Ein schlanker Ansatz für Identity & Access Governance

Identity & Access Governance (IAG) erweitert seit über einem Jahrzehnt klassische IAM-Architekturen und verbindet Anforderungen aus GRC und operativem Identity & Access Management. Ziel ist die Steuerung verwalteter Identitäten (z. B. Vermeidung verwaister Konten) sowie die Kontrolle von Zugriffen in IT-Systemen, um regulatorische Vorgaben zu erfüllen und Zugangsrisiken durch überhöhte Berechtigungen zu senken. Zentral sind Prozesse wie Access Request Management, Rezertifizierung/Access Reviews und die Überwachung von Segregation of Duties (SoD). Rezertifizierung ist dabei ein Schlüsselmechanismus, weil nur dokumentierte, fristgerecht abgeschlossene Zyklen gegenüber Auditoren als Compliance-Nachweis zählen.

Der heute verbreitete Ansatz scheitert jedoch häufig: Er ist komplex, nachgelagert (prüft erst, wenn Berechtigungen längst aktiv sind), erzeugt hohen Termindruck und konkurriert mit „echten“ Geschäftsaufgaben. Zudem fehlt Rezertifizierern oft das notwendige Gesamtbild (Rollen, aktuelle organisatorische Veränderungen, Kritikalität), während Umstrukturierungen und wechselnde Verantwortlichkeiten historisches Wissen entwerten. Das Ergebnis sind langwierige, teure, ineffektive und teils fehleranfällige Verfahren, die zwar Arbeitslast erzeugen, aber Risiken nicht zielgenau minimieren.

Als Ausweg wird ein schlanker, risikoorientierter Ansatz beschrieben: technische Berechtigungen müssen in Fachsprache übersetzt werden, manuelle Rezertifizierung sollte auf tatsächlich riskante oder manuell vergebene Berechtigungen fokussieren, und Zyklen müssen je nach Kritikalität variieren (niedriges Risiko seltener, hohes Risiko laufend/flexibel). Kleverware IAG dient als Beispiel für eine schnell einsetzbare, fokussierte Access-Governance-Lösung ohne Identity Provisioning, die Zugriffe systemübergreifend konsolidiert, Abweichungen zwischen beantragt und gewährt erkennt, SoD-Verstöße identifiziert, Mutations-Erkennung nutzt, Reviews auf Änderungen und Hochrisiken konzentriert und über standardisierte Berichte Compliance nachweist—auch durch Integration mit bestehenden Provisioning- oder ITSM-Systemen wie ServiceNow.

• Identity & Access Governance ist sowohl im GRC-Markt als auch im traditionellen IAM-Markt verortet.
• Access Governance umfasst Prozesse zur Modellierung/Design von Zugriffskonzepten, zur Anforderung/Genehmigung/Überprüfung/Entziehung von Berechtigungen sowie zur Steuerung und Einschränkung von Zugriff auf verschiedenen Ebenen.
• Rezertifizierungen adressieren typischerweise Linienvorgesetzte sowie System- oder Service-Eigentümer zur Bestätigung, Änderung oder zum Widerruf bestehender Rechte.
• Für Compliance ist der dokumentierte Nachweis entscheidend, dass erforderliche Rezertifizierungszyklen abgeschlossen wurden.
• Der gängige Rezertifizierungsansatz basiert auf der Erfassung aktueller Berechtigungs- und Benutzerdaten über IT-Systeme hinweg und anschließender manueller Prüfung.
• Bis zum Zeitpunkt der Rezertifizierung sind die zugewiesenen Berechtigungen in der Regel aktiv und in Gebrauch.
• In IT-stark geprägten Unternehmen kann die Anzahl der Berechtigungen im Access-Governance-Data-Warehouse eine fünf- oder sechsstellige Größe erreichen.
• Kleverware wurde 2005 gegründet und hat seinen Sitz in Paris, Frankreich.
• Kleverware IAG enthält kein Identity Provisioning und fokussiert auf Governance-Aspekte statt administrative IGA-Funktionen.
• Die Datenerfassung für Kleverware IAG erfolgt agentenlos über Exporte (z. B. CSV) oder Standardschnittstellen wie LDAP, und das zentrale Warehouse basiert auf einer In-Memory-Datenbank.

• „Jedes Unternehmen muss über eine gut funktionierende Identity & Access Governance verfügen, nicht nur zur Einhaltung der sich ständig verschärfenden Vorschriften, sondern auch zur Verringerung des Geschäftsrisikos, das sich aus Zugangsrisiken aufgrund überhöhter Berechtigungen ergibt.“
• „Manuelle Überprüfungen auf Basis von Zertifizierungs- und Rezertifizierungsprozessen sind wichtige Bausteine der Corporate Access Governance – aber halten sie diese schlank.“
• „Die Herausforderung ist, die Balance zwischen dem, was für Audits gemacht werden muss und dem, was die Organisation leisten kann, zu finden.“
• „Wenn die in Identity & Access Governance eingebundenen Personen nicht das notwendige Wissen für den Prozess haben, wird der Prozess scheitern.“
• „Nicht alle Berechtigungen sind gleichermaßen kritisch. Sie müssen verstehen, was wirklich kritisch ist und sich darauf fokussiren.“
• „Identity & Access Governance soll das Geschäft fördern und nicht nur eine Last sein.“
• „Es geht darum, für das Unternehmen zu arbeiten, über die Zusammenarbeit mit den Auditoren hinaus – sei compliant, aber in einer Weise, die das Unternehmen nicht schädigt.“
• „Kleverware bietet eine schlanke und fokussierte Lösung für Identity & Access Governance, die schnell implementiert werden kann und Unternehmen dabei unterstützt, kurz- und langfristige Anforderungen ohne lang laufende Projekte zu lösen.“
• „Durch den gewählten schlanken Ansatz kann selbst die Enterprise-Version schnell und effiizient implementiert werden.“
• „Automatisieren Sie Ihre Access Governance-Prozesse, wo immer es möglich ist. Reduzieren Sie den manuellen Aufwand (Zugriffsanforderung, Zugriffsberechtigung und Zugriffsrezertifizierung) auf das minimal mögliche Maß.“