Von Identity Chaos zu Cyber-Security Maturity - Ein Framework für messbare Sicherheit

Herzlich willkommen und schön, dass Sie heute dabei sind. Mein Name ist Christopher Schütze. Ich leite das Beratungsteam bei KuppingerCole und heute reden wir über ein Thema, das in der Praxis immer noch zu selten gemeinsam gedacht wird, nämlich die Identität und Cyber-Security. Ich habe heute zwei Kollegen dabei, die sich kurz selber vorstellen.

Markus, magst du kurz ein, zwei Sätze zu dir sagen? Sehr gerne. Markus Siegmeth mein Name. Ich bin Security Consultant bei Bacher Systems, österreichisches System-Integrationshaus und bin da im Pre-Sales unterwegs und unterstütze meine Kollegen in Konzepten, gerade wenn es um das Thema Cyber-Security geht. Perfekt.

Ralf, von dir auch kurz. Ja, hallo, mein Name ist Ralf Zlabinger. Ich bin Business Owner für die Unit Cyber-Security und Digital Identity bei Bacher Systems und freue mich, heute hier zu sein.

Perfekt, ich danke euch beiden und dann legen wir auch direkt los. Bevor wir ins Thema gehen, kurz die üblichen organisatorischen Hinweise. Sie alle sind zentral stumm geschaltet. Das steuern wir bzw. ich. Wenn Sie Fragen haben, nutzen Sie bitte die Chat-Funktion auf der rechten Seite von der Webseite bzw. der Plattform. Wir beantworten wie immer die Fragen gesammelt am Ende und natürlich wird das Webinar auch aufgezeichnet. Die Folien können Sie wie immer am Ende runterladen und wir haben auch die eine oder andere Umfrage für Sie heute vorbereitet.

Die ist dann thematisch eingebettet und wird auch am Ende besprochen und die erste kommt dann auch gleich. Ralf, magst du die erste Frage übernehmen? Die würde ich übernehmen.

Danke, Christopher. Also bevor wir ins Thema einsteigen, würde ich Sie bitten, die folgende Umfrage zu beantworten. Auf unserer Plattform wird diese jetzt eingeblendet. Sie können die Frage in Ruhe beantworten. Es bleibt die ganze Zeit offen, das Ergebnis besprechen wir am Ende. Die Frage lautet, arbeiten IAM und Cyber-Security in Ihrem Unternehmen abgestimmt zusammen? Antwortmöglichkeiten, ich stimme voll zu.

Eher zu, eher nicht zu und ich stimme nicht zu. Ja, heute schauen wir uns an, warum Identity und Access Management und Cyber-Security in der Praxis nicht voneinander zu trennen sind. Identitäten sind der Punkt, an dem Zugriff entschieden wird und Security liefert die Kontext- und Risikoinformationen, damit Zugriffsentscheidungen sicher bleiben. Danach gehen wir durch die wichtigsten Dimensionen, also jene Bausteine, die man im Zusammenspiel wirklich betrachten muss, um Risiken zu reduzieren und gleichzeitig handlungsfähig zu bleiben.

Im dritten Teil zeigen wir, wie wir die Reife messbar machen mit einem einfachen Modell und einer Visualisierung, die auf einen Blick zeigt, wo es grün ist, wo gelb und wo akuter Handlungsbedarf besteht, also rot. Und zum Abschluss bleibt dann noch genügend Raum für Ihre Fragen, so wie Christopher das vorhin schon gesagt hat, die wir am Ende gemeinsam durchgehen werden. Und jetzt zeigt uns Markus anhand eines konkreten Beispiels, wie die Kombination aus IAM und Cyber-Security aussieht.

Ja, da möchte ich Sie ganz kurz mitnehmen auf eine kleine Reise eines Road-Worler, eines Mitarbeiters, einer Mitarbeiterin, die sich unterwegs befindet im Home-Office oder gegebenenfalls ein Partner, der Zugriff hat auf Systeme und Applikationen im Haus. Da braucht es natürlich Informationen aus dem Identity-Bereich. Wer ist das? In welchen Zuständen darf er zugreifen? Wann braucht er zum Beispiel gewisse Authentifikationsmethoden? Wie oft muss ich das überprüfen? Aber natürlich auch, auf welchem Device befindet er sich? Wie ist das Device konfiguriert? Welchen Zustand hat es?

