M. Gröne, N. Pohlmann:, “Föderierte Autorisierung und ein Umdenken im Privilegienmanagement – Organisationsübergreifend arbeiten – aber sicher!”, IT-Sicherheit – Management und Praxis, DATAKONTEXT-Fachverlag, 5/2010 Die moderne Welt ist eine Welt der Kooperationen und Interaktionen – „Einzelkämpfer“ sind weitgehend abgemeldet. Damit Unternehmen und Organisationen dieser Herausforderung gerecht werden können, ist ein Paradigmenwechsel bei der Autorisierung von Nutzern notwendig. Etablierte Rollen-basierte Autorisierung und Domain-zentrierte Sicherheitskonzepte sind nicht mehr in jeder Situation zielführend. Eine Lösung bilden Richtlinien- und Attribut-basierte Ansätze und neue Standards, die eine dynamische Rechtezuweisung an föderierte Identitäten ermöglichen. Organisationsübergreifend arbeiten zu können, ist eine typische Herausforderung in der heutigen vernetzten Geschäftswelt. Damit steigen die Gefahren für die schützenswerten Informationen der beteiligten Organisationen. Täglich neue Nachrichten über den Missbrauch von Diensten und Daten bestätigen dies. Zehntausende geheime Dokumente wurden beispielsweise auf der Online-Enthüllungsseite WikiLeaks veröffentlicht. Angesichts der zunehmenden Kooperationen von Unternehmen ist es immer häufiger notwendig, Identitäten organisationsübergreifend zu verknüpfen. Diese Identitäten werden als „föderiert“ bezeichnet. Beispielsweise muss ein Notarzt im Falle einer Operation Informationen über den Patienten in den Datenbeständen einer fremden Klinik einsehen können. Dazu benötigt er ad hoc eine Autorisierung, die ihm exakt die notwendigen Rechte für diesen Vorgang auf dem fremden Dienst einräumt. Insbesondere der Gesundheitssektor sieht hier klare Regelungen und Sanktionen bei Missbrauch vor.
Wozu ein Umdenken im Privilegienmanagement? Der stark wachsende Daten- und Informationsaustausch sowie die Nutzung von Anwendungen und Diensten über Organisationsgrenzen hinweg bedeuten neue Herausforderungen für ehemals nach außen abgeschottete IT-Systeme. Trends und Technologien wie Service-orientierte Architekturen (SOA), Software as a Service (SaaS) und das Outsourcing von Kern Funktionen des IT-Managements sind in vielen Organisationen umgesetzt oder geplant. Sie führen dazu, dass etablierte Sicherheitsbarrieren und Domain-zentrierte Sicherheitskonzepte den Anforderungen nicht mehr genügen. Eine Organisation muss nicht mehr nur Identitäten und Zugangsberechtigungen für interne Benutzer verwalten, sondern auch für ständig wechselnde externe Benutzer. Die für die IT-Sicherheit fundamentalen Autorisierungsund Zugriffskontrollmechanismen einer Organisation dürfen hierdurch natürlich nicht außer Kraft gesetzt werden. Der Zugriffsschutz muss entsprechend angepasst werden, damit die Sicherheit gewährleistet bleibt. Diese Anpassungen sind allerdings fundamental und führen zu einem Paradigmenwechsel im Access Management. Durch den Einsatz und die optimale Verwaltung von Privilegien, welche die Erlaubnis zur Durchführung einer Aktion beinhalten, gibt es die Chance, erfolgreich Access Management zu betreiben. Das Privilegienmanagement (PvM) regelt, wie mit Privilegien für IT-Systeme umzugehen ist.
…
kostenlos downloaden |