Schon perfekt vorbereitet für NIS2? Wenn nicht: warum Identity Governance so wichtig ist

Herzlich Willkommen zu unserem KuppingerCole Webinar. Perfekt vorbereitet für NIS2. Wenn nicht, warum Identity Governance so wichtig ist in diesem Kontext. Dieses Webinar wird unterstützt von SailPoint. Die Sprecher heute sind Sven Hübner, Head of Consulting bei KOGIT, Partner von SailPoint und Klaus Hild, Principal Identity Strategist bei SailPoint. Außerdem werde ich noch einen kleinen Vortrag halten zu Beginn. Mein Name ist Martin Kupplinger, ich bin Principal Analyst und einer der Gründer von KuppingerCole Analysts.

Bevor wir in dieses Thema einsteigen, möchte ich noch ganz kurz ein kleines bisschen Housekeeping machen. Um das Audio muss man sich nicht kümmern. Wir sind zentral gestartet. Wir werden zwei Umfragen durchführen während des Webinars und soweit die Zeit es erlaubt auch die Ergebnisse während der Fragen und Antworten Sitzung diskutieren. Wir machen am Ende des Webinars eine Frage und Antwort Sitzung. Sie können aber jederzeit in dem Werkzeug Ihre Fragen eingeben. Das finden Sie auf der rechten Seite, wo es die entsprechenden Q&A Bereiche etc. gibt.

Grundsätzlich gilt, je mehr Fragen, desto besser. Wir werden dann auch versuchen, alle Fragen zu beantworten im Laufe des Webinars. Wir machen eine Aufnahme des Webinars, ein Recording und stellen das genauso wie die Präsentationsfolien in den kommenden Tagen zum Download zur Verfügung. Bevor wir direkt in das Thema einsteigen, möchte ich noch eine erste Umfrage machen und zwar dazu, wo stehen Sie eigentlich mit Maßnahmen zur Erreichung eines Compliance?

Das heißt, da würde ich Sie einfach bitten, jetzt in diesem Umfragetool, die Umfrage wird jetzt auch geöffnet, dann eben Ihre Sichtweise sozusagen einzugeben. Das heißt, ist das ein bereits abgeschlossenes Projekt? Ist es ein Projekt, das im Moment läuft? Ist es ein geplantes Projekt oder ist es ein Projekt, das eben, wo Sie sagen, haben wir noch nicht geplant oder ist nicht relevant für uns? Das heißt, wie weit sind Sie ja? Diese vier Optionen würde mich interessieren, wie Sie das Ganze sehen und gebe Ihnen da so um die 30, 40 Sekunden, um Ihre Antworten einzugeben.

Gut, dann würde ich sagen, kommen wir wieder zurück zu unserem Webinar und im ersten Schritt möchte ich jetzt kurz auf die Agenda eingehen. Die Agenda hat heute eben, weil wir ja drei Sprecher sind, hat sie eben sozusagen vier Teile und nicht drei, wie meistens bei unseren Webinaren. Im ersten Teil werde ich ein bisschen eingehen auf NIST 2, was es ist und was Identity Management damit zu tun hat.

Im zweiten Teil wird dann Herr Hübner über Rollen, Identitäten, Zugriff oder Access sprechen, die Basis für NIST 2 und im dritten Teil wird Klaus Hilde ein Praxisbeispiel bringen, wie IGA, also die Verwaltung von Nutzen und Berechtigungen für die NIST 2 Compliance liefert. Dann machen wir am Schluss eben unsere Q&A Session, das wäre so der geplante Ablauf. Was ist NIST 2? NIST 2 ist eine Richtlinie, also damit eine EU-weite Gesetzgebung zur Cybersicherheit, die eben rechtliche Maßnahmen enthält zur Steigerung des gesamten Niveaus der Cybersicherheit in der EU.

Das ist das, was so eben auf der EU-Webseite selber auch steht. Ist am 16.1.2023 in Kraft getreten und Unternehmen, die im Skop sind, ich habe das mal als Kritis bezeichnet, ich komme gleich drauf, wer ist im Skop, müssen diese innerhalb von 21 Monaten umsetzen. Die Texte finden sich übrigens in jeder beliebigen europäischen Sprache dann auch auf den Servern der EU.

Das heißt, man kann sich die Texte anschauen, durchlesen, die Richtlinie ist, finde ich gut verständlich, geschrieben hat, wie alle EU-Richtlinien die Neigung, dass davor erstmal so gute 100, glaube ich, sind es in dem Fall wieder, Vorbemerkungen kommen, die man durchaus auch lesen sollte, weil sie einfach für den Kontext, für das Skoping ausgesprochen wichtig sind. Ich habe dann auch jetzt mal einige dieser Teile aus der offiziellen Richtlinie rausgezogen, einfach um da nochmal ein bisschen den Hintergrund zu liefern. Ich werde die Texte nicht komplett durchlesen.

Grundsätzlich ist es so, dass die Zielsessung in der gesamten Union ein hohes gemeinsames Cyber-Sicherheitsniveau sicherstellt, um eben das Funktionieren des Marktes, des Binnenmarktes sicherzustellen und eben vor Cyber-Angriffen zu schützen. Und was passiert ist eben, dass alle Mitgliedstaaten eine Cyber-Sicherheitsstrategie brauchen, dass sie ein Krisenmanagement haben, dass sie zentrale Anlaufstellen haben, Computer-Notfallteams haben und letztlich das Ganze entsprechend auch ausdefinieren für das jeweilige Land, bis hin auch zum Austausch von Cyber-Sicherheitsinformationen.

Und es gibt eben diese Aufsichts- und Durchsetzungspflichten. Das heißt, der Spielraum, innerhalb dessen ein einzelner Staat agieren kann, der ist vergleichsweise begrenzt. Staaten müssen die Strategie verabschieden, sie müssen die Anlauf- und Umunterstützungsstellen implementieren und müssen entsprechend an dieser Stelle handeln mit einem am Ende des Tages durchaus überschaubaren Zeithorizont, weil der Umsetzungszeitraum auf der vorigen Folie nicht wahnsinnig lang war.

Was es dann gibt, und das ist, glaube ich, immer ganz wichtig vom Verständnis her, ich glaube, man muss sich einfach wirklich das Unternehmen da mal reinlesen und schauen, trifft es mich, trifft es mich nicht, wenn man es nicht ohnehin schon geprüft hat. Der Punkt ist, dass es dann eine Unterscheidung gibt zwischen wesentlichen und wichtigen Einrichtungen. Die ganz zentrale Konsequenz von NIST II ist, dass sehr, sehr viel mehr Unternehmen unter NIST II fallen, als es bisher beispielsweise unter die Kritisregulierung der Fall war. Und es gibt eben diese wesentlichen Einrichtungen.

Wesentliche Einrichtungen sind die sozusagen höher und als kritischer und da gibt es wichtige Einrichtungen, die aber ebenfalls darunter fallen. Wesentlicher Unterschied ergibt sich dann letztlich, weniger aus dem, was gemacht werden muss, als vielmehr aus den Strafvorschriften und einigen anderen Regelungen, die sich daraus ergeben. Aber letztlich muss man eben, sobald man darunter fällt, schon sehr genau schauen, wo stehe ich eigentlich mit meinem Thema Cybersicherheit, mit meinen ganzen Maßnahmen, mit meinen Ansätzen etc. Und was muss ich da letztlich gegebenenfalls machen.

Ergänzend gibt es noch eine weitere Richtlinie, die definiert kritische Einrichtungen und ist ergänzend zu NIST II. Das heißt, man muss dann immer wieder auch mal auf Verweise schauen. Es gibt dann Schwellenwerte, da komme ich gleich drauf, auch für Unternehmen, also wann fällt man dann rein. Ganz interessant ist, dass es bestimmte DNS-Anbieter gibt, die unabhängig von der Größe darunter fallen. Kommunikationsnetzbetreiber sind beispielsweise grundsätzlich darunter. Mitgliedsstaaten können die Liste erweitern. Bestimmte Einrichtungen der öffentlichen Verwaltung zählen dazu.

Da muss ich sagen, ärgere ich mich immer noch ein bisschen drüber, weil am Ende sind es eben die Bundes- und Landesregierungen als zentrale Behörden. Aber man hat es dort nicht dann weitergetrieben auf die nächsten Stufen unserer Administration. Das finde ich ein bisschen bedauerlich, weil wir ja auch in den letzten Jahren gesehen haben, dass es sehr viele, sehr schwerwiegende Sicherheitsvorfälle gerade in der öffentlichen Verwaltung gab. Was muss man machen für NIST II?