Wo befindet er sich gerade? Ist das Device überhaupt sicher? Um sich dann auch in einer sicheren Netzwerk-Blase sozusagen zu bewegen, das heißt nur Zugriff zu haben auf die Systeme, die wirklich notwendig sind, wo er wirklich Zugriff haben sollte. An all diesen Entscheidungen liegt natürlich ein Identity zugrunde. Aber nicht nur diesen, genauso auch den Daten, die der User dann entsprechend verwendet. Das heißt, wenn der User mit Dokumenten arbeitet, sollte die natürlich mit entsprechenden Labeling und Tagging versehen sein.

Wenn er die zum Beispiel weitergibt oder überhaupt, ob er sie bearbeiten darf und entsprechend die Informationen bereitgestellt werden. Und das Ganze eingebettet in natürlich eine entsprechende Visibility, eine Analyse, damit jederzeit sieht, was man mit welchen Daten, wo macht er das in welchen Zuständen? Und um das Ganze natürlich vernünftig betreiben zu können, braucht es eine Automatisierung, so eine Orchestration-Umgebung, um zum Beispiel, wenn ein Root-Access automatisiert auszumachen, um diverse Prozesse da zu hinterlegen. Jetzt Christoph, die Frage an dich.

Das klingt ja nach sehr viel Aufwand, auch in Richtung IAM, weil das viele Prozesse in der Arbeit spielt. Siehst du das? Kleiner kurzer Einwurf.

Markus, dein Mikrofon ist gerade sehr schwer verständlich gewesen. Vielleicht nochmal kurz nachgucken. Aber ich greife natürlich gern die Herausforderung als nächstes auf. Gerade rund um Identity- und Access-Management ist natürlich ein sehr relevanter Faktor. Datenqualität und Attribute. Wir haben Themen rund um Prozesse und Rezertifizierung und auch Rollenmodelle. Und wer übernimmt denn jetzt die Verantwortung von solchen Themen? Und auch über die Teams hinweg. Und das ist natürlich ein Riesending von dem Beispiel gerade rund um Zero Trust von der IAM-Sicht, das gegeben ist.

Ralf, wie siehst du das Thema im Thema Cyber-Security-Herausforderungen? Ja, das ist natürlich vielschichtig. Also erstens Vertrauensstellungen zwischen Systemen. Was mache ich damit? In modernen Umgebungen gibt es viele implizite Trusts zwischen Netzsegmenten, Cloud-Komponenten, SaaS-Integrationen oder auch über Service-Accounts und Drogen. Das Problem ist, wenn so eine Vertrauenskette einmal missbraucht wird, dann kann sich ein Angreifer sehr schnell weiterbewegen. Oft ohne klassische Mail-Werk-Spuren, die er dann hinterlassen kann.

Zweitens diese Silo-Arbeitsweise, also Sock-Netzwerk und Cloud. Arbeiten mit unterschiedlichen Tools, Daten und Verantwortlichkeiten. Jeder optimiert seinen eigenen Bereich, aber Angriffe laufen quer darüber. Genau dadurch fehlt häufig das gemeinsame Lagebild. Was bedeutet das? Ein Alert im Sock konkret für Zugriffe in Identitäten und Berechtigungen. Drittens Entwicklungsumgebungen. Dev- und Test-Setups sind oft schneller gewachsen, als sie abgesichert wurden.

Breite Rechte, geteilte Secrets, weniger strenge Policies, kurze Workarounds und trotzdem hängen dort häufig produktionsnahe Daten oder privilegierte Zugänge dran. Und viertens die Grenzen technischer Automatisierung. Wir können viel automatisieren, Detection, Policy Enforcement, Response-Schritte, aber Automatisierung ist nur so gut wie die Daten, die Prozesse und der Unterschied dahinter. Wenn Zuständigkeiten unklar sind oder Ausnahmen nicht sauber gesteuert werden, dann wird Automatisierung entweder wirkungslos oder sie produziert Reibung.

Die Quintessenz des Ganzen ist, diese Punkte sind eigentlich keine Tool-Probleme, sondern Strukturen, Vertrauensprobleme und genau hier wird IAM zum entscheidenden Hebel, weil Identitäten und Zugriffentscheidungen die Klammer über alles hielten. Genau und wenn man das zusammenfasst nochmal, es fehlt eine gemeinsame Sicht auf die Identitäten. Das ist der Kern. Nicht zu viele Tools, nicht zu wenig Budget, sondern man hat kein einheitliches Bild davon, wer darf was und warum und mit welchem Risiko und genau darum geht es heute.

Ja, da kann ich vielleicht nochmal kurz einsteigen. Ein wirksames IAM und Cyber Security haben wir nur gemeinsam. Ein modernes IAM funktioniert nur mit Signalen, Attributen, Real-Time-Context. Eine Zugriffsentscheidung ist heute nicht mehr nur über die User hat Rolle X Beziehung. Sie hängt vielmehr davon ab, wer zugreift, von welchem Gerät, in welchem Zustand das Gerät ist, woher der Zugriff kommt, welches Risiko gerade erkannt wird und welche Daten oder Anwendungen getroffen sind.

