Identity Management. 10 Schritte auf dem Weg zum effektiven Identity Management. Oliver Nyderle SEN SER PS CNS

Transkript

1 Identity Management 10 Schritte auf dem Weg zum effektiven Identity Management Siemens Enterprise Communications GmbH & Co. KG Copyright Siemens Enterprise Communications All rights reserved. Copyright Siemens Enterprise Communications GmbH & Co KG All rights reserved.

2 Kernbotschaften 4 Punkte die Sie mitnehmen sollten Identity Mangament ist kein einmaliges Projekt sondern ständige Verbesserung Die richtige Planung entscheidet über den Erfolg bei der Umsetzung. Eine stufenweise Einführung sichert den Erfolg und erhöht die Akzeptanz. Die Verbesserung bestehender Prozesse und die Erhöhung des Automatisierungsgrades beginnt schon mit der ersten Applikation. Der Zweck eines Identity Management ist die Vielzahl der Kennungen und personenbezogenen Informationen welche die Anwender für den Zugriff auf Applikationen, Ressourcen und IT-Systeme benötigen, zu reduzieren und nach Möglichkeit in einer einzigen digitalen Identität zusammenzufassen. Seite 2

3 Herausforderungen an Identity & Access Management Einhaltung v. Gesetzen und Richtlinien sicherstellen Sicherheitslücken vermeiden Administrationskosten senken Effizienz steigern Datenqualität verbessern Insellösungen vermeiden Seite 3

4 Identity & Access Management Die Themenvielfalt im Gartner Jellyfish IDENTITY MANAGEMENT IAM Identity Administration Identity Auditing Directories Resource Access Administration Credential Management Identity Proofing Identity Auditing Virtual Directories Directory Services Security Information & Event Management SOD Controls Within ERP LDAP X.500 Role Management PKI SAPM Card/Token Management Authentication User Provisioning Password Management Metadirectories methods form factors GRC Tools ITSM Service Desk Tools Transaction Assurance Seite 4 Identity Verification Access Management Authentication Infrastructure Smart Token SSO PACS Single Sign-On Enterprise SSO Personal Identity Frameworks Kerberos Federated Identity Management Web SSO Web Access Management OS Access Management SUPM Encryption Network Access Control Content Access Management Enterprise DRM Authorization Management

5 1. Vorbereitung Der Stufenplan Umfang des implementierten Funktionsumfangs Stufe 3: Funktionsumfang Stufe 1: Quick Win Ziel: voll ausgebaute Lösung Stufe 2: Zielsysteme Seite 5 Anzahl der integrierten Zielsysteme

6 2. 10 Schritte im Überblick (Identity Management) Schritt 1: Integrieren - Integration von Identitäten Schritt 2: Überprüfen - Integration von Zielsystemen Schritt 3: Analysieren - Analyse der bestehenden Berechtigungsstrukturen Schritt 4: Automatisieren - Steuerung der Berechtigungszugänge Schritt 5: Bereitstellen - Regelbasierte Automatisierung der Rechtevergabe Schritt 6: Absichern - Absicherung der Berechtigungsvergabe Schritt 7: Verwenden - Identity Management für die Benutzer Schritt 8: Nachweisen - Nachweisbarkeit der Berechtigungsvergabe Schritt 9: Konstruieren - Rollenmodellierung aus Unternehmenssicht Schritt 10: Verändern - Rollenmodellierungsprozess Seite 6

7 Übersicht - Komponenten Quellen (z.b. HR) internal Mitarbeiter Zielsysteme accounts external partners customers Identity Store membership groups/roles Zusatzinformationen organizational geographical Compliance security policy commercial life cycle revision department laws / regulations Seite 7

8 10 Schritte im Überblick (Identity Management) Schritt 1: Integrieren - Integration von Identitäten Schritt 2: Überprüfen - Integration von Zielsystemen Schritt 3: Analysieren - Analyse der bestehenden Berechtigungsstrukturen Schritt 4: Automatisieren - Steuerung der Berechtigungszugänge Schritt 5: Bereitstellen - Regelbasierte Automatisierung der Rechtevergabe Schritt 6: Absichern - Absicherung der Berechtigungsvergabe Schritt 7: Verwenden - Identity Management für die Benutzer Schritt 8: Nachweisen - Nachweisbarkeit der Berechtigungsvergabe Schritt 9: Konstruieren - Rollenmodellierung aus Unternehmenssicht Schritt 10: Verändern - Rollenmodellierungsprozess Seite 8

9 Schritt 1: Integrieren - Integration von Identitäten Herausforderungen, Aufgaben, Vorteile Herausforderungen verschiedene Quellen unterschiedliche Verantwortlichkeiten Mengengerüste, Aktualität Verfügbarkeit von Organisations-Daten Aufgaben Klassiifzierung von Identitäten Spezifikation des Lebenszyklus Integration von Organisations-Daten Nutzbare Vorteile Zentraler Identitätsspeicher Nutzbarkeit als Identity-Provider in einer Service Orientierten Architektur konsistente Stammdaten für die Einführung neuer Systeme Seite 9

10 Schritt 1: Integrieren Integration von Identitäten Quellen (z.b. HR) internal external partners customers 1 Identity Store Zusatzinformationen organizational 1 global identifier geographical commercial life cycle Seite 10

12 Schritt 2: Überprüfen - Integration von Zielsystemen Herausforderungen, Aufgaben, Vorteile Herausforderungen unterschiedliche Verwaltungsprozesse Namesregeln Verfügbarkeit geeigneter Schnittstellen Aufgaben Zusammenführung von Systemkennungen Einführung eines globalen Identifiers Durchführung von Datenkonsolidierungen Nutzbare Vorteile Überprüfung der Zielsysteme möglich Verhinderung unberechtigter Zugriffe Zusammenführung nutzbar für Lizenzkostenberechnung Seite 12

13 Schritt 2: Überprüfen Integration von Zielsystemen Quellen (z.b. HR) Zielsysteme internal accounts external partners membership customers 1 Identity Store 2 groups/roles global identifier Zusatzinformationen organizational 1 geographical commercial life cycle Seite 13

14 10 Schritte im Überblick (Identity Management) Schritt 1: Integrieren - Integration von Identitäten Schritt 2: Überprüfen - Integration von Zielsystemen Schritt 3: Schritt 4: Schritt 5: Schritt 6: Schritt 7: Schritt 8: Schritt 9: Analysieren - Analyse der bestehenden Berechtigungsstrukturen Automatisieren - Steuerung der Berechtigungszugänge Bereitstellen - Regelbasierte Automatisierung der Rechtevergabe Absichern - Absicherung der Berechtigungsvergabe Verwenden - Identity Management für die Benutzer Nachweisen - Nachweisbarkeit der Berechtigungsvergabe Konstruieren - Rollenmodellierung aus Unternehmenssicht Schritt 10: Verändern - Rollenmodellierungsprozess Seite 14

15 Schritt 3: Analysieren - Analyse der bestehenden Berechtigungsstrukturen Herausforderungen, Aufgaben, Vorteile Herausforderungen vorhandene Rechtestrukturen müssen berücksichtigt werden Systeme mit komplexen Rechtestrukturen Datenleichen verschleiern das tatsächliche Bild Aufgaben Analyse der Berechtigungsstrukturen Strukturierung der Zielsystemrechte Entfernen von veralteten Zuweisungen Nutzbare Vorteile Nutzung des bestehenden Wissen zur Rechtestrukturierung Identitätszuordnungen können die Auswertung verbessern (Schritte 1,2) Vereinfachung der Zuweisung durch Strukturierung Seite 15

16 Schritt 3: Analysieren - Analyse der bestehenden Berechtigungsstrukturen (Role Mining) Rolle Permissions Berechtigungsgruppe (in Zielsystemen) Bruno Klarmann FK Op.-Mgm. OR_Kunde GT Unix MVS Arbeitet in der Abteilung Firmenkunden (FK) in der Filiale München FK Assistent HHB_Basis FK_Basis HHB_D. Users RG08GH04 RG07GH04 RG08ZZ01 RG07ZZ01 RG08LO10 RG07LO10... Windows 2000 Seite 16