Es gibt ziemlich viele Anforderungen, auch und insbesondere in Richtung Risikomanagement, in Richtung Incident Response, aber auch eben zu Themen wie Authentifizierung und andere Maßnahmen. Und es gibt immer, das ist, glaube ich, nochmal ganz wichtig zu verstehen, aber es gibt immer wieder den Verweis auf Best Practices darauf, dass man eben letztlich ein durchgängig hohes Sicherheitsniveau haben muss.

Und am Ende des Tages heißt das letztlich, dass indirekt natürlich die Erfüllung von ISO 27.0X und anderen Maßnahmen letztlich eine Basis ist in diesem Gesamtkonzept, die man immer im Blick haben sollte. Spezifisch genannt dann eben das, was auf der rechten Seite steht. Da geht es also viel auch um Risikoanalyse, die man durchführt, Sicherheitsvorfälle, in definierter Weise Managed Notfallbetrieb. Ganz wichtig ist das gesamte Thema der Lieferkette. Das erweitert natürlich auch nochmal beispielsweise diesen Fokus, auf den wir mit Identitäten kommen.

Das heißt, wir müssen die Identitäten, die Zugriffsrechte auch entlang der Lieferkette im Griff haben, also B2B-Identitäten beispielsweise, ist ein sehr zentrales Thema, das sich letztlich mittelbar daraus ergibt. Geht dann entsprechend weiter, eben aber auch Sicherheit des Personals, Konzepte für die Zugriffskontrolle, auch die Zugangskontrolle kommt dann, die eben auch dann saubere Governance-Konzepte rein muss, Multi-Factor-Authentifizierung etc. Also man muss wirklich eine ganze Menge von Dingen erfüllen.

Wie in jeder Richtlinie ist das erstmal auf einem hohen Abstraktionsniveau definiert, aber daraus auch mit einer ganzen Reihe von konkreten Punkten. Wie immer wird das natürlich auch dann ausgefüllt werden, über die Zeit von den entsprechenden regulierenden Stellen, respektive spätestens dann, wenn etwas schiefgegangen ist, natürlich auch gegebenenfalls von Gerichten. Fokus also Risikoanalyse, Risikomanagement, Notfallpläne. Meldung von Vorfällen innerhalb knapper definierter Fristen, also innerhalb von 24 Stunden eine Erstmeldung, innerhalb von 72 Stunden eine Analyse.

Die Schutzkonzepte für Lieferketten, Supply Chain Security und dann eben dieses Thema, der Begriff kommt relativ häufig vor, Cyberhygiene. Um da zu zählen, natürlich Datensicherung, Zugriffskontrolle, dazu zählt im Prinzip das gesamte Thema IGA, weil das einfach eine Baseline ist, eine Basis ist. Das heißt, wir bewegen uns hier ganz klar in diesem Bereich der Cybersicherheit bereits. Das sind so die Themen, mit denen wir uns also erstmal grundsätzlich auseinandersetzen müssen bei diesem Thema NIST 2. Was durchaus spannend ist, ist natürlich dieser Schwellwert.

Es fallen einfach viel, viel mehr Unternehmen unter diese Regulierung. Gerade für den Mittelstand ist es dann auch letztlich ein sehr signifikanter Handlungsdruck. Die Definition, soweit ich sie verstanden habe, und ich glaube, ich habe es verstanden, ich habe relativ lange nochmal recherchiert, ist letztlich für Mittel, dass es 50 bis 250 Beschäftigte und 10 bis 50 Millionen Euro Umsatz sind. Also diese beiden Bereiche oder unterhalb von 43 Millionen Euro Bilanzvolumen, groß dann ab 250 Beschäftigte, das ist eine sehr niedrige Schwelle für das, was man als Großunternehmen definiert.

Umsatzschwelle ist dann eben bei 50 Millionen und Bilanzsumme 43 Millionen. Das heißt, man muss schauen, wenn man so in diesen Grenzbereichen liegt, wo liege ich? Bin ich mittel, bin ich groß oder bin ich gar nicht? Falle ich noch nicht rein in diesen Scope, um dann entsprechend eben zu reagieren und zu entscheiden und festzulegen, was muss ich tun? Wesentlich sind dann die großen Unternehmen aus definierten Sektoren, aus denen komme ich gleich. Das heißt, die mittleren Unternehmen sind im Prinzip wichtig, wenn sie in die entsprechenden Sektoren, auch in die wesentlichen Sektoren fallen.

Es können aber weitere Unternehmen dazugefügt werden, wenn diese als essentiell, als systemisch relevant festgelegt sind. Das betrifft vor allem natürlich so Grundversorgungsaspekte, gerade auch im Bereich der IT. Wir hatten vorher schon das Beispiel der DNS-Provider beispielsweise, die eben auch dann als essentiell und systemisch festgelegt werden.

Und das, was dann eben noch dazukommt, ist, es sind wirklich viele Sektoren. Ich habe jetzt mal sozusagen die wichtigsten Aspekte rausgenommen. Das ist dann nochmal auch in der Richtlinie nochmal deutlich genauer definiert, was im Einzelnen etc. Grundsätzlich eben die erwartbaren Themen als hohe Kritikalität. Das heißt, dann kommen wir eben in das Thema wesentlich, wenn sie groß sind, rein.

Energie, Verkehr, Bankwesen, Finanzmarkt, Gesundheitswesen in vielen Bereichen, nicht in allen Bereichen, Trinkwasser, Abwasser, digitale Infrastruktur, große IT-Dienstanbieter, also letztlich Managed Service Provider, öffentliche Verwaltung zum Teil, leider nur zum Teil, wie gesagt, Weltraum. Und dann gibt es eben weitere kritische Sektoren, Postkurier, Abfall und viele, viele Bereiche des verarbeitenden Gewerbes. Das wird sich viele, gerade jetzt in Deutschland, im Mittelstand wieder treffen. Genauso Chemie im Prinzip sehr umfassend, Lebensmittel sehr umfassend.

Das heißt also, man hat wirklich eine durchaus sehr signifikante Liste hier. Und das ist wirklich dieser Punkt, der bei NIS2 ganz wichtig ist. Man muss sich, glaube ich, heute damit beschäftigen, was man nicht gemacht hat. Falle ich in den Scope oder bin ich nah dran und in welche Kategorie falle ich? Weil das hat eben mit diesem vergleichsweise kurzen Horizont, den wir zeitlich noch haben, natürlich die Bedeutung, dass ich jetzt in die Handlung, in die Analyse gehen muss, um entsprechend voranzukommen. Abgesehen davon, und das ist eben das, was man nicht unterschätzen darf.

Man hat natürlich auch so Seiteneffekte. Das heißt, man ist Teil einer wesentlichen Supply Chain. Dann wird es ein Stück weit Durchtrüpf.

Auch dann, wenn man zum Beispiel nur, in Anführungszeichen, beratend ist, wenn man eine Lieferantenrolle hat, weil dieses Thema Supply Chain Security kommt. Und das gesamte Thema Best Practice, State of the Art, das will ich noch verschärfen. Und wir werden natürlich auch sehen, dass bestimmte Industrien natürlich auch in ihren eigenen Standardisierungen sicherlich die Messleiter über die Zeit erhöhen werden, weil sie eben dann sicherstellen müssen, dass ihre Wertschöpfungskette, die ja sehr wichtig ist in dieser NIST-2-Regulierung, sicher bleibt.

Wenn man jetzt mal diese Welt anschaut, also die doch sehr, sehr viele Organisationen betrifft, dann ist aus meiner Sicht eben die nächste Frage jetzt für dieses Webinar, und das ist das, worauf jetzt der Herr Hübner und der Herr Hilt eingehen werden, warum IGA? Also es ist so, dass viele der Funktionen Berechtigungsmanagement, Segregation of Duties oder Rezertifizierung nicht explizit aufgeführt werden. Aber wir kommen natürlich über die gängigen Standards, die Erlangung von Zertifizierungen, das Thema Cyberhygiene in jedem Fall in diesen Bereich hinein.

Und wir haben natürlich noch einen Sondereffekt bei dem IGA, der über die Supply Chain-Thematik kommt, nämlich das, dass wir eben über das Thema Workforce Identities hinaus natürlich unsere Supplier, respektive als Unternehmen, wir als Supplier und natürlich auch in Richtung unserer Kunden entsprechend mit betroffen sind. Das heißt, es ist ein Thema, das genauso mit reinspielt und darauf, wie gesagt, werden meine zwei Nachredner dann in Kürze eingehen.

