Von Konten zu Identitäten: Cybersicherheit für die Praxis
Die überwiegende Zahl der geschilderten Nachteile lässt sich allerdings vermeiden. Und zwar, wenn man sich von der disparaten, kontobasierten Strategie verabschiedet und zu einem einheitlichen, identitätszentrierten Ansatz übergeht. Damit gelingt es, Komplexität zu reduzieren, Abläufe zu rationalisieren, die Sicherheitsteams besser zu unterstützen und Governance überhaupt erst zu ermöglichen – und vor allem, IT-Teams von alltäglichen, wiederkehrenden Aufgaben zu entlasten.
Identitätsbasierte Sicherheit erreicht man am besten, wenn man diesen Prozess wie die Maslowsche Bedürfnispyramide betrachtet. Man muss zunächst bestimmte Grundlagen schaffen, ehe man die nächste Hierarchieebene angeht. Die Grundlage bildet der Zugriff – wenn Benutzer nicht auf ein System zugreifen können, lässt sich der Prozess nicht weiterführen. Als nächstes stellt man sicher, dass alle anfallenden Aufgaben zuverlässig erledigt werden. Hier kommen bestimmte Kontrollmechanismen hinzu, wie zum Beispiel Richtlinien, Standards, Leitlinien und Verfahren, die die Sicherheit eines Systems beeinflussen und verbessern. Das Management schließlich überwacht alle unteren Hierarchieebenen, erstattet darüber Bericht, und man erhält zu guter Letzt Governance. Ein Schritt, den man nur erreichen kann, wenn auf den darunter liegenden Ebenen alle notwendigen Voraussetzungen erfüllt sind.
Es ist unmittelbar ersichtlich, warum der kontobasierte Sicherheitsansatz zum Scheitern verurteilt ist: Er konzentriert sich über die Maßen darauf, die Anforderungen auf den grundlegenden Ebenen zu erfüllen. Darüber dringt man aber nie in den Bereich der Governance vor. Das Problem eines kontenbasierten Ansatzes liegt primär darin, dass in einem Unternehmen meist einzelne Mitarbeiter verschiedene Aufgaben erledigen, die sie in der Pyramide nach oben bringen. Allerdings ohne genau zu wissen warum. Jede Ebene der Pyramide müsste für jedes Konto separat ausgeführt werden. Der Prozess als solcher ist disparat, und genau das erleichtert es Angreifern, Sicherheitslücken auszunutzen.
Unternehmen verwenden in aller Regel viel Zeit darauf, Zugriffsberechtigungen zu erteilen und einzelne Systeme abzusichern. Ein identitätsbasierter Sicherheitsansatz hingegen gibt Firmen die Möglichkeit, ihre Geschäftsziele sehr viel schneller zu erreichen. Agilität ist abhängig von Governance. Und genau diese lässt sich über einen identitätsbasierten Sicherheitsansatz realisieren und sehr viel leichter durchsetzen, so dass jede Aktivität korrekt und auf Basis der richtigen Autorisierung durchgeführt werden kann. Dies erlaubt es, Governance über die gesamte Bandbreite von Systemen, Benutzerpopulationen und praktischen Bedürfnissen hinweg zu erlangen.
