In fünf Monaten zum zentralen Identity & Access Management

Von manuellen Prozessen zum zentralen IAM

Ausgangspunkt des Projekts waren die bankaufsichtlichen Anforderungen an die IT (BAIT). Das Berechtigungsmanagement erwies sich dabei als eines der zentralen Handlungsfelder.

Bis dahin organisierte die IFB Berechtigungen über anwendungsspezifische Konzepte, Excel-Listen und manuelle Prozesse. Berechtigungsanträge wurden über Vorlagen abgewickelt. Gleichzeitig bestanden in Microsoft Active Directory und SAP bereits erste rollenähnliche Strukturen und Sammelrollen.

Die Ausgangslage war damit keineswegs unstrukturiert. Was fehlte, war ein anwendungsübergreifendes Konzept, das Berechtigungen konsequent aus den fachlichen Aufgaben der Beschäftigten ableitet und zentral steuerbar macht.

Denn bestehende Rollen wurden teilweise individuell kombiniert. Bei Aufgabenwechseln orientierten sich Berechtigungen dadurch häufig stärker an einzelnen Personen als an definierten Funktionen. Einzel- und Gruppenberechtigungen existierten parallel.

Die IFB wollte diesen Ansatz grundlegend verändern: Fachbereiche sollten stärker für die Definition der benötigten Zugriffsrechte verantwortlich sein, während eine zentrale IAM-Plattform für die technische Umsetzung und Governance sorgt.

Erst Governance und Rollen, dann die Technologie

Ein wesentlicher Erfolgsfaktor des Projekts war die Reihenfolge der Umsetzung. Statt zunächst eine IAM-Software auszuwählen und die eigenen Prozesse anschließend daran anzupassen, entwickelte die IFB zuerst die organisatorischen und methodischen Grundlagen.

Das Vorgehen bestand aus drei zentralen Bausteinen:

1. Definition interner Richtlinien, Governance, Prozesse und Regeln für das Berechtigungsmanagement

2. Entwicklung der Fachrollen gemeinsam mit den Fachabteilungen

3. Technische Umsetzung des fertigen Konzepts mit Garancy

Auf Basis von Ablauforganisation, Stellenbeschreibungen und Workshops mit den Fachbereichen wurden fachliche Aufgabenpakete identifiziert und zu Rollen gebündelt. Damit stand das fachliche Konzept bereits weitgehend fest, bevor Garancy implementiert wurde.

103 Fachrollen statt einer unüberschaubaren Rollenlandschaft

Bei der Entwicklung des Rollenmodells konnte die IFB auf vorhandenen Strukturen in Windows und SAP aufbauen. Diese wurden nicht vollständig ersetzt, sondern gezielt in ein übergeordnetes Konzept integriert.

Auch Berechtigungen kleinerer Anwendungen flossen in die Fachrollen ein. Gleichzeitig achtete das Projektteam darauf, die Anzahl der Rollen überschaubar zu halten.

Das Ergebnis: 103 definierte Fachrollen, mit denen sich die unterschiedlichen Aufgaben und benötigten Zugriffsrechte strukturiert abbilden lassen.

Auch die Freigabeprozesse waren bereits vor der technischen Implementierung definiert. Wer eine Berechtigung beantragen darf, wer sie genehmigen muss und welche Regeln dabei gelten, wurde in Workflows festgehalten und anschließend im Garancy Process Center umgesetzt.

Segregation of Duties von Anfang an berücksichtigt

Die IFB integrierte auch die Funktionstrennung – Segregation of Duties (SoD) – bereits in ihr fachliches Regelwerk. Berechtigungen können zu Rollen zusammengefasst werden, müssen jedoch aus den jeweiligen Aufgaben abgeleitet sein. Gleichzeitig dürfen bei der Kombination von Rechten definierte Grenzen der Funktionstrennung nicht verletzt werden.

Auch kritische Berechtigungen wurden frühzeitig berücksichtigt. Statt sie ausschließlich als einzelne Rechte zu verwalten, bündelte die IFB entsprechende Berechtigungen in kritischen Fachrollen. Damit waren zentrale Governance-Regeln bereits definiert, bevor sie technisch in Garancy abgebildet wurden.

Produktiv in nur fünf Monaten

Die gründliche Vorbereitung zahlte sich bei der technischen Umsetzung aus. Garancy erhielt ein weitgehend fertiges Rollen- und Regelwerk mit 103 Fachrollen, definierten Genehmigungswegen und klaren Prozessen.

Da die Prozesse bewusst schlank gehalten wurden, konnten sie weitgehend mit den Standardfunktionen von Garancy umgesetzt werden. Nach nur fünf Monaten Projektlaufzeit konnte das neue Identity-Management-System produktiv eingesetzt werden.

Ein entscheidender Unterschied zu vielen IAM-Projekten: Die IFB begann nicht mit der Technologie. Sie wusste bereits vor der Implementierung, wie ihr zukünftiges Berechtigungsmanagement funktionieren sollte.

Zentrale Fachrollen über unterschiedliche Systeme hinweg

Zu den zentral angebundenen Systemen gehören SAP sowie Microsoft Active Directory und Exchange. HR-Daten werden ebenfalls in die IAM-Prozesse eingebunden. Für zentrale Anwendungen können die Fachabteilungen Berechtigungen über Garancy vergeben, ändern und entziehen – entsprechend den hinterlegten Genehmigungsregeln.

Weitere Anwendungen lassen sich in das übergreifende Berechtigungsmanagement integrieren. Wo Berechtigungen nicht direkt automatisiert provisioniert werden, unterstützt Garancy sogenannte Order-to-Admin-Prozesse: Enthält eine Fachrolle eine entsprechende Berechtigung, wird der zuständige IT-Administrator über den erforderlichen Auftrag informiert.

So entsteht ein zentrales Rollenmodell, das automatisierte und administrativ umzusetzende Berechtigungen in einer gemeinsamen Governance-Struktur zusammenführt.

Fachbereiche übernehmen mehr Verantwortung

Mit Garancy verlagert die IFB einen Teil der Verantwortung für Berechtigungen gezielt in die Fachbereiche. Führungskräfte können Zugriffsrechte ihrer Mitarbeitenden auf Basis definierter Rollen und Genehmigungsregeln verwalten. Gleichzeitig stellt das zentrale IAM sicher, dass die festgelegten Governance-Prozesse eingehalten werden.

Eine zusätzliche Schnittstelle zwischen Fachlichkeit und Technik bildet der Berechtigungsmanager. Diese Funktion vermittelt zwischen den Fachbereichen und dem technischen Betrieb, begleitet die Freigabe von Berechtigungskonzepten und kann bei bestimmten Änderungen als zusätzliche Kontrollinstanz eingebunden werden.

Rezertifizierung direkt in das IAM integriert

Zum zentralen Berechtigungsmanagement gehört auch die regelmäßige Überprüfung bestehender Zugriffsrechte. Mit dem Garancy Recertification Center können Fachrollen und die ihnen zugeordneten Beschäftigten strukturiert überprüft und bestätigt werden.

Die erste Rezertifizierungskampagne wurde innerhalb von drei Wochen durchgeführt. Damit verbindet die IFB die Vergabe und Änderung von Berechtigungen mit deren regelmäßiger Kontrolle in einer gemeinsamen IAM-Struktur.

Ergebnisse auf einen Blick

• Nur fünf Monate Implementierungszeit

• 103 Fachrollen als Basis des Berechtigungsmanagements

• Rund 70 Systeme im betrachteten Ausbau

• Rund 350 verwaltete Benutzerkonten

• Zentrale, anwendungsübergreifende Rollen

• Definierte Genehmigungsprozesse und Segregation of Duties

• Mehr Verantwortung für die Fachbereiche

• Integrierte Rezertifizierung mit dem Garancy Recertification Center

• Automatisierung von Berechtigungsprozessen bei Eintritten, Austritten und Aufgabenwechseln

Gute Vorbereitung als Schlüssel für erfolgreiches IAM

Die Success Story der IFB Hamburg zeigt, dass ein erfolgreiches IAM-Projekt nicht mit der Software beginnen muss. Entscheidend war, zunächst Governance, Verantwortlichkeiten, Rollen und Prozesse zu definieren – und erst anschließend die Technologie einzuführen.

Dadurch konnte die Bank auf einer bereits durchdachten fachlichen Grundlage aufbauen und diese mit Garancy innerhalb kurzer Zeit technisch umsetzen.

Heute bildet das zentrale Rollenmodell die Grundlage dafür, Berechtigungen über verschiedene Anwendungen hinweg strukturiert zu verwalten, Fachbereiche stärker einzubinden und regelmäßige Kontrollen in die IAM-Prozesse zu integrieren.