Vorgehensmodell für IAM Initiativen

Fachreport Vorgehensmodell für IAM Initiativen Oliver Magnus Inhalt 1 Warum eine Initiative? 2 Was ist eine IAM Initiative? 3 Auslöser und Ziele einer IAM Initiative 4 Elemente einer IAM Initiative 5 Unser Vorgehensmodell 6 Die IST-Situation und Reife des Unternehmens 7 Das Big Picture / der Bebauungsplan 8 In kleinen Schritten zum großen Ziel / der Masterplan 9 Fallstricke und Hürden 10 IAM im alltäglichen Betrieb 11 Wort des Autors

1 Ohne die Organisation und die Prozesse kann die IT die Herausforderung nicht lösen. 2 Warum eine Initiative? Die Einführung eines Identity und Access Management (IAM) ist kein normales Projekt und insbesondere kein klassisches IT Projekt. Es ist die Verbindung von übergreifenden Organisationsänderungen mit der Einführung neuer Prozesse und Abläufe, unterstützt durch die Umsetzung und Nutzung von technischen Verfahren der IT. Aber in dieser Reihenfolge zuletzt in der IT. Wir nennen es eine Initiative, weil es den Entschluss zum Handeln, insbesondere in der Führung des Unternehmens, bedarf und diesem viele einzelne Schritte folgen, ohne dass man in kurzer Zeit einen Abschluss erreichen wird. Dies setzt eine Vision voraus, welche in die Tat umgesetzt werden soll, ohne dass ein Return on Investment (ROI) von Beginn an einen kurzfristigen Break Even verspricht. Eine Unterscheidung zum Vorgehen zwischen einem Programm und einem Projekt ist zu diesem Zeitpunkt noch nicht getroffen. Letztendlich ist es das Ziel der Initiative, die erforderlichen Prozesse und Abläufe rund um den Lebenszyklus der Identitäten sowie deren Rollen, Accounts, Berechtigungen und ggf. auch Services einzuführen, diese IT gestützt abzubilden um sie optimiert und weitgehend automatisiert zu steuern. Was ist eine IAM Initiative? zung einer IAM Initiative antreibt. Um diesen zu erreichen muss die Komplexität der IT beherrscht werden um Services schneller, direkter und kostengünstiger erbringen zu können. Durch eine (teil-)automatisierte Rechtevergabe werden zudem Fehler vermieden und die Effizienz wie gewünscht gesteigert. Im Idealfall meistert man durch ein solches IAM Programm beide Herausforderungen, den Gewinn an Sicherheit und Transparenz zur Erfüllung von Regularien sowie eine Steigerung der Effizienz. Zusammenfassend ist zu sagen, dass die Umsetzung einer IAM Initiative besonders größere Unternehmen mit komplexen Infrastrukturen und hohen Compliance Anforderungen einen bedeutenden Mehrwert bringt, welcher die Kosten für ein solches Unterfangen schnell amortisiert. Doch auch kleinere Unternehmen mit einer weniger komplexen Infrastruktur können, durch mit in richtigem Maß geplanten Schritten, durch ein IAM Projekt einen Effizienzgewinn erreichen. Wie so häufig kommt es darauf an, den Aufwand und den Nutzen sorgfältig abzuwiegen. Doch nicht alle Vorzüge einer IAM Initiative lassen sich monetär bewerten, so dass eine ROI basierte Argumentation nicht immer zum Ziel führt. Vielmehr ist es der Gewinn an Qualität, Informationssicherheit, Dokumentation, Transparenz und Geschwindigkeit, welcher interne Stakeholder von der notwendigen Investition in eine IAM Initiative überzeugt. Eine Identity und Access Management Initiative beschäftigt sich mit der Planung, Konzeption und Umsetzung eines Identity und Access Managements, wobei die Initiative sowohl die prozessualen, organisatorischen und technischen Aspekte umfasst. Das häufigste Ziel einer IAM Initiative liegt zumeist in der Einführung von technischen Verfahren (Tools), welche die definierten Prozesse optimal unterstützen. Im bestmöglichen Fall erfolgt dies durch die Verwendung der Datenbasis zur automatisieren Provisionierung von Accounts in den IT Systemen sowie der automatisierten