Was mich jetzt noch interessieren würde, nachdem, was ich so ein bisschen erzählt habe über NIST-2 als zweite Umfrage, die wir auch dann gleich starten können, ist Ihre Organisation von NIST-2 betroffen? Ja oder nein oder unklar? Auch da interessiert mich natürlich, wo stehen Sie? Und damit würde ich dann bereits wieder zurückgehen, wenn wir die Poll geschlossen haben, zur Agenda und übergebe an der Stelle dann auch gleich an den Herrn Hübner, der über Rollen, Identität und Access als Basis für NIST-2 sprechen wird.

Ja, vielen Dank, Martin Kuppinger, für die einleitenden Worte. Ich würde genau das Ganze ein bisschen aus der Praxis heraus nochmal beleuchten, speziell eben das Thema, weil wir gesagt haben, Identity Governance ist entscheidend hier. Aus unserer Sicht, und das haben wir immer wieder in den Projekten erlebt, ist eigentlich das Zusammenspiel aus diesen drei Säulen ganz wesentlich. Einfach das Identity und Access Management. Aber das ist eben flankiert von den Säulen Rollenmanagement und Pilot Access Management.

Und diese Sachen, diese drei Säulen, die müssen zusammenspielen, auch innerhalb des Projekts, denn es ist ganz wesentlich, dass das eine nicht voranschreitet und das andere nicht mitkommt. Und genau darum wird es auch im Weiteren gehen. Ich werde jetzt zunächst erstmal die wesentlichen Schritte und Prozesse, die wir hier mitzeigen und auch die Möglichkeiten aufzeigen. Was zählt denn jetzt eigentlich oder was nutzt uns denn hier gerade für eine Zwei-Maßnahme? Was ist hier notwendig? Kommen wir zum eigentlichen typischen Startpunkt.

Ja, wir wollen Applikationen onboarden, denn hier sind unsere Accounts. Man muss wirklich unterscheiden zwischen Application Onboarding und Infrastruktur Onboarding. Denn ganz wesentlich, wir haben hier ein Onboarding in zwei Bereichen. Es ist eben nicht nur der Start, das Onboarding an ein Identity und Access Management Tool anzuschließen. Wir haben gerade im Infrastruktur Onboarding eine Menge privilegierter Accounts. Das heißt, hier kommt das Zusammenspielen mit einem PAM-System auch mit hinein.

Und genau das gilt es, werde ich vielleicht gleich auch noch was, werde ich sicherlich gleich noch was zu sagen, einigermaßen onboarding-orientiert. Einigermaßen organisiert hinzubekommen, sodass man hier ein Gleichgewicht bekommt im Onboarding der Infrastruktur einerseits an die PAM-Module, andererseits in das Identity und Access Management. Und natürlich auch haben Applikationen möglicherweise privilegierte Accounts. Und das sind ja gerade die Accounts, die besonders interessant für einen Angreifer sind.

Ich habe jetzt hier einfach ein paar Stichworte genommen und rausgestellt, die aus unserer Sicht ganz wesentlich sind, auch später für die Bewertung der einzelnen Maßnahmen. Beim Thema PAM will ich anfangen.

Ja, da haben wir oft Tiermodelle. Was heißt das? Das heißt, wir haben unterschiedliche Accounts, unterschiedliche Berechtigungen, die aber auch unterschiedlich zu sichern sind. Gerade im Microsoft-Umfeld kennen wir das. Wir haben Berechtigungen auf der Domäne. Das muss natürlich besonders gut gesichert sein. Ein Onboarding-Account, der braucht bei weitem nicht diese Sicherheit. Das muss hier also ein spezielles Tiering-Modell geben. Gleichzeitig haben wir aber auch die Accounts, die im IAM sind. Das ist hier angezeigt mit Account Life Cycle.

Das heißt, wir wollen auch wirklich den Lebenszyklus des Accounts sicherstellen. Denn ein Account, der eigentlich nicht mehr da sein dürfte, ist ein ideales Einfallstor. Und das betrifft einerseits natürlich Applikationen. Das betrifft aber noch im Wesentlichen Infrastrukturen. Und die wesentlichen Begriffe aus dem IAM, die kennen wir ja auch, die Prozesse. Ich habe es jetzt hier Joiner, Mover, Lever, weil wir das immer so in einem Atemzug sagen. Aber wenn ich ehrlich bin, müssten wir eigentlich sagen, Lever, Mover, Joiner.

Denn der wesentliche Prozess, und ich werde sicher auch Klaus noch mal im Tieferen auf einen gehen, der Lever-Prozess, das ist einer der wesentlichen Prozesse, die man abbilden muss. Denn im Endeffekt sind genau diese Accounts von Levern die wesentlichen Accounts, die zu einer Gefährdung führen können. Und durchaus kann es hier sein, ich habe einen Administrator, der geht. Das heißt, ich brauche im Prinzip beim Lever die Sicherheit, dass die Accounts, ich sage es mal etwas flapsig, weggeräumt werden. Und das bedeutet eben auch, dass ich bis ins PAM-System komme.

Wie Martin Kuppinger schon erwähnt hat, zwischen Identity Lifecycle Prozessen haben wir noch die Rezertifizierung, Reconciliation und Segregation of Duty, die letztendlich sicherstellen, dass die entsprechenden Daten auch nicht mehr da sind, wenn jemand zum Beispiel in den Lever geht oder in den Mover geht. Das heißt, wir haben hier schon mal gesehen, es gibt ein ziemlich intensives Zusammenspiel zwischen dem IAM-Tool und dem PAM-Tool. Aber jetzt haben wir auch noch Rollen und ein Rollenmanagement.

Ganz wesentlich Business-Rollen, IT-Rollen, auch Birthrights und eben auch privilegierte Rollen. Das heißt, wir haben auf der Seite des Rollenmanagements auch ein Zusammenspiel. Und warum ist das so wichtig? Jetzt haben Sie eine Rezertifizierung zu machen. Stellen Sie sich das vor und zum Beispiel eine Rezertifizierung für Infrastrukturen. Da gibt es Unmengen an Kleinberechtigungen.

Wenn das Ganze nicht in ein Rollenkonzept vernünftig integriert ist, wird bei einer Rezertifizierung derjenige, der das zu rezertifizieren hat, ja hunderte, möglicherweise tausende Einzelberechtigungen rezertifizieren. Das heißt, aus unserer Sicht ist das eigentlich nicht zu machen, wenn man hier nicht ein klares und wirklich gutes Rollenkonzept im Vorfeld gemacht hat. Der nächste Schritt ist, ich bekomme eine neue Berechtigung, eine neue privilegierte Berechtigung.

Das heißt, wenn ich eine solche Rolle bestelle, muss letztendlich ein Automatismus sein bis in das PAM-System hinein, dass die entsprechenden Accounts entsprechend vorbereitet und gesichert sind. Das Gleiche gilt natürlich auch im Fall einer Rezertifizierung. Das heißt, jemand will wissen, er braucht das eigentlich nicht mehr. Das muss man auch verstehen, was man da entzieht. Und es muss letztendlich automatisch wirklich zum Zeitpunkt, wo ich sage, er braucht es nicht mehr, auf allen Systemen auch der Account entsprechend entfernt werden.

Nur wenn ich dieses Zusammenspiel habe, habe ich letztendlich auch die Sicherheit, dass nicht einzelne ungesicherte Accounts irgendwann dort liegen und gegebenenfalls von einem Angreifer entsprechend genutzt werden können. Nochmal kurz, auf was zahlen die jetzt ein? Ich habe hier nochmal die einzelnen Punkte mit hineingebracht. Aus unserer Sicht, und das hat ja auch Martin Kuppinger schon gesagt, das Thema Cyber Security Hygiene. Ganz klar in diesem Tierringmodell. Ich brauche ein ganz klares Modell, wie meine administrativen Berechtigungen zu sichern sind.

Das Gleiche geht natürlich zu diesem Thema Cyber Security Rolle auch im Account Lifecycle. Auch dort muss der Account wirklich gelöscht werden, wenn er nicht mehr gebraucht wird, beziehungsweise muss gesichert werden. Das heißt, wir brauchen das Gleiche auch in der Infrastruktur, im Application Onboarding, einen klaren Lifecycle. Und der spielt eben, oder der zahlt auf die Cyber Security Hygiene ein. Wenn wir jetzt rüber zu den typischen Prozessen im Identity und Access Management gehen.

Ja, Sicherheit in der Lieferkette. Das heißt, wenn ich weiß, welche Berechtigung mein Mitarbeiter hat, dann kann ich auch genau sagen, was er tun kann, was er nicht tun kann. Das heißt, es spielt hier auch natürlich in das Thema Sicherheit der Lieferkette ein, aber auch in Human Resource Security. Denn ein Benutzer soll natürlich nur die Berechtigung haben, die er auch wirklich benötigt. Und im Falle zum Beispiel eines Movers sollen diese auch automatisch entzogen werden und ihm neue gegeben werden.

Da spielt jetzt wieder zum Teil auch das Thema Birthrights mit rein, dass das einigermaßen automatisiert funktioniert. Und wenn wir jetzt auf das Rollenmanagement gehen, spielen auch hier diese Rollendefinition natürlich einen ganz, ganz wesentlichen Bestandteil bei der Sicherheit der Lieferkette. Eine Rolle, die klar definiert ist, die ich verstehe. Da kann auch jeder sagen, ich brauche sie oder ich brauche sie nicht. Sie kann entzogen werden oder sie bleibt eben bei dem Benutzer. Und natürlich privilegierte Rollen passen zu der Situation im PAM Tiermodel.

Ich muss auch entsprechende privilegierte Rollen bauen können, die sich dann auch letztendlich im PAM widerspiegeln. Das ist jetzt so ein bisschen ein Idealbild, dass das alles auch zum gleichen Zeitpunkt in der gleichen Art richtig im Projekt gemacht wird. Das ist natürlich eine Ausgangssituation, die meistens keiner hat. Ich habe schon diese, ich habe schon jenes. Es ist halt die Frage, wie bekomme ich das zusammen?

Und letztendlich aus den langjährigen Erfahrungen, die wir auch beim Start von Projekten gewonnen haben, sehen wir eigentlich als Empfehlung, dass wir eine Art IGA Assessment grundsätzlich am Anfang einer solchen Einführung haben. Und für uns besteht oder wir haben es in den letzten Jahren auch immer mehr so umgesetzt, das Assessment aus zwei Teilen. Ich muss mir einerseits die Infrastruktur anschauen. Da geht es um GAP-Analyse, um Reifegrade einzelner Bereiche, um dann letztendlich eine Art Maßnahmenkatalog am Schluss zu bekommen.

Und dieser Maßnahmenkatalog ist dann, der enthält letztendlich ein Zielbild und wie ich da hinkomme. Also im Prinzip das, was hier unter Roadmap steht, wäre das Ziel eines solchen Infrastruktur Assessments auf technischer Sicht. Und auf der anderen Seite müssen wir uns natürlich die Prozesse anschauen. Ich habe es schon gesagt, der Lieferprozess, einer der unterschiedlichen Prozesse, auch für die Sicherheit, für die Cybersicherheit, den müssen wir uns genau anschauen. Und es ist eben nicht der Einzige. Wir müssen uns einige Sachen anschauen.

Aber da ist es wichtig, sich diese Prozesse im Unternehmen anzuschauen und mit eigentlich Standardprozessen abzugleichen. Das heißt, wir haben uns natürlich auch angeschaut, wie unterschiedliche Prozesse im Unternehmen abgebildet werden und kennen natürlich gewisse Standards, wie man es tun kann. Und nur dieser Abgleich, wo sind gegebenenfalls offene Punkte, wo muss man nachschärfen, wäre dann zum Beispiel Teil eines solchen EGA Prozess Assessments. Und ich denke, das ist wirklich ein wichtiger Punkt, denn was braucht man?

Man braucht dieses Zielbild und das muss für das Unternehmen passen. Und man sollte die notwendigen Schritte kennen, um zu diesem Zielbild zu kommen. Gegebenenfalls gibt es Abhängigkeiten, Produkte, die man integrieren muss. Das alles kann man in diesem Moment schon erarbeiten und gleichzeitig in einen groben Zeitplan bringen und vielleicht auch schon nach ersten Tools gucken. Denn diese Säulen, von denen ich gesprochen habe, Rollenmodellierung, Identity- und Access-Management und PAM, dahinter stecken möglicherweise oder nicht nur möglicherweise, dahinter stecken ja auch Tools.

Und ich denke, was ganz wichtig ist, wenn man sich mal diesen Gedanken über eine solche Roadmap macht, es ist letztendlich, wenn jemand das Ganze prüft, ein kommunizierbares Vorgehensmodell. Das heißt, ich kann sagen gegenüber dem Prüfer, wir haben uns diese und jene Gedanken gemacht, wir haben diese und diese Schritte, die uns zu einem Ziel führen und aus unserer Sicht werden damit auch die Kosten für eine solche Umsetzung planbarer. Das heißt, ich habe mir ziemlich genau vorstellen, wann ich eigentlich welche Investition auch im Sinne eines Projekts durchführen muss.

Das ein kleiner Überblick über die Basisteile eines solchen Identity-Governance- Projektes, einer solchen Umsetzung mit einer kurzen Vorstellung, wie man in ein solches Assessment kommt und ich möchte jetzt langsam in Richtung Klaus übergeben von SailPoint, der dieses Thema IGA Assessment in seinem Vortrag auch nochmal aufnehmen wird. Vielen Dank. Danke Sven für die Übergabe. Vielleicht haben sich auch eben schon mal im Spiegel angeguckt und oder sonst irgendwo haben sich gefragt, die haben ja coole Ideen, aber wer zur Hölle soll das eigentlich machen?

Das heißt also, das ist ja ganz nett, dass man jetzt auch mehr aufpassen soll. Übrigens, da sind ungefähr zehnmal mehr Unternehmen involviert in NIST 2, als es vorher in NIST war. Einfach bedingt durch die vielen Breaches, die es immer noch gibt. Ich weiß nicht, wer von Ihnen diesen IBM Report Cost of a Data Breach liest regelmäßig jedes Jahr. Es ist wirklich faszinierend, dass die Sachen eigentlich nicht wirklich weniger werden signifikant, obwohl wir da schon sehr lange dran hängen.

Das Slide, den Sie hier sehen, ist relativ ähnlich zu dem, mit dem Sven aufgehört hat. Das ist abgesprochen. Das war so geplant, das zu machen. Sie können sich, wenn Sie mögen, auf unserer SailPoint-Seite einfach nach dem Identity Security Maturity Assessment schlau machen. Das ist ein Teil. Das sind sechs Fragen zu beantworten. Einfach mal ganz ehrlich zu sich selbst. Das ist kein Ersatz für das Assessment, was Ihnen beispielsweise eine COVID oder natürlich auch eine Copinger anbieten würde.

Aber es gibt Ihnen zumindest mal einen ersten Überblick, wo Sie denn aus Sicht eines IGA-Systems tatsächlich stehen. Ich kann Ihnen nur empfehlen, sowas mal zu machen und zwar nicht nur aus der IT-Sicht, also ich bitte die Admins, die sich vielleicht damit schon intensiver auseinandergesetzt haben oder Business-Consultant, die sich damit auseinandergesetzt haben, fragen Sie mal Ihre Abteilungsleiter oder Ihren CEO oder CISO oder CTO. Er soll auch mal dieses Assessment anlassen und aus seiner Sicht beantworten. Sie werden erstaunt sein, in welchen Pillar Sie dort landen.

Aber das ist nicht Gegenstand von unserem jetzigen Teil. Ich wollte Ihnen einfach nur mal aus der praktischen Sicht zeigen, wie komme ich denn nur eigentlich dazu, dass diese Konformität auch auf einem guten Weg erarbeitet werden kann. Das allererste ist Schulung für alle. Bildung ist wie überall der Schlüssel zum Glück. Es geht immer kein Weg dran vorbei. Sie müssen Ihre Leute aufschauen, was heißt das eigentlich Cyber Security? Das ist nichts Böses. Selbst wir bei SailPoint werden regelmäßig mit irgendwelchen Schulungen gedreht, möchte ich schon fast sagen.

Also mindestens einmal im Vierteljahr müssen wir einfach Stellung nehmen, dass wir wissen, wo dürfen mit E-Mails was rumlaufen, wie müssen wir mit unseren Systemen umgehen, worauf muss man aufpassen, wie erkennt man ein Pitching und so weiter und so fort. Also auch wir machen regelmäßig diese Trainings. Das ist wirklich essentiell dabei. Dass wir hier über Last Privileged bzw. Least Privileged oder Zero Trust Prinzipien reden, das ist glaube ich jedem klar.

Ich meine, jeder hat schon mal was von Least Privileged und Zero Trust gehört. Ich meine, Least Privileged ist nicht wirklich neu. Das gibt es schon seit MRisk. Also es ist wirklich uralt im Grunde genommen. Aber es macht halt niemand. Und das ist der Grund, warum die Regularien immer härter werden. Viele Dinge sind schon darüber gesprochen worden. Mir ist einfach nochmal wichtig, Verwaltung aller Identitäten. Und hier habe ich das Anfang mal bei Identitäten gelassen. Ich wollte niemanden verwirren. Das ist ein Unterschied zwischen einer Identität und einem Account.

Aber das kann man später gerne nochmal in Tiefe klären, wenn man das möchte. Aber es geht darum, wirklich alles zu erfassen. Das heißt also, wenn Sie über Applikationen nachdenken mit den Accounts in diesen Applikationen, die verwaltet werden müssen, dann denken Sie nicht bitte nur an AD, an Azure, an SAP, an ServiceNow, an die gängigen Sachen, an die großen Dinge, die Sie haben, sondern denken Sie auch an die kleineren Applikationen.

Es gibt in deutschen Unternehmen, Sie werden es nicht für möglich halten, zwischen 30.000 und 10.000 lizenzierten Anwendungen in einem einzigen Unternehmen. Ich war selbst erstaunt über diese Zahl. Das ist eine Zahl von der Computerwurre. Ich war völlig baff, wie ich das gehört habe. Selbst wenn das ein bisschen überzogen wäre, ich selber, unsere größeren Kunden haben alle um die 1.000 Anwendungen. Und viele davon sind auch tatsächlich am IDM-System angeschlossen. Also unser Rekord liegt bei 1.100 Anwendungen, die am System angeschlossen sind.

Das heißt, es ist einfach wichtig, das zu kontrollieren, denn nur was Sie kennen, können Sie auch kontrollieren. So einfach ist das. Wenn Sie was nicht kennen, haben Sie keine Ahnung, wohin. Wir haben dazu übrigens eine neue Website, die nennt sich Identity Hub. Wenn Sie mögen, können Sie sich hier noch ein bisschen mehr Informationen anlesen. Es wird dort nicht auf Produkte eingegangen von uns, sondern wir haben einfach ein bisschen zusammengestellt. Da wird auch über NIST 2 gesprochen, über verschiedenste Dinge. Hilft Ihnen vielleicht einfach, ein bisschen mehr Zugang dazu zu bekommen.

Aber wie ist denn nun eigentlich tatsächlich die praktische Anwendung? Wir haben über Automation gesprochen. Was machen wir denn mit Automation? Sie haben vorhin den Begriff von Sven Birthright gehört. Unter Birthright Provisioning verstehen wir Dinge, die automatisch einem Benutzer zugewiesen werden. Also idealerweise dieser One Starter, also Zero Day Start.

Jemand kommt ins Unternehmen und anhand der Attribute von diesem Benutzer, den Sie aus HR auslesen, also Sie wissen, in welcher Abteilung er arbeitet, Sie wissen, wann er startet, Sie wissen, wie er arbeitet, Sie kennen den Jobtitel von dem Menschen, Sie haben einen Manager und noch mehr Informationen möglicherweise. Anhand von diesen Attributen können Sie jemanden natürlich grundsätzlich berechtigen. Natürlich vielleicht nicht in der letzten feinen Ausprägung. Es müssen ja auch noch Rechte zu beantragen sein.

Gerne, kann man gerne tun. Da braucht es dieses Rollenmanager. Aber so grundsätzlich können Sie jemanden schon mit einem gewissen Automatismus, mit Berechtigung ausstatten, die natürlich auch genauso automatisch wieder verliert, wenn er eben nicht mehr in dieser Abteilung ist oder nicht mehr diese Rolle hat oder eben nicht mehr aktiv im Unternehmen ist. Das kann man mit Basisprozessen machen, mit Standardprozessen, die bereits fest in unseren Anwendungen beispielsweise hinterlegt sind.

Sie sehen aber auch hier, das habe ich einfach mal auf der rechten Seite dargestellt, wir haben eine recht umfangreiche Workflow-Engine mit drin, die auch mit Forms arbeiten kann. Sie können hier auch bestimmte Dinge einfach abfragen und können beliebige Workflows im Prinzip dazu bauen. Also das heißt, Sie können das auch sehr komplex customizen, wenn es denn notwendig sein sollte. Je dichter Sie am Standard sind, umso einfacher sind Dinge umzurichten. Das heißt, je weniger Customization Sie benutzen, umso einfacher geht es dabei.

Ich weise auch immer wieder darauf hin, es ist immer wichtig, alle vorhandenen Optionen zu wählen, jemandem Rechte zu geben. Also wir kennen Berechtigungen von Identitätsattributen.

Das ist, glaube ich, jedem ersichtlich. Das ist Name, das ist natürlich, wie lang bin ich im Unternehmen, was mache ich im Unternehmen, in welcher Abteilung bin ich und so weiter und so fort, welcher Manager. Also da gibt es alle möglichen Informationen, in welchem Land ich arbeite und so weiter und so fort. Das sind Dinge an der Identität. Aber ich habe natürlich auch Account-Informationen. Also aus der AD heraus habe ich ganz andere Informationen an meinem Account als an meiner Identität im E-Data-System oder aus einem SAP-Account oder aus einem ServiceNow-Account.

Auch diese Attribute an diesem Account kann ich benutzen, um jemandem Berechtigungen zuzuweisen und natürlich auch aus der Anwendung selbst. Also gibt es in einer Anwendung eine bestimmte Berechtigung, nur dann kann ich die auch jemandem zuweisen, beispielsweise ich kann Abhängigkeiten dazu schaffen. Also es gibt hier recht komplexe Verknüpfungen, wenn ich möchte. Und es macht durchaus Sinn, das sich mal in der Tiefe anzuschauen und nicht nur oberflächlich zu behandeln. Also das ist der Automatismus dabei. Dann ein ganz wichtiger Punkt ist das Erkennen von Ausreißern.

Das heißt also Menschen, die Berechtigung haben, die aus dem Schema rausfallen. Wir bilden dazu sogenannte Peer Groups. Wir nutzen dazu einen Teil von künstlicher Intelligenz. Keine Sorge, das ist nichts, was in drei Jahren Ihre Firma übernimmt, sondern das ist einfach nur Machine Learning. Von Supervised Machine Learning, so nennt sich das, also die unterste Ebene von KI im Grunde genommen. Aber das reicht, um sogenannte Patterns zu bilden aus den Identitäten, unabhängig welchen Jobtitel und welche Berechtigung und welche, wie sie heißen, was, was immer auch.

Wir gucken uns einfach nur die digitale Identität an. Daraus werden Pattern erkannt und diese Pattern, da gibt es dann Unterschiede und diese Unterschiede kann man darstellen, kann sagen, also ich habe hier gewisse Ausreißer, die anders sind als der Rest der Peer Group. Das muss erstmal nichts Böses sein, aber ich habe zumindest einen Hinweis, wenn ich das mit der Hand am Arm machen wollte in meinem Unternehmen, das können Sie vergessen, dass Sie dieser Aufgabe Herr werden, das ist nicht zu schaffen. Dafür brauchen Sie eine Maschine, die Ihnen sowas macht.

Der Charme daran ist, wenn Sie dann so wie hier jetzt 25 Outlier finden, reicht Ihnen ein Klick auf Zertifizierung und Sie kriegen Mikrozertifizierung erstellt, die Ihnen genau diese Identität überprüfen lässt von der Manager, dem zuständigen Mitarbeiter, der eben sagen kann, ja, diese Berechtigung darf derjenige haben, ja oder nein. Also auch wieder ein Gewinn an Sicherheit, wenn diese Outliers vorhanden sind.

Und glauben Sie mir eins, Sie werden im Unternehmen jede Menge Outliers haben, mit jedem Merge, der gemacht wird, mit jeder Umstrukturierung, die gemacht wird, mit jedem Zukauf von irgendwelchen Applikationen kommen immer wieder Outliers. Also das ist ein Begriff, der nicht nur nach oben oder nach unten geht. Das ist der Grund, warum wir hier auch hinterlegen, dass man mal sieht, was ist in den letzten 30 Tagen hierbei passiert. Also das ist also auch ein Punkt, der hilft, sowas zu machen. Ein weiterer Punkt ist die praktische Anwendung von Empfehlungen.

Das heißt also, wenn man sie mit zum Beispiel in Zertifizierung mit irgendwelchen Entscheidungen alleine lässt, also soll ich jetzt jemandem also hier diesen Howard Bays beispielsweise, den Howard Rose, soll ich dem ein bestimmtes Recht, soll ich dem das hinzufügen, also soll ich ihm das genehmigen, ja oder nein? Keine Ahnung, wer ist das eigentlich, fragt vielleicht der Manager. Kennt den man überhaupt, ist der neu bei uns oder gibt's den schon länger? Wenn ich überhaupt keine Ahnung habe, was ich von dem habe, muss ich natürlich irgendwas sagen können dazu.

Die Maschine kann ihn aber durchaus aus bestimmten Verhältnissen, Sie können hier vielleicht sehen, nicht empfohlen, weil nur 8% der Unitäten in derselben Lokation haben diesen Zugriff oder 12% der Unitäten im Department haben dieselbe Zugriffsmöglichkeit und so weiter und so fort. Die Maschine gibt ihnen also eine Empfehlung, ob sie diese Berechtigung genehmigen sollen oder freigeben sollen oder ablehnen sollen. Und ich meine, das Ziel von Zertifizierung ist natürlich, diese Berechtigung zu bereinigen, also sehr wohl auch was wegzunehmen.

Aber wie ist denn die Realität in deutschen Unternehmen? Die Realität ist in den allermeisten Fällen, dass ein Rubber-Stamping gemacht wird, das heißt also, wo ist meine Barcode, wo kann ich sagen, alle genehmigen, weil wenn ich alles genehmige, habe ich meinen Job erledigt und habe nichts kaputt gemacht, weil das ging ja vorher auch. Das ist natürlich nicht zielführend.

Wir haben das uns einfach mal angeschaut, wir sehen, dass 100% aller Behalten-Empfehlungen tatsächlich korrekt sind, also wir haben das mit Kunden von uns probiert, es sind knapp über 90%, die bei dem Entfernen korrekt sind. Da sind natürlich Sachen dabei, wo die Maschine sagt, ich würde es empfehlen, aber derjenige braucht die Berechtigung vielleicht, weil er vielleicht der Einzige ist, der für Geschäftsberichte zuständig ist, das braucht er eben einmal im Jahr. Ob es darum ein ganzes Jahr braucht, sei mal dahingestellt, aber er braucht zumindest diese Berechtigung.

Also man kann das natürlich überschreiben, aber auf jeden Fall führt das Befolgen der Empfehlung im Grunde zu ca. 50% mehr korrekten Rechte entfernen und das ist tatsächlich ein Gewinn an Sicherheit. Und dann ist noch ein Punkt Rollenpflege, wir hatten das vorhin mit dem Rollenmodell Rollenpflege, da gibt es natürlich Folgendes sozusagen. Sie wissen selber, wie es zu der Flut von AD-Gruppen gekommen ist, oder?

Man hat eine Gruppe und dann hat man irgendwann wieder Berechtigung, die Sache verändert sich, da baut man wieder eine Gruppe, da wusste man nicht mehr, wo war die Berechtigung drin, ach komm, mach eine Gruppe in eine Gruppe, dann wird genestet und so weiter und so fort und naja, Sie kennen das Ergebnis alle selbst. Wir sehen momentan denselben Trend bei Rollen.

Sie haben eine Rolle, da sind Berechtigungen drin, jetzt kommen neue Berechtigungen, ach ich weiß nicht genau, ach komm, mach noch eine Rolle und dann baut man halt noch eine Rolle dazu und anstatt vielleicht zwischen 5 bis 10 Rollen am Benutzer zu haben, also etwas, was ein Endbenutzer noch handeln kann für sich, was er verstehen kann, haben Sie vielleicht irgendwann nach ein oder zwei Jahren 25 Rollen oder 30 Rollen. Damit ist natürlich niemandem geholfen. Das ist also genau dasselbe Wildwuchs.

Und wir setzen hier auch wieder KI ein, um zum Beispiel zu gucken, wer hat denn welche Rolle und wer hat denn welche Berechtigung aus einer Anwendung und wenn jemand eine gleiche Rolle hat, also wenn mehrere Benutzer die gleiche Rolle haben und das gleiche Entitlement, dann macht es wahrscheinlich Sinn, dieses Entitlement in die Rolle mit reinzupacken. Denn wenn alle die gleiche Berechtigung haben, die auch diese Rolle haben, macht es ja vielleicht Sinn, das mit reinzunehmen. Die Maschine macht Ihnen zumindest den Vorschlag dazu.

Sie sagt Ihnen einmal natürlich, wie sieht denn Ihr rechtes Modell aus, also wie viele Berechtigungen werden über Rollen vergeben und wie viele Identitäten sind tatsächlich über Rollen berechtigt. Das können Sie ja einmal sehen, damit können Sie sehen, wie gut Ihr Modell funktioniert. Aber die Maschine sagt Ihnen auch, also ich habe hier eine bestimmte Rolle gefunden und da gibt es ein Entitlement und ich würde vorschlagen, dieses Entitlement packst Du dann noch mit rein.

Also das sind so Dinge, wenn Sie das mit der Hand am Arm machen müssen, genau dasselbe in Grönen, der Sache werden Sie nicht her und die Maschine liefert Ihnen im Prinzip jeden Tag eine qualitative Aussage, ob das Sinn macht oder nicht. Sie müssen es nicht befolgen, Sie können es aber befolgen, es macht Ihnen das Leben auf jeden Fall einfacher. Und der letzte Punkt, den wir hatten, das war natürlich in der Lieferkette. Lieferkette sind halt in aller Regel dann externe Mitarbeiter. Wie werden externe Mitarbeiter bei Ihnen verwaltet? Das ist eine Neverending Story.

Ich sehe da manchmal wirklich Horror Dinge, wie wirklich renommierte Unternehmen mit externen Mitarbeitern umgehen müssen oder umgehen sollen. Das ist einfach, da ist natürlich ein HR-System, das ist völlig Oversized dafür. Trotzdem wird manchmal ein HR-System benutzt, das geht mehr Recht als schlecht. Oder man benutzt halt eine wahnsinnig aufgebaute Excel-Tabelle, da ist natürlich auch niemandem wirklich mit geholfen. Sie haben keine Kontrolle über eine Excel-Tabelle, es soll sich keiner einbilden.

Was man halt wirklich braucht, ist eine Verwaltung von den eben nicht internen Mitarbeitern. Wie geht man damit um? Wir haben heute in unserem Kundenstamm, gibt es tatsächlich Unternehmen, die haben mindestens genauso viele externe Mitarbeiter wie interne. Das ist unvorstellbar. Also wir reden über 4.000, 5.000 externe Mitarbeiter und sie haben dasselbe nochmal an internen Mitarbeitern. Also das ist schon enorm, über was wir hier reden.

Und da sind natürlich Dinge dabei, dass zum Beispiel, ich sage mal, Martin Kuppinger wird es erlaubt, bei einer Firma zum Beispiel eigene Berater anzulegen, die eben für diese Firma beratend tätig werden. Martin Kuppinger darf das machen, ist in der Lage, ist von Ihnen autorisiert, sowas zu tun. Da wollen sie natürlich nicht unbedingt, was mit zu tun haben, aber sie wollen das stichpunktartig überprüfen, dass ein fremder Mitarbeiter, aber trotzdem Berechtigung hat, externe Mitarbeiter anzulegen.

Das heißt, wenn es einen Arbeitsauftrag gibt, also eine Signing zur Arbeit, dann muss dieser Mitarbeiter mit Berechtigung versorgt werden. Das sind Dinge, auch dazu liefern wir ein Tool, ein On-Tool ist es. Es ist nicht in das eigentliche IGA-Modul eingebunden, aber Sie können es mit dran flanschen. Ist hochgradig anpassbar, weil da sind die Prozesse halt wirklich, ich sage mal, durchaus unterschiedlich.

Es ist natürlich unterschiedlich, ob ich nur einen Lastwagenfahrer berechtigen muss, der halt irgendwelchen Stahl abholen soll, oder ob ich halt irgendwelche, wie ich eben das Beispiel von Herrn Kubinger genannt habe, wenn Mitarbeiter angelegt werden, die eben in einem Unternehmen tätig sind, oder irgendwelche andere Szenarien. Also das muss natürlich hochgradig anpassbar sein, in Form von allen möglichen Sachen, ob das, wie Sie hier sehen, ein Screenshot, Neuorganisationen sind, oder neue Non-Human, also sogenannte Bots, die vielleicht angelegt werden sollen, der Typen.

Also alles, was Sie sich vorstellen können, was eben an Identitäten erzeugt werden können müsste, was außerhalb eines HR-Systems steht, ich sage es mal so, das ist halt über dieses System machbar. Das sind die Dinge, die dort mit reinspielen.

Okay, das heißt, im Grunde genommen würde ich es dabei belassen. Ich weiß nicht, ob wir jetzt vielleicht eine Diskussion daraus machen können.

Sven, vielleicht kannst du einfach nochmal ein paar Worte dazu verlieren, was du denn in deiner Praxis so findest von diesen Dingen, über die wir jetzt gesprochen haben. Ich will einfach nochmal sagen, der Stichpunkt ist irgendwann im Oktober nächsten Jahres, im Prinzip sind die 21 Monate rum, die wir haben dafür. Ein Identity Management oder eine Security für eine Cyber Security unter NIST 2 Aspekten, das ist nichts, was von heute auf morgen geht.

Sie sollten so früh wie möglich damit anfangen und jeder erste Gehversuch, jedes erste Gespräch mit irgendjemandem darüber, der was davon versteht, ist ein Schritt in die richtige Richtung. Aber sie müssen natürlich auch irgendwann nochmal eine Entscheidung treffen, wie sie weitermachen wollen. Aber das ist nichts, was sie auf die lange Bank schieben können.

Okay, dann werden wir jetzt offen für Fragen. Genau, und das wäre jetzt so genau das Thema. Wir haben eine ganze Menge Fragen hier. Wir haben auch interessante Poll-Resultate hier. Gerne auch noch weitere Fragen eingeben, denn je mehr Fragen wir haben, desto besser ist das Ganze natürlich. Das gilt ja immer so ein bisschen, dass man eben einfach mit mehr Fragen dann auch ein interessanteres Q&A, eine interessantere Q&A Session hat. Ich würde mal mit einer Frage anfangen, die reinkam, weil ich die für ausgesprochen interessant halte.

Ich hatte in meiner Präsentation aufgelistet, welche wesentlichen Sektoren drin sind. Das habe ich in der Masse NIS2-Richtlinien. Dann kam die berechtigte Frage, in welchen Sektor fallen Versicherungen, Versicherungsunternehmen, die im eigentlichen NIS2-Text erstmal nicht auftauchen. Und das ist, denke ich, eine ganz zentrale Frage. Neben dem NIS2-Gesetz gibt es natürlich die aktuelle Kritisregulierung mit drin. Es gibt natürlich auch eine VAIT aus der klassischen Regulatorik her.

Und es gibt im Moment im Referentenentwurfsstadium befindlichen Entwurf für das NIS2-UMSU-CG, das NIS2-Umsetzungs- und Cybersicherheitsgesetz. Das heißt, wie vorher erwähnt, gibt es ja immer eine Umsetzung praktisch internationaler Recht. Das ist eine Erweiterung de facto der jetzigen Kritisregulierung, die in die NIS2-Themen reingenommen werden. Zum aktuellen Stand des Referentenentwurfs hat man das Bankwesen wieder erweitert in Richtung finanzielles Versicherungswesen.

Das heißt, im Prinzip ist da zum Stand jetzt die Versicherung voll mit drin und würden dann eben typischerweise auch als wesentliche Unternehmen gelten. Referentenentwurf heißt natürlich, es können sich noch Dinge ändern. Es ist noch nicht verabschiedet. Zum Stand jetzt würde ich aber einfach auch was der Historie oder mit Blick auf andere Regulierungen davon ausgehen, dass man eben einfach gut mit dabei ist.

Ich hoffe, das beantwortet die Frage an dieser Stelle zunächst mal. Weiß ich, Herr Hild, Herr Hübner, ob Sie noch was dazu beitragen wollen? Versicherungen waren schon immer ein hochregulierter Markt. Die waren schon NIS dabei, von daher sehe ich da nichts weiter zu ergänzen. Das passt schon. Viele der Erfahrungen und Praxisthemen kommen durchaus auch von Versicherungen. Nächste Frage. Unser Unternehmen ist im Scope und hat bislang noch nichts umgesetzt. Was sind die Voraussetzungen für ein Assessment?

Das hängt jetzt wahrscheinlich bei Ihnen, Herr Hild und Herr Hübner, ein bisschen davon ab, wie Sie den Scope und den Umfang Ihres Assessments definieren. Wer von Ihnen möchte anfangen, Herr Hild? Von mir aus gerne. Bei uns ist natürlich der Scope ganz klar auf das Identity Management selbst, auf das IGA-System bezogen. Und wenn man sich das auf der SailPoint-Seite anschauen möchte, dann wird das natürlich immer ein Assessment sein, was jetzt sehr stark auf Prozesse orientiert ist und wie Prozesse umgesetzt werden, wie Prozesse gehalten werden.

Wir haben das versucht, von Produkten loszulösen. Man könnte natürlich immer irgendwo ein Produkt dahinter schreiben, gerade wenn man sich in der Branche ein bisschen auskennt. Aber wir reflektieren in diesen Antworten nicht zu sagen, da musst du das Produkt nehmen oder das oder das Produkt nehmen, sondern es geht wirklich darum, jemandem zu vermitteln, wie weit er in seinem Prozess ist, wie er eben mit Identitäten und den überwachten Prozessen dazu umgeht. Aber es ist sehr stark auf diese Identitätssicherheit abgestellt.

Ich denke, dass eine Coge das ein bisschen weiterfasst. Richtig. Wir versuchen letztendlich, ich habe es auch schon ein bisschen reingeschrieben, eine Gap-Analyse zu machen. Das heißt, wir gehen tatsächlich mit zwei Streams los. Wir gucken uns wirklich die Source-Systeme an. Wir gucken uns die Target-Systeme, die wesentlichen Target-Systeme an, wie dort der Reifegrad ist bezüglich genau dieser Themen und gehen dann eben auch diesen Schritt, erste Maßnahmenkataloge zu erstellen. Das ist jetzt wirklich die technische Sicht.

Das heißt, da würde auch tatsächlich ein technischer Kollege im Wesentlichen die Aufgaben machen. Und parallel dazu gehen wir mit den Leuten, die stärker im Business unterwegs sind, die Prozesse, durch die genau darauf einzahlen und machen eine Prozess-Analyse. Das heißt, wir würden tatsächlich zweistufig vorgehen und das am Schluss in ein Bild versuchen zusammenzuführen. Und wie gesagt, da ist es auch egal, wie weit man schon ist. Letztendlich kann man immer an der aktuellen Situation ansetzen. Richtig. Und am Ende ist es so, was braucht es für ein Assessment?

Es braucht Zugriff auf die Stakeholder und ein Budget und den Wille, es zu tun. Und dann hoffentlich die Bereitschaft daraus, auch die richtigen Maßnahmen zu ergreifen. Solche Assessments sind auch, das muss man immer dazusagen, letztlich keine Rocket Science im Sinne von was muss man alles beisteuern, etc. Weil ich glaube, die Firmen, die Assessments machen, haben wir jetzt alle drei in unserer Erfahrung, wissen dann auch genau, welche Fragen gestellt werden müssen. Und ich denke, das ist ein sehr zentraler Punkt.

Dazu passt vielleicht auch die Frage noch, wie viel Zeit werden für Assessment und dann die Entwicklung einer Roadmap benötigt? Da das Thema Roadmap bei uns ja sehr stark im Fokus ist, im Prinzip kann das schon nach wenigen Wochen erste Ergebnisse zeigen. Es ist jetzt ein bisschen die Frage, wie tief man gehen soll. Aber ich glaube, man kann in drei Monaten schon ein ganz hervorragendes Ergebnis erzeugen. Das ist natürlich ein bisschen davon abhängig, wie stark auch die Mitarbeit ist. Das kennen wir alle. Viele haben keine Zeit.

Aber wenn man wirklich konzentriert Workshops mit den Kollegen machen kann und das auch organisieren und dann am Schluss zusammenfassen kann und sich so eine Roadmap erstellen kann, denke ich, ist man nach drei Monaten schon ziemlich weit. Richtig. Der COVID-Ansatz bei uns mit diesem Maturity Assessment, das dauert im Prinzip nur ein paar Minuten. Das sind Sachen, die kann man so aus dem Kopf beantworten.

Da braucht man kein tieferes Wissen, sondern man kann das wirklich ganz subjektiv aus seiner Brille beantworten und sieht dann halt eben, wo man mit dieser Sicht auf die Dinge, wo man halt eben in dieser Maturity steht. Also das ist einfach ein Anfang, um vielleicht mal irgendwo zu wissen, wo fange ich überhaupt an zu sprechen. Jetzt habe ich ja nochmal eine Frage, die ich vielleicht erst mal selber aufgreife, weil sie doch wieder sehr stark in die Regulatorik reingeht. Und nagelt sie mich nicht darauf fest, auf die Antwort. Das ist nach bestem Wissen und Gewissen.

Aber ich glaube, die Richtung müsste stimmen. Die Frage lautet, was fordert NIST 2 denn mehr als BAIT oder VAIT in Sachen IAM? Ich würde gerne noch eine weitere Regulierung reinbringen. An der Stelle, das ist DORA, also der Digital Operations Resiliency Act, der ja auch noch mit reinspielt in dieses Thema, dann entsprechend reflektiert wird, wo wir ja so ein paar Dinge dazu haben, noch wie bei Österreich eben nicht mehr nur Zugriff, sondern auch Zugang oder Zutritt kontrollen. Das heißt, dass auch solche Themen entsprechend einbinden. Das kommt noch ein Stück weit dazu.

Das findet sich auch wieder auf der NIST 2 Seite. Grundsätzlich gilt aber, wenn ich auf die reine IAM Seite schaue, dann ist der Schritt von einer soliden, starken Erfüllung einer BAIT-VAIT zu einer Erfüllung von DORA und NIST 2 zwar in Teilbereichen nochmal deutlich.

Also auch, wie gesagt, gerade mit dem etwas Groberweiterung eben in Richtung auch physische Zugänge etc., die dann eben auch mit in Governance-Prozesse müssen. Aber der Hauptaufwand, die liegt sicherlich dann eher in den generellen Cybersecurity-Prozessen. Da kommt schon einiges, das einiges gefordert, einiges definiert. Man hat aber natürlich, und das gilt ja auch ganz grundsätzlich als Unternehmen, das eben einer starken Regulierung ohnehin unterliegt, hat man natürlich immer, ich sage mal, einen Startvorteil.

Also das ist einfach der Vorteil, dass es, glaube ich, da leichter ist, wie wenn ich jetzt ein Unternehmen bin, das eben bisher eigentlich vergleichsweise wenig in diesem Bereich Erfüllung regulatorischer Anforderungen machen musste. Also ich würde es so unterschreiben, dass ich denke mal, der wesentliche Unterschied ist tatsächlich, dass die Sachen auch deutlicher beschrieben sind. Das ist halt ein Punkt.

Man merkt, dass auch die Menschen, die NIST 2 geschrieben haben, eben auch gelernt haben und genauer geworden sind. So ist zum Beispiel explizit die Lieferkette genannt worden, was vorher nicht so sehr gemacht war. Da hat man immer nur über Identitäten allgemein gesprochen. Jetzt hat man die Lieferkette bewusst gemacht, weil eben ein Großteil der Angriffe, die heute passieren, passieren tatsächlich über Third-Party-Accounts, die eben verweist irgendwo rumstehen und dann tatsächlich den Hackern Tür und Tor öffnen, um da eben weiterzumachen. Das wollte man damit explizit unterbinden.

Also es ist eher präziser geworden, als dass die Funktionalität erweitert worden wäre. Ich würde jetzt an der Stelle gerne noch meinen Blick aufwerfen auf die Pols, auf die beiden. Wir haben noch wenige Minuten Zeit. Die erste Umfrage hat sich damit beschäftigt, wo steht man mit den Maßnahmen? Und ich denke, das ist schon recht deutlich, dass es einfach ein sehr signifikanter Anteil ist, der im Moment eigentlich, also kein Arztfertig. Die meisten, 92 Prozent, liegen irgendwo zwischen ich bin nicht betroffen, das war in der zweiten Pols sehr wenige, und eben ich bin noch in der Planung.

Das heißt ein wirklich im Sinne laufendes Projekt. Ich bin wirklich dran, mich damit zu beschäftigen. Das sind in dem Moment acht Prozent. Das ist nicht viel und die Uhr tickt. Das ist der eine Punkt. Vielleicht können wir gleich noch einen Blick werfen auf die zweite Pol an dieser Stelle. Die zweite Umfrage, die hat auch aus meiner Sicht ein ganz interessantes Bild ergeben, nämlich Betroffenheit. Und wir haben einerseits jetzt hier, und die Beteiligung war hier sehr gut, eben doch ungefähr 60 Prozent, die sagen, ja, wir wissen, dass wir betroffen sind.

Es gibt wenige hier, die nicht betroffen sind. Es gibt aber doch auch noch fast ein Drittel, die eben noch in dieser Unklarheit sind. Und ich glaube, es ist sehr wichtig, wirklich für jedes Unternehmen im Moment, einfach erst mal die Klarheit beizuführen. Und das kann sich, wie gesagt, ändern. Das Umsetzungsgesetz ist ja noch in der Mache. Aber die Klarheit herbeizuführen, bin ich betroffen? Bin ich höchstwahrscheinlich betroffen? Und sich vorzubereiten.

Ich meine, am Ende des Tages, wenn man an NIST 2 arbeitet, man kann eigentlich nichts falsch machen, weil man einfach nur seine Cyber Resilience erhöht. Das heißt, selbst wenn man nachher gerade so eben rausfällt, dann hat man trotzdem das Richtige gemacht.

Ja, genau. Okay, dann schließen wir die Pols mal wieder. Und wir würden einfach noch zum Abschluss der Q&A-Session, können wir vielleicht noch eine Frage aufgreifen. Ich schaue gerade mal an dieser Stelle.

Ja, die Frage, glaube ich, ist aber ganz gut. Auch müssen für die Qualifizierung respektive, bin ich, falle ich unter die Richtlinie, sowohl Größe als auch Sektor erfüllt sein? Man kann sich das als eine Matrix vorstellen. Das heißt, wenn ich in eine der Größen reinfalle, bin ich dabei. Und wenn ich in ein Sektor reinfalle, bin ich dabei. Die Frage ist nur, falle ich unter die sozusagen verschärften wesentlich oder unter die weniger, etwas weniger scharfen, aber durchaus sehr relevanten, wichtigen Unternehmen? Ergänzung von Ihrer Seite noch?

Ne, passt aus meiner Sicht. Also eigentlich trifft es, jeder müsste was tun.

Na, denn die Management ist immer eine gute Basis, um seine Berechtigung im Griff zu haben. Und ich glaube, dass halt, wie gesagt, es sind zehnmal mehr Unternehmen, die in diese 9x2-Regularien mit reinfallen. Das ist schon eine ganze Menge. Es würde mich wundern, wenn jemand wirklich sagt, ach ne, für mich trifft das nicht. Das sind dann schon relativ kleine Unternehmen.

Ja, oder es gibt ein paar Branchen natürlich, die schon im Prinzip nicht unmittelbar betroffen sind. Aber wie gesagt, wir haben ja oft gerade auch das gesamte Supply Chain Thema, beispielsweise eine gewisse Mittelbarkeit, die eben dazu führt, dass man selbst, wenn man nicht unter die Regulierung fällt, am Ende trotzdem sich daran orientieren muss. Ja.

Gut, dann wären wir, jetzt ist es, glaube ich, mein Bildschirm teilen, hat sich verabschiedet gehabt. Dann teile ich mein Bildschirm nochmal. Und eigentlich vor allem, ansonsten, es gibt viel Research, der sich in unterschiedlichen Bereichen damit beschäftigt. Das andere, worauf ich raus möchte, ist einfach, dass ich allen Danke sage. Danke an die Herren Hübner und Hilt. Danke an alle Teilnehmer, auch für die rege Beteiligung bei den Polls, die war heute herausragend. Danke an SailPoint für die Unterstützung des Google Webinars.

Hoffentlich haben wir Sie bald wieder bei einem unserer Webinare oder einem unserer Events. Und zögern Sie nicht, auf jeden von uns zuzukommen, wenn Sie weitere Fragen und Informationsbedarf haben. Besten Dank. Besten Dank. Vielen Dank.