Identitäts- und Zugriffsrechterisiken identifizieren und managen

Risikomanagement im IGA Integrated Governance Accounting) umfasst die Identifizierung, Bewertung und Minderung von Risiken im Zusammenhang mit Benutzeridentitäten und Zugriffsrechten innerhalb der Systeme einer Organisation. Es stellt sicher, dass die richtigen Personen den richtigen Zugriff auf die richtigen Ressourcen haben – nicht mehr und nicht weniger. Durch die Kombination von Governance-Richtlinien, Automatisierung und Analysen stärkt IGA Risikomanagement die Sicherheitslage und die Compliance-Bereitschaft und reduziert gleichzeitig menschliche Fehler und Insiderbedrohungen.

Wichtigste Fähigkeiten

1. Risikobewertung, Priorisierung und Scoring: Bewerten Sie das Benutzer- und Berechtigungsrisiko auf Basis der Geschäftskritikalität, der Rollensensitivität und der Erkenntnisse zum Verhalten.
2. Zugriffsrisikoerkennung: Automatische Erkennung und Kennzeichnung von Benutzern mit hohem und/oder kritischem Risikowert
3. Überprüfung von Zugriffsrechten: Einmalige und kontinuierliche Überprüfungen von Zugriffsrechten, Zugriffszertifizierungen und kontinuierliche Compliance-Prüfungen.
4. Kontinuierliche Überwachung: Verfolgen Sie Änderungen im Identitätslebenszyklus und Zugriffsanomalien mithilfe von dashboard und Warnmeldungen.
5. Minimieren Sie Risiken mit anderen M42 IGA Anwendungsfällen wie SoD'S (Segregation of Duties), automatisieren Sie Geburtsrechte, rollen-, attribut- und organisationsbasierte Zugriffe, verwenden Sie beispielsweise eine Notfallsperre für exponierte Benutzeranmeldeinformationen, um zugriffsrechtebezogene Risiken zu minimieren.

Kundennutzen und Vorteile

• Erhöhte Sicherheit: Verringert das Risiko von Insiderbedrohungen und unberechtigtem Zugriff.
• Einhaltung gesetzlicher Bestimmungen: Vereinfacht Audits und unterstützt die Einhaltung von SOX, DSGVO, HIPAA und mehr.
• Betriebliche Effizienz: Automatisierte Erkennung und Behebung von Zugriffsrisiken, wodurch der manuelle Prüfaufwand reduziert wird.
• Geschäftliches Vertrauen: Schafft Vertrauen darin, dass der Identitätszugriff mit den Geschäftsregeln übereinstimmt und minimiert so operative und Reputationsrisiken.

< Bild >

Risikostufen, Priorisierung und Bewertung

Der erste Schritt zu einem effektiven Risikomanagement ist die Festlegung klarer Risikostufen für Zugriffsrechte. Die M42 IGA Lösung bietet sofort einsatzbereite, benutzerfreundliche Funktionen zur Risikobewertung und -priorisierung mit vordefinierten Risikostufen, Einstellungen für Risikoberechnungsregeln und automatisierter Identitätsrisikobewertung. Dies gewährleistet eine konsistente und objektive Bewertung zugriffsbezogener Risiken im gesamten Unternehmen und ermöglicht proaktive Governance-Entscheidungen.

Es ist ganz einfach: Legen Sie zunächst das Risikoniveau für die Zugriffsrechte fest, wählen Sie das richtige vordefinierte Risikoniveau aus und speichern Sie die Informationen (mehr dazu im Anwendungsfall „Berechtigungen verwalten“).

1. Niedrig
   • Die Zugriffs- oder Identitätsaktivitäten haben minimale Auswirkungen auf die Organisation. Typischerweise handelt es sich um unkritische Systeme, Standardbenutzerrollen oder Leseberechtigungen. Es wurden keine Richtlinienverstöße festgestellt, und der Zugriff entspricht der Funktion des Benutzers.
   • Beispiel: Mitarbeiterzugriff auf öffentliche oder wenig sensible Anwendungen.
2. Mittleres Risiko
   • Aufgrund erweiterter Berechtigungen, funktionsübergreifendem Zugriff oder geringfügiger Richtlinienausnahmen besteht ein gewisses Maß an Besorgnis. Eine Überprüfung kann erforderlich sein, stellt aber keine unmittelbare Bedrohung für die Sicherheit oder die Einhaltung von Vorschriften dar.
   • Beispiel: Benutzer mit eingeschränkten Schreibrechten an einem Finanzsystem einer Abteilung.
3. Hohes Risiko
   • Bei Missbrauch des Zugriffs besteht ein erhebliches Risiko für Sicherheit, Compliance oder Betriebsabläufe. Dies kann privilegierte Rollen, Konflikte im Zusammenhang mit der Funktionstrennung oder den Zugriff auf sensible/vertrauliche Daten betreffen.
   • Beispiel: IT-Administrator mit umfassendem Zugriff auf Produktions- und Entwicklungsumgebungen.
4. Kritisches Risiko
   • Zugriffe oder Aktivitäten stellen eine unmittelbare und schwerwiegende Bedrohung für das Unternehmen dar. Sie deuten häufig auf Richtlinienverstöße, verwaiste privilegierte Konten oder eine potenzielle Kompromittierung hin. Sofortige Korrekturmaßnahmen und die Weiterleitung an die Sicherheits- und Compliance-Teams sind erforderlich.
   • Beispiel: Ehemaliges Mitarbeiterkonto weiterhin aktiv mit Administratorzugriff auf das zentrale Finanzsystem

Bevor die konkreten Risiken im Zusammenhang mit Zugriffsrechten definiert werden, bietet M42 IGA Lösung eine vordefinierte Priorisierung verschiedener Risikotypen. Das bedeutet: Sind mehrere Risiken im Zusammenhang mit einer Identität vorhanden, wird dasjenige identifiziert, das die größte Bedrohung für das Unternehmen darstellt. Dieses Risiko bestimmt dann den Risikowert der Identität im Vergleich zu den anderen Risiken.

1. Kritisch
   • Höchste Dringlichkeit; oberste Priorität, sofortiges Handeln erforderlich, ungeachtet anderer Verpflichtungen.
2. Schwer
   • Dringender Handlungsbedarf; muss sofort behoben werden, um die Funktionsfähigkeit wiederherzustellen oder Schäden zu verhindern.
3. Sehr hoch
   • Sehr hoch – Äußerste Dringlichkeit; Geschäftsziele sind gefährdet, wenn nicht umgehend eine Lösung gefunden wird.
4. Hoch
   • Erhebliche Dringlichkeit; erfordert umgehendes Handeln, um eine Eskalation zu vermeiden.
5. Medium
   • Spürbare Auswirkungen; sollte in den normalen Arbeitsablauf eingeplant werden.
6. Unerheblich
   • Geringe Auswirkungen; leichte Unannehmlichkeiten, aber keine Beeinträchtigung der Ziele.
7. Niedrig
   • Geringe Auswirkungen; sollten angegangen werden, sind aber nicht zeitkritisch.
8. Sehr niedrig
   • Geringe Dringlichkeit; Termin kann nach Belieben vereinbart werden

Im nächsten Schritt werden die spezifischen, für die Organisation relevanten Risiken sowie deren Priorität und Risikostufe definiert. Dieser Prozess bildet die Grundlage für die automatisierte Bewertung von Identitätsrisiken innerhalb der IGA Lösung.

Das System umfasst vordefinierte Risikokategorien, die an das individuelle Risikobewertungsmodell der Organisation angepasst werden können. Kunden können Werte wie Eintrittswahrscheinlichkeit, Auswirkung und Geschäftskritikalität konfigurieren, um sicherzustellen, dass die Risikobewertung ihre internen Richtlinien und Toleranzgrenzen präzise widerspiegelt.

Vordefinierte Risiken sind:

• Benutzer mit nur geringen Berechtigungen, Risikostufe xx
  • Risikostufe: Der Kunde wählt aus vordefinierten Risikostufen oder definiert eigene Risikostufen.
  • Risikopriorisierung: Der Kunde wählt aus vordefinierten Prioritäten oder definiert eigene Prioritäten
  • Beispiel: Diesem Risiko wird die Priorität 6 – Geringfügig – zugewiesen. Verfügt der Benutzer nur über geringe Berechtigungen, beträgt die Risikostufe 1 – Niedrig.
• Bei einem Benutzer mit geringen Berechtigungen und weniger als xx % mittleren Berechtigungen beträgt das Risikoniveau xx.
  • xx % der mittleren Art von Leistungsansprüchen
  • Risikostufe: Der Kunde wählt aus vordefinierten Risikostufen oder definiert eigene Risikostufen.
  • Risikopriorisierung: Der Kunde wählt aus vordefinierten Prioritäten oder definiert eigene Prioritäten
  • Beispiel: Diesem Risiko wird die Priorität 5 – Mittel – zugewiesen. Verfügt der Benutzer über geringe Berechtigungen und weniger als 70 % über Berechtigungen mittlerer Stufe, beträgt der Risikowert 2 – Mittel.
• Bei Nutzern mit geringen Berechtigungen und mehr als xx % mittleren Berechtigungen beträgt das Risikoniveau xx.
  • xx % der mittleren Art von Leistungsansprüchen
  • Risikostufe: Der Kunde wählt aus vordefinierten Risikostufen oder definiert eigene Risikostufen.
  • Risikopriorisierung: Der Kunde wählt aus vordefinierten Prioritäten oder definiert eigene Prioritäten
  • Beispiel: Diesem Risiko wird die Priorität 4 – Hoch – zugewiesen. Verfügt der Benutzer über Berechtigungen der niedrigen Stufe und mehr als 70 % über Berechtigungen der mittleren Stufe, beträgt der Risikowert 3 – Hoch.
• Der Benutzer verfügt über xx % der Berechtigungen auf hohem Niveau.
  • Risikostufe: Der Kunde wählt aus vordefinierten Risikostufen oder definiert eigene Risikostufen.
  • Risikopriorisierung: Der Kunde wählt aus vordefinierten Prioritäten oder definiert eigene Prioritäten
  • Beispiel: Diesem Risiko wird die Priorität 3 – Sehr hoch – zugewiesen. Wenn ein Benutzer über 15,0 % Berechtigungen der höchsten Stufe verfügt, beträgt die Risikostufe 3 – Hoch.
• Der Benutzer verfügt über xx % der Berechtigungen der kritischen Stufe, das Risikoniveau beträgt xx.
  • Risikostufe: Der Kunde wählt aus vordefinierten Risikostufen oder definiert eigene Risikostufen.
  • Risikopriorisierung: Der Kunde wählt aus vordefinierten Prioritäten oder definiert eigene Prioritäten
  • Beispiel: Diesem Risiko ist die Priorität 2 – Schwerwiegend – zugewiesen. Verfügt der Benutzer über 20,0 % kritische Berechtigungen, beträgt die Risikostufe 4 – Kritisch.
• Der Nutzer ist Genehmiger für Berechtigungen mit hohem Risiko.
  • Risikostufe: Der Kunde wählt aus vordefinierten Risikostufen oder definiert eigene Risikostufen.
  • Risikopriorisierung: Der Kunde wählt aus vordefinierten Prioritäten oder definiert eigene Prioritäten
  • Beispiel: Diesem Risiko ist die Priorität 1 – Kritisch – zugewiesen. Wenn der Benutzer Genehmigungsberechtigter für Berechtigungen/Geschäftsrollen mit hohem Risiko ist, beträgt die Risikostufe 4 – Kritisch.

Zugriffsrisikoerkennung

Die Risikoerkennung in IGA identifiziert Zugriffs- und Identitätsbedingungen, die zum Gesamtrisikoscore einer Person beitragen. Sie bewertet, inwieweit Benutzerzugriff, Verhalten und Kontoattribute mit den Governance-Richtlinien und der Risikobereitschaft des Unternehmens übereinstimmen.

Wichtige Erkennungsdimensionen

• Zugriffssensitivität: Erkennt den Zugriff auf wertvolle oder kritische Anwendungen und Daten.
• Berechtigungsstufe: Kennzeichnet Benutzer mit Administratorrechten oder erhöhten Berechtigungen.
• Kontostatus: Kennzeichnet verwaiste, ruhende oder gemeinsam genutzte Konten, die das Risiko erhöhen.
• Zugriffsvolumen: Erkennt Benutzer mit einer ungewöhnlich hohen Anzahl an Berechtigungen oder Rollen.