Cyberangriffe und deren Folgen sind Horrorgeschichten für Unternehmen jeder Größe und die Methoden werden immer raffinierter. Die Abwehrkraft dagegen kann mit verschiedenen Mitteln erhöht werden. Ein effektives Identitätsmanagement zusammen mit dem Management der Zugriffsberechtigungen sämtlicher Identitäten ist eines der effektivsten.
Digitale Identität als Inhaber von Zugriffsrechten
Wenn wir über unberechtigte Zugriffe und dadurch verursachte Schäden sprechen, dann sollten wir zwei unterschiedliche Szenarien auseinanderhalten:
(a) Cyberangriffe.
Cyberangriffe sind böswillig. Sie werden mit Absicht und mit krimineller Energie ausgeführt.
b) Menschliches Versagen.
Menschliches Versagen ist meistens ein Unfall aufgrund von Unachtsamkeit, Bequemlichkeit oder Unwissen.
Rund 2/3 der sicherheitsrelevanten Vorfälle entstehen innerhalb der Organisation und ohne Beteiligung von Außenstehenden. Die allermeisten dieser Vorfälle gehören in die Kategorie menschlichen Versagens. Anders formuliert: Mehr als Hälfte aller IT-Security-Vorfälle werden ganz profan durch irrtümliche Fehlbedienung von Soft- oder Hardware ausgelöst. Nicht selten durch Personen, die eigentlich diesen Zugriff gar nicht bräuchten und gar nicht wissen, was sie damit alles tun können.
Um dem zu entgegnen braucht es ein Management, das die Zugriffsrechte und deren Inhaber nach den Prinzipien von Zero Trust regelt. Diese Prinzipien sind zum Beispiel der Zwang zur kontinuierlichen Autorisierung, das Prinzip des Least Privilege oder die Multi-Faktor-Authentifizierung.
Diese Inhaber von Zugriffsrechten sind digitale Identitäten aller Art, also sowohl Menschen wie auch Geräte und Applikationen. Das ist sehr umfassend, aber es muss ja nicht immer gleich komplett durchstrukturiert sein, Quick Wins sind schnell erreicht.
Hohe Anforderungen an Agilität und Sicherheit – Wie geht das zusammen?
Heute sieht sich ein Unternehmen mit der Anforderung konfrontiert, agil zu sein und rasch handeln zu können. Gleichzeitig sollen aber die Sicherheitsstrategien felsenfest dastehen und trotzdem schnell anpassbar sein, um auf neue Ausgangslagen reagieren zu können. Zusätzliche Sicherheitsmaßnahmen? Klar, aber nur, wenn es die Prozesse und Mitarbeiter nicht stört…
Nun, vorgewarnt zu sein bedeutet gewappnet zu sein und das ist die magische Kraft, die einem Unternehmen hilft, die Schrecken von Cyberangriffen und kritischen Fehlern zu besiegen und einen Ernstfall zu überleben, indem es seine Cyber-Resilienz erhöht.
Agilität und Resilienz schließen sich zum Glück nicht immer gegenseitig aus. Richtig ist, dass viele Technologien und Prozesse, die der Sicherheit dienen, die Agilität einer Organisation beeinträchtigen können. Gerade beim Identitätsmanagement muss das aber nicht so sein.
Eine gute Lösung für das Management von Identitäten und deren Zugriffsrechten ist einfach zu bedienen und daher immer auch ein Automatisierungskatalysator. Sie macht die Organisation nicht nur sicherer, sondern auch schneller. Stichworte dazu sind zum Beispiel das Onboarding von neuen Mitarbeitern (Joiner), Änderungen von Berechtigungen durch neue Aufgaben oder Wechsel innerhalb der Organisation (Mover) oder Mitarbeiter, die das Unternehmen verlassen und möglichst automatisch und unmittelbar nach ihrem Abgang sämtliche Zugriffe verlieren sollten (Leaver).
Cyber-Resilienz in Zeiten von Cloud und Remote-Work
Wissen Sie, wie viele Cloud-Apps im Unternehmen verwendet werden und wo überall unternehmensrelevante Daten liegen? Wer alles darauf Zugriff hat? Wie sieht es mit all jenen aus, die Admin-Rechte haben? Das alles sind wichtige Themen und da die Digitalisierung und die Cloud aus verständlichen Gründen rasanten Einzug in unseren Arbeitsalltag gehalten haben, konnte ein Management all dessen meistens nicht einmal ansatzweise Schritt halten.
Sicheres Remote-Working basiert maßgeblich auf der Cloud und muss unbedingt funktionieren, damit Mitarbeiter, Systeme, Partner und sensible Unternehmensdaten geschützt bleiben. Die Gewährleistung der Sicherheitsüberwachung, der Schutz der Endpoints, die auf das Netzwerk zugreifen, sichere und robuste Verbindungen, die Stärkung von Governance-, Risk- und Compliance-Richtlinien – all das trägt dazu bei, die Angriffsfläche des Unternehmens zu verringern.
Möglicherweise der erste große Quick Win
Unabhängig davon, ob Sie die bestehenden Komponenten Ihrer Sicherheitsstrategie stärken oder ein neues Sicherheitsprogramm entwickeln wollen – die Verbesserung der Cyber-Resilienz hilft, sicher zu arbeiten, was immer die Zukunft bringt. Cyber-Resilienz kann durch die Implementierung der digitalen Identität und deren Verwaltungstools entscheidend vorangetrieben werden. Falls noch kein solches Tool im Einsatz ist, dann kann das der erste große Quick Win sein.
Die harte Wahrheit ist, dass Sie am Ende des Tages die besten Firewalls, AppSec-Tools und Verschlüsselungstechnologien nutzen können – ohne ein Identitäts- und Zugriffsmanagement (Identity and Access Management – IAM) stösst die Security immer wieder an Grenzen. Das Identitäts- und Zugriffsmanagement nach den Prinzipien von Zero Trust kann Fehlbedienungen durch Mitarbeiter minimieren und gleichzeitig erreichen, dass Angreifer nur wenig oder gar nichts ausrichten können, selbst wenn sie sich die Credentials eines Mitarbeiters beschafft haben.
Gestohlene Credentials sind in über 90% der Ransomware-Attacken das entscheidende Einfallstor und die Phishing-Methoden sind zuweilen so gut, dass immer wieder genügend Menschen darauf hereinfallen. Von den Mitarbeitern, die in jedem ihrer 100 Accounts das gleiche Passwort nutzen – am besten noch ein simples wie den Unternehmensnamen mit 123 hinten dran – ganz zu schweigen.
Stellen Sie sich vor, was es bedeuten würde, wenn das alles die Angreifer nichts mehr nützen würde, weil sie dank einer soliden Multi-Faktor-Authentifizierung trotzdem nicht reinkommen. Und wenn doch, dann können sie nicht viel anrichten durch die Umsetzung des Least Privilege-Prinzips oder durch die Inaktivierung des gesamten Nutzers per Knopfdruck durch einen intelligenten Alert.
Moderne IAM-Tools gehen sogar noch einen Schritt weiter und bieten ein zentrales, hochsicheres Login, das die Rechte und Zugänge zu allen anderen Accounts übernimmt (Stichworte dazu sind Provisionierung und Federation bzw. Single Sign-On). Das kann so gestaltet werden, dass die Mitarbeiter die einzelnen Passwörter gar nicht mehr kennen. Zudem können Passwörter so oft automatisch gewechselt werden, wie man will. Da wird schnell klar: So ein System steigert nicht nur die Cyber-Resilienz enorm, sondern macht die tägliche Arbeit für die Mitarbeiter sogar einfacher und schneller.
Identity and Access Management
Kurz gesagt ist das Identitäts- und Zugriffsmanagement die Grundlage, auf der die Cybersicherheitsinfrastruktur eines modernen Unternehmens aufgebaut werden sollte. Sie ist der Dreh- und Angelpunkt.
Mit IAM erlaubt die IT nur den richtigen Personen, Geräten und Diensten den korrekten Zugriff auf die nötigen Anwendungen und Daten zur richtigen Zeit. Tut dies ein Unternehmen nicht, dann besteht höchstwahrscheinlich ein erhebliches Risiko eines Sicherheitsverstoßes. Der Zero Trust-Ansatz sagt es in aller Deutlichkeit: Es WIRD passieren. Assume breach, not compliance.
Sollte ein Unternehmen eine Zertifizierung hinsichtlich IT-Sicherheit ins Auge fassen wie zum Beispiel nach ISO 27001, wird es nicht darum herumkommen, die Funktionen eines IAM’s in irgendeiner Form abzubilden. Active Directory alleine reicht da kaum.
Ein starkes Identitäts- und Zugriffsmanagement versetzt Ihr Unternehmen in die Lage, die ständigen, unvermeidlichen großen und kleinen Veränderungen zu verkraften, die Unternehmen auf dem digitalen Markt erleben, z. B. die Einführung neuer Technologien, ständiger Personalwechsel, die unkontrollierbare Ausbreitung der großen Public Clouds usw.
Die Bedeutung des Identitäts- und Zugriffsmanagements sollte nicht unterschätzt werden, im Gegenteil – sie nimmt immer weiter zu, da die IT-Umgebungen immer komplexer und dynamischer werden und die Digitalisierung der Geschäftsprozesse voranschreitet. Hier kommt ein IAM nicht an seine Grenzen, es fängt gerade erst an zu wirken. Genau dafür ist es gemacht.
Ohne ein IAM, inklusive Governance- und Reporting-Funktionen, wie sie zum Beispiel das Audit & Compliance Dashboard bereitstellt, werden moderne IT-Technologien wie Cloud Computing, Mobilität und Microservices nicht so effizient und sicher sein, wie Sie es sich wünschen, weil die Identitäten fragmentiert und isoliert bleiben, was ihre Verwaltung komplex, unberechenbar und unsicher macht.
Eckpfeiler der digitalen Zukunft
Wer im Spiel um die großen Chancen der digitalen Wirtschaft mitmischen will, sollte sich auch mit den damit verbundenen Bedrohungen auseinandersetzen. Mehr denn je sollte die Cyber-Resilienz eine der obersten Prioritäten eines Unternehmens sein und das bedeutet, dass es ein starkes digitales Identitätsmanagement sicherstellt. Digitale Identitäten sind ein Eckpfeiler der digitalen Zukunft.
💡 Quellen:
Accenture “Digital Identity: the new cornerstone of cyber resilience”
TechBeacon “How IAM powers cyber resilience: 5 best practices”