Workforce-Trends erfordern einen neu gedachten Ansatz für IAM

Da sich die Geschäftswelt rasant weiterentwickelt, sehen sich Unternehmen mit branchenspezifischen und übergreifenden Workforce-Trends konfrontiert, die einen neu gedachten Ansatz für Identity and Access Management (IAM) erfordern.

1. Remote- und Hybridarbeit

In der heutigen dynamischen Arbeitsumgebung arbeiten Mitarbeitende von unterschiedlichen Standorten aus, darunter Büro, Homeoffice und andere Remote-Setups. Dieser Paradigmenwechsel stellt Unternehmen vor mehrere Herausforderungen, wie beispielsweise die Bereitstellung der notwendigen Technologien für nahtlose Remote- und Hybridarbeit sowie die Förderung einer Kultur des Vertrauens und der Zusammenarbeit in einer verteilten Belegschaft.

2. Employee Experience

Employee Experience (EX) umfasst jede Interaktion, die eine Mitarbeiterin oder ein Mitarbeiter mit dem Arbeitgeber hat – von der ersten Bewerbung bis zur Abschiedsfeier. Eine positive digitale EX führt zu höherem Engagement, gesteigerter Produktivität und besseren Bindungsraten. Unternehmen müssen der Schaffung einer positiven digitalen EX für ihre Belegschaft Priorität einräumen, um die Arbeitszufriedenheit zu sichern und Top-Talente zu gewinnen.

3. Zero-Trust-Sicherheitsmodell

Das wachsende Interesse und die zunehmende Einführung des Zero-Trust-Sicherheitsmodells erfordern von Unternehmen, Benutzer, Geräte und Zugriffe in jeder Phase der User Journey explizit zu verifizieren. Traditionelle, perimeterbasierte Sicherheitsansätze reichen zur Abwehr der heutigen Bedrohungslandschaft nicht mehr aus.

4. Cloud-Adoption

Während Unternehmen auf Cloud-Services migrieren, stellt die Integration und Verwaltung von Zugriffen über hybride und Multi-Cloud-Umgebungen hinweg eine erhebliche Herausforderung dar. Die wachsende Anzahl geschäftskritischer Anwendungen ist zunehmend unternehmensweit verteilt.

5. Partnerökosysteme

Um Wachstum zu fördern und neue Chancen zu nutzen, entwickeln Unternehmen Mehrwertdienste für Partner, die über Integrationen und Partnerökosysteme bereitgestellt werden. Diese neue Art der Geschäftstätigkeit erfordert Fähigkeiten, die organisatorische IT-Infrastrukturen erweitern sowie Anwendungen und Services integrieren.

6. Unternehmensweite Angriffe

Cyberangriffe wie Phishing, Account Takeover (ATO), Betrug und Ransomware werden weiterhin ausgefeilter, häufiger und schwerwiegender. Proaktive Maßnahmen zum Schutz wertvoller Systeme und Daten sind erforderlich. Unternehmen müssen strategisch in robuste Identity-Security-Technologien investieren, um ihre Assets vor Cyberbedrohungen zu schützen.

7. Künstliche Intelligenz und Machine Learning

Mitarbeitende nutzen zunehmend AI/ML, um Routineaufgaben zu automatisieren und die Produktivität zu steigern. Während konkrete Richtlinien für generative AI noch entwickelt werden, verändert AI bereits die Art und Weise, wie Unternehmen arbeiten und mit ihrer Belegschaft interagieren, und treibt Effizienz sowie Innovation voran.

8. IT- und Sicherheitsmüdigkeit

Sicherheit und Compliance erfordern den menschlichen Faktor für eine angemessene organisatorische Kontrolle, die sich auf alle Mitarbeitenden sowie IT- und Sicherheitsteams erstreckt. Mitarbeitende sind zunehmend durch unnötige MFA-Abfragen und umständliche IT-Richtlinien ermüdet, während IT- und Sicherheitsexperten Rekordwerte bei Burnout verzeichnen. Das rasante Tempo technologischer Veränderungen und die Notwendigkeit ständiger Wachsamkeit führen zu hohem Stress und überlasteten Beschäftigten.

9. Fusionen und Übernahmen

Die Aktivitäten im Bereich Fusionen und Übernahmen (M&A) nehmen zu, da Unternehmen ihre Marktpräsenz ausbauen, ihr Angebot diversifizieren und sich Wettbewerbsvorteile sichern möchten. In einer sich schnell verändernden Geschäftswelt bietet M&A einen strategischen Weg für Wachstum und Konsolidierung. Gleichzeitig bringen Fusionen und Übernahmen IT-Sicherheits- und organisatorische Herausforderungen mit sich, wie unterschiedliche Systeme, Netzwerke und Daten.

10. IoT-Expansion

Die Einführung von Internet of Things (IoT)-Geräten am Arbeitsplatz wächst erheblich und revolutioniert, wie Unternehmen arbeiten und mit ihrer Umgebung interagieren. Von intelligenten Sensoren bis hin zu vernetzten Geräten bietet die zunehmende Integration von IoT am Arbeitsplatz transformative Möglichkeiten für Unternehmen verschiedenster Branchen.

Eine moderne Workforce-Identity-Plattform auf Enterprise-Niveau ist erforderlich, um die Herausforderungen des sich rasant entwickelnden digitalen Arbeitsplatzes zu bewältigen. Eine moderne Workforce-Identity-Plattform erhöht die Sicherheit, verbessert gleichzeitig die Produktivität der Belegschaft, die operative Agilität und die regulatorische Compliance und ist damit eine entscheidende Investition für jede zukunftsorientierte Organisation.

So bewerten Sie IAM-Anbieter im Hinblick auf die heutigen Workforce-Anforderungen

Leider stellen die heutigen Anforderungen von Belegschaft und Organisation bestehende IT-Architekturen und Legacy-IAM-Systeme vor echte Herausforderungen. Benötigt werden digitale Identity-Funktionen, die nicht nur für die Anforderungen von heute, sondern auch für die von morgen konzipiert sind. Allerdings sind nicht alle IAM-Plattformen gleich. Das macht den Auswahlprozess komplexer.

Bei der Bewertung von IAM-Anbietern empfiehlt Ping Identity einen dreistufigen Evaluierungsprozess, der nach Basis-, erweiterten und fortgeschrittenen Funktionen strukturiert ist.

Dieser Evaluierungsleitfaden listet zentrale Basis-, erweiterte und fortgeschrittene digitale Identity-Komponenten auf und bietet Definitionen sowie Fragen für Request for Proposal (RFP), um Sie dabei zu unterstützen, Lösungen während Ihres Evaluierungsprozesses zu differenzieren.

Schritt Eins: Grundlegende Workforce IAM-Funktionen

Vergleichen Sie als ersten Schritt Ihres Evaluierungsprozesses die Anbieter für jede grundlegende Komponente anhand der enthaltenen RFP-Fragen.

Single Sign-On (SSO)

SSO ist ein Benutzerauthentifizierungsdienst, der es Nutzern ermöglicht, mit einem einzigen Satz von Anmeldeinformationen auf mehrere Apps, Services und Systeme zuzugreifen.

Zu den für SSO verwendeten Standards gehören SAML, OpenID und OpenID Connect (OIDC). Diese Standards ermöglichen den Austausch von Benutzerauthentifizierungs- und Autorisierungsdaten über sichere Domänen hinweg.

SSO trägt zu einer reibungslosen Benutzererfahrung bei und führt zu stärkerem Geschäftswachstum sowie zu einem Wettbewerbsvorteil.

Fragen an Anbieter:

• Bietet der Anbieter Single Sign-On (SSO) auf Basis von SAML und OpenID Connect an?
• Ermöglicht die Plattform die Integration mit Legacy-Anwendungen, die moderne Identitätsstandards nicht unterstützen?
• Ermöglicht die Plattform Windows Single Sign-On mithilfe von Kerberos?
• Schreibt die Plattform die Installation von Agenten vor?

Föderiertes SSO

Basierend auf vertrauenswürdigen Beziehungen zwischen Organisationen ermöglicht föderiertes SSO Benutzern den sicheren Zugriff auf die Webpräsenzen und Anwendungen einer Organisation mit einem einzigen Konto; zudem können Organisationen damit sicher Geschäfte mit Drittparteien abwickeln. Föderiertes SSO verwendet offene Standards wie OAuth, WS-Federation, WS-Trust, OIDC und SAML, um Authentifizierungstokens zwischen den Identity Providern der Organisationen auszutauschen.

Föderiertes SSO hilft Organisationen zu erkennen, wer mit ihnen interagiert, wozu diese Personen berechtigt sind, und darauf zu vertrauen, dass die Interaktion sicher ist. Dies führt zu verbesserter Sicherheit und Compliance.

Fragen an Anbieter:

• Bietet der Anbieter föderiertes SSO auf Basis offener Standards wie OAuth, WS-Federation, WS-Trust, OIDC und SAML an?

Multi-Faktor-Authentifizierung (MFA)

MFA ist eine Methode zur Validierung der Identität eines Benutzers durch mehrere Authentifizierungsmechanismen. MFA fordert zusätzliche Anmeldeinformationen an, wenn die Authentifizierung unter zentral definierten riskanten oder verdächtigen Bedingungen erfolgt. Zu den Authentifizierungsmechanismen gehören etwas, das der Benutzer weiß, etwas, das der Benutzer besitzt, und etwas, das der Benutzer ist. Beispielsweise wird der Zugriff erst gewährt, nachdem ein Benutzer sein Passwort (etwas, das der Benutzer weiß) eingegeben und einen per SMS an sein Telefon gesendeten numerischen Code (etwas, das der Benutzer besitzt) eingegeben hat.

MFA hilft Organisationen zu erkennen, wer mit ihnen interagiert, wozu diese Personen berechtigt sind, und darauf zu vertrauen, dass die Interaktion sicher ist. Dies führt zu verbesserter Sicherheit und Compliance.

Fragen an Anbieter:

• Bietet der Anbieter MFA an?
• Welche MFA-Mechanismen werden angeboten?

Autorisierung

Als Teil der Zugriffskontrolle innerhalb einer digitalen Identitätslösung ist die Autorisierung die Funktion, zu bestimmen, ob ein Benutzer berechtigt ist, auf bestimmte Ressourcen wie Websites, Datensätze, Dokumente usw. zuzugreifen.

Autorisierung hilft Organisationen zu erkennen, wer mit ihnen interagiert, wozu diese Personen berechtigt sind, und darauf zu vertrauen, dass die Interaktion sicher ist. Dies führt zu verbesserter Sicherheit und Compliance.

Fragen an Anbieter:

• Welche Arten von Autorisierungsmethoden und Zugriffskontrollen bietet der Anbieter an?

Identity Store

Als Teil von Verzeichnisdiensten ist ein Identity Store ein Repository für Attributdaten von Identitäten (Benutzer oder verbundene Dinge). Gespeicherte Identitätsdaten sollten sowohl im Ruhezustand als auch während der Übertragung verschlüsselt sein. Zudem ist es Best Practice, ein einbettbares Repository zu nutzen, das Echtzeit-Identitätsdaten von Mitarbeitern, Geräten und Benutzern problemlos über mehrere Umgebungen hinweg teilen kann. Darüber hinaus sollten Identity Stores aus Hosting-Perspektive Hochverfügbarkeit, Performance und Sicherheit bieten.

Wichtig ist, dass der Identity Store vollständig mit LDAP v3 konform ist und sich nahtlos in jedes Verzeichnis integrieren lässt. Dadurch können Organisationen Echtzeit-Identitätsdaten von Mitarbeitern, Geräten und Benutzern einfach über mehrere Umgebungen hinweg teilen und diese Daten sicher und unkompliziert in ihre bestehende Anwendungsumgebung integrieren, was eine nahtlose Benutzererfahrung ermöglicht.

Fragen an Anbieter:

• Verschlüsselt der Identity Store der Plattform Daten sowohl im Ruhezustand als auch während der Übertragung?
• Bietet die Plattform fraktionierte und Multi-Master-Replikation?
• Kann der Identity Store so skaliert werden, dass er Daten von Hunderten bis zu Millionen von Identitäten, einschließlich Geräten und Dingen, unterstützt?
• Ist der Identity Store der Plattform LDAP v3-konform und lässt er sich nahtlos in jedes Verzeichnis integrieren?

Provisioning

Als Teil der Autorisierung ist Provisioning der Prozess zur Verwaltung von Rollen und Berechtigungen, die bestimmten Benutzern, Geräten oder Dingen basierend auf Unternehmensrichtlinien und -strukturen (wie Funktion, Titel und geografischer Standort) zugewiesen werden, sowie zur Zuweisung und Entziehung von Berechtigungen und Ressourcen.

Wichtig ist, dass fortschrittlichere Workforce-IAM-Plattformen automatisierte Bereitstellung und workflow-gesteuerte Bereitstellung bieten. Weitere Details finden Sie in der untenstehenden Tabelle „Strategische Komponenten“.

Fragen an Anbieter:

• Bietet der Anbieter Bereitstellungsfunktionen an?
• Kann die Plattform zuvor getrennte Daten-Repositories, Netzwerkanwendungen und Benutzerdatenspeicher überall im Infrastruktur-Stack verwalten?
• Kann die Plattform Beziehungen für Benutzer, Geräte und andere Entitäten bereitstellen und zuweisen?
• Unterstützt die Plattform ein „Least-Privilege“-Sicherheitsmodell durch Dezentralisierung der Kontrolle mittels delegierter Administration?

Workflow-gesteuerte Bereitstellung

Workflow-gesteuerte Bereitstellung basiert auf einer Reihe von Schritten innerhalb eines Geschäftsprozesses, die bei der Erstellung, Aktualisierung oder Löschung eines Benutzerkontos durchgeführt werden müssen. Diese Workflows können eine einfache Genehmigung durch einen Vorgesetzten zur Gewährung neuer Zugriffsrechte oder einen komplexen mehrstufigen Prozess umfassen, bei dem Informationen aus anderen Systemen abgerufen werden, um den Benutzer zu verifizieren und mehrere Genehmigungsstufen durchzuführen.

Im Workforce IAM organisieren Workflows die Identitätssynchronisierung, -abstimmung und -bereitstellung visuell in wiederholbare Prozesse mit Protokollierung und Auditierung für Reporting-Zwecke. Dadurch wird sichergestellt, dass eine Standardrichtlinie für die Gewährung oder Entziehung von Benutzerzugriffen eingehalten wird, ohne auf E-Mail- oder papierbasierte Genehmigungen zurückgreifen zu müssen.

Wichtig ist, dass Workflows im Identitätsmanagement Teil des Bereitstellungsprozesses sind. Der Schlüssel zu jeder Workforce-Identitätsmanagement-Lösung ist die Fähigkeit, workflow-gesteuerte Bereitstellungsaktivitäten bereitzustellen.

Fragen an Anbieter:

• Ist der Anbieter in der Lage, einfache und komplexe Workflow-Operationen in Benutzerbereitstellung, -entzug und Zugriffsanfragen zu integrieren?
• Integriert der Anbieter Best Practices in Workflows, indem er Standardvorlagen anbietet?
• Bietet der Anbieter die Möglichkeit, Workflows einfach an geschäftliche Anforderungen anzupassen?

Schritt Zwei: Anbieter hinsichtlich erweiterter Funktionen bewerten

IAM-Plattformen sollten über die Grundlagen hinausgehen und erweiterte Workforce-IAM-Funktionen integrieren. Für die Antworten von Ping auf diese Fragen fordern Sie bitte ein Exemplar des Workforce IAM RFP Workbook.

Passwortlose Authentifizierung für die Belegschaft

Passwortlose Authentifizierung für die Belegschaft eliminiert Benutzerinteraktionen mit Passwörtern und reduziert die Angriffsfläche für böswillige Akteure. Mit modernen Standards lassen sich passwortlose Funktionen einfach für webbasierte Anwendungen bereitstellen. Unternehmen verfügen jedoch über Workstations, Server, Datenbanken, VPNs und andere Legacy-Infrastrukturen, die das gleiche passwortlose Erlebnis benötigen. Die nahtlose Bereitstellung passwortloser Authentifizierung sowohl für moderne Anwendungen als auch für Legacy-Infrastrukturen ist entscheidend, um Risiken zu reduzieren und Betriebskosten zu senken.

Fragen an Anbieter:

• Unterstützt die Plattform mehrere Methoden der passwortlosen Authentifizierung (z. B. Biometrie, Token, mobile Push-Benachrichtigungen, FIDO)?
• Unterstützt die Plattform die Integration mit Windows, macOS und Linux für passwortlose Anmeldung an Workstations?
• Integriert sich die Plattform mit Legacy-Anwendungen (RADIUS, Kerberos, Mainframe, nicht standardisierte Apps)?

Governance-Administration

Governance-Administration ist der Prozess, der es Organisationen ermöglicht, Benutzerzugriffsrechte zu überwachen und sicherzustellen, dass diese korrekt und sicher verwaltet werden. Dies geschieht in der Regel, indem einem Vorgesetzten oder Anwendungsverantwortlichen ermöglicht wird, die Zugriffsrechte von Benutzern im System zu überprüfen und anschließend zu bestätigen, dass einzelne Benutzer diesen Zugriff weiterhin behalten sollen, oder den Zugriff abzulehnen, sodass er sofort entzogen werden kann. Dies trägt dazu bei sicherzustellen, dass die richtigen Personen zur richtigen Zeit Zugriff auf die richtigen Services haben.

Viele Vorschriften wie der Sarbanes-Oxley Act (SOX) und der Health Insurance Portability and Accountability Act (HIPAA) schreiben vor, dass Zugriffsüberprüfungen Teil der standardmäßigen Sicherheitspraktiken einer Organisation sein müssen.

Fragen an Anbieter:

• Bietet der Anbieter die Möglichkeit, Benutzerzugriffe regelmäßig zu überprüfen und zu zertifizieren, um sicherzustellen, dass Benutzer über die richtigen Zugriffsrechte verfügen?
• Ist der Anbieter in der Lage, Zugriffsüberprüfungen ad hoc oder ereignisgesteuert durchzuführen, beispielsweise wenn ein Benutzer die Rolle wechselt?
• Bietet der Anbieter die Möglichkeit eines mehrstufigen Zugriffsüberprüfungsprozesses, sodass mehr als ein Prüfer den Benutzerzugriff verifizieren kann?
• Sind die Governance-Administrationsfunktionen eng mit der Bereitstellungslösung integriert, sodass verweigerte Zugriffe sofort entzogen werden?

Delegierte Administration

Delegierte Administration ermöglicht es Identitätsadministratoren, ausgewählten Personen die Befugnis zu erteilen, Mitarbeiterkonten und Zugriffsrechte zu erstellen, zu verwalten und deren Verwaltung weiter zu delegieren sowie andere fein granular gesteuerte administrative Aufgaben an verwalteten Objekten durchzuführen. Diese Delegation administrativer Aufgaben ermöglicht es einzelnen Geschäftsbereichen, ihre eigenen Teams effizient zu verwalten, ohne auf das zentrale IT-Team angewiesen zu sein, was ihre Agilität erheblich steigert.

Fragen an Anbieter:

• Bietet der Anbieter delegierte Administration an?

Self-Service

Self-Service bedeutet, dass Benutzer ihre Konten eigenständig verwalten können, anstatt auf das Support-Personal einer Organisation angewiesen zu sein. Beispiele für Self-Service sind die Verwaltung von Anmeldeeinstellungen, Passwortverwaltung, Aktualisierung von Kontaktinformationen, das Suchen und Anfordern zusätzlicher Zugriffsrechte und vieles mehr. Self-Service senkt nicht nur die Supportkosten, sondern verbessert auch die Benutzererfahrung.

Self-Service stärkt Benutzer, indem er ihnen mehr Kontrolle und Wahlmöglichkeiten bietet und ihre Abhängigkeit von zentralen IT-Teams reduziert.

Fragen an Anbieter:

• Bietet der Anbieter Self-Service an?
• Welche Self-Service-Funktionen unterstützt der Anbieter?
• Ermöglicht der Anbieter Benutzern, selbstständig nach zusätzlichem Zugriff zu suchen und diesen anzufordern?
• Ermöglicht der Anbieter Benutzern, im Namen anderer Zugriff zu beantragen?

No-Code Identity Orchestration

Traditionelle Authentifizierungs- und Autorisierungsmethoden umfassen Benutzernamen und Passwörter sowie von Dritten validierte Datenelemente wie Sozialversicherungsnummern und Geburtsdaten. In einem Zero-Trust-Sicherheitsmodell wird jedoch davon ausgegangen, dass diese Authentifikatoren kompromittiert sein können. Zudem beeinträchtigen traditionelle Methoden eine gute Benutzererfahrung.

Um sichere und mühelose User Journeys zu ermöglichen, sollte ein IAM-Anbieter Organisationen ein No-Code-Tool für Identity Orchestration bereitstellen. Mit einer Drag-and-Drop-Workflow-Oberfläche können Administratoren Workflows für Schritte wie Registrierung, Authentifizierung, Autorisierung, Self-Service usw. innerhalb der User Journey einfach zusammenstellen und anpassen. Diese Fähigkeit ermöglicht hochgradig maßgeschneiderte und personalisierte Benutzererlebnisse über Kanäle und Marken hinweg.

No-Code Identity Orchestration gibt Administratoren zudem die Möglichkeit, Authentifizierungs-Workflows zu erstellen, mit denen sich Login-Journeys einfach konfigurieren, messen und anpassen lassen – unter Verwendung digitaler Signale wie Gerät, Kontext, Verhalten, Benutzerwahl, Analysen und risikobasierter Faktoren. Administratoren können außerdem schnell sofort einsatzbereite Authentifikatoren nutzen, bestehende Authentifikatoren einbinden und Integrationen mit anderen Cybersicherheitslösungen vornehmen.

Fragen an Anbieter:

• Bietet die Plattform eine einheitliche Orchestrierungs-Engine für Registrierung, Self-Service und Authentifizierung, oder muss der Administrator mehrere Tools erlernen, um User Journeys zu erstellen?
• Ermöglicht die Plattform die einfache Erstellung, Anzeige und Änderung von Registrierungs-, Autorisierungs- und Authentifizierungs-Journeys mittels No-Code-Drag-and-Drop-Funktionalität in Workflows?
• Wie identifiziert die Plattform digitale Signale eines Benutzers – wie Standort, IP-Adresse, Gerätetyp, Betriebssystem, Browsertyp und mehr – bereits vor der Erfassung eines Benutzernamens?
• Umfasst die Plattform transaktionsbezogene Autorisierung für risikoreiche Transaktionen innerhalb einer Sitzung?

Unterstützung für eine einheitliche Sicht auf Identitäten

Die meisten Mitarbeiter, Auftragnehmer, Partner und Lieferanten interagieren mit einer Organisation über viele verschiedene Anwendungen hinweg, beispielsweise für HR, Marketing, Kreditorenbuchhaltung und mehr. Zwischen einigen Anwendungen kann eine Integration von Benutzerdaten bestehen, doch insgesamt sind jede Anwendung und ihre Benutzerdaten innerhalb der Organisation isoliert. Dies erschwert es, einen Benutzer aus einer 360-Grad-Perspektive vollständig zu verstehen – einschließlich aller Zugriffsrechte, Präferenzen, Nutzungen, potenziellen Risiken und mehr.

Um ein vollständiges Bild Ihrer Benutzer und ihrer Interaktionen mit Ihrer Organisation zu erhalten, nutzt modernes IAM Identity-Management- und Directory-Services-Produkte, um Identitätsdaten über die gesamte Systemlandschaft einer Organisation hinweg zu synchronisieren, zu migrieren und zu verwalten. Mit einer einheitlichen Sicht auf einen Benutzer können Sie:

• Benutzeridentitäten konsolidieren und ihre Sicherheit durch verhaltensbasierte, kontextbezogene und risikobasierte Authentifizierungs- und Autorisierungsrichtlinien erhöhen.
• Die Benutzererfahrung in der gesamten Organisation über jede Anwendung und jedes Gerät hinweg (Omnichannel) standardisieren und vereinheitlichen.
• Analysen zu Benutzern durchführen, um deren Zugriffe und damit verbundene Risiken besser zu verstehen.

Fragen an Anbieter:

• Kann die Plattform in andere Systeme integriert werden, um isolierte Identitätsdatensilos zu konsolidieren und eine organisationsweite einheitliche Sicht auf den Benutzer zu schaffen?
• Kann die Plattform eine Live-, bidirektionale Synchronisierung und Abgleichung von Identitätsattributen zwischen Datenspeichern bereitstellen?

Verfügbarkeit und Skalierbarkeit

Es ist wichtig sicherzustellen, dass der Zugriff und die Sitzung eines Benutzers nicht unterbrochen werden, falls beispielsweise ein Server ausfällt.
IAM-Anbieter sollten sowohl „Serviceverfügbarkeit“ als auch „Sitzungsverfügbarkeit“ unterstützen. Die Serviceverfügbarkeit stellt sicher, dass Benutzer auch dann auf eine Anwendung zugreifen können, wenn ein Server ausfällt. Die Sitzungsverfügbarkeit bewahrt eine laufende Sitzung und hält sie aufrecht, wenn ein Server ausfällt.

IAM-Anbieter sollten zudem eine Vielzahl von Skalierungsszenarien unterstützen. Dazu gehören eine schwankende Anzahl (oft Millionen) von Benutzern, Geräten und Objekten, die in einer Datenbank gespeichert werden müssen, sowie sich ändernde Häufigkeiten und Dauern gleichzeitiger und paralleler Sitzungen. Die Unterstützung eines zustandslosen Protokolls mit JWT-Sitzungstokens ist ebenfalls ratsam.

Verfügbarkeit und Skalierbarkeit ermöglichen es Organisationen, Verwaltungs- und IT-Ressourcenzeit einzusparen und dadurch Kosten zu senken.

Fragen an Anbieter:

• Skaliert die Plattform elastisch? Kann sie beispielsweise die Identitätssynchronisierung sowie den Authentifizierungs- und Autorisierungsservice um mehrere Größenordnungen skalieren, um auf vorhersehbare Spitzen – etwa bei einer hochkarätigen Veranstaltung – oder auf unvorhergesehene Ereignisse zu reagieren?

Unterstützung offener Standards

Offene Standards sind etablierte, einheitliche technische Normen, die von Entwicklern verwendet werden. Jeder Standard definiert bestimmte Fähigkeiten und Funktionen. Identitätssicherheit basiert auf den Standards OAuth2, OpenID Connect (OIDC) und SAML. Über diese grundlegenden Identitätsstandards hinaus integrieren führende Anbieter digitaler Identitäten Standards, die zur Unterstützung neuer Workforce-Trends erforderlich sind. Dazu gehören OAuth 2.0 Proof-of-Possession, das sicherstellt, dass der Präsentierende eines Bearer-Tokens der tatsächliche und ursprüngliche Tokeninhaber ist, sowie OAuth2 Device Flow, das für Client-Geräte mit eingeschränkten Benutzeroberflächen konzipiert ist.

Die Unterstützung sowohl grundlegender als auch erweiterter offener Standards wie OAuth2, OIDC, SAML, UMA 2.0, OAuth2 Device Flow und OAuth 2.0 Proof-of-Possession ermöglicht es Organisationen, Daten und Transaktionen mit externen Parteien – einschließlich Drittanbieter-APIs, Geräten und IoT-Objekten – abzusichern. Dies fördert sicheres Geschäftswachstum und stärkt den Wettbewerbsvorteil.

Fragen an Anbieter:

• Unterstützt die Plattform sowohl grundlegende als auch erweiterte offene Standards wie OAuth2, OIDC, SAML und OAuth 2.0 Proof-of-Possession?

Standardbasierte Anbindung von Anwendungen

In den Anfangstagen von IAM wurde das Zugriffsmanagement von zentralen Teams gesteuert und verwaltet. Diese Teams banden neue Anwendungen als Punkt-zu-Punkt-Integrationen an, was für Organisationen, die Anwendungen in das Zugriffsmanagement integrieren wollten, zu einem Engpass führte. Zudem war der gesamte Prozess zeitaufwendig und kostspielig.

Der moderne Ansatz besteht heute darin, zentral eine Reihe von Standards zu veröffentlichen und Anwendungseigentümern zu ermöglichen, ihre eigenen Anwendungen mithilfe eines API-gesteuerten, standardbasierten Ansatzes anzubinden. Mit dem standard- und API-basierten Ansatz können Anwendungseigentümer ihre Anwendungen selbst integrieren und Zugriffsrichtlinien festlegen, ohne von einem Experten abhängig zu sein, der weiß, wie das Zugriffsmanagement konfiguriert wird. Dieser moderne Ansatz ist schneller, kosteneffizienter und aus Rollout-Perspektive besser skalierbar.

Fragen an Anbieter:

• Stellt die Plattform einen vollständigen Satz standardbasierter APIs für die Integration von Anwendungen in das Access-Management-Framework bereit?
• Wenn eine Anwendung keine modernen, standardbasierten APIs unterstützt, wie kann Ihre Plattform Legacy-API-Aufrufe in moderne, standardbasierte API-Aufrufe übersetzen?

Kontextbasierter Zugriff

Die meisten Identitätsanbieter schützen nur bei der initialen Authentifizierung. Um die Authentizität von Benutzern, Geräten, Dingen und Services jederzeit sicherzustellen und Risiken zu mindern, sobald eine Anomalie erkannt wird (auch während bestehender Sitzungen), sollte kontextbasierter Zugriff angewendet werden.

Als Teil eines Zero-Trust-Sicherheitsmodells integriert kontextbasierter Zugriff kontextbasierte Intelligenz in Richtlinien, um Risiken zu bewerten und Ressourcen zum Zeitpunkt des Zugriffs sowie zu jedem Zeitpunkt während einer digitalen Sitzung zu schützen. Kontextbasierter Zugriff wendet granulare Autorisierungsrichtlinien, adaptives Risikomanagement, MFA und Push-Autorisierung an, erfordert diese stärkeren Authentifizierungsmechanismen jedoch nur bei Bedarf. Dies erleichtert die Nutzung für Anwender bei gleichