Lösungen für regulierte Branchen

Sie brauchen dieselben Regeln wie Mitarbeitende: einen benannten Eigentümer, einen Lebenszyklus und eine regelmäßige Rezertifizierung. Bei KI-Agenten kommt hinzu, dass sie zur Laufzeit selbst entscheiden, welche Werkzeuge sie aufrufen. Wie ein Kontrollmodell dafür aussieht, beschreiben wir in unserem White Paper zur Agentenidentität, kostenlos und ohne Formular.

Von einem Big Bang raten wir ab. Stellt man alle Anwendungen und Prozesse auf einmal um, sind Fachbereiche, Betrieb und Revision gleichzeitig überlastet, und ein Fehler trifft sofort die ganze Organisation. Wir führen schrittweise ein, zuerst die Anwendungen mit dem höchsten Risiko, danach die übrigen in festen Wellen mit Test und Freigabe. Jede Welle liefert einen prüfbaren Zwischenstand, und der Betrieb bleibt stabil.

Als herstellerneutrale Beratung empfehlen wir kein Werkzeug pauschal. Entscheidend ist, was es in Ihrer Umgebung leisten muss: Sitzungen privilegierter Konten aufzeichnen und auswerten, auffälliges Verhalten erkennen, Cloud-Konsolen und Schlüssel abdecken und Alarme an Ihr SIEM weitergeben. Anhand dieser Anforderungen vergleichen wir die infrage kommenden Werkzeuge gemeinsam mit Ihnen. Praxis haben wir unter anderem mit CyberArk, siehe unsere Fallstudie zur PAM-Transformation.

Auf die Benutzerrezertifizierung und ebenso auf die Rollenrezertifizierung, bei der geprüft wird, ob jede Rolle so aufgebaut ist, wie es das Berechtigungskonzept vorgibt. Dazu kommen Rollenmodelle nach RBAC und ABAC, die regelbasierte Zuweisung von Berechtigungen über RuBAC und Birthright-Rollen, das Aufsetzen von Richtlinienprüfungen zur Vermeidung toxischer Rollenkombinationen (SoD-Prozesse), die Konversion von intern zu extern und von extern zu intern, privilegierte Zugriffe mit Just-in-Time-Freigabe, Notfallzugriffe (Break-Glass-Prozesse) und die Anbindung neuer Anwendungen an die IGA-Plattform. Für Non-Human Identities gehören Eigentümerschaft und Nachfolgekette dazu.

Mit Nachweisen, die aus dem IAM selbst kommen: wer welche Berechtigung wann beantragt, genehmigt und bestätigt hat und wann sie entzogen wurde. Die Delegierte Verordnung (EU) 2024/1774 zu DORA verlangt in Artikel 20 und 21 ein geregeltes Identitäts- und Zugriffsmanagement mit klarer Rechenschaft. Wir ordnen jede Kontrolle der passenden Fundstelle zu, damit der Prüfer den Nachweis direkt findet.

Adminrechte gibt es nur auf Zeit. Administratoren arbeiten im Alltag mit einem Standardkonto und erhalten privilegierte Rechte per Just-in-Time-Zugriff nur für eine konkrete Aufgabe, nur für deren Dauer, nach Freigabe und mit Protokoll. Danach fallen die Rechte automatisch weg. Im Normalbetrieb gibt es damit keine offenen Adminrechte, die ein Angreifer übernehmen könnte.

Pauschal lässt sich das nicht beantworten. Den fachlichen Kern beherrschen die etablierten Systeme alle, ob SailPoint IdentityIQ, One Identity Manager oder Omada Identity Suite: Lebenszyklus, Rollen, Rezertifizierung und Funktionstrennung. Vor der Auswahl steht deshalb das Target Operating Model. Es legt fest, wer die Plattform betreibt, wer Rollen und Anbindungen pflegt und welche Ressourcen dafür im Unternehmen tatsächlich zur Verfügung stehen. Erst danach lassen sich die übrigen Kriterien sinnvoll gewichten, etwa Betrieb im eigenen Rechenzentrum oder als SaaS, die Konnektoren für Ihre Anwendungen, die Komplexität des Rollenmodells und die Kosten über die gesamte Laufzeit. Diese Bewertung machen wir mit Ihnen, bevor eine Lizenz gekauft wird.