Und diese Signale kommen typischerweise aus Security-Quellen wie einem Endpoint, aus dem Netzwerk, aus der Cloud oder auch dem Identity-Provider selbst. Der zweite Punkt, moderne Cyber Security funktioniert ohne Governance und Identitäten nicht. Security kann sehr gut erkennen und blocken, aber es braucht eine klare Antwort auf die Fragen, wer ist das, welche Berechtigung ist legitim, wer kann Ausnahmen freigeben und so weiter. Ohne Governance entsteht sonst ein endloser Kreislauf aus Alerts, Workarounds und Sonderregeln.

Identitäten und saubere Berechtigungsmodelle sind dabei die Grundlage, damit Security-Maßnahmen nicht nur technisch möglich, sondern auch fachlich richtig und auditierbar sind. Also es geht Hand in Hand, so wie man es hier auf dem Bild sehr schön sieht. Denn getrennt betrachtet bleibt entweder Sicherheit wirkungslos oder Zugriff unpraktisch. Der Zugriff wird risikobasiert gesteuert und Security wird handlungsfähig, weil sie Identität, Rechte und Kontext versteht. Und damit kommen wir auch schon in das zweite Kapitel.

Wir haben ja jetzt verstanden, warum IAM und Cybersecurity zusammengehören. Jetzt schauen wir uns an, was sind die konkreten Dimensionen, die wir überhaupt betrachten müssen. Und dann im dritten Teil natürlich, wie messen wir das. Das ist unsere Referenzarchitektur von Kubica und Coal und etwas abstrahiert für dieses Format. Speziell dieses Mal für die Ausrichtung, für die Geschmacksrichtung Cybersecurity. Auf der linken Seite sehen Sie die typischen Kernbereiche eines zentralen Identity- und Access-Management.

Wir haben IGA, Identity Governance and Administration, das kennen wir bereits aus dem Beispiel von vorhin. Wenn ich nicht weiß, wer welche Rolle hat oder was die Attribute für Policies bedeuten, habe ich ein Grundsatzproblem. Ganz wichtig. Und Access-Management, Authentifizierung, Autorisierung, Rollenmanagement, auch PAM, Privileged Access-Management ist natürlich insbesondere in Richtung Cloud hochrelevant. Zwei Bereiche möchte ich kurz herausheben, weil sie direkt auch in die Cybersecurity-Welt hineinreichen.

Wir haben Secure Access Service Edge und ITDR, Identity Threat Detection and Response. Das ist auch quasi XDR auf Identity-Ebene und das wird eine zentrale Fähigkeit sein, die Unternehmen in den nächsten Jahren aufbauen müssen. Jetzt aber die Übergabe an den Markus. Ja und ich hoffe, man versteht mich jetzt ein wenig besser.

Ja, sehr gut. Ja, Christoph, ich möchte das Thema SaaS gleich ein bisschen aufgreifen. Es ist wirklich ein perfektes Beispiel, wo man quasi Legacy-Strukturen aufbrechen kann, wie man bis jetzt Security angegangen ist bzw. Netzwerk konfiguriert hat und wie man es künftig auf Identity-Basis aufstellt. Wenn man sich das anschaut, früher hat man Policies aufgebaut nach dem Motto Netz A darf auf Netz B mit Service C zugreifen.

Da komme ich jetzt heute nicht mehr weit, sondern ich brauche Systeme, die dynamisch reagieren, die dynamisch auf Änderungen reagieren und das funktioniert nur, wenn man Identity-basierte Policies aufbaut, anstatt in Netzwerkssegmenten zu denken. Und genau da brauchen wir die Informationen aus Identity und Access-Management, aber aus der Umgebung, aus meiner Infrastruktur, um das Ganze dann für Policies zu verwenden, aber auch, wie gesagt, dass Christoph aus der Visualisierung, aus der Threat-Detection-Sicht heraus mit Identity-Threat-Detection entsprechende Malicious Activities z.B.

zu erkennen. Gerade im Einsatz, wie man es heute sehr oft inzwischen hat, von AI-Tools und KI-Tools, wo das Thema Identity noch eine ganz andere Dimension Richtung Data Governance und dergleichen aufwirft.

