Megatrend RPA zwingt Unternehmen, sichere Identitäten neu zu definieren
Um dieses Risiko zu vermeiden, sollten Unternehmen ihre Prozesse für Identitäts-Governance und privilegierten Zugriff ausweiten, und die digitale Workforce ebenso verwalten wie ihre menschlichen Kolleginnen und Kollegen. Aktuell besteht in einigen Geschäftsbereichen das Problem, dass Joiner-, Mover- und Leaver-Prozesse (Eintritt, Wechsel und Ausscheiden aus dem Unternehmen) bestehende Sicherheitskontrollen, die für die Verwaltung von Accounts eingerichtet wurden, umgehen. Dadurch wird verhindert, dass bestehende Kontrollen das Risiko wie geplant senken, vor allem im Hinblick auf den sogenannten „privileged Creep“ (also die schleichende Rechteausweitung), verwaiste Konten, fehlerhafte Attribute ohne Bedeutung oder Kontext, die Preisgabe von Passwörtern und Geheimnissen und das Fehlen eines definierten Pfads der tatsächlichen Eigentümerschaft.
Eine sichere Zukunft für RPA
Der erste Schritt zur Lösung eines Problems besteht darin, zu erkennen, dass überhaupt eines besteht. In diesem Fall ist die Erkenntnis, dass diese neuen digitalen Arbeiter auch über Identitäten verfügen, der erste und wichtigste Schritt für eine sichere RPA-Zukunft.
Die eindeutigen geschäftlichen Vorteile einer Investition in RPA und die potenzielle Rendite aus der gesteigerten Produktivität machen das Ganze zu einer ziemlich eindeutigen unternehmerischen Entscheidung. Selbst unter Berücksichtigung eines geschärften Sicherheitsbewusstseins. Allerdings machen viele Sicherheitslösungen die Investition schwer durchsetzbar, da sie bei der Bereitstellung und Integration zu kostspielig sind. Das macht es problematisch, die erwünschten Renditen zu erwirtschaften – umso mehr, wenn gerade Sicherheits-Assessments geplant sind und die Prüfer schon auf der Matte stehen.
RPA-Lösungen konzentrieren sich derzeit nicht darauf, Sicherheitsprobleme zu lösen, sondern darauf, die Produktivität zu steigern. Um mittels angemessener Kontrollen die Risiken zu senken, braucht man Sicherheitslösungen von Dritten. Die am einfachsten anzuwendende dieser Kontrollen ist das Privileged Access Management (kurz PAM). Unternehmen sollten das bei der Implementierung aller RPA-Projekte im Hinterkopf behalten. Ein PAM-System mit Konnektivität zu RPA-Systemen, ist in der Lage, die von Robotern verwendeten Anmeldeinformationen und Privilegien effektiv zu sichern, zu kontrollieren und zu überprüfen. Dabei sollte die PAM-Lösung einfach bereitzustellen und zu integrieren sein, um den erwünschten ROI des RPA-Programms nicht zu beeinträchtigen – und, was entscheidend ist, erst recht nicht die Produktivität.
Ein gutes Beispiel
Ein internationales, privates Sicherheitsunternehmen konnte unmittelbar nach einer Investition in eine RPA-Lösung die Vorteile des Ansatzes praktisch erfahren. Das Unternehmen hat weltweit über 160.000 Mitarbeiter. Durch die eingesetzte PAM-Lösung war es möglich, auch digitale Mitarbeiter hinzuzunehmen. Dadurch wurden zeitliche Ressourcen freigesetzt, und die Mehrzahl der Mitarbeiterinnen und Mitarbeiter kann sich jetzt auf wichtige, höherwertige Aufgaben konzentrieren. Durch die Implementierung eines PAM-Systems, das sich nahtlos in die bestehende RPA-Lösung einfügt, war es zudem möglich, die privilegierten Zugriffe der digitalen Belegschaft automatisch zu kontrollieren. Wenn jetzt ein digitaler Mitarbeiter einen privilegierten Zugriff benötigt, kann der Roboter die Anmeldeinformationen automatisch aus dem PAM-System abrufen, ohne dass die Bot-Besitzer oder Entwickler das mitbekommen. So entsteht ein vollständiger Prüfpfad dazu, welche digitalen Mitarbeiter auf welche Anwendungen Zugriff hatten. Dies wiederum erlaubt es, eine individuelle Verantwortlichkeit zuzuweisen und gleichzeitig den Nachweis zu erbringen, dass Passwörter ausschließlich regelkonform vergeben werden. Durch dieses System hat das betreffende Unternehmen seine digitale Belegschaft in nur zwei Jahren auf 14 Geschäftsbereiche ausgedehnt, zirka 350.000 Stunden gewonnen und das alles, ohne die Sicherheit zu kompromittieren.
Identität ist der neue Perimeter
Wer hätte gedacht, dass es bis 2021 dauern würde, bis Unternehmen ernst machen mit Antworten auf Fragen wie: Wie werden Roboter in einem Unternehmen bereitgestellt? Wie werden ihre Accounts erstellt, verwendet und wieder gelöscht? Wer kontrolliert die Aktivitäten der Roboter und wie bekommen Sie mit, ob ein Bot kompromittiert wurde? Wissen Sie, wie viele der Datensätze in einem HR-System in Wirklichkeit keine Personal-Ressourcen sind? Das Jahr 2021 und noch darüber hinaus werden Sicherheitsteams zunehmend erkennen, dass viele der bislang nicht berücksichtigten Sicherheitsprobleme bei RPA und etliche grundlegende Schwierigkeiten sämtlich auf einen gemeinsamen Perimeter zurückgehen – Identität.
