Success Story Gegenbauer Holding SA & Co. KG. T e c h n o l o g i e n L ö s u n g e n T r e n d s E r f a h r u n g

Transkript

1 Success Stry Gegenbauer Hlding SA & C. KG T e c h n l g i e n L ö s u n g e n T r e n d s E r f a h r u n g

2 Success Stry Gegenbauer Hlding SA & C. KG Management Summary Das ism - Institut für System-Management GmbH fkussiert sein Geschäftsfeld auf den IT - Security Bereich Identity Management (IdM) und Single Sign-On (SSO) und bietet mit der Sftwarelösung bi-cube eine flexible Möglichkeit, Nutzer und deren Kmpetenzen revisinssicher und effizient zu verwalten. Im März 2011 knnte das ism nach einem erflgreichen Pilten die GEGENBAUER Hlding SA & C. KG (UGB) als neuen Kunden für die bi-cube Sftwarelösungen gewinnen. Die Unternehmensgruppe GEGENBAUER zählt mit einem knslidierten Umsatz vn 403 Mi. im Jahr 2011, 40 Service-Standrten in allen wirtschaftlichen Ballungszentren Deutschlands und insgesamt Mitarbeitern (davn mit IT-Berechtigungen) zu den führenden Anbietern vn Facility Management in Deutschland. Mit seiner bis in das Jahr 1925 zurückreichenden Erfahrung im Dienstleistungssektr und vielen Tausend qualifizierten Beschäftigten in 6 verschiedenen Sparten plant und realisiert das Unternehmen Service- und Managementknzepte für Immbilien und Liegenschaften. Zu seinen Kunden zählen Industrie und Handel, öffentliche Auftraggeber, Banken und Versicherungen swie Einrichtungen des Gesundheitswesens und Whnungsunternehmen. Facility Management: für Industrie, Gewerbe und öffentliche Einrichtungen Prperty Services: für Whnliegenschaften Health Care: für das Gesunheitswesen und sz. Einrichtungen Lcatin Management: Management für Veranstaltungsstätten Gebäudereinigung: für Werterhalt und Wirtschaftlichkeit Sicherheitsdienste: Schutz und Sicherheit für Persnen, Werte und Objekte Persönliche Erfahrungsberichte vn Prjektleitern anderer erflgreicher ism - Kundenprjekte, vr allem aber eine Piltinstallatin, in der das ism den Beweis antrat, dass sich seine Lösung erflgreich in die Unternehmens- und IT-Struktur vn UGB integrieren lässt, um die vrgegebenen Ziele zu erreichen, war ausschlaggebend für die Entscheidung vn UGB für das bi-cube Identity Management und das ism als Partner in diesem Prjekt. Mari Meyer, ICT Manager vn UGB, und Patrick Walter, IdM-Prjektleiter, legten bei der Prduktauswahl besnderen Wert auf eine mderne, innvative und zukunftssichere Sftware mit ffener Architektur und SOA- Ansatz, die der IT-Strategie-Leitlinie des Unternehmens am besten entspricht. Die Lösung sllte weitestgehend vrknfiguriert, durch Custmizing und Mdellierung aber sehr anpassungsfähig sein und s wenig Prgrammieraufwand wie möglich generieren, um die Geschäftsprzesse vn UGB abzubilden. Möglichst viele Zielsysteme sllten über bereits vrhandene Cnnectren und Schnittstellen an die künftig zentrale User- und Rechteverwaltung angebunden werden können. April 2012 Seite 2 vn 10

3 Success Stry Gegenbauer Hlding SA & C. KG Vn einem möglichst grßen Funktinsumfang rund um die IdM-Kernfunktinalität erhfft man sich bei UGB nach und nach zusätzliche Synergie-Effekte, s z.b. insbesndere vn dem erst im Februar 2012 beauftragten IdM - integrierten Single Sign-On (SSO) eine gravierende Erhöhung des Benutzerkmfrts für die IT-Nutzer, die sich dann nur nch ein einziges Kennwrt merken müssen, das ihnen den Zugang zu ihren Systemen und Anwendungen öffnet. Die stufenweise Einführung und Prjektbetreuung durch den Lösungshersteller selbst sllte für eine rasche Umsetzung der UGB-Anfrderungen und schnelle Prjekterflge srgen. Eine weitere Grundvraussetzung für die Beauftragung war, dass das IdM die kmplexe Linien- und Prjektrganisatin des Unternehmens beherrschen und Standrte swie Kstenstellen verwalten kann. Und welche vrrangigen Ziele verflgen die IT-Strategen bei UGB mit der IdM - Einführung? Mari Meyer fasst zusammen: Die Administratin sll effizienter, sicherer und nachvllziehbar gestaltet, Administratin und User Helpdesk spürbar entlastet und gleichzeitig alle Anfrderungen an Datenschutz, Sicherheit und Cmpliance erfüllt werden. Er zählt die 3 Stellen auf, an denen der Schuh am meisten drückte: Mangel an Cmpliance Mangel an Sicherheit Zu hher Aufwand und zu hhe Ksten Diese Pain Pints sll ein zentrales, autmatisiertes Accunt-Management beseitigen s Patrick Walter, IdM-Prjektleiter bei UGB. Gefrdert ist als ein IdM, das über ein umfassendes Reprting und Cmpliance Mnitring, swie ein intelligentes Rllen- und Prcess Management verfügt - Vraussetzungen, die eine hhe Autmatisierung in der Administratin erst möglich machen Die Implementierung umfasst neben der Kernlösung, dem bi-cube Identity Management (IdM) auch die bi-cube Extended Kmpnenten Teamverwaltung, Difference Check (Recnciliatin) und Mandanten, swie die Teilkmpnente Adress- u. Geschäftsstellenverwaltung des Mduls Resurces & Lcatins, aber auch Cnnectren wie die W2K Suite, der Exchange Pstfach Manager, der LDAP-OC und der SQL-OC zur Anbindung der wesentlichen bei UGB vrhandenen Zielsysteme. Neu hinzugekmmen ist der Prcess Manager Extended u.a. mit den für die Cmpliance s wichtigen Wiederhlungsprzesse swie das integrierte Single Sign-On. Nur wenige kundenspezifische Anpassungen waren erfrderlich. April 2012 Seite 3 vn 10

4 Success Stry Gegenbauer Hlding SA & C. KG Teilnehmende Unternehmen ism - Institut für System-Management GmbH (im Flgenden ism) mit dem Prjekt bei der GEGENBAUER Hlding SA & C KG (im Flgenden UGB) Ansprechpartner: ism Institut für System-Management GmbH: Oldendrfer Straße 12, Rstck Telefn: +49 (0) 381 / Telefax: +49 (0) 381 / Internet: inf(at)secu-sys.de Barbara Müller Philipps Shn Hlger Görz, DI Heik Michalk GF Marketing & Sales GF Prjects & Operatins Prjektleitung ism bmps(at)secu-sys.de hlger.gerz(at)secu-sys.de heik.michalk(at)secu-sys.de Gegenbauer Hlding SA & C. KG Paul-Rbesn-Str. 37, Berlin bzw. Triftweg 18, Birkenwerder Telefn; +49 (0) 3303 / Telefax: +49 (0) 3303 / Internet: inf(at)gegenbauer.de Mari Meyer ICT Manager mmeyer(at)gegenbauer.de Patrick Walter Prjektleitung UGB pwalter(at)gegenbauer.de (Weitere persönliche Kntaktdaten auf Anfrage und nach Freigabe vn UGB) April 2012 Seite 4 vn 10

5 Success Stry Gegenbauer Hlding SA & C. KG Kurzbeschreibung des IdM Prjekts bei GEGENBAUER Innerhalb des Prjektes wird die Identity Management Sftware bi-cube mit zusätzlichen Extended Kmpnenten und Cnnectren in die IT Umgebung der GEGENBAUER SA & C. KG implementiert. Die pririsierte Zielstellung der Einführung liegt 1. in der Zentralisierung und Autmatisierung der User- und Berechtigungsverwaltung und 2. in der Erfüllung der Datenschutz-, Sicherheits- und Cmpliance - Anfrderungen. Darüber hinaus sllen nun auch die IT-Nutzer am Ende der Prjektphase 1 durch den Einsatz des integrierten bi-cube SSO direkt vn einem wesentlich vereinfachten Anmeldeverfahren prfitieren: Sie können sich ab sfrt mit nur einem einzigen Kennwrt am System anmelden und erlangen damit Zugang zu all ihren Systemen und Anwendungen. Das ism übernimmt bei diesem Prjekt die Lieferung der Sftwarelösungen bi-cube IdM & SSO, die kmplette Erstellung des Knzeptes für das Daten- und Funktinsmdell, das technische und rganisatrische Cnsulting swie die Mdellierung der Rllen und Przesse. Die fachliche Beratung direkt vm Hersteller sichert eine effektive Durchführung des Prjektes swie die kurzfristige Berücksichtigung spezifischer Anfrderungen. In der Einführungsphase findet eine weitreichende Unterstützung statt. Im Ergebnis werden alle Mitarbeiter vn UGB mit der IdM-Lösung bi-cube verwaltet, IT-User nutzen das bi-cube SSO für ihre Einmalanmeldung. Prduktauswahl - Entscheidung bi-cube IdM & SSO wurde vm Auftraggeber ausgewählt, da die Anfrderungen der UGB in grßem Umfang bereits im STANDARD hne grßen Anpassungsaufwand erfüllt werden können. Die Funktinsfülle ermöglicht zudem z.t. äußerst kstengünstige Synergieeffekte, wie dies beim integrierten SSO der Fall ist. UGB hat sich in mehreren persönlichen Gesprächen mit den Prjektleitern langjähriger bi-cube Anwender - u.a. auch im Rahmen eines praxisrientierten Wrkshps, der zu Beginn des Jahres 2010 bei der GENERALI Versicherungsgruppe in Hamburg stattfand - über deren praktische Erfahrungen bei der Einführung und dem nachflgenden Betrieb der Sftwarelösung, swie der Zusammenarbeit mit dem ism in der Prjektphase und danach infrmiert. Ausschlaggebend für die Entscheidung vn UGB für das bi-cube Identity Management und ism war am Ende aber die praktische Beweisführung des ism anlässlich eines Prf f Cncept (Piltinstallatin), dass sich die Lösung erflgreich in die Unternehmens- und IT-Struktur vn UGB integrieren lässt und die strategischen Ziele damit erreicht werden können. Risiken keine April 2012 Seite 5 vn 10

6 Success Stry Gegenbauer Hlding SA & C. KG Ausgangssituatin Zieldefinitinen Business Values Mangel an Cmpliance Durch das Fehlen einer systemübergreifenden User- und Berechtigungsverwaltung ist es nicht nachvllziehbar, wer wann welche Zugriffsrechte erhalten und wer wann welche Aktivitäten durchgeführt hat. Eine Auskunftserteilung gegenüber der internen Revisin und Wirtschaftsprüfern ist nur bedingt möglich bzw. zeitraubend und kstenintensiv. Die Einhaltung vn immer strikteren Datenschutz- und Sicherheitsbestimmungen ist auf der seitherigen Grundlage nicht mehr der nur mit hhem Aufwand zu gewährleisten. Ziel: Durch ein umfassendes Reprting zu allen Vrgängen rund um die Berechtigungsverwaltung sll Nachvllziehbarkeit der IPM Przesse und tagaktuelle Übersicht der Berechtigungsstände erreicht werden. Mangel an Sicherheit Es gibt keine übergerdnete regel- und rllenbasierte, przessgesteuerte Administratin. Dies birgt ein zu hhes Fehlerptential: redundante Datenpflege, fehlerhafte Daten und Berechtigungen, Rechtekmbinatinen, die sich ausschließen müssten, tte Accunts etc. Ziel: Berechtigungen sllen künftig zentral und weitgehend autmatisiert nach vrher festgelegten Regeln und gemäß den Funktinen und Tätigkeiten der Mitarbeiter über Fachrllen vergeben und bei Funktinswechsel der Ausscheiden auch wieder entzgen werden. Die Rechtevergabe sll als durch einen schrittweisen Einsatz eines Rllenmdells und (teilweise) Autmatisierung der IPM Przesse standardisiert und gleichzeitig in die Fachbereiche verlagert werden. Hher Aufwand - hhe Ksten Bei UGB ist für eine Vielzahl vn Systemen / Anwendungen IT-Supprt zu leisten. Die in dieser Branche übliche hhe Fluktuatinsrate, vr allem im perativen Bereich, srgt darüber hinaus für viele Mitarbeiter - Eintritte, Austritte, Wiedereintritte, tempräre Unterbrechungen, Abteilungswechsel etc., Przesse, die wenn sie nicht autmatisiert ablaufen die Administratin stark belasten. Ziel: ein zentrales, autmatisiertes Accunt-Management sll den Aufwand in der Administratin und im Help Desk erheblich reduzieren und diese Abteilungen massiv vn der Rutinearbeit entlasten. Die Przesse sllen entweder kmplett vllautmatisiert ablaufen (beim Eintritt erhält der Mitarbeiter autmatisch seine Basisrechte und kann sfrt beginnen, zu arbeiten) der über ein Antrags- und Genehmigungsverfahren als Self Services abgewickelt werden können. Zusammenfassend sll die Administratin effizienter und sicherer gestaltet, Administratin und User Helpdesk spürbar entlastet und gleichzeitig alle Anfrderungen an Datenschutz, Sicherheit und Cmpliance erfüllt werden. Es wird als eine Sftware benötigt, die ein flexibles Rllen- und Przessmdell unterstützt, die Autmatisierung der Przesse ermöglicht und den genannten Anfrderungen gerecht wird. Umsetzungsstrategie/-przesse Fast alle angefrderten Funktinen des IdM Systems waren im Standard der Lösung bi-cube bereits vrhanden und mussten nicht separat für das Prjekt entwickelt werden. Bisher wurden 6 wichtige Zielsysteme vn UGB über Cnnectren autmatisch angebunden. Um die Ziele hinsichtlich der Cmpliance-Anfrderungen und der Revisin zu erfüllen, liegt ein besnderes Augenmerk auf der Implementierung des Rllenmdells und darauf aufbauend auf der Umsetzung der Przessmdelle. April 2012 Seite 6 vn 10

7 Success Stry Gegenbauer Hlding SA & C. KG Mitarbeiterbeteiligung / Schulung / Caching Die System - Schulung erflgte swhl prjektbegleitend während der Einführung vr Ort, als auch in speziellen mehrtägigen Zertifizierungskursen der bi-cube Anwender (CU = Certified User) und bi-cube Administratren (CA = Certified Administratr) am ism in Rstck. Technische Umsetzung - Kmpnenten bi-cube IPM Standard bi-cube Extended Kmpnenten R & L Teilkmpnente Adress- und Geschäftsstellenverwaltung Mandanten Difference Checker Teamverwaltung Prcess Manager Extended (PME) Dez Single Sign-On (SSO) Feb bi-cube Cnnectren W2K Suite Exchange Pstfach Manager LDAP OC SQL OC (Dez. 2011) MyCrsa OC (Feb. 2012) Auftragsprgrammierung zur Integratin der UGB IT Umgebung. Anbindung flgender Systeme und Anwendungen: Systemplattfrm: Micrsft Windws Server 2008R2, Client XP der höher Datenbank: Unterstützung MS-SQL 2005/2008 ADS 2008 R2 w2k Suite Exchange 2007 Ex2007 OC HR / Persnalsystem: LOGA (Kstenstelle und Mandant kmmt aus dem HR) HRMS: MA-Prtal: Urlaub, Reiseplanung Asset Management in MS SQL, verwaltet über Web-Gui SQL OC + w2k Suite AD Gruppen UHD vn Numara Ftprints mit eigener SQL-DB, Rechte aus LDAP AD VOIP innvaphne (LDAP basiert) LDAP-OC DMS (Crsa) w2k Suite AD Gruppen ERP ib suite (Prgress) w2k Suite AD Gruppen ID Expert (SmartAct vn VPS) Kartenmanagement SQL OC LOGA / HCM SQL OC Weitere Systeme April 2012 Seite 7 vn 10

8 Success Stry Gegenbauer Hlding SA & C. KG Organisatrische Umsetzung Einsatz Rllenmdell Insgesamt ca. 80 Rllen, davn: 2 Basisrllen für Rechtevergabe im MA-Eintritt 1 vrdefinierte bi-cube - Rlle für Administratren zur Einzelberechtigungsvergabe 40 Fachrllen für alle Abteilungen, die in ERP und DMS berechtigt werden müssen (in Vrbereitung) 35 Organisatinsrllen 10 Przesse in Nutzung Wechselprzesse am User Berechtigungsvergabe für neue Mitarbeiter (Mitarbeitereintritt) Autmatisches Mitarbeiteraustrittsverfahren Autmatischer Wechsel mit gleitenden Übergängen (OE-Wechsel) Autmatischer Wechsel Rllen (bei Änderung der Attributindizierung) Antrags- und Prvisining Verfahren Autmatische, regelbasierte Rllenzuteilung Antragsverfahren Rllen (für Rllenzuteilung, Änderung und Entzug) Allgemeiner dkumentenbasierter Antragsprzess Interne Przesse Antrag für neue Rllen (über dkumentenbasierten Antrag) Antrag für Rllen-Änderung (Eigenschaften der Rlle, Technische Attribute, Berechtigungsattribute) Antrag für allg. Mdellierungsänderungen (über dkumentenbasierten Antrag) Weitere Przesse möglich / geplant (in Flgephasen) Wechselprzesse am User Sfrtiges Usersperren (Sperren Zugangssysteme f. längere Abwesenheiten) Antrags- und Prvisining Verfahren Antragsverfahren Teams Wiederhlungsfreigaben (Beauftr. des Prcess Manager Extended (PME) - Dez.2011) Re-Lizenzierung (regelm. Bestätigung einer bereits erteilten Lizenz) Re-Zertifizierung (regelm. Bestätigung eines bereits erteilten Nutzungsrechts) Re-Validierung (regelm. Bestätigung eines Users, z.b. für Externe) Re-Cnfirmatin (regelm. Bestätigung vn Richtlinien) Prjekt Aufwand und Ksten (ism) insg * Lizenzen * Für Mitarbeiter (1.500 User mit und User hne IT-Berechtigungen) Für alle bis Ende März 2012 beauftragten und eingesetzten bi-cube Kmpnenten Cnsulting * Alle Beratungsleistungen vr und während des Prjekts (Wrkshp, 3-wöchige Piltinstallatin, 74 PT Einführungsunterstützung Phase 1) Entwicklung * 25 PT Anpassungsprgrammierung * Angaben zu Prjektksten werden auf Wunsch vn UGB nicht veröffentlicht April 2012 Seite 8 vn 10

9 Success Stry Gegenbauer Hlding SA & C. KG Ablauf des Prjektes Die Implementierung erflgte nach dem ism Standard Vrgehensmdell (Wrkshp Pilt Prjekt Phase 1 Prjekt Phase 2 Flgephasen) April 2010 Wrkshp Auf Basis der genutzten Systemplattfrmen, Anwendungen und Verwaltungstls swie den Vrgaben des Unternehmens wurden IST-Situatin und strategische Zielvrgaben analysiert, ein erster grber Prjektplan mit Ksten-, Zeit- und Aufwandsschätzungen swie Kstenvranschlag erstellt und fachliche Vrgaben für eine Piltinstallatin erarbeitet. Mai 2010 IPS* Meeting Freigabe der Piltinstallatin * IPS = Management Bard mit allen Entscheidungsträgern der verschiedenen Sparten, der sich fünfmal im Jahr trifft und über Prjektanträge und Budgetierung entscheidet. Juli 2010 Pilt Zur Demnstratin der Machbarkeit mit bi-cube IPM in der UGB-Umgebung. Ergebnis: Verbindlicher Prjektplan & verbindliches Angebt, Klärung erfrderlicher CRs Der Pilt beginnt mit einem Kick-Off-Meeting zur Vrstellung vn Inhalt und Ablauf der Pilt-Installatin swie zur Festlegung der Schwerpunkte, Termine und Prjektmitarbeiter und endet nach 3 Installatinswchen à 3 Tagen mit einer Abschlusspräsentatin. Der Pilt umfasste flgende Präsentatinen, Demnstratinen und Tätigkeiten: Installatin und Custmizing des Systems, Migratin & Änderungen vn User-Daten aus Lga, AD- Anbindung und Prvisining für ERP (ib suite) und DMS (Crsa), Anbindung weiterer Systeme über halbautmatische Aktin 7 (Ticketing), Anbindung Asset Management & ID Expert über SQL-OC und VIP innvaphne über LDSP-OC; Migratin vn Organisatinsdaten (Aufbaurganisatin, Kstenstellen, Leiterstruktur); Reprting & Cmpliance (Infansichten, Reprts & Analysen für Revisin & Administratren) inkl. Differenzcheck und Differenzabgleich; Teamverwaltung, SSO; Business Layer: Rllenmdell, Geschäftsprzessmdelle & Regelwerk; Abstimmung mit interner Revisin, Arbeitsrganisatin, Betriebsrat. Nach erflgreicher Piltinstallatin erflgt die Prduktivsetzung des gesamten Systems. Dabei wurde insbesndere in der Startphase eine intensive Betreuung und Unterstützung der bi-cube Administratin swie eine rasche Prblembearbeitung sichergestellt. April 2012 Seite 9 vn 10

10 Success Stry Gegenbauer Hlding SA & C. KG IPS* Meeting Vrstellung IdM - Integratin mit Entscheidung über IdM - Invest Vertragsabschluss Prjekt- und Rahmenvertrag für die IdM Einführung (Angebt, Fachknzept, Hinterlegungsvereinbarung, Vereinbarung zur Auftragsdatenverarbeitung, Prjektplan, Lizenzvertrag, Sftwarepflege Prjektbeginn Beginn der Einführung Phase 1 mit KickOff Meeting Prjektvereinbarung Prjekt-Eckpunkte, -Ziele, -Ergebnisse, -Organisatin und -Risiken) mit Wertung und Bewertung d.h. ständiger Prüfung und Aktualisierung in den Prjekt-Meetings swie ggf. Eskalatin bei Risiken Tägliche Lieferung der Userdaten aus LOGA Migratin der Organisatinsdaten (Aufbaurganisatin, Leiterstruktur), autmatische Übernahme der Änderungen Autmatische Cnnectren zu IPM Zielsystemen Rllenmdell: Basisrllen für Rechtevergabe im MA-Eintritt Restriktinsrllen für Administratren zur Einzelberechtigungsvergabe Fachrllen für alle Abteilungen, die in ERP und DMS zu berechtigen sind Rllenmdell aus diesen Bereichen wird als Vrlage verwendet Przesse: MA - Eintritt/-Austritt Wechselprzesse (OE-Wechsel, längere Abwesenheiten, Azubi) Antrag neue Rlle zuweisen, Rlle auf Antrag entziehen Teamverwaltung Reprts und Differenz-Check (ADS) Geplantes Prjektende Phase 1 Ergebnisse und Ausblick Die erste Implementierungsstufe wurde erflgreich abgeschlssen. Nach Abschluss der Phase 1 ist eine weitere Implementierungsstufe (Phase 2) vrgesehen. Diese könnte z.b. umfassen: Beratung Unterstützung bei kmplexeren Organisatinslösungen Anbindung weiterer IPM Zielsysteme Implementierung weiterer IdM - verwandter Funktinen für einen zusätzlichen Synergiegewinn Verfeinerung des Rllenmdells für ausgewählte Fachabteilungen Spezielle Antragsverfahren, Wechselprzesse, Wiederhlungsfreigaben, interne Przesse (Mdellierungsprzesse) Spezielle Reprts Differenzcheck (Recnciliatin) Die GEGENBAUER Hlding SA & C. KG wird während der gesamten Implementierung durch das ism unterstützt. April 2012 Seite 10 vn 10