Und da, glaube ich, kann der Ralf wieder sehr, sehr gut einhaken. Ja, so sieht IAN und Cybersecurity im Kern aus, wenn man es gemeinsam betrachtet. Es gibt natürlich einen gewissen Diskussionsspielraum, was im Kernbereich ist und was erweitert ist. Das kommt im Dialog mit dem jeweiligen Stakeholder dann klar heraus. Es hängt schlussendlich vom entsprechenden Unternehmen und auch der Größe ab. Also auch bei einem Assessment macht man selbst ein Scoping und man schaut sich die Themen an, die relevant sind. Die AI-Security, die Markus zuvor schon kurz angesprochen hat, ist z.B.

ein gutes Beispiel, weil man ohne Identity-basierten Ansatz nur sehr global reglementieren kann. Kombiniert schafft man es, eine sehr zielgenaue Policy zu umfassen. Ein Beispiel darf der User XY interne und vertrauliche Dateninhalte in eine KI hochladen.

Ja, jetzt geht es natürlich darum, wie schaffen wir da jetzt ein System, wo wir die Reife erstens einmal messen können. Wie weit bin ich in meiner Umgebung mit meinen Prozessen und mit meinen Tools? Und das Ganze auch zu visualisieren. Und da hätten wir eine weitere Umfrage geplant, wie Sie den Reifegrad in Bezug auf IAM und Cyber-Security derzeit messen. Und da gibt es auch wieder viele Auswahlmöglichkeiten, wo wir Sie bitten, entsprechend abzustimmen. Messen Sie das derzeit gar nicht? Haben Sie da überwiegend auf Audits gesetzt in der Vergangenheit? Haben Sie z.B. eigene KPIs entwickelt?

Oder nutzen Sie bereits jetzt schon Reifegrad-Modelle, wie z.B. das von Kobinga Code?

Gut, und jetzt kommen wir auch zum Kern des heutigen Webinars. Wie mache ich das messbar? Die Grundmethodik ist dabei gar nicht so exotisch. Sie starten mit einer Status-Quo-Analyse. Was habe ich? Wo stehe ich? Gibt es Lücken? Dann schaue ich mir an, was mein Zielbild ist. Also Marktrends, regulatorische Erwartungen, interne Anforderungen. Und daraus entsteht dann auch eine Gap-Analyse. Das Zielbild minus das aktuelle Reifegrad in einer Visualisierung aufbereitet. Und das dann als Grundlage für die Entscheidung genutzt. Das ist im Prinzip dann auch meine Gap-Analyse.

Und daraus folgen dann in der Regel Action-Items. Meistens mehr als einem Liebes muss man natürlich auch in die Priorisierung reingehen. Und aus diesen Punkten entsteht dann ein Programm. Also ganz wichtig, wir haben das Thema öfters auch im IAM-Kontext. Es ist kein Projekt alleine, diese Themen, sondern man muss das als ganzheitliches Programm betrachten. Und ein strukturiertes Programm besteht eben aus mehreren Projekten, die das Thema langfristig voranbringen. Das eine geht schneller, das andere ist langsamer. Und das sollte man auch unbedingt entkoppeln.

Bevor man etwas bewerten kann, muss man natürlich auch wissen, welche Kriterien denn überhaupt gelten. Wir haben hier eine Auswahl zusammengestellt, bezogen auf die Dimensionen, die wir auch vorhin schon gesehen haben. Nehmen wir mal das Zero-Trust-Beispiel vom Anfang, von Markus. Jemand ist unterwegs, greift von extern zu. Was habe ich da? Vielleicht einen föderierten Account. Wie hoch ist der Automatisierungsgrad? Arbeite die Person direkt oder indirekt bei mir? Wie ist die Datensicherheit auf dem System, die zugegriffen wird?

Wie wird die Flexibilität oder wie flexibel sind die Systeme, wo ich die Integration hier habe? Das sind alles Faktoren, die müssen wir jetzt auch gar nicht so im Detail durchgehen, nur dass Ihnen das von der Idee her klar ist, wie man sich anschauen kann. Was jetzt für einen z.B. rebellierten Finanzdienstleister gilt, muss man nicht zwangsläufig für einen Mittelständler mit 200 Mitarbeitern genauso nennen. Das ist gerade insbesondere das Scoping am Anfang eine ganz wichtige Sache. Was möchte ich mir denn überhaupt anschauen?

So, Ralf, du hast das Vorgehen für die Status Quo-Analyse vorhin auch schon mal so grob erzählt. Magst du da mal durchführen hier?

Ja, gerne. Danke für die Übergabe.

Also, wie erreichen wir diesen Status Quo? Zuerst starten wir mit einem Scoping-Workshop.

