Als die Sicherheitsverantwortlichen des AXA Colonia Konzerns in Köln vor einigen Jahren begannen, sich mit neuen Berechtigungskonzepten auseinanderzusetzen, war die vorhandene Lösung eigentlich noch zufriedenstellend. Die eingesetzten Mittel zur Umsetzung und Kontrolle der definierten Sicherheits- und Zugriffskonzepte reichten aus, um die IT-Ressourcen in der relativ homogenen Mainframe-Umgebung zu schützen. Jedoch war absehbar, daß der alte Sicherheitsstandard mit den bisherigen Mitteln künftig nicht zu halten sein würde, da die IT-Umgebung immer komplexer wurde.

Neben dem voraussichtlich sinkenden Sicherheitslevel und der zu erwartenden Komplexität des zusätzlichen Aufwands für Administration und Revision war folgendes zu berücksichtigen:

Die Benutzer sind wahrscheinlich gezwungen, sich an eine Vielzahl unterschiedlicher Stellen zu wenden, um die für ihre Aufgabe erforderlichen Berechtigungen zu erhalten. Das würde es schwierig machen, allgemeingültige Sicherheits- und/oder Administrationsregeln ohne die Unterstützung eines geeigneten Werkzeugs aufrechtzuerhalten.

Vor diesem Hintergrund wurden folgende Ziele formuliert:

-Der Service für die Benutzer sollte verbessert und ein Absinken des bislang erreichten Niveaus verhindert werden. Ein wesentlicher Aspekt war in diesem Zusammenhang eine möglichst geringe Anzahl unterschiedlicher Anlaufstellen für die Benutzer.

-Die Regeln sollten in einem geeigneten Werkzeug abgebildet und deren Umsetzung durch das System forciert werden. Die Schutzmechanismen mußten sich in einheitlicher Qualität über alle Sicherheitssysteme abbilden lassen.

-Im Bereich der Administration war an eine systemgestützte Beschleunigung der Abläufe gedacht. Insbesondere sollte es möglich sein, einen Benutzer nur ein einziges Mal in einem zentralen Management-System anzulegen und dann die Benutzerdefinitionen automatisch zu propagieren statt mehrfacher Definitionen.

-In engem Zusammenhang mit der automatischen Propagierung von Benutzerdefinitionen stand der Wunsch, unternehmensweit dedizierte Verfahren für das Einrichten oder Löschen von Benutzern einzurichten.

-Für die Konzernrevision sollte die Erstellung von Reports auf Basis allgemeingültiger, im System implementierter Regeln deutlich erleichtert werden.

-Auch für die Gestaltung der organisatorischen Abläufe bei der Erteilung oder Änderung von Berechtigungen waren neue Konzepte gefragt. Diese sollten die Fachabteilungen zunehmend mit einbeziehen und damit mehr in die Verantwortung nehmen.

-Nicht zuletzt erwartete der Kölner Versicherer einen Rückgang der Kosten in den Bereichen Administration, Fachaufsicht und Prüfung.

Das Management entschied sich für den Einsatz einer Standardsoftware. Es war absehbar, daß die Entwicklung einer eigenen Lösung mehr als zehn Personenjahre in Anspruch genommen hätte, und für die spätere Pflege wären entsprechend große Ressourcen angefallen.

Die gesuchte Standardlösung sollte folgende Anforderungen erfüllen:

-Single Point of Administration and Control,

-einheitliche Benutzer-Schnittstelle für die Administration der verschiedenen sicherheitsrelevanten Systeme auf allen Plattformen,

-Implementierung der internen Sicherheitsregeln,

-Implementierung der unternehmensspezifischen Organisations- und Rollenstruktur im System. Berücksichtigung der Möglichkeit zentraler und/oder kontrolliert verteilter Administration, entsprechend den bestehenden Sicherheitsvorgaben und dem Eigentumsprinzip.

-offene Architektur, die eine Integration von zukünftigen Systemen in die bestehende Lösung ermöglicht sowie

-umfassende Report- und Auditmöglichkeiten, die einen Überblick über alle Anwender, Ressourcen und Zugriffsrechte auf sämtlichen Plattformen gewährleisten.

Die Unternehmensorganisation und die Aufgaben (Rollen) des einzelnen Mitarbeiters standen im Mittelpunkt des neuen Berechtigungskonzepts. Bei der anschließenden Suche nach einer am Markt verfügbaren Software wurde Kontakt mit der Schumann Unternehmensberatung AG, Köln, aufgenommen. In Abstimmungsgesprächen entstand ein Konzept, das die Berater als Standardlösung implementierten. Das gesamte Sicherheitskonzept der Colonia-Gruppe basiert nun auf der unternehmensspezifischen Organisations- und Rollenstruktur. Unter Nutzung der Modellierungsfunktionen in SAM (Benutzer, Modelle und Gruppen) implementierte sie ihre eigene Struktur.