Zuordnung der notwendigen Berechtigungen auf Basis der Festlegungen im Access Management. Der Kern der Initiative ist somit die Verbesserung der Qualität und Transparenz der IT Administration, vor allem im Bereich der Account- und Berechtigungsverwaltung. Komplexität der Business Welt / IT Welt IAM Projekt als Komplexitätsreduzierer und Effizienztreiber»IT Betrieb schlank halten und Reaktionszeit minimieren«3 Auslöser und Motivation für eine IAM Initiative Die Auslöser und die Motivation für eine IAM Initiative sind vielfältig. Zum einen führen externe Faktoren, wie regulatorische Auflagen und Gesetze, dazu, dass ein IAM Projekt umgesetzt wird, was besonders in stark regulierten Branchen und öffentlich kontrollierten Unternehmen von hoher Relevanz ist. Die Frage warum hat welcher Nutzer welche Berechtigungen auf welchem System muss stets beantwortet werden können. Zum anderen ist es der Wunsch nach Effizienzgewinn, welcher viele Unternehmen zur Umset- IAM Projekt als Komplexitäts reduzierer»it handhabbar halten«iam Projekt als Effizienztreiber»IT Betrieb schlank halten«iam Projekt unwirtschaftlich Größe der Unternehmung

4 Elemente einer IAM Initiative IAM Initiativen sind in unseren Augen Organisationsprojekte, welche in der Regel in die Einfüh- Insbesondere ist es wichtig, potenzielle Schnittstellen mit einem zukünftigen IAM zu beleuch- rung einer IT Lösung zur Unterstützung der Prozesse und Abläufe münden. Die wichtigsten Elemente sind hierbei die Definition von Prozessen für die Abbildung, Veränderung und Zuordnung von Identitäten ten und diese in die Initiative mit einzubinden. Ebenfalls ist es essentiell, die Prozesse zur aktuellen und ggf. geplanten Datenpflege zu kennen und die Anzahl der Geschäftsvorfälle, z.b. Anlage eines neuen, internen Mitarbeiters im Personalsystem oder die Löschung eines Accounts auf einer Datenbank, benennen zu können. Eine IAM Initiative ist erfolgreich, wenn das Verständnis für die Notwendigkeit besteht und entsprechende Mitarbeit aller Parteien erwartet werden kann. die Modellierung und Dokumentation von Business Rollen als Abbild der Tätigkeitsprofile Unsere Erfahrung zeigt, dass die frühzeitige und offene Einbindung der verschiedenen, betroffe- die Aggregation von Rechten und Accounts zu Technischen Rollen nen Organisationseinheiten und Fachbereiche in die geplante Initiative hilft, Unterstützer zu ge- die Festlegung von notwendigen Berechtigungen in IT-Systemen je Business Rolle und die winnen und Vorbehalte von Beginn an zu vermeiden. Zuordnung von Technischen Rollen zu Business Rollen die Einführung von Prozessen zur Beantragung, Genehmigung, Entzug und Rezertifizierung von Rollen und Rechten sowie die Einführung von Verfahren und Werkzeugen, welche diese Schritte integriert unterstützt. Das Big Picture / der Bebauungsplan 7 Nach einer detaillierten Analyse der Ausgangssituation können nun die Vision sowie die lang- 5 Unser Vorgehensmodell fristigen Ziele der Initiative erarbeitet werden. Entwickeln Sie konkrete, erreichbare Ziele und eine zukunftsweisende Vision gemeinsam mit den Personen beteiligter Fachbereiche und schaffen Sie so die notwendige Motivation für die Umsetzung Ihrer Ziele. Lassen Sie zudem genug Angelehnt an etablierte Projektmanagementmethoden, wie viduell wie das Unternehmen und die Personen die dies durch- Platz für Anforderungen und Wünsche. Je nach Programmumfang steht das Identity und Access Prince 2 und PMBOK sowie unsere langjährige Erfahrung bei der führen. Ein, jeweils an die individuellen Bedürfnisse angepasstes, Management nach der Inbetriebnahme als Datendrehscheibe im Zentrum Ihrer Informationsar- Planung, Konzeption, Umsetzung und Begleitung von IAM Pro- Vorgehensmodell, das sich in unserer Arbeit mit unseren Kunden chitektur. Entsprechend wichtig ist es, in einer frühen Projektphase einen Bebauungsplan zu jekten, haben wir unser eigenes Best Practice Vorgehen für IAM Initiativen entwickelt. Selbstverständlich ist jedes Projekt so indi- bewährt hat, möchten wir Ihnen im Folgenden gerne vorstellen. entwickeln und diesen mit der Unternehmensstrategie und geplanten oder bereits laufenden Projekten in Einklang zu bringen. Ihr Big Picture bildet Ihre Vision ab Das Big Picture soll dabei wie die Pläne eines Stadtplaners das langfristige Ziel als Idealvorstel- 6 Die IST Situation und Reife des Unternehmens lung mit allen wichtigen Ausprägungen darstellen. Jeder sollte sich und seine Anforderungen in diesem wiederfinden. Das Big Picture zeigt somit wohin die Reise geht. Die Initiative hat nun ein Bevorr eine IAM Initiative in ein konkretes IAM Programm oder Projekt mündet, ist eine umfas- Ziel, die folgenden Projekte zu deren Umsetzung sind Etappen auf dem Weg dorthin. sende Analyse der IST Situation des Unternehmens notwendig. Hierbei gilt es, die vorhandene IT Landschaft sowie die Organisation und auch die Kultur des Unternehmens zu verstehen. Dabei sollten folgende Fragen beantwortet werden: Wie zentral oder dezentral werden IAM relevante Abläufe organisiert? Wer ist für welche Informationen verantwortlich / wer hat die Hoheit worüber? Wo im Unternehmen sind welche Daten zu finden / wer pflegt diese? Reicht die Datenqualität um darauf ein erfolgreiches IAM Programm aufzusetzen? Gilt es spezielle Regularien und gesetzliche Vorgaben zu erfüllen? Wie sind die derzeitigen Prozesse bezüglich Rechtevergabe und des -entzugs? Welches Ziel steht wirklich im Vordergrund der Initiative?

In kleinen Schritten zum großen Ziel / ein Masterplan Bei der Planung der tatsächlichen Umsetzung der Ziele, sollte ein entsprechendes Programm mit mehreren, kleineren Einzelprojekten geplant werden. Hier kann auch zunächst mit Projekten zur Verbesserung der Datenqualität oder zur Harmonisierung von Prozessen begonnen werden, um die Einführung eines effektiven IAM vorzubereiten. Verlieren Sie dabei die Gesamtkoordination im IT Projektportfolio nicht aus den Augen. 8 3) Flexibel bleiben! IAM Initiativen oder Projekte laufen in der Regel über Monate und Jahre hinweg. Während der Laufzeit ist es essentiell, flexibel auf Veränderungen in der Organisation oder in Prozessen reagieren zu können. Die Weiterentwicklung des Unternehmens stoppt nicht, nur weil ein IAM Projekt läuft. Daher empfiehlt es sich, die Einführung in sinnvolle Teilschritte zu unterteilen. Nur sehr wenige Unternehmen schaffen es, IAM mit einem Big Bang zu etablieren. 9 Die Gliederung der Initiative in kleine Projekte ermöglicht es unter anderem, in relativ kurzer Zeit mit konkreten Mehrwerten für Stakeholder und Fachseiten aufzuwarten. Chronologischer Ansatz 10 Punkte Plan Analyse der Ausgangssituation Aufnahme strategischer Ziele und des internen IT Geschäftsmodells Analyse der aktuellen Schmerzpunkte / Quick Wins /Bedürfnisse Gemeinsame Entwicklung eines Big Pictures (Programm) Stufenkonzept vom Big Picture bis zur Lösung (Projekte) Ggf. Schaffung der organisatorischen Voraussetzungen (Reife) Reflektion der Anforderungen mit Lösungen am Markt Erarbeitung eines produktneutralen Gesamtkonzeptes Auswahl Technologie, Produkt- und ggf. Implementierungspartner Umsetzungsprojekt Fallstricke und Hürden Im Laufe unserer Projekte haben wir einige Gründe ausgemacht welche dazu führen, dass IAM Initiativen vor Problemen stehen. Nachfolgend stellen wir drei unserer wesentlichen Erkenntnisse dar: IAM im alltäglichen Betrieb Beachten Sie, dass Identity und Access Management nach der Einführung zu einem Teil der täglichen IT Prozesse wird. Neben der Einführung von IAM und dem Ausbau vorhandener Systeme müssen die Veränderungen im Unternehmen weiter verfolgt und berücksichtigt werden. Die weiterhin geplanten Projekte im Rahmen der IAM Initiative müssen stets an die aktuelle Situation und die gegebenenfalls geänderten Anforderungen der Fachseiten angepasst werden, ohne dabei die bereits etablierten Teile zu beeinträchtigen oder ad absurdum zu führen. Im Rahmen der Weiterentwicklung des Unternehmens werden weitere Wünsche und Potenziale auftauchen, welche mit Hilfe eines IAM optimal unterstützt werden können. Solche Visionen können von einem ganzheitlichen Self-Service-Portal für Endbenutzer, über eine verursachergerechte Leistungsverrechnung (oder einem durchgängigen Order-to-Cash Prozess, wenn beide Komponenten umgesetzt werden), über optimales Lizenzmanagement und Asset Management, bis hin zur Steuerung von Telefonanlagen reichen. Wort des Autors Identity und Access Management Initiativen sind spannende, herausfordernde Projekte, bei denen viele Aspekte zu berücksichtigen sind, um zum gewünschten Projektergebnis zu gelangen. Als Berater ist es für mich eine besondere Herausforderung Kunden auf diesem Weg zu begleiten und mit meinem Fach- und Methodenwissen zu unterstützen. Diskussionen zum richtigen Ansatzpunkt oder zur Ausrichtung einer IAM Initiative sind für mich eine Herzensangelegenheit sprechen Sie mich gerne dazu per E-Mail an o.magnus@dup.de. Ihr Oliver Magnus 10 11 1) IAM Initiativen sind keine reinen IT- oder Technologie-Projekte. So ringen IAM Einführungsprojekte am häufigsten mit der Organisation und den Prozessen und in zweiter Linie mit der Komplexität oder der Datenqualität. 2) Ein Tool löst kein Problem. Die zu frühe Fokussierung auf ein bestimmtes Tool oder Produkt, ohne reflektiert zu haben, welche Daten dort hineinlaufen, was mit ihnen passieren soll und welche Ergebnisse am Ende erwartet werden, führt häufig zum Scheitern der Initiative.

Dierichsweiler Unternehmens- und Prozessberatung Die Dierichsweiler Unternehmens- und Prozessberatung GmbH unterstützt seit dem Jahr 2007 Kunden aus Privatwirtschaft sowie der öffentlichen Hand bei der Realisierung komplexer IT Projekte. Dabei liegt die Kernkompetenz auf der herstellerneutralen, unabhängigen Beratung der Unternehmen zur Effizienzsteigerung in der IT. Langjährige Erfahrung und fundiertes Fachwissen gepaart mit hoher Methoden- und Sozialkompetenz zeichnen die Berater der Dierichsweiler Unternehmens- und Prozessberatung aus. In der Arbeit mit unseren Kunden verstehen wir uns als langfristiger Partner auch über die Grenzen eines Projektes hinaus. Dabei sehen wir Prozesse stets ganzheitlich und nehmen verschiedene Perspektiven ein, um unseren Kunden alle wichtigen Aspekte umfassend zu beleuchten und Entscheidungen zu erleichtern. Was unsere Arbeit auszeichnet ist die Flexibilität, mit welcher wir in jeder Projektphase die passende Rolle einnehmen und im Sinne unseres Kunden ausfüllen. So agieren wir als Analyst, der die Erhebung von Anforderungen und eine Analyse der IST-Situation vornimmt und als IT-Architekt, der einen Bebauungsplan erarbeitet. Aber auch als Lotse, der auch in schwierigem Fahrwasser den Überblick behält und die Richtung weist und als Qualitätsmanager, der an der Schnittstelle zwischen Kunde und Lieferant die Implementierung überwacht, die Leistungserbringung prüft und bei der Abnahme unterstützt. Egal in welcher Phase wir Sie unterstützen sollen, wir stehen Ihnen mit unserem fachlichen und menschlichen Know-How zur Seite. Dierichsweiler Unternehmens- und Prozessberatung GmbH V.i.S.d.P.: Marc A. Dierichsweiler Alexander-Diehl-Straße 2a, 55130 Mainz Telefon: +49 6131 27 70 29-0 E-Mail: mail@dup.de www.dup.de