Die neusten Trends im Identity und Access Management: Federation & Provisioning

Transkript

1 Die neusten Trends im Identity und Access Management: Federation & Provisioning Peter Höhne General Manager Netegrity GmbH Tel.: (05202) Urheberrechtlich geschützt & vertraulich Netegrity Inc. Alle Rechte vorbehalten.

3 Sicherheit als Produktionsfaktor 3

4 Sicherheit als Produktionsfaktor Identity Management Basis für ein funktionierendes E Business Profitieren Sie von der Online-Zusammenarbeit mit Geschäftspartnern! E-Business ermöglicht bedarfsgerechte, schnelle Kundenbetreuung und optimierten Service Steigern Sie die Produktivität Ihrer Mitarbeiter Reduzieren Sie den IT-Aufwand Stellen Sie die konsequente Anwendung von Richtlinien sicher und minimieren Sie damit Sicherheitsrisiken Sicherheitssoftware ist Produktionsfaktor für geschäftlichen Erfolg sie ermöglicht die Öffnung des Unternehmens nach außen und garantiert zugleich die Integrität der Firmendaten 4

6 IAM (Identity Access Management) Alles beginnt mit der Identität... Employee Partner Customer Eindeutige Kennung (Identifier) Credential Benutzerprofil Benutzerprofil Web Service Credential Geschäftsprozess Credential Agenturprofil Benutzerprofil Business Unit Anwendungsprofil Umgebungsprofil Eindeutige Identität Repräsentiert Benutzer (Anwender, Applikationen usw.) Name, Nummer, sonstige Kennung Einzigartig in einem bestimmten Rahmen/Anwendungsbereich dauerhaft, langfristig Zugangsdaten/Berechtigungsnachweis (Credentials) Unterschiedliche Zugangsdaten/ Berechtigungsnachweise möglich Verschiedene individuelle Berechtigungen, verschiedene Applikationen können sich häufiger ändern Anwenderprofile Attribute, Berechtigungen, Richtlinien Eher kurzfristig relevante, sich häufig verändernde Informationen Häufig spezifisch für Anwendungen oder Umgebungen 6

7 Die Identität steuert den Geschäftsprozess Employee Partner Customer Web Service Business Unit Authentifizierung der Identität (Person, Anwendung, Gruppe, Organisation) Anwendungen und Services: Zugangskontrolle und Autorisierung Beziehungen zwischen Benutzern/Identitäten und Geschäftsprozessen/Transaktionen Darstellung/Personalisierung: Was der Benutzer sieht Beziehungen durch Benutzerfreundlichkeit optimieren Rollen + Regel gesteuert: Vertrauenswürdigkeit, Transaktionssicherheit Abbildung von Geschäftsbeziehungen (Mitarbeiter, Kunden, Partner) Prüfung/Kontrolle und Einhaltung Geschäftsprozess 7

8 Was ist Federation? Ein Mechanismus, der Verbindungen zwischen digitalen Identitäten über Sicherheits-Domänen hinweg schafft, um nahtlosen Zugriff auf Anwendungen sicherzustellen. Das Konzept der Föderation (engl.: Federation) gibt Unternehmen die technische Grundlage, Benutzeridentitäten sowie Benutzerrechte standardbasiert mit Partnern auszutauschen und gemeinsam zu nutzen. Sicherheit ist dabei von zentraler Bedeutung Standards spielen eine große Rolle Bei der digitalen Identität kann es sich um einen Benutzer oder eine Anwendung/Maschine handeln Es gibt grundsätzlich zwei Arten für die sichere Föderation mit Partnern Browser-basiert Dokument-basiert 8

9 Was ist Federation? Browser-basiert Geht davon aus, dass ein Benutzer unter Verwendung eines Browsers in Echtzeit zu den geschützten Web- Benutzer Anwendungen einer anderen Domäne umgeleitet wird. Austausch von Sicherheitsinformationen im Hintergrund, unsichtbar für den Benutzer. Ermöglicht sicheren Single Sign-on (SSO) über Domänen hinweg. Internet Service Provider SSO Identity Provider Security Ticket Internet Benutzer wird authentifizieren Sicherheitslösung Sicherheitslösung 9

10 Welche Vorteile bietet Federation? Welche Vorteile bietet Federation die föderative Zusammenarbeit? Anwender profitieren von höherer Bedienerfreundlichkeit der Anwendung Geringere Kosten für Anwendungsentwicklung, Wartung und Support Gewährleistung zuverlässiger Sicherheit bei Erreichen der oben genannten Ziele Ermöglicht Benutzern eine domänenübergreifendes single sign-on Ermöglicht Unternehmen Resourcen für eine grössere Benutzeranzahl zur Verfügung zu stellen, die nicht direkt von diesem Unternehmen administriert werden müssen. 10