17 Schritt 3: Analysieren - Analyse der bestehenden Berechtigungsstrukturen Quellen (z.b. HR) Zielsysteme internal accounts external partners membership 3 customers 1 Identity Store 2 groups/roles global identifier Zusatzinformationen organizational 1 geographical commercial life cycle Seite 17

19 Schritt 4: Automatisieren - Steuerung der Berechtigungszugänge Aktivieren und Deaktivieren von Systemzugängen Berechtigungsprozesse Personalprozesse Stammdaten- Verwaltung Organisationsprozesse Arbeitsprofil- Verwaltung Antrag Genehmigung HR- System Orga- Datenbank Berechtigungs- Datenbank HR-Mitarbeiter Orga-Mitarbeiter Mitarbeiter Genehmiger Systemverwaltungsprozesse Aktivieren Deaktivieren Löschen System- Verwaltung System- Verwaltung System- Verwaltung Seite 19 Netzwerk- System Administrator ERP- System Administrator CRM- System Administrator

20 Schritt 4: Automatisieren - Steuerung der Berechtigungszugänge Herausforderungen, Aufgaben, Vorteile Herausforderungen verschiedene Prozessebenen Verantwortlichkeiten innerhalb der Organisation Bugdet für übergreifende Projeke Aufgaben Prozesse Zusammenführen Aufgabentrennung zwischen Benutzer- und Systemverwaltung Trennung zwischen Systemzugang und Detailrechten Aktivieren Deaktivieren Löschen Nutzbare Vorteile Erhöhung des Automatisierungsgrades Erhöhung des Scherheitslevels Entlastung der Systemadministratoren bzgl. manueller Prüfungen Seite 20

21 Schritt 4: Automatisieren Steuerung der Berechtigungszugänge Quellen (z.b. HR) Zielsysteme internal accounts external partners 4 membership 3 customers 1 Identity Store 2 groups/roles global identifier Zusatzinformationen organizational 1 geographical commercial life cycle Seite 21

23 Schritt 5: Bereitstellen - Regelbasierte Automatisierung der Rechtevergabe (Provisionierung) HR-Verwaltung Identitätsverwaltung Mitarbeiter wird eingestellt Die Stammdaten werden im Personalwesen erzeugt und automatisch an den zentralen Identity Store übergeben Über die IAM Plattform werden Identitäten unterscheidlicher Herkunft zentral bereitgstellt. Regeln sind auf Basis der Sicherheitsrichtlinien (Policies) des Unternehmens hinterlegt Berechtigungen Einführung von Regeln Zuweisung Validierung Konsistenz Identity & Access Management Entsprechend den definierten Regeln werden Berechtigungen automatisch gesetzt Individuelle Kriterien: z.b. Laufzeit werden im IAM eingetragen Produktivität Mitarbeiter verfügt über die in den Regeln vereinbarten Zugänge und Berechtigungen In Minuten Provisioning Prozess In den Zielsystemen werden Intranet-/Extranetzugang, - Account, ( und andere) automatisch erzeugt Individuelle Berechtigungen in Portale werden gesetzt Seite 23

24 Schritt 5: Bereitstellen - Regelbasierte Automatisierung der Rechtevergabe Herausforderungen, Aufgaben, Vorteile Herausforderungen Organisationsdaten für Regeldefinitionen Ausnahmeregelungen Komplexe Rechtestrukturen in Zielsystemen Aufgaben Implementierung von Regeln Behandlung von Ausnahmen Anpassung der Prozesse für notwendige Organisationsdaten Nutzbare Vorteile Seite 24 Erhöhung des Automatisierungsgrades Berechtigungen entsprechend der Sicherheitspolicy Beschleunigung von Entitlements Welche Grundlagen existieren für die Definition von Regeln? Die Organisationsdaten müssen verfügbar sein!

25 Schritt 5: Bereitstellen Regelbasierte Automatisierung der Rechtevergabe Quellen (z.b. HR) Zielsysteme internal accounts external partners 4 membership 3 customers 1 Identity Store 2 groups/roles 5 global identifier Zusatzinformationen organizational 1 5 assignments geographical 5 rules commercial life cycle Seite 25

27 Schritt 6: Absichern - Absicherung der Berechtigungsvergabe Genehmigungsprozesse Seite 27

28 Schritt 6: Absichern - Absicherung der Berechtigungsvergabe Herausforderungen, Aufgaben, Vorteile Herausforderungen Weitere Rollen für Approvals notwendig Prozesse müssen angepasst werden Prozessrollout notwendig Aufgaben Definition von Genehmigungsprozessen Einbindung der Prozessbeteiligten Nutzbare Vorteile Absicherung von manuellen Zuweisungen möglich. Die Entscheidungen werden durch die Verantwortlichen getroffen. kein Medienbruch bei der Umsetzung. Seite 28

29 Schritt 6: Absichern Absicherung der Berechtigungsvergabe Quellen (z.b. HR) Zielsysteme internal accounts external partners 4 membership 3 customers 1 Identity Store 2 groups/roles 5 global identifier Zusatzinformationen organizational 1 5 assignments geographical 5 rules 6 commercial approvals life cycle Seite 29

31 Schritt 7: Verwenden - Identity Management für die Benutzer Self-Service Self-Service Stellvertreter-Verwaltung Delegierte Administration Anträge und Genehmigungen Passwort-Management Seite 31

32 Schritt 7: Verwenden - Identity Management für die Benutzer Herausforderungen, Aufgaben, Vorteile Herausforderungen Endnutzer verwenden das IdM-System Antrags- und Genehmigngsprozess Aufgaben Rollout einer Endnutzer- Oberfläche für das IdM-System Schulungen für die Endbenutzer Implementierung des Antragsund Genehmigungsprozesses Nutzbare Vorteile Reduktion von Hotline-Kosten Reduktion papiergestützter Prozesse Kostensenkung der administrativen Kosten Seite 32

33 Schritt 7: Verwenden Identity Management für die Benutzer Quellen (z.b. HR) Mitarbeiter Zielsysteme internal accounts external partners 7 4 membership 3 customers 1 Identity Store self service 2 5 groups/roles global identifier Zusatzinformationen organizational 1 5 assignments geographical 5 rules 6 commercial approvals life cycle Seite 33

35 Das Compliance-Problem und die Rolle von IAM Regulatory Compliance Was ist zu tun? Klare Definition der Zugriffsrechte / Umsetzung / Überwachung / Reporting Welche Hindernisse müssen beseitigt werden? manuelle Rechteverwaltung / Intranspatentes Rechte- und Rollenkonzept / Geringe Datenqualität / Einmal-Aktionen Die Lösung: Identity und Access Management automatisieren Prediction: By 2008, investments in identity management solutions will increase 60 percent in order to address regulatory compliance requirements (0.8 probability). Source: Gartner 2006, Identity and Access Management Today Seite 35

36 Schritt 8: Nachweisen - Nachweisbarkeit der Rechtevergabe Herausforderungen, Aufgaben, Vorteile Herausforderungen Rechtliche Rahmenbedingungen Security-Policy der Organisation zielsystemübergreifende Auswertungen Aufgaben Regelmässige Auswertungen Sicherungskonzept für Zuweisungsoperationen Erstellung von für die Organisation geeigneter Berichten Nutzbare Vorteile DirX Identity Standard Report: Anzahl der Identitäten pro Rolle Auswertungszeitpunkt: Auswertungsbasis: Auswertungsbereich: 7/17/07 5:20:17 PM CEST globaler Rollenkatalog alle Identitäten Erfüllung der Compliance- Anforderungen Nachweisbarkeit für Revisionsanforderungen Risikominimierung Reports auf Basis realer Identitäten Anzahl der Identitäten direkte Zuweisungen Standardrollen interne Mitarbeiter externe Mitarbeiter Organisations-Rollen Vorstand 2 Landesleitung Vertrieb 1 Landesleitung Finanzen 1 Vertrieb 200 Kaufmannschaft 100 Produktion 500 Partnerrollen Lieferant 50 Projektbezogenen Rollen Projektmanager 10 Projektmitarbeiter Entwicklung neue 25 Produktreihe Seite 36

37 Schritt 8: Nachweisen Nachweisbarkeit der Rechtevergabe Quellen (z.b. HR) Mitarbeiter Zielsysteme internal accounts external partners 7 4 membership 3 customers 1 Identity Store self service 2 5 groups/roles global identifier Zusatzinformationen organizational geographical 1 5 rules 5 assignments 6 Compliance security policy commercial approvals 8 revision department life cycle reports laws / regulations Seite 37

39 Schritt 9: Konstruieren - Rollenmodellierung aus Unternehmenssicht (Role Engineering) Zusammenwirken von Role Finding und Role Mining im Role Engineering Prozess Organisationsstruktur Zielsysteme Schritt 9 Policies, Prozesse Tätigkeiten Role Finding (top down) Role Mining (bottom up) Operations Resourcen Schritt 3 Berechtigungsstruktur Durch Zusammenwirken von Role Finding und Role Mining entsteht schrittweise ein unternehmensweites, systemübergreifendes Rollenmodell Seite 39

40 Schritt 9: Konstruieren - Rollenmodellierung Herausforderungen, Aufgaben, Vorteile Herausforderungen Einführung eines Rollenbegriffs Voraussetzungen in der Organisaton Prozessveränderungen (Verantwortlichkeiten) Aufgaben Einführung eines Rollenbegriffs für die Organisation Geshäftsprozessmodellierung Organisationsdaten bereitstellen (Organisation, Kostenstellen, Standorte, ) Nutzbare Vorteile Zuordnung von Berechtigungen auf fachlicher Ebene (Verständnis) Zusammenführung von Zuordnung und technischer Umsetzung Übertragung von Rechten (Vertretungen) Anzahl der Rechtezuweisungen sinkt Seite 40

41 Schritt 9: Konstruieren Rollenmodellierung aus Unternehmenssicht Quellen (z.b. HR) Mitarbeiter Zielsysteme internal accounts external partners 7 4 membership 3 customers 1 Identity Store self service 2 5 groups/roles global identifier Zusatzinformationen organizational geographical commercial life cycle rules 9 9 role catalogue assignments 6 approvals reports 8 Compliance security policy revision department laws / regulations Seite 41

43 Schritt 10: Change Rollenmodellierungsprozess Aktualisierung des Rollenmodells Durch die Veränderungen in der Organistionsstruktur, den Geschäftsprozessen und der IT- Infrastruktur ist auch das Rollenmodell einem kontinuierlichen Veränderungsprozess unterworfen. Veränderung Geschäftsmodell, Organisation Role Finding Top-Down Ansatz Role Life Cycle Management Benutzer- und Berechtigungsverwaltung Rollenmodell Rollenkatalog Anpassung Rollen Administration Veränderung IT-Infraturktur Role Mining Bottom-Up Ansatz Seite 43

44 Schritt 10: Change Rollenmodellierungsprozess Herausforderungen, Aufgaben, Vorteile Herausforderungen Veränderungen in der Organisation Veränderungen in der Technik Lösungen entwickeln sich Simulation von Anpassungen Testmöglichkeiten Aufgaben Definition von Rollen für die Rollenmodellierung Erstellung von Testmodellen Änderungs- und Freigabeprozess implementieren Nutzbare Vorteile Identity Management Lösung wird vervollständigt Änderungen auf Basis von Umstrukturierungen werden einfacher durchführbar Seite 44

45 Schritt 10: Change Rollenmodellierungsprozess Quellen (z.b. HR) Mitarbeiter Zielsysteme internal accounts external partners 7 4 membership 3 customers 1 Identity Store self service 2 5 groups/roles global identifier Zusatzinformationen organizational geographical commercial life cycle rules 9 9 role catalogue 10 assignments 6 approvals reports 8 Compliance security policy revision department laws / regulations Seite 45

