Was ist Identity and Access Management (IAM)?

Der Begriff “Identity and Access Management”, kurz IAM genannt, besteht grundsätzlich aus zwei verschiedenen Themen, die zusammen als Einheit verwendet werden.

Das eine ist „Identity Management“ (IdM) und das andere „Access Management“ (AM). Je nachdem wird IAM auch nur als Identity Management bezeichnet, da in diesem Kontext vorausgesetzt wird, dass der Access Management Teil zum eigentlichen Verwalten einer Identität gehört.

Begriffsdefinition Identity

Identity ist die englische Übersetzung für Identität.

Laut Duden zeigt eine Identität die Echtheit einer Person oder Sache. So ist dies eine völlige Übereinstimmung mit dem was sie ist oder was diese ausmacht. Also nicht die Person alleine macht sie zur Identität als solches, sondern die Einzigartigkeit ihrer Eigenschaften.

Aus Sicht von L. Jean Camp, einem Amerikanischen Informatik Professor, wird die Identität folgendermassen definiert:

„In an identity management system identity is that set of permanent or long-lived temporal attributes associated with an entity.” (Camp, 2004)

In dieser Ausführung wird von einer digitalen Identität gesprochen. Ausserdem werden Eigenschaften erwähnt, welche meistens einen langen oder endlosen Zeithorizont haben. Am einfachsten ist dies mit einem Beispiel zu beschreiben.
Personen werden nicht nur durch deren Namen, Adresse und Postleitzahl unterschieden. Dazu gibt es noch viele andere Faktoren die eine Identität erst einzigartig machen. Das Aussehen, der Job, die Telefonnummer oder auch die Sozialversicherungsnummer sind nur einige Beispiele dafür. Nur alle Fakten zusammen ergeben die Einzigartigkeit dieser Person und somit die Person als eigenständige Identität. Fast genauso ist es in der digitalen Welt, in welcher eine Identität viele verschiedene Eigenschaften besitzt, mit der sie eindeutig identifiziert werden kann.

Begriffsdefinition Access

Das englische Wort Access kann viele mögliche Übersetzungen beinhalten. Im Zusammenhang mit Identity und Access Management bedeutet es «Zugriff». Dies steht für die Nutzung von Informationen und Daten mitsamt den Berechtigungen, welche diese Nutzung zulassen.

Verwaltung von Identitäten – Identity Management

Wie es die Bezeichnung schon vorgibt, steht Identity Management für die Verwaltung von Identitäten, doch was heisst dies genau?

Identity Management ist die Summe aller Massnahmen die notwendig sind, um Personen und Benutzer in IT-Systemen eindeutig zu erkennen sowie ihnen genau jene Zugriffe zu ermöglichen, die sie aktuell im Rahmen ihrer Tätigkeit benötigen. Dabei sind alle Massnahmen im Rahmen von standardisierten und nachvollziehbaren Prozessen durchzuführen.

Dies zeigt gleich mehrere ausschlaggebende Punkte auf. Zum einen, dass ein solches System alleine nicht die nötige Sicherheit bringt, die anhand dieser Informationen möglich wäre, sondern dass die Prozesse rund um das System ein entscheidender Faktor sind. Zusätzlich zeigt es auf, dass Identity Management nur mit „der Summe aller Massnahmen“ den grössten wirtschaftlichen und sicherheitstechnischen Nutzen bringt.

Das nachfolgende Beispiel soll aufzeigen, wie viele Arten von Informationen zu einer einzigen Identität gehören.

Michael befindet sich in 2 verschiedenen Welten. Zum einen in der Arbeitswelt und zum anderen in den sozialen Medien. Die Eigenschaften dieser Welten stimmen grösstenteils nicht überein und beinhalten nicht mal dieselben Informationen. Trotzdem handelt es sich bei beiden um Michael.

Das Ziel ist, mit allen vorhandenen Informationen das Risiko bestmöglich abschätzen und die richtigen Massnahmen einleiten zu können.

Access Management (Zugriffsmanagement)

Das Access Management beinhaltet die Entscheidung über Zugriffsberechtigungen auf der Basis von Benutzeridentitäten, -rollen und Zugriffsrechten (englisch „Policy Decision“: Zugriffsentscheidung). Es beschreibt die notwendigen Mechanismen für den Zugriff auf ein Identity Management System sowie die Kontrolle (englisch „Access Control“: Zugriffskontrolle) und das Durchsetzen des Zugriffs.

Mit Access Management sollen also Zugriffsberechtigungen- und rechte verwaltet werden. Natürlich geht es dabei nicht nur um die Überwachung ob diese Vorgaben erfüllt werden, sondern auch um die Umsetzung in den einzelnen Systemen.

Wieso benötigen Sie ein IAM System?

Durch den Wandel in der IT und den daraus resultierenden Risiken, haben sich auch die Anforderungen an die Vergabe und Kontrolle der Berechtigungen verändert. Hervorgerufen wurden diese durch vielerlei Faktoren. Komplexer werdende IT-Systeme, internationale Zusammenarbeit, neue Bedrohungsszenarien und verschärfte gesetzliche Anforderungen sind dabei die Hauptaspekte.

Vor allem letztere haben durch diverse Vorgaben seitens der Banken und des Staates dazu geführt, dass neue Kontroll- und Umsetzungsmechanismen und -systeme eingeführt werden mussten.

Mit IAM soll es Ihrer Firma möglich sein, alle Benutzerprofile und Zugriffe einer spezifischen Identität zuzuordnen. Mit einer Identität ist eine Person gemeint, welcher unter Umständen 15 Accounts auf unterschiedlichen Systemen besitzen kann. Dabei spielt es keine Rolle, ob es sich dabei um einen Account für eine Lager-Software, einen Zugriff auf ein Bankensystem oder einen physikalischen Zutritt in ein Bürogebäude handelt. Der Vorteil vom Einsatz eines IAM-Systems ist es, dass so der Überblick über alle Zugriffe gewährleistet wird und das Risiko eines jeden Accounts bzw. Person analysiert werden kann und dementsprechend Vorkehrungen getroffen werden können.

Falls Sie sich mit dem Thema IAM, Rollen- bzw. Rechtemanagement oder anderen Fragen um IAM beschäftigen, können Sie uns gerne kontaktieren. Durch unsere langjährige Erfahrung im IAM- und Projektmanagement sind wir in der Lage, Sie in jeder Projektphase zu unterstützen.