11 Federation bewährte Methoden Federation Security kritische Komponente der IAM-Strategie des Unternehmens Lösung muss mehrere Federation Standards und Arten der föderativen Zusammenarbeit unterstützen Vermeiden von Sicherheitsinseln -> Aufbau von gemeinsam nutzbaren Sicherheits- Services Lösung muss skalierbar und zuverlässig arbeiten Berücksichtigung von Problemen bei der Benutzer/Account-Administration Wichtige nicht-technologische Probleme Wählen Sie die sichtbarsten und am wenigsten komplexen Anwendungen Beginnen Sie mit einer kleinen Anzahl Ihrer besten Geschäftspartner Berücksichtigen Sie rechtliche/vertragliche/haftungsbelange Wer trägt welche Kosten? Berücksichtigen Sie die jeweils gültigen gesetzlichen Datenschutzbestimmungen Berücksichtigen Sie Benutzer-Support (SLA)-Belange Klären Sie, wie sich das über die Unternehmensgrenzen hinweg realisieren lässt 11

12 Zusammenfassung Federation - neuster Trend im IdM 12

13 Zusammenfassung Federation - neuster Trend im IdM Austausch von digitalen Identitäten über eigenständige Domänen oder Firmengrenzen hinweg Auf Standards basierende Lösungen SAML Liberty Alliance Verwendet Sichere Objekte ( Token ), um Benutzer oder Systeme darzustellen Ermöglicht Benutzern eine domänenübergreifendes single sign-on Ermöglicht Unternehmen Resourcen für eine grössere Benutzeranzahl zur Verfügung zu stellen, die nicht direkt von diesem Unternehmen administriert werden müssen. 13

14 Was ist Provisioning? Provisioning.verwaltet zentral die Rechte und Identitäten aller User weist den Usern die für ihre Aufgaben jeweils nötigen Ressourcen schnell, sicher und effizient zu zentrale, automatisiert und workflow-unterstüzte Userverwaltung und Userversorgung. 14

15 Tatsächlich passiert Die Einrichtung eines SAP-Accounts dauert 27 Tage Vertragspartner verliert ,- Euro Ein ehemaliger Angestellter hat s der Unternehmensführung an den Wettbewerb weitergeleitet Finanzberater nutzt internen Help Desk Er hat das Unternehmen schon vor 18 Monaten verlassen Früherer Vertragspartner wird weiterhin bezahlt Die Buchhaltung wurde bei Vertragsende nicht informiert Ein ehemaliger Mitarbeiter manipuliert Software Der Gesamtschaden beträgt 10 Millionen US-Dollar 15

16 Szenario I Neue Mitarbeiter müssen schnell und sicher mit ihrer Arbeit beginnen können Startdatum Adressbuch Neuer Mitarbeiter Enddatum Projekt Arbeitsort Abteilung Gruppe IT Administrator Telefon Datenbank Zugänge Unternehmensressourcen 16

17 Szenario - II In dynamischen Umgebungen die Veränderungen der Mitarbeiter zu provisionieren Anderer Einsatzort Neues Mobiltelefon Fernzugriff auf das Netzwerk Abschalten aller lokalen Zugriffe eingestellt Beförderung Neue Visitenkarten Neues Notebook Rückgabe des alten Notebooks Einsatz in Projektgruppe Zugriff auf Datenbank Neuer Gruppen-Account File-Sharing Projekt abgeschlossen Zugänge gesperrt Groupware Account gelöscht Neues Einsatzgebiet Rückgabe aller Geräte Sperrung aller Zugänge 17

18 Szenario III De-Provisioning Ressourcen entziehen Einzug von IT-Equipment, Lizenzen und anderen Werten Mitarbeiter mit einem Tastendruck aus allen Unternehmenssystemen entfernen Korrekter IT-Abschlussbericht von Ex-Mitarbeitern Verbesserte Sicherheit Bessere Kontrolle Klare Verantwortlichkeiten Adressbuch Telefon Datenbank Sicherheit 18

19 ein Beispiel für schlechtes Provisoning - Barings Bank 1995 ging die Barings-Bank zum Preis von einem Pfund an den holländischen ING- Konzern. Die Bank der britischen Könige war seit 1762 eine der feinsten Londoner Adressen. Bis 1992 Nick Leeson in Singapur begann, Preisdifferenzen zwischen japanischen Derivaten auszunutzen. Es entstand ein Verlust von 1,4 Milliarden Dollar. Leeson wurde zu 6 ½ Jahren Haft wegen Urkundenfälschung, Untreue und Betrugs verurteilt. Leeson leitete den Handel mit Finanzderivaten in Singapur und die Back- Office Funktionen wo die Trades kontrolliert wurden. - Ein katastrophaler Mix. Eine rollenbasierte Aufgabentrennung hätte weniger gekostet. 19