Jede Abteilung wird über ein eigenes Modell abgebildet, da die Mitarbeiter innerhalb einer Abteilung im allgemeinen ähnliche Aufgaben haben und sich somit die abteilungsspezifischen Zugriffsrechte zusammenfassen ließen.

Die Erteilung aller Zugriffsrechte erfolgt entweder über die Verknüpfung "Abteilungsmodell-Gruppe" oder direkt über die Gruppenzugehörigkeit eines Benutzers. Dabei wird zwischen drei verschiedenen Gruppentypen unterschieden: organisatorische Gruppen, Funktions- und Projektgruppen.

Die organisatorische Gruppe erhält Rechte, die zur ausschließlichen Nutzung in einer speziellen organisatorischen Einheit der Gesellschaft definiert sind. Rechte für spezielle Funktionen erhalten dagegen Funktionsgruppen, unabhängig von einzelnen Abteilungen. Projektgruppen wiederum können auf definierte Projekte zugreifen, wobei der Zugriff in der Regel durch die Projektlaufzeit begrenzt ist.

Die aus Gruppen resultierenden Berechtigungen lassen sich auf folgende Art und Weise kombinieren.

Modelle selbst haben keine eigenen Zugriffsrechte. Zu jedem Abteilungsmodell gehören die Abteilungsgruppe und die Berechtigungen, die aus der Zugehörigkeit eines Mitarbeiters zu einer der Konzerngesellschaften resultieren (Gesellschaftsgruppe). Darüber hinaus lassen sich Funktionsgruppen mit dem Abteilungsmodell verknüpfen, wenn die Mehrzahl der Mitarbeiter einer Abteilung die gleiche Funktion ausübt (Funktion 1 in der Abbildung).

Die Zuteilung zusätzlich über die Organisationsgruppen hinausgehender Rechte erfolgt direkt über die Verknüpfung des Mitarbeiters mit weiteren Funktions- oder Projektgruppen. Die Sicherheitsregeln der Colonia-Gruppe sehen vor, Benutzern keine individuellen Rechte einzuräumen, sondern diese ausschließlich über Gruppen zuzuweisen.

Der Modellansatz der Colonia-Gruppe berücksichtigt gleichermaßen organisatorische und funktionsorientierte oder aufgabenbezogene Aspekte. Über die Zugehörigkeit eines Mitarbeiters zu einer Abteilungs- oder Gesellschaftsgruppe werden ausschließlich die Rechte vergeben, die in direktem Zusammenhang mit dieser Organisationseinheit stehen. Alle funktions- oder rollenorientierten Berechtigungen finden sich in den entsprechenden Funktionsgruppen. Auch wenn die Mehrzahl der Mitarbeiter einer Abteilung eine Aufgabe ausführt, werden die notwendigen Berechtigungen nicht direkt in der Abteilungsgruppe zusammengefaßt. Dieser Ansatz macht es möglich, sehr flexibel auf organisatorische Veränderungen innerhalb des Konzerns oder einer Konzerngesellschaft zu reagieren, insbesondere dann, wenn sich die Zuständigkeiten zwischen den Organisationseinheiten verlagern.

Dezentrale Stellen verbessern Benutzerservice

Im Produktionsbetrieb wird die UserID der einzelnen Mitarbeiter durch einen dezentralen Administrator innerhalb ihrer Organisationseinheit mit ihren entsprechenden Modellen beziehungsweise Gruppen verknüpft. Bei den Projektgruppen soll dies künftig durch den zuständigen Projekt-Manager erfolgen. Auf diese Weise erhalten die Mitarbeiter die für ihre Rolle notwendigen Zugriffsberechtigungen. Die Kommunikationswege zwischen den Benutzern und der Admini- stration verkürzen sich erheblich, und der Service für die Benutzer wird verbessert. In der Regel wissen die dezentralen Administratoren in den Fachabteilungen genau, welche Rechte ein Benutzer für seine Rolle benötigt. Auch für Kontrollaufgaben verspricht dieser Ansatz Vorteile. So kann zum Beispiel der Projektleiter viel einfacher überprüfen, wer Mitarbeiter im Projekt ist und wer nicht. Dies gilt insbesondere für abteilungsübergreifende Projekte.

Der Startschuß für die Anbindung des Personal-Informationssystems über eine Schnittstelle an SAM ist bereits gefallen. Via Datenaustausch soll für neue Mitarbeiter die UserID automatisch angelegt und diese wiederum mit dem Abteilungsmodell verknüpft werden. Der gleiche Automatismus soll ablaufen, wenn ein Mitarbeiter das Unternehmen verläßt.

Auch die Übertragung von zusätzlichen Administrationsaufgaben auf die Systemverantwortlichen wurde in Angriff genommen. So ist es Ziel des Kölner Versicherungskonzerns, daß die Systemadministratoren künftig die Berechtigungen auf die Ressourcen ihrer Systeme eigenständig verwalten.

In weiteren Schritten sollen alle wichtigen Zugriffs-Schutzsysteme angebunden werden. Kriterien der Auswahl und Priorisierung sind:

-Sicherheitsrelevanz des Systems für das Unternehmen (Anzahl der Benutzer und seine Bedeutung für das Unternehmen im Sinne von "mission critical"),

-Arbeitslast für die Administration vor der Anbindung sowie

-Aufwand für die Anbindung (nicht bei jedem System ist allerdings eine vollständige Anbindung im Vergleich zu den gelieferten Standard-Interfaces der Schumann Unternehmensberatung AG notwendig).

Fazit: Mit der Einführung des übergreifend gültigen Berechtigungskonzepts und der Trennung zwischen zentralen und dezentralen Administrationsaufgaben besteht für den Konzern jetzt die Möglichkeit, ein plattformübergreifendes Sicherheitsregelwerk unternehmensweit zu implementieren und durchzusetzen. Die Verknüpfung von Benutzern mit Modellen und Gruppen durch dezentrale Administratoren gewährleistet eine bedarfsnahe und inhaltlich korrekte Bereitstellung von Berechtigungen. Dies hat zu einer größeren Akzeptanz auf seiten der DV-Benutzer geführt, da sich Wartezeiten verkürzen beziehungsweise vermeiden ließen. Im Bereich der zentralen Sicherheitsadministration ist eine erhebliche Entlastung durch die Delegation von Administrationsaufgaben festzustellen.

Sam

Der Security Administration Manager (SAM) ist eine Softwarelösung, die die beiden Ziele Informationssicherheit und Wirtschaftlichkeit vereinen soll. Wirtschaftlichkeit im Sicherheits-Management und ein erhöhter Sicherheitsstandard durch möglichst lückenlose Administration und Reporting sind wesentliche Ziele. Mit dem "Single Point of Administration and Control" faßt das System - aus Sicht des Administrators - die unterschiedlichen Sicherheitssysteme unternehmensweit zusammen. Unabhängig vom Betriebssystem oder dem jeweiligen zentralen oder dezentralen Sicherheitssystem administriert die Software Benutzer, Ressourcen und Zugriffsrechte. Das Programm steht mittlerweile in der Version 2.2 zur Verfügung.

Das Unternehmen

Die AXA Colonia Konzern AG mit Firmensitz in Köln ist einer der größten deutschen Erstversicherer und verfügt zudem über ein starkes Standbein in angrenzenden Finanzdienstleistungsbereichen wie Baufinanzierung und Kapitalanlagen. Die Produktpalette deckt nahezu alle Bereiche des Privat-, Gewerbe- und Industriekundengeschäfts ab. Mit rund 10000 Mitarbeitern erzielte der Konzern 1996 ein Beitragsvolumen von 10,8 Milliarden Mark. 69 Prozent des Aktienkapitals des AXA Colonia Konzerns befinden sich im Besitz der Pariser AXA-UAP. Durch die Zugehörigkeit zu dieser Versicherungsgruppe kann der Colonia Konzern seinen in Deutschland tätigen Industrie- und Gewerbekunden über ein internationales Netzwerk Versicherungsschutz in allen fünf Erdteilen bieten.

Die IT-Umgebung der AXA Colonia Konzern AG:

-Durchschnittlich 15 Anwenderprofile je Anwender

-Standardsoftware:

MVS/ESA, JES2, RACF, TPX, TSO, CICS, IMS, DB2, SAP R/2 und R/3, MEMO, Windows/Novell-LAN, OS/2 LAN Server, mehrere Inhouse-Systeme, Windows NT

-Anwendersicherheits-Administration:

RACF, TPX, MEMO, TSO; IMS; DB2, OS/2 LAN Server, UNIX, SAP R/2 und R/3, Novell und Windows NT

ANGEKLICKT

Neue Sicherheitsanforderungen der Kölner AXA Colonia-Versicherung resultierten nicht nur aus der Einführung dezentraler Systemplattformen mit jeweils eigenen Zugriffsschutzmechanismen. Neue Sicherheitsumgebungen auf dem Mainframe und neue Applikationen, für deren Schutz bisherige Mechanismen nicht genau genug waren, spielten ebenfalls eine wichtige Rolle. Die Entscheidung fiel auf SAM, eine Standardsoftware, die mittlerweile das gesamte Sicherheitskonzept der Colonia-Gruppe unterstützt.

*Thorsten Nickel, Stabsstelle Informationssicherheit bei der AXA Colonia Konzern AG in Köln.