisch anhand der Informationen aus dem Personalsystem vornimmt, geschieht dies effizient und fehlerlos, was den Mitarbeitern der Personalabteilung viel Arbeit erspart.

Wenn HelloID nach der Implementierung betriebsbereit ist, ist es wichtig, dass das funktionale Verwaltungsteam von HelloID und die Personalabteilung weiterhin miteinander kommunizieren. Insbesondere organisatorische Veränderungen – wie neue Berechtigungen, angepasste Verantwortlichkeiten und/oder neue Rollen – führen in der Regel zu Anpassungen im RBAC-Modell und den Business Rules. Die Anpassungen müssen vor ihrer Implementierung in HelloID miteinander abgestimmt werden.

Im Rahmen der Role-Based-Access-Control (RBAC) wird für jede Rolle klar definiert, welche Zugriffsrechte gelten, sodass jemand nur auf ‚Need-to-Know‘-Basis Zugriff erhält. Wenn sich die Rolle einer Person im Personalsystem ändert, überprüft HelloID automatisch, welche Rechte nicht mehr gelten, und diese werden automatisch entzogen. Auf ähnliche Weise wird überprüft, welche neuen Zugriffsrechte für die neue Rolle einer Person erforderlich sind, und diese werden automatisch bereitgestellt. So vermeiden wir eine unerwünschte Anhäufung von Zugriffsrechten, die bei der manuellen Verwaltung von Rechten häufig auftritt.

Die automatische Erstellung und Änderung von Benutzerkonten und Zugriffsrechten erfolgt in HelloID mithilfe des so genannten Role-Based-Access-Control (RBAC)-Systems. Anhand von Business Rules werden für jede Rolle in der Organisation die entsprechenden Zugriffsrechte festgelegt. Für die Implementierung dieses RBAC-Modells sollte die Personalabteilung einbezogen werden, da sie die Struktur der Stellen innerhalb der Organisation kennt und verwaltet.

Als Endergebnis sind die Prozesse für den Eintritt, Wechsel und Austritt von Mitarbeitern größtenteils automatisiert. Auch die Beantragung von zusätzlichen und/oder temporären Rechten sowie anderen Anfragen – wie beispielsweise Namensänderungen nach einer Hochzeit – kann automatisiert werden. Dabei sollten die exakten Übergänge zwischen den Aspekten, die noch manuell erledigt werden, und den automatisierten Prozessen klar definiert werden. In diesem Zusammenhang ist es wichtig, dass die Personalabteilung als zuständige Stelle für die Personalprozesse involviert wird.

Tatsächlich ist die Sensibilisierung der Mitarbeiter ein wesentlicher Aspekt der Informationssicherheit. Mit automatisierten Prozessen für den Eintritt, den Wechsel und den Austritt sowie unserem leistungsstarken RBAC-System liegt unser Hauptaugenmerk auf der Sicherstellung von ‚Least Privilege‘. So verhindern wir, dass Mitarbeiter überhaupt Zugriff auf Daten erhalten, die sie für ihre Arbeit nicht (mehr) benötigen. Wir ergänzen jedoch auf Anfrage unserer Kunden auch ‚Sensibilisierungsmaßnahmen‘. Dadurch besteht die Möglichkeit, Business Rules in HelloID zu integrieren, die erfordern, dass Benutzer die Datenschutzrichtlinien der Organisation ausdrücklich akzeptieren, bevor ihre Zugriffsrechte aktiviert werden. Bis zur erfolgten Zustimmung erhält man beispielsweise nur Zugriff auf E-Mail und die Standardanwendungen. Auch bei zusätzlichen Anfragen kann im Online-Genehmigungsprozess explizit überprüft werden, ob der jeweilige Antragsteller die spezifischen (Schulungs-)Voraussetzungen erfüllt.

Die Benutzer können eine Vielzahl von Serviceanfragen einreichen, von der Beantragung zusätzlichen/ vorübergehenden Zugriffs auf Anwendungen (wie Visio) bis hin zur Änderung des Benutzernamens bei Eheschließung oder Scheidung. Oftmals erfordert die Abwicklung eines solchen Antrags umfangreiche Anpassungen in einer oder mehreren verbundenen Geschäftsanwendungen und/oder im Active Directory. Die Verwaltungsfunktionen dieser Systeme sind häufig sehr komplex, und schon ein kleiner Fehler kann erhebliche Probleme verursachen. Daher müssen Mitarbeiter in der Regel zuerst geschult werden, um damit arbeiten zu können, und oft ist auch eine teure Verwaltungslizenz erforderlich. Außerdem sollte die Bearbeitung solcher Anfragen nicht ausschließlich den IT-Spezialisten überlassen werden.

Dank der so genannten Helpdesk-Delegation bietet HelloID eine einfache und effiziente Lösung. Der Administrator erhält eine benutzerfreundliche Verwaltungsoberfläche, die speziell auf die Serviceaufgab(en) abgestimmt ist, die der Helpdesk-Mitarbeiter ausführen soll. Die Informationen aus einem ausgefüllten und bestätigten Formular werden anschließend in HelloID automatisch verarbeitet und in die entsprechenden Einstellungen der beteiligten Backoffice-Systeme umgewandelt. Auf diese Weise kann die Helpdesk-Abteilung deutlich mehr Verwaltungsaufgaben selbstständig erledigen, ohne teure Schulungen, Lizenzgebühren und das Risiko von Fehlern in Kauf nehmen zu müssen. So können sich IT-Spezialisten auf andere wichtige Aufgaben konzentrieren.

Mit HelloID werden die Serviceprozesse automatisiert. Über ein benutzerfreundliches Portal können Benutzer mit nur einem Klick und einem kurzen Eingabeformular selbstständig Anwendungen und Zugriffsrechte anfordern, sowie weitere Anfragen stellen. Für jede Art von Anfrage kann in HelloID der zugrunde liegende Prozess entsprechend konfiguriert werden. Je nach Rolle/Abteilung und Art des Antrags müssen ein oder zwei Vorgesetzte die Anfrage prüfen. HelloID übernimmt diesen automatisierten Genehmigungsprozess. Der Vorgesetzte erhält die Anfrage beispielsweise per E-Mail und kann diese genehmigen, ablehnen oder einen Kommentar hinzufügen. Nach der Genehmigung wird die Änderung von HelloID in den verschiedenen Zielsystemen umgesetzt und aktiviert. HelloID ermöglicht ebenfalls temporäre Aktivierungen. Dadurch lassen sich Lizenzen und Zugangsrechte für eine bestimmte Dauer einrichten – etwa während eines Projekts – was die ungewollte Ansammlung von Zugriffsrechten verhindert.