20 IdentityMinder eprovision Anwendungsbeispiel 1) Ein Änderungswunsch geht ein vom Benutzer selbst, einem HR System oder Administrator 2) Der Provisioning Server überprüft alle Auswirkungen, sammelt nötige Bestätigungen und erstellt eine dynamische Provisioning-Aufgabenliste 3) Die spezifischen Änderungen werden an jede beteiligte Ressource übertragen und untereinander abgestimmt 4) Alle Provisioning-Vorgänge werden in einer Datenbank gespeichert, damit sie von Administratoren überwacht und geprüft werden können 1 Benutzer / Self Service HR System Administrator (Profil, Attribute, Gruppen, & Rollen) 4 Name: Fred Abteilung: Verkauf Position: Technik Vorgesetzte: Mary Startdatum: 21/01/03 Audit DB, Logfiles & Berichte 2 Überprüfen der Auswirkungen Bestätigungen & Nachrichten Start des Workflows Ausführen der Änderungen Provisioning der Benutzer für Ressourcen 3 ERP & CRM Telefon RDBMS Verzeichnisse NOS Manuelle Arbeitsanweisungen 20

21 Messbare Auswirkungen Risiko Datendiebstahl durch Insider kostet durchschnittlich US-Dollar pro Vorfall(1) 45% der Befragten behielten ihre Zugriffe auf Ressourcen auch nach Verlassen des Unternehmens (2) Kosten Benutzermanagement nimmt über 30% der IT Administrationszeit in Anspruch(3) Die Supportkosten im Zusammenhang mit Zugriffsmanagement betragen $ pro Jahr bei insgesamt Mitarbeitern (4) Geschwindigkeit Die Einrichtung von Zugängen für neue Mitarbeiter dauert durchschnittlich 28 Stunden länger als im Job erforderlich (5) Die Mitarbeiter-Fluktuation in den Unternehmen wird immer höher und dadurch immer schwerer Ressourcen sicher zuzuteilen und zu entziehen (6) Quellen: (1) CSI/FBI Studie, 2003 (2) Netegrity Online Studie, 2003 (3) Meta Group, 2002 (4) Giga Information Group, 2002 (5) Meta Group, 2002 (6) US Arbeitsministerium,

22 Provisioning & Qualitätsrichtlinien ISO 17799/BS7799 Richtlinien für Information Security Management Systeme (ISMS) zur Beschreibung optimaler Vorgehensweisen o Regeln, Geräte, Mitarbeiter, Kommunikation, Zugriffe, Systementwicklung, Business Continuity Standards o Checklisten für Kontrollen die Anwendung ist nicht definiert o Übernommen von 23% der Unternehmen größer als 500 Millionen US-Dollar; 49% davon zertifiziert KPMG 2002 Information Security Survey Basis für freiwillige Prüfung durch anerkannte Dritte Der Bereich Zugriffsrechte enthält unter anderem o Regelung der Zugangskontrolle o Zugangsmanagement (Administration) o Verantwortlichkeiten der Benutzer o Zugangskontrolle für Anwendungen o Überwachung 22

23 Sarbanes Oxley Hintergrund Ziel: Verbesserte Genauigkeit der finanziellen Bewertung von Unternehmen, die an US-Börsen gehandelt werden Alle Unternehmen, die SEC-Finanzreports veröffentlichen Viele Elemente Erstellt PCAOB zur Beaufsichtigung von Prüfverfahren Neue Regelung zur Unabhängigkeit des Prüfers Verantwortlichkeit des Unternehmens Erweiterte finanzielle Meldepflichten Unabhängigkeit des Sicherheitsanalysten Haftung des Unternehmens 23

24 Provisioning & Qualitätsrichtlinien Eigenkapitalvereinbarung Basel II Risikosteuerungssysteme für internationale Banken o Zur Bewertung des Kreditrisikos und des operativen Risikos Ziel ist es, die Risikosteuerungssysteme der Banken zu verbessern und einen Überprüfung durch die zuständigen Aufsichtsinstanzen zu ermöglichen, um die Vertrauenswürdigkeit der internationalen Finanzwelt zu stärken Sound Practices for the Management and Supervision of Operational Risk bietet Richtlinien für o Umgebung, Richtlinien und Überprüfungen durch die Unternehmensleitung o Risikoerkennung, Kontrolle, Beobachtung & Notfallplanung Verlangt die klare Trennung von Zuständigkeiten o Definierte Rolle der Vorgesetzten 24

25 Einhaltung von Richtlinien (Compliance) ist nur ein weiterer Grund für Identity und Access Management Identity und Access Management bietet Ihrem Unternehmen Vorteile und schafft eine sichere Basis für Ihren wachsenden Erfolg: Stellen Sie die konsequente Anwendung und Einhaltung von Richtlinien sicher und minimieren Sie damit Sicherheitsrisiken Web-basierte Geschäftsprozesse ermöglichen bedarfsgerechte Kundenbetreuung und optimierten Service Erschließen Sie neue Märkte und reagieren Sie flexibel auf veränderte Marktbedingungen Profitieren Sie von der Online-Zusammenarbeit mit Geschäftspartnern! Markteinführungen von Produkten und Services beschleunigen, Kostenersparnisse erzielen, schneller reagieren, Umsätze steigern, Flexibilität erhöhen und vieles mehr Steigern Sie die Produktivität Ihrer Mitarbeiter Stellen Sie sicher, dass Ihre Mitarbeiter jederzeit Zugriff auf die Unternehmensanwendungen, -systme und informationen haben, die sie zur Erfüllung Ihrer Aufgaben benötigen Minimieren des IT-Aufwands für Benutzerverwaltung und Zugriffskontrolle Sicherheitssoftware ist Produktionsfaktor für geschäftlichen Erfolg sie ermöglicht die Öffnung des Unternehmens nach außen und garantiert zugleich die Integrität der Firmendaten 25

26 Modularer Aufbau der Netegrity - Suite Modulare Lösungsangebote von Netegrity Ressourcenbereitstellung (Provisioning) Authentifizierung & Zugangskontrolle Benutzerverwaltung Gemeinsame Richtlinien und Workflow Erfüllen Sie Sicherheitsrichtlinien Geben Sie Mitarbeitern Zugriff auf Unternehmensanwendungen und -systeme IdentityMinder Netegrity eprovision TransactionMinder SiteMinder Aktivierung und Deaktivierung von Unternehmensanwendungen und -systemen (Provisioning), für Mitarbeiter und Partner Erfüllen Sie Sicherheitsrichtlinien Sichere interne Unternehmensnetze (Intranets) Sichere Web- Services Authentifizierung, Autorisierung und Session Management für Web- Service-Architekturen Erfüllen Sie Sicherheitsrichtlinien Nutzen Sie angeschlossene Partnernetzwerke Sichere Intranets und externe Unternehmensnetze (Extranets) Authentifizierung, Autorisierung und Session Management für Web- Service-Architekturen und förderative Umgebungen Benutzerverwaltung über virtuelle Netzwerke hinweg Erfüllen Sie Sicherheitsrichtlinien Administrieren Sie eine große Benutzerzahl in Extranets IdentityMinder Web Sichere, skalierbare, delegierbare Benutzerverwaltung in externen Unternehmensnetzen (Extranets) 26

27 Warum Netegrity? Marktführerschaft Unabhängig Konzentriert sich seit über 7 Jahren auf die Bereitstellung bedarfsgerechter Softwarelösungen zur Benutzerverwaltung Netegrity hat wesentlichen Anteil an der Entstehung des Marktes für Access und Identity Management-Software Maßgeblich an der Entwicklung verschiedener Industriestandards beteiligt Bildung der Original Standards Group, die für die erste Spezifikation von SAML verantwortlich zeichnet Co-Vorsitz im SAML Komitee Aktives Mitglied in vielen Standardisierungsgremien, darunter Liberty Alliance und Oasis Netegrity definiert Standards und die Zukunft in diesem Markt Gartner Leadership Quadrant im Bereich Accesss Management 4 Jahre in Folge Marktführer in der META Group METAspectrumSM für Web Single Sign-On 27

28 Warum Netegrity? Weltmarktführer für IAM Lösungen Initiator des Access Management Marktes Treibende Kraft bei der Entwicklung von Industriestandards Führend hinsichtlich Kundenanzahl, Implementierungen und Innovationskraft Führend im Gartner Extranet Access Magic Quadrant seit 4 Jahren 300 Millionen Lizenzen bei über 800 Kunden weltweit Zu den Kunden zählen über die Hälfte der im Fortune 100 gelisteten Unternehmen 22 Multi-Million User-Kunden Einzelne aktuelle Implementierungen umfassen mehr als 5 Millionen Benutzer Ausgedehntes Partner-Netzwerk Solide Finanzen Zum Kundenkreis von Netegrity zählen 28

29 Weitere Informationen Peter Höhne Netegrity GmbH Landsberger Straße München Tel.: Fax: