Compliance ist nicht alles: Neben dem Erfüllen rechtlicher Vorgaben und Sicherheits-Richtlinien gilt die Steigerung der Produktivität als Haupttreiber in Sachen Identity- und Access Management (AIM). Offenbar mit sehr unterschiedlichem Erfolg: Unternehmen, die von den Analysten wegen ihrer überdurchschnittlichen Performance als "Best in Class" eingestuft werden, sperren einen unberechtigten Zugang innerhalb von vier Stunden. Im Durchschnitt aller Studienteilnehmer liegt diese Dauer bei drei Tagen. Sie benötigen damit rund zweieinhalb Tagen länger, in denen das Unternehmen hochgefährdet ist.
Knapp jede dritte Firma (30 Prozent) wird sogar als "Trödler" tituliert - das Sperren eines unberechtigten Zugangs kann bis zu 30 Tagen dauern.
Unbekannter Faktor verwaiste Accounts
Ein paar weitere Zahlen: Von den Klassenbesten gibt jeder Dritte an, keine verwaisten Accounts in der Firma zu haben. Im Schnitt sind es 17 Prozent, unter den Trödlern nehmen es nur dreizehn Prozent für sich in Anspruch. Einige Unternehmen haben noch nicht einmal Prozesse definiert, um festzustellen, ob Accounts überflüssig geworden sind.
Die Analysten halten ein zentralisiertes Identitäts-Management für die beste Lösung. Das leuchte wohl selbst den Nachzüglern ein, stellen sie fest - immerhin wollen 55 Prozent binnen Jahresfrist ein zentralisiertes Identity Management einführen. Demgegenüber behaupten 35 Prozent der BiC-Firmen, ein solches laufe bei ihnen bereits.
Hintergrund ist der Gedanke, dass ein System mit zunehmender Komplexität verletzbarer wird. So sagt einer der Befragten, der auf Zentralisierung umgestellt hat: "Jede Anwendung hatte ihren eigenen Authentifizierungsmodus. Wir wollten eine gemeinsame Autorisierung, Authentifizierung und Sign-on-Sicherheitsrichtlinie."
Ein Schritt zur Reduktion von Komplexität ist die Verringerung der Identity Stores. Auch dabei zeigt sich eine große Bandbreite unter den Studienteilnehmern: Während knapp jedes fünfte (19 Prozent) BiC-Unternehmen nur noch einen Speicher hat, nutzt eine Mehrheit von 58 Prozent der Durchschnittsfirmen zwei bis zehn Speicher. 29 Prozent der Musterschüler arbeiten mit biometrischen Lösungen, weitere 43 Prozent planen den Einsatz.
Rollenbasiertes Identity-Management statt Entscheidung von Fall zu Fall
Doch es geht nicht nur um die rein technologische Seite. Die besonders erfolgreichen Unternehmen zeichnen sich auch dadurch aus, dass sie ein rollenbasiertes Identity- and Access Management entwickelt haben. Das heißt: Zugangsberechtigungen werden nicht von Fall zu Fall entschieden, sondern es werden Rollen für bestimmte Tätigkeitsbereiche festgelegt. Alle Mitarbeiter, die die Kriterien bestimmter Rollen erfüllen, erhalten die gleichen Zugangsberechtigungen.
All diese Überlegungen stehen jedoch bei 48 Prozent der Studienteilnehmer derzeit kaum auf der To-do-list: Sie denken über den Einsatz von Identity Management noch immer nach.
Ihnen wie auch den Firmen, die sich bereits mit dem Thema beschäftigen, geben die Analysten folgende Tipps mit auf den Weg:
-
Lösungen auswählen, die auf Automatisierung und rollenbasiertes Management der Accounts setzen,
-
Compliance-Vorgaben und firmeneigenes Risiko-Management berücksichtigen,
-
bei der Auswahl der Lösungen an die Integration in die bestehende Infrastruktur denken und
-
bei aller Technologie nicht die erforderlichen Trainings außer Acht lassen.
Aberdeen hat für die Studie "Identity and Access Management - Critical to operations and security" mit Entscheidern aus 120 Unternehmen verschiedener Branchen gesprochen.