Identity Maturity Assessment

Größe: px

Ab Seite anzeigen:

Download "Identity Maturity Assessment"

Busso Kruse
vor 8 Jahren
Abrufe

1 Identity Maturity Assessment Case Study Atos Fachtagung zum Thema Identity Management & Cyber Security München, 24 Juni 2014

2 Wer ist Bay31 Bay31 ist Software-Hersteller im Bereich Identity Governance: Ausgewählte Kunden Role Designer umfangreiche Lösung zur Berechtigungsanalyse Identity Risk Assessment RBAC und Role-Mining Compliance, Audit, Funktionstrennung SAP Rollenanalyse Atos Partner für Identity Governance 2

3 Identity Maturity Assessment mit Atos und Bay31 Analyse Deliverables Nutzen Security Analyse Risk-Scoring der Benutzer Outlier-Analyse Kunde schliesst Sicherheitslücken Kunde sparrt Zeit durch gezielte Audit der Benutzerzugriffsprofile RBAC Analyse Analyse der bestehenden IAM-Prozessen hinsichtlich ihrer Eignung fur RBAC Bewertung der Effizienzverbesserung, die durch RBAC zu erwarten ist Kunde kann Aufwand und Nutzen von RBAC für sein Unternehmen zuverlässig einschätzen HR Analyse Eine Analyse, die zeigt, in wie fern die HR-Struktur und Job-Profile mit der Realität der Arbeitstätigkeiten übereinstimmen Kunde optimiert seine HR-Struktur als Basis für IT- Audit, Compliance und Rollenbildung (erhöhte Transparenz der Job-Profile) IAM Roadmap Konkrete Empfehlungen für IAM Prioritäten nach Kosten/Nutzen Kunde setzt Ressourcen für IAM-Prozesse und Infrastruktur optimal ein 3

4 Case Study März 2014 Bay31 führt zusammen mit Atos ein Identity Maturity Assessment bei einem europäischem Ministerium aus: IAM-Prozessanalyse durch Atos Consultants Organization Kundenprofil Benutzer, Berechtigungen, Business Divisions Technische Berechtigungsanalyse durch Bay31 Resultat: Roadmap zur Verbesserung der Sicherheit und Transparenz der IAM-Prozesse Infrastructure IAM Prozesse DirX, Active Directory, SAP HR Heute weitgehend manuell 4

5 Vorgehen der Analyse Berechtigungen und Businessattribute werden aus IAM und HR gesammelt. Business Attributen Benutzerattributen Job-Funktion, Dienstverhältnis, Cost-Center Organisationsstruktur SAP HR Berechtigungen DirX AD Bay31 Identity Modell Das Bay31 Identity- Modell korreliert Berechtigungen, Benutzer und Business- Attributen und ermöglicht eine mathematische Analyse. Durch Data-Mining und Daten-Visualisierung lässt Bay31 die Business- Logik, die sich unter den low-level Berechtigungen versteckt, erkennen. 5

6 Role Designer erlaubt es, komplexe Zusammenhänge unter Berechtigungen zu visualisieren und verstehen. Buchhalter Berechtigungen Die Matrix wird sortiert, um Clusters von Benutzer Key User Fragwürdig Berechtigungen sichtbar zu machen. Kernaktivität Linkshänder mit platten Füsse Aber eine nützliche Visualisierung setzt eine Business-relevante Kategorisierung der Benutzer voraus. Ohne relevante Kategorie haben Benutzer nichts gemeinsam. 6

7 Übersicht der Berechtigungsstruktur Data Structure 71% 71% 0% = Berechtigungen sind völlig willkürlich 100% = Alle Benutzer gleich Die visuelle Übersicht der Berechtigungen lässt die Bewertung interpretieren: Die Berechtigungen haben eine klare Struktur. Das ist eine gute Basis für die weitere Analyse, sowie Governance-Prozesse. Least Privilege 45% Business Correlation 39% 4% 69% Administrative Efficiency Access Security 7

8 Korrelation mit Business Kategorien Data Structure Interpretation: Bei dem Kunde stimmen die Businessattribute Organisationseinheit und Job-Funktion am besten mit den Berechtigungen überein aber in vielen Fällen auch nicht. 71% 39% Least Privilege 45% Business Correlation Einige der OE s sind homogen 39% 4% Aber viele nicht. Das Problem hier ist, dass diese Job-Kategorie keine echte Bedeutung hat. 69% Administrative Efficiency Access Security Wir haben Empfohlen: HR Job-Kategorien überarbeiten, redundante und überflüssige Job-Kategorien beseitigen, Benutzer sauber kategorisieren. Das bildet die Basis für Rollenbildung, Compliance, und automatisierte Provisioning. Und schafft Transparenz! 8

9 Sicherheit Data Structure Interpretation: Beim Kunde haben sehr viele Mitarbeiter abweichende oder exklusive Berechtigungen. Es besteht 71% ein ernsthaftes Risiko. Least Privilege 45% 4% 39% Business Correlation In dieser OE besteht zwar ein klarer Kern, aber fast alle Mitarbeiter haben 69% 4% abweichende Berechtigungen. Administrative Efficiency Access Security Wir haben empfohlen: Abweichende Berechtigungen systematisch prüfen Funktionstrennung (SoD) implementieren 9

10 Efficiency Data Structure Interpretation: Wir vergleichen die Anzahl zu 71% verwaltende Berechtigungen mit der theoretisch optimaler RBAC-Lösung ( Optimal Role Set ). Least Privilege 45% 4% 39% Business Correlation Bei dem Kunde wird der Effizienz-Wert (69%) allerdings durch die viele einzelne abweichende Berechtigungen beeinflusst. Das potentielle Nutzen 69% von RBAC (relativ zum Ist-Zustand) ist viel höher, wenn das Rollenmodell auf die homogene Administrative Efficiency Access Security Berechtigungen eingeschränkt wird. 69% Wir haben empfohlen: Rollen definieren, aber zunächst nur für die homogene Berechtigungen. 10

11 Least Privilege Prinzip Data Structure Interpretation: Viele OE s haben keinen 45% 71% erkennbaren Kernaktivität. Est besteht die Gefahr, dass Benutzer unter-, über- oder falsch Least Privilege 45% Business Correlation provisioniert sind. Provisionierung ist ineffizient. 4% 39%! Über-provisioniert?! Administrative Efficiency 69% Access Security! Unterprovisioniert?! Least-Privilege-Kern Wir haben Empfohlen: Gut konzipierte Rollen zwingen zur Einhaltung der Least Privilege Prinzip. 11

12 Bay31 Lösungen Role Mining: Rollen-Discovery nach interaktive Methodik Bay31 generiert qualitative gute Rollen, die mit der Organisationsstruktur übereinstimmen. 12

13 Bay31 Lösungen Risk Scoring: Bewertet Benutzerzugriffsrisiko nach mehrere Indikators Vollautomatische statistiche Analyse Dient zur Priorisierung von Access Review 13

14 Bay31 Lösungen Segregation of Duties Real-time und interaktiv SAP GRC-Kompatibel Konflikte definieren auf basis von Rollen, Berechtigungen oder Business- SoD-Konflikte angezeigt in Real-Time. Funktionen 14

15 Bay31 Lösungen Role Risks Functions Actions SAP Rollen-Analyse Integrations-API mit SAP und GRC Unterstützt SAP Rollen bis in die low-level Objekte Beispiel von Root-Cause-Analyse bei SAP Funktionstrennung (SoD). SAP GRC- Kompatibel. 15

16 Fragen? Cris Merritt

Ähnliche Dokumente

IDENTITY & ACCESS MANAGEMENT. Marc Burkhard CEO

IDENTITY & ACCESS MANAGEMENT. Marc Burkhard CEO IDENTITY & ACCESS MANAGEMENT Marc Burkhard CEO Die drei wichtigsten Eckpfeiler Access Management Identity Management IAM Prozesse ACCESS MANAGEMENT Die Ebenen Identity & Access Management Applikation Directories,