Es gibt, wie vorhin schon gesagt, Diskussionsspielraum, welche Dimensionen hier anwendbar sind und diese legen wir genau hier fest, so wie wir es vorher in der Folie schon gezeigt haben. Wir müssen an dieser Stelle natürlich auch auf die Unternehmensgröße Rücksicht nehmen. Als Nächstes machen wir dann einen Workshop und Interviews, damit derjenige, der die Bewertung durchführt, die Inhalte auch versteht und in den jeweiligen Kontext sitzen kann. Um die Auswertung durchführen zu können, arbeiten wir einen Fragenkatalog, passend zu den zuvor ausgewählten Dimensionen aus.

Zum Beispiel, welches Maß an Anpassungsfähigkeit und Richtliniendurchsetzung besteht in Ihrem freiwilligen Hinblick auf statische versus dynamische Rollen. Ein einfaches Ergebnis daraus könnte so aussehen, dass ein Kunde sagt, dass die Benutzer dynamisch aus dem AD ausgelesen werden und in diesem Fall würde es eine grüne Darstellung werden.

Statisch, also das Gegenteil davon, wäre dann rot. Und das Ganze endet dann in einer Visualisierung, die wir auf der nächsten Folie genau sehen können. Danke. Diese Übersicht deckt sich mit einem typischen Unternehmen, wo CTNE nicht konsequent durch alle Dimensionen durchgedacht und umgesetzt wurde. Grau ist außerhalb des Scopes.

Grün, also zum Beispiel das Thema Access Management, Adaptive and Strong Authentication, Training und Bewährung usw. Privileged Access Management, Machine Authenticity and Secrets wäre eben rot und nicht ausreichend besetzt. Und das ist in diesem Beispiel der Status quo. Man darf in diesem Zusammenhang aber nicht auf jene trendigen Themen vergessen, die unsere Risikolandschaft zukünftig besonders fordern werden. Und Markus, ich glaube, da kannst du ein paar Inhalte noch dazulegen. Du bist stumm, Markus. Es gibt natürlich viele Trends, die derzeit vor uns einbrasseln.

Ein ganz klarer Trend, und ich muss das Pferdes reiten, ist natürlich das Thema AI, weil es gerade aus dem Identity-Bereich heraus einen immensen Impact hat.

Man braucht sich nur anschauen, wenn es Tools gibt, die zum Beispiel Coding betreiben für mich und für meine Applikationen, und die Zugriff haben auf meine Infrastruktur, und wenn die dann, ich nenne es einmal, Armung laufen, und im schlimmsten Fall etwas in meiner Infrastruktur zerstören, weil ich einfach diese Guidelines nicht gesetzt habe, was dürfen diese Tools, wie schauen die Maschinenidentitäten dazu aus, wo haben die Zugriff, dann wird natürlich ein massives Problem, und das ist etwas, was massiv auf uns zukommen wird.

Und in diesem Zusammenhang natürlich auch wieder das Thema Identity-Threat-Detection-Response, um genau diese Sachen erkennen zu können. Wenn erstens natürlich meine eigenen Tools vielleicht nicht so reagieren, wie sie reagieren sollten, oder etwas tun, was sie nicht tun sollten, aber natürlich gerade in hybriden Umgebungen, wie sie heutzutage vorherrschen, gerade da einen Überblick zu haben, wer macht was wo, und ist das etwas, das in meiner Vorgabe liegt, oder außerhalb, und entsprechend reglementiert werden muss, oder unterbunden werden muss.

Dann gibt es natürlich noch technologische Themen, die immer mehr wachsen und gedeihen, wie zum Beispiel das Thema Passkeys, als Ablöse von klassischen Passwörtern und MFR-Lösungen. Das Thema Non-Human Identities, gerade im Zusammenhang mit AI-Security. Also da gibt es viele, viele Punkte, die da zusammenfließen. Und die Frage ist jetzt, wie gießen wir das jetzt in ein gemeinsames Bild, dass wir einen Überblick haben, wo stehen wir heute, wo wollen wir uns hin entwickeln.

Ich bitte, auf die nächste Folie zu springen. Wie visualisieren wir das Ganze, damit wir sehen können, wo sind wir gut aufgestellt, wo braucht es noch Arbeit, und wo sind wir gerade so mittendrin. Wenn wir uns diese Darstellung, in dem Fall ein Skelettogramm anschauen, dann ist das eine Möglichkeit, das auf einen Blick zu sehen. Wir haben auf der einen Skala den jetzigen Reifegrad, in meinen Lösungen, und auf der anderen Seite die Priorität und den Handlungsbedarf, den ich habe in einem Thema.

Und wenn man sich da anschaut, zum Beispiel die Authentication auf der rechten Seite, ich hoffe doch, dass die meisten Unternehmen schon ein vernünftiges Authentication-System, ein starkes Authentication-System in Einsatz haben. Genauso wie Trainings- und Awareness-Programme, die schon sehr gut etabliert sind, wo ich wenig Handlungsbedarf habe. Auf der anderen Seite gibt es Themen, Christoph hat das vorhin auch schon angesprochen, Privileged Access Management, Zugriff auf meine hochkritischen Systeme, auf meine hochkritischen Applikationen und Daten, das entsprechend zu schützen.

Und natürlich auch wieder zum Thema Added Threat Detection und Response, das jetzt auch erst im Gedeihen entstehen ist, vor allem in Verbindung mit I-Security. Und ich glaube, zu dem Added Threat Detection und Response hast auch du, Christoph, wieder einige Sachen.

Genau, danke, Markus. Bevor ich jetzt in die Details dieser Folie springe, nochmal der Hinweis an alle Teilnehmer heute. Sie dürfen Fragen stellen, keiner von uns weiß. Tatsächlich haben Sie hier die große Chance, einen von uns drei eine Frage zu stellen. Einfach die Chat-Funktion nutzen oder die Fragen-Funktion von der Plattform und dann schauen wir uns das am Ende gemeinsam an. Auch dieser Folie sehen wir ein konkretes Beispiel. Ganz wichtig, verstehen Sie das als generisches Muster, wie so ein Action-Item aussehen kann. Das ist nur ein Beispiel.

Auf der linken Seite oben haben wir die Challenges. Wir haben keine Verbindung von IDP und z.B. Privileged Access Management in unserem Beispiel hier in Richtung SIEM und XDA. Das ist ohne Signale, ohne Kontext, auch nicht funktionsfähig. Token theft, OAuth, Abuse und der übliche Kram, das wird oft nicht erkannt, weil die Identity Logs schlicht nicht dort ankommen, wo sie gebraucht werden. Und dann haben wir noch NHI ohne Owner, ohne Rotation, ohne konsistente Governance. Das sind wie gesagt nur Beispiele, aber aus verschiedenen realen Projekten.

Das Projektziel von diesem Action-Item sollte dann sein, Identity-Signale zentralisieren und Identity-Eingriffe früh zu erkennen und damit auch Grundlage und klare SLRs, also Service Level Agreements für Detection und Containment, festzulegen. Faktisch dann auch, um vollständige Transparenz über Non-Human Identity. Und was bedeutet das konkret? Vier Maßnahmen haben wir, IDP, Audit, PAM und EDR Logs ins SIEM, beziehungsweise XDA integrieren, 10 bis 15 Identity-Use-Cases aufbauen, Impossible Travel, Token Relay, MFA-Fettig und Playbooks definieren.

Ist dann der letzte Schritt, User sperren, Session revoke und so weiter. Und das ist so ein wichtiger Outcome dann vom Projekt. Und die Sache ist die, was passiert, wenn man das jetzt nicht macht, von diesen Action-Item? Das muss man auch mal relativ transparent machen. Was bedeutet das für das Unternehmen?

Höheres Breach-Risiko in dem Fall, mehr manuelle Aufwand, Compliance-Risiken, funktionieren tatsächlich immer gut als Argumentation, wenn man jetzt DORA oder NIST 2 relevant ist und Budget braucht, dann funktioniert es tatsächlich leider manchmal erst dann gut, wenn man sagt, okay, wir müssen jetzt hier ein Projekt starten aus diesem Action-Item. Und das ist im Prinzip die Art, wie man sowas visualisieren kann. Jetzt habe ich vorhin schon gesagt, Programm und nicht Einzelprojekte, das Ganze muss man dann einfach in logischen Schritten operationalisieren. Auch das ist jetzt nur ein Beispiel.

Verschiedene Projektnamen, das gelb markiert ist das, was wir uns gerade angeschaut haben, fängt quasi jetzt gerade an, andere Projekte laufen schon und für die Zukunft sind dann auch Themen rund um Machine Identities und Secrets geplant, aber genauso AI Security Controls, der Ralf hatte das vorhin so treffend, oder war es der Marco? Vorhin gesagt, das ist natürlich auch ein Thema, das in aller Munde ist, Agendic AI Security und alles, was dazu gehört. Sehr spannendes Thema.

Genau, und damit auch zur nächsten Folie. Ja, genau, danke Christopher. Man hat jetzt sehr gut gesehen, wie wir uns dieses Assessment und das Reporting überlegt haben. Uns ist aber auch wichtig, dass Sie hier ein paar praktische Schritte mitnehmen können, die Sie auch schon selbst anwenden können.

Also, so wie es hier steht, zuerst können Sie so ein Identity- und Cybersecurity-Selfcheck durchführen. Suchen Sie sich einfach drei wesentliche Dimensionen heraus und notieren Sie da die Pinpoints dazu. Mit einem Ampel- oder CMM-Modell könnte man den Reibegrab dann pro Dimension bewerten und Sie können dann die Ergebnisse mit dem Zielbild und dem gewünschten Reibegrab abgleichen.

Danach, wenn Sie das identifiziert haben, den Handlungsbedarf realisieren. Man kann nicht alles gleichzeitig machen. Und versuchen Sie vielleicht auch, Abweichungen zwischen Ist- und Zielreife zu clustern und die Themen nach Dringlichkeit und Machbarkeit zu sortieren. Vielleicht kann man daraus schon erste Frequenz ableiten und einen strukturierten, maßnahmen Plan ableiten. Und am Ende bleibt natürlich noch immer die Möglichkeit, diese ganzheitliche Bewertung mit Dachausrüstungs- und Kupplinger Code zu nutzen.

Hier können wir dann unterstützen bei unklaren Bewertungen oder fehlender Orientierung. Und am Ende eine strukturierte Analyse von Abhängigkeiten und Prioritäten. Hier möchte ich vielleicht noch dazu sagen, Theorie ist nichts ohne die praktische Anwendbarkeit. Sonst bleibt vieles ein aus der Theorie kommendes Wunschdenken. Anders gesagt, ich jage einem unerreichbaren Idealzustand hinterher. Was oft Frustration und unnötige Aufwände mit sich bringt. Wir liefern hier nicht nur Konzepte, sondern Umsetzung mit Experten, die IAM und Cyber Security Ende zu Ende denken.

Unser Know-how aus vielen Projekten sorgt für pragmatische Frequenz und eine realistische Rote. Wir kennen die typischen Stolpersteine aus der Praxis.

Genau, jetzt die richtige Folie. Ich war ein bisschen zu schnell. Das Beste aus beiden Welten, Ralf hat es gerade schon angefangen, das ist nicht nur ein Slogan, sondern Coding Your Code bringt tiefe IAM-Erfahrung, die Framework, das Referenzarchitektur und den Marktüberblick. Und Bacher bringt eben die Umsetzungserfahrung aus vielen Kundenprojekten. Die kennen die Stolpersteine und wissen, was sie in der Praxis bewährt.

Und ja, Ralf, du auch noch ein paar abschließende Worte hier dazu. Ja, also, so wie Christoph schon sagt, wir bringen die Praxiserfahrung mit. Unsere Consultants sind immer sehr nah an den Kunden dran und können dann die IAM-Details entsprechend bewerten und das in den Report einfließen lassen.

Ich denke, wir haben hier einen praktikablen und auf sie passenden Ansatz, der sehr schnell die Quick Feeds bringen kann. Und somit können Sie das Beste aus beiden Welten nutzen. Sie bekommen ein einheitliches Modell statt Insellösungen und natürlich eine klare Rotmeld für echte Verbesserungen.

Super, vielen Dank. Dann sind wir jetzt auch schon am Ende von unseren Inhalten und jetzt kommt eigentlich der spannendste, naja, für mich der spannendste Teil und für den Markus und für den Ralf, wo wir uns die Ergebnisse der Umfragen als allererstes anschauen. Die Frage Nummer eins war, wie messen Sie aktuell den Reifegrad in IAM und Cyber Security? Die Antwortmöglichkeiten hier waren mit Audits, mit KPIs gar nicht oder mit Maturity-Modellen und leider oder zum Glück haben wir 0% Votes für die Maturity-Modelle. Gott sei Dank hat keiner geklickt, dass es gar nicht gemessen wird.

Das heißt, irgendwie wird es gemessen. Und dann haben wir 33% mit KPIs und 67% mit Audits. Jetzt hoffe ich ganz schwer, dass mit Audits, Internal Audits gemeint sind und nicht die extern getriebenen, die einen erst dann zwingen, wenn es zu spät ist.

Ralf, Markus, wie schätzt ihr das Ergebnis ein? Also ich denke, es ist in Ordnung, das zu erwarten. Leider Gottes, aber es ist gut einzuhaken und das vielleicht auf eine vernünftige Beine zu stellen und zum Beispiel einen Nutzer heranzutreten, um das mal bewerten zu lassen.

Ja, ich kann dem nur zustimmen. So wie das schon vorher erklärt hat, Christoph, oft ist man halt durch externe Audits dann meistens immer in der Lage, und reagiert dann oft zu spät. Da gäbe es, glaube ich, gute Möglichkeiten und wir haben heute einige gezeigt, wie man sich das Leben dann ein bisschen leichter machen kann. Genau. Dann haben wir noch die zweite Umfrage. Arbeiten IAM und Cyber Security in ihren Unternehmen abgestimmt zusammen? Antwortmöglichkeit war, ich stimme nicht zu, ich stimme eher zu, ich stimme voll zu. Jetzt hat sich meine Ansicht verändert. Und ich stimme eher zu.

Wir haben eine ganz eindeutige 100%-Antwort. Interessanterweise, wir haben ja am Anfang, meine Opening-Satz waren, die arbeiten nicht immer zu 100% oder die arbeiten nicht so eng zusammen, wie sie sollten. Und die Antwort ist, ich stimme eher zu. Das heißt, nicht voll zu, sondern es ist ziemlich genauso, wie man das erwartet hätte, so ein bisschen mehr zu. Es ist ziemlich genauso, wie man das erwartet hätte. So ein bisschen arbeitet man zusammen, wo nötig, wo möglich, aber einfach noch nicht in der Tiefe, die vermutlich ein Unternehmen am sichersten machen würde.

Ralf, Markus? Also auch hier ein Zeichen der Verbesserungsmöglichkeit. Da gibt es einiges zu tun. Ich spiele das wieder, dass ich jeden Tag meinen Kunden höre. Kommt natürlich stark auf den Kunden drauf an. In einigen Fällen funktioniert das Zusammenarbeit einfach besser. In anderen gibt es Grabenkämpfe, wie in jedem Unternehmen. Aber auch da bieten wir uns an, einfach als Katalysator zu gehen. Immer wieder in die Gespräche, da mit drinnen zu sein und die Gruppen zusammenzubrechen. Genau. Und dann haben wir noch eine Frage aus dem Publikum. Welche Bewertung sollte man erreichen?

Was ist realistisch? Wer mag antworten? Würde ich aber nehmen, wenn ich darf. Also im besten Fall erreicht man natürlich überall einen hohen Reifegrad.

Also das, was wir vorher grün dargestellt haben. Das ist aber nicht überall mit verhältnismäßigem Aufwand umsetzbar. Deswegen sollte man in einem ersten Schritt auch eine mittlere Reife anstreben. Es ist ganz wichtig, dass hier eine risikoorientierte Herangehensweise gewählt wird. Zuerst adressiert man jene Dimensionen, die entweder einfach angegriffen werden können oder wo einfach man viele Verletzungen vermutet, wie der Markus es vorhin mit den KI-Anwendungen gesagt hat. Also das ist natürlich aktuell ein ganz heißes Thema. Was stecken meine Mitarbeiter denn alles in die KI hinein?

Und welche Unternehmensdaten könnten da vielleicht hineinfließen? Und es ist immer besser, etwas zu tun, als nichts zu tun. Auch wenn es nur ein klein wenig ist. Dafür steckt man. Darf bloß am Ende mal nichts kosten. Perfekte Punkte, Ralf und Markus. Und auch gerade das Thema Risiko ist natürlich das meist Relevanteste hier. Und auch wenn man gerade auf jeder Konferenz, in jedem Beitrag immer dieses Agentic Security hört, auch auf LinkedIn liest, risikobasiert ist das nun mal gerade auch ein heißes Thema.

Wir haben so viele Unternehmen, Leute, die Interesse an diesen Technologien haben, damit rumspielen. Das ist ja per se erstmal nichts Schlechtes, aber sie sollten es halt nicht mit den Unternehmenswerten tun, gerade wenn es dann kritische Informationen sind oder irgendwelche Agents ihre E-Mails sortieren lassen, die weiß ich, wo ihre Server stehen haben und vielleicht nicht mal ein SOC 2 Zertifikat liefern können. Da ist es halt wieder, wie Ralf 100% gesagt hat, das Thema Risiko. Deswegen ist es gerade in aller Munde. Genau.

Dann hier auf der Möglichkeit noch mit QR-Codes uns auf LinkedIn zu kontaktieren oder zu connecten erstmal. Dürfen Sie gerne machen. Und aus meiner Sicht sage ich erstmal herzlichen Dank an Ralf und Markus und herzlichen Dank an die Teilnehmer.

Ralf, Markus, gerne auch noch ein letztes Wort. Vielen Dank für Ihre Zeit und für Ihr Interesse. Ich würde mich sehr freuen, wenn wir in Kontakt reiten könnten und wir uns für ein Thema austauschen könnten. Dankeschön.

Ja, dann kann ich mich nur anschließen und einen wunderschönen Reisabend zu wünschen. Ich hoffe, er ist nicht mehr allzu lange da. Wunderschön. Bis dann.