Oftmals gefährden jedoch auch die eigenen Mitarbeiter unbewusst die Sicherheit. Man stelle sich einen Bankmitarbeiter vor, der sich jeden Tag verschiedene Kombinationen für die Banktresore in der Filiale einprägen muss. Verständlicherweise wählt der Mitarbeiter als Passwörter für weitere IT-Anwendungen möglichst einfache und kurze Kombinationen. Vermutlich macht er sich eine Notiz, damit er sie nicht vergisst. Einfache Passwörter machen es einem Angreifer jedoch leicht, die richtige Kombination zu erraten. Und die Notiz ist wahrscheinlich mehr als eine Gedächtnisstütze - Kollegen oder Besucher könnten sie finden und einfach mitnehmen. Zudem sind Fälle bekannt, in denen die Mitarbeiter ganz bewusst Schäden verursachen wollen. Deren Anteil wird zwar lediglich mit 28 Prozent aller nachgewiesenen internen Sicherheitsvorfälle beziffert, das daraus abzuleitende Schadenspotential ist aber enorm hoch.
Probleme in IT-Infrastrukturen
-
Der Wildwuchs unterschiedlicher Applikationen in einem Unternehmensnetz, deren zentrale Verwaltung nahezu unmöglich ist.
-
Es ist selten definiert, welcher Anwender grundsätzlich für welche Aufgaben welche Art von Zugriff auf bestimmte Applikation benötigt.
-
Administratoren sind dafür verantwortlich, Zugän- ge zu Anwendungen - oft manuell - anzulegen. Bis dieser Prozess für jede Applikation und jeden Anwender vollständig durchlaufen ist, verstreicht Arbeitszeit, die der Anwender nicht produktiv verbringen kann.
-
Anwender sind in zu hohem Maße in die Verwaltung der IT-Infrastrukturen einbezogen. Es obliegt ihrer Verantwortung, sorgsam mit diversen Passwörtern umzugehen, außerdem sind sie sich nicht über aktuelle Sicherheitsbedrohungen bewusst.
-
Der Zwang durch Gesetze und Richtlinien, alle IT-Prozesse innerhalb des Unternehmens genau definieren und fortwährend kontrollieren zu müssen sowie die Wirksamkeit des gesamten Ablaufs jederzeit nachweisen zu können, verursacht ohne standardisierte Verfahren und einfachen Zugriff auf Informationen enorm hohe Aufwände.
-
Diverse Vorgänge (beispielsweise das Beantragen eines Benutzerkontos) werden noch immer regelmäßig auf Papier niedergeschrieben und nicht in die IT-Infrastruktur integriert.
Wenn ein Mitarbeiter geht
Ein anderes Problem: Wenn Mitarbeiter aus dem Unternehmen ausscheiden, sind oft weiterhin deren Credentials (Benutzerkennungen und Passwörter) gültig. Der Grund dafür liegt oft in der großen Zahl der zu verwaltenden Anwendungen, so dass es beim Ausscheiden nicht gelingt, alle digitalen Identitäten kurzfristig zu löschen. Die Zusammenhänge zwischen einem realen Anwender und allen ihm zugehörigen Benutzerkonten für Anwendungen oder Fernzugänge müssen in der Regel manuell nachvollzogen werden, ebenso die Deaktivierung für jede eingesetzte Anwendung. An dieser Stelle treten Fehler auf. Nicht deaktivierte Benutzerzugänge sind aktuell ein großes Problem in den IT-Infrastrukturen von Unternehmen. Sie machen es ehemaligen Mitarbeitern einfach, weiterhin auf Informationen zuzugreifen oder diese Zugänge - oftmals unbemerkt - anderweitig zu missbrauchen.
Lösungswege
Diese Probleme löst ein Identity- und Access-Management (IAM), das alle administrativen Tätigkeiten zentral strukturiert und nachvollzieht, unbeabsichtigt aktive Anwendungskonten vermeidet, die Zahl der möglichen Fehlerquellen bei der Administration auf ein Minimum reduziert und Identitätsdiebstahl leichter erkennbar macht sowie zeitnah verhindert. Zugriffsrechte und Rollen eines Anwenders werden während seiner gesamten Verweildauer im Unternehmen automatisch generiert. Alle eingesetzten Anwendungen werden zentral kontrolliert und auditiert. Das Sicherheitsniveau im Unternehmen wird so deutlich angehoben und eine vollständige Richtlinienkonformität erzielt.