von Jürgen König (Geschäftsführer vps)
Vor allem für sehr große Organisationen und Unternehmen mit verteilten Standorten wird es immer mehr zu einem Problem, die Zutrittsberechtigungen zu den unterschiedlichen Sicherheitsbereichen des Unternehmens effizient, sicher und zuverlässig zu verwalten. Oft gibt es keine durchgängigen Prozesse zur Beantragung von Zutrittsrechten – und daher auch keine durchgängige Dokumentation. Wer hat aktuell welche Berechtigung zu welchen Gebäuden und Räumen im Unternehmen? Diese Frage ist für die Sicherheitsverantwortlichen – wenn überhaupt – nur mit erheblichem Aufwand zu beantworten.
Wo liegen die Probleme? Sehr oft liegt die Verwaltung der Zutrittsberechtigungen in den Händen von mehreren Zutrittskontrollsystemen unterschiedlicher Hersteller. Jedes System verwaltet nur genau die Berechtigungen für jeweils die eigenen Sicherheitsbereiche und Systeme. Es gibt keine übergreifende, einheitliche Verwaltung und Sicht auf diese Systeme. In Zeiten des rasanten technologischen und strukturellen Wandels, steigenden Sicherheitsbedarfs und enormen Kostendrucks stoßen die heutigen Strukturen an ihre Grenzen.
Ein Beispielszenario
Ein Mitarbeiter eines internationalen Konzerns arbeitet an einem Standort in Deutschland. Er soll kurzfristig für einen Zeitraum von zwei Monaten an einem Projekt in der Schweizer Niederlassung in Zürich mitarbeiten. Alle Konzernmitarbeiter haben einen einheitlichen Mitarbeiterausweis für die elektronische Zutrittskontrolle. Der Mitarbeiter benötigt für diese Aufgabe die Zutrittsberechtigung für die Gebäude am Schweizer Standort; idealerweise werden die Berechtigungen am deutschen Standort für diesen Zeitraum entzogen. An den Standorten werden Zutrittskontrollsysteme unterschiedlicher Hersteller eingesetzt.
Die Wunschvorstellung
Wie könnte der Prozess für diesen Vorgang aussehen? Der Mitarbeiter oder ein Sachbearbeiter beantragt über ein elektronisches Formular den Arbeitsplatzwechsel. Er wählt den neuen Standort und das Gebäude sowie den Zeitraum der Tätigkeit.
Ein zentrales Berechtigungsmanagementsystem ermittelt automatisch die erforderlichen Zutrittsberechtigungen. Abhängig von den erforderlichen Berechtigungen werden ebenfalls automatisch ein oder mehrere elektronische Genehmigungsprozesse gestartet, z.B. durch den Sicherheitsverantwortlichen am Schweizer Standort. Nach dem Erhalt aller notwendigen Genehmigungen werden die Berechtigungen automatisch an das Zutrittskontrollsystem in der Schweiz übertragen und der Mitarbeiter wird per E-Mail über das Ergebnis des Antrages informiert.
Das Berechtigungsmanagementsystem übernimmt ebenfalls die temporäre Sperrung sowie die Aktivierung der Berechtigungen an den beiden Standorten. Natürlich werden alle Prozesse dokumentiert und können jederzeit einfach nachverfolgt werden.
Die Realität – viel Raum für Verbesserungen
Die Realität sieht heute in der Regel anders aus! Oft gibt es keinen einheitlichen Prozess zur Beantragung der Zutrittsberechtigungen. Der Antrag sowie erforderliche Genehmigungen erfolgen teilweise manuell oder halb-automatisiert, z.B. per E-Mail. Die Berechtigungsvergabe erfolgt manuell durch den Administrator des jeweiligen Zutrittskontrollsystems.
Oft gibt es keine Rückmeldung, ob eine Berechtigung erteilt wurde. Aufgrund der vielen Medienbrüche gibt es keine durchgängige Protokollierung der Prozesse.
Dies ist nur ein Beispiel aus einer Vielzahl von Prozessen im Bereich der Zutrittskontrolle.
Das Verbesserungspotenzial in Bezug auf Effizienz, Sicherheit und Nachvollziehbarkeit unter Berücksichtigung der Benutzerfreundlichkeit ist enorm.
Der Schlüssel – ein zentrales Berechtigungsmanagement
Der Schlüssel liegt in einem zentralen Berechtigungsmanagement. Das Berechtigungsmanagementsystem verbindet alle Zutrittskontrollsysteme in einem Unternehmen und bietet einheitliche Regeln und Prozesse zur Beantragung und Verwaltung aller Zutrittsberechtigungen für Mitarbeiter, externe Mitarbeiter oder Besucher.
Was wird berechtigt?
Eine wesentliche Funktion des Berechtigungsmanagements ist die Ermittlung und Bereitstellung aller Berechtigungsobjekte aus den unterschiedlichen Zutrittskontrollsystemen. Terminalgruppen und Zeitprofile sind die Grundbausteine für die Berechtigungsvergabe. Da es heute keine Standardisierung in Bezug auf Darstellung und Austausch dieser Objekte gibt, sind herstellerspezifische Konnektoren zur Anbindung der Zutrittskontrollsysteme an das Berechtigungsmanagementsystem erforderlich.
Im Berechtigungsmanagementsystem können die Informationen aus den Zutrittskontrollsystemen erweitert und detaillierter beschrieben werden. So kann z.B. definiert werden, ob eine Genehmigung für einen Sicherheitsbereich erforderlich ist, wer die verantwortliche Person und wer Stellvertreter ist. Zusätzlich können „virtuelle Sicherheitsbereiche“ aus den Terminalgruppen unterschiedlicher Zutrittskontrollsysteme gebildet werden.
Einheitliche Regeln zur Vergabe von Zutrittsberechtigungen
In der Praxis wird zwischen einem Grundzutrittsrecht und zusätzlichen, persönlichen Zutrittsrechten unterschieden. Im Berechtigungsmanagementsystem werden einheitliche Regeln zur Vergabe der Grundzutrittsrechte definiert. Die Vergabe dieser Rechte erfolgt üblicherweise aufgrund des Arbeitsplatzes oder einer bestimmten Funktion einer Person. Mit Hilfe dieser Regeln erfolgt die automatische Ermittlung und Vergabe von Zutrittsberechtigungen, z.B. bei einem Neueintritt in das Unternehmen bzw. bei einem Organisationswechsel. Die zusätzlichen persönlichen Zutrittsrechte werden üblicherweise über einen separaten Genehmigungsprozess beantragt und vergeben.
Flexibilität durch dynamische Workflows
Ein Workflowsystem bildet den Kern des Berechtigungsmanagementsystems. Über unterschiedliche Workflows werden die Geschäftsprozesse zur Beantragung und Verwaltung der Zutrittsberechtigungen abgebildet. Das Workflowsystem liefert die notwendige Flexibilität, um jederzeit Prozesse an sich ändernde Gegebenheiten anzupassen bzw. neue Prozesse zu definieren.
Vom IAM zum PIAM
Identity and Access Management (IAM) ist ein etablierter Begriff und ein wichtiger Baustein in einer IT-Sicherheitsinfrastruktur.
Hier gibt es seit vielen Jahren professionelle und ausgereifte Produkte von führenden Herstellern wie Oracle, IBM oder Novell. PIAM ist ein neuer Begriff aus den USA und steht für „Physical Identity and Access Management“. Es stellt sich die Frage, ob die Anforderungen in den Bereichen logische und physische Sicherheit unterschiedlich sind. Bedarf es neuer Lösungsansätze? Welche Rolle spielt IAM im physischen Bereich? Wie sieht eine ideale Systemarchitektur für ein zentrales Berechtigungsmanagement aus?
Es gibt nicht „die eine Lösung“
Aufgrund der unterschiedlichen Voraussetzungen und Gegebenheiten in den Unternehmen können unterschiedliche Lösungsansätze zum Ziel – mehr Flexibilität, Effektivität, Sicherheit und Benutzerkomfort – führen.
Falls bereits ein IAM-System im Unternehmen eingesetzt wird, sollte auf jeden Fall untersucht werden, ob dieses System auch für die Vergabe und Verwaltung von Zutrittsberechtigungen im physischen Bereich eine führende Rolle spielen kann.
Als weitere Alternative bieten sich ID-Managementsysteme mit entsprechenden Erweiterungen und Anpassungen an.
ID-Managementsysteme haben sich in den letzten Jahren von zentralen „Ausweismanagementsystemen“ zu komplexen Identity Managementsystemen entwickelt.
Die Systeme unterstützen heute die zentrale Verwaltung von Personendaten, Ausweisen, Tokens, Zertifikaten und Berechtigungen. Ähnlich einem IAM-System ermöglicht das ID-Managementsystem die Anbindung unterschiedlicher Sub-Systeme, wie z.B. Zutrittskontrolle.
Das Thema des zentralen Berechtigungsmanagements für Zutrittsberechtigungen ist nicht zu unterschätzen. Aus diesem Grund sollte eine professionelle und kompetente Beratung am Anfang jedes Projektes stehen.