47 Der Stufenplan Umfang des implementierten Funktionsumfangs Stufe 3: Funktionsumfang Stufe 1: Quick Win Ziel: voll ausgebaute Lösung Stufe 2: Zielsysteme Seite 47 Anzahl der integrierten Zielsysteme

48 Kernbotschaften 4 Punkte die Sie mitnehmen sollen Identity Mangament ist kein einmaliges Projekt sondern ständige Verbesserung Die richtige Planung entscheidet über den Erfolg bei der Umsetzung. Eine stufenweise Einführung sichert den Erfolg. Die Verbesserung bestehender Prozesse und die Erhöhung des Automatisierungsgrades beginnt schon mit der ersten Applikation. Der Zweck eines Identity Management ist die Vielzahl der Kennungen und personenbezogenen Informationen welche die Anwender für den Zugriff auf Applikationen, Ressourcen und IT-Systeme benötigen, zu reduzieren und nach Möglichkeit in einer einzigen digitalen Identität zusammenzufassen. Seite 48

49 Siemens Enterprise Communications delivers the complete value chain for IAM Identity Management Management of complete user life cycle to provide efficient and secure user administration for heterogeneous IT infrastructures. Access Management Reliable protection for applications in the web environment through authentication, single sign-on and access control. (De-)Provisioning Approval and Validation User Self Service Certified SAP Integration Password Management Identity Federation Audit and Reporting Role engineering Bottom-up and/or top-down analysis of business processes, deduction of business and/or technical roles and their compliant implementation. Need-to-know and least-privilege Delegated Administration Regulatory Compliance Seite 49 Professional Services Profound consulting, integration and operations know-how based on numerous projects and deep knowledge of businesses and IT. Consult, Design, Build and Integrate Operate and Maintain Technical Project Management

50 Siemens provides an integrated product suite for Identity and Access Management Audit User Management Metadirectory Authentication Web Single Sign-on Services Self-Service & Delegation Role Management Directory Authorization Web Services Security Workflow Provisioning Identity Federation Personal Identity Frameworks Audit Products DirX Identity Comprehensive Identity Management for automated user and entitlement management DirX Audit Sustainable compliance through continuous Identity Auditing of user access and entitlements DirX Directory High-end Directory Server for enterprise and e-business environments DirX Access Secure and reliable Access Management and Federation for Web and SOA environments ID Center Biometric identification for secure and convenient authentication Seite 50

51 Standard Process Model for Identity and Access Management Projects (1) Presales Scoping Workshop Developing a customer-specific IAM solution strategy accounting for compliance requirements optional High-level Design Show Case Detailed definition of the solution Functional description of solution Role and entitlement concept Implementation of the system and its connectors Implementation of the entitlement model: Policies, privileges, roles, self-services, workflows,... As-is analysis systems, processes, data Rough description of solution Return on investment (optional) Prototype Final Design Design Implementation Presentation, Assessment Build Project Management Quality Management Acceptance test and roll-out of the solution Training, operation and security concepts Adaptation to changes in customer s processes Hotline and Tele Service Software updates and data maintenance Seite 51 Support Operate

52 Standard Process Model for Identity and Access Management Projects (2) Project Management Quality Management Acceptance Test Show- Case Prototype Presales Scope Workshop High-level Design Final Design Build Operate Support Operational Concept Offer for IAM Scope Workshop Result Document Feasibility Study ROI Functional Specification Documentation System/Install. Test Report Seite 52 optional LDIF-Export Collection Briefing

53 Siemens Enterprise Communications GmbH & Co. KG SEN PSM SEC Copyright Siemens Enterprise Communications Copyright Siemens Enterprise Communications GmbH & Co KG All All rights rights reserved. reserved.

54 Kontakt Kontakt Solution Line Manager Identity & Privacy Siemens Enterprise Communications GmbH & Co +49 (151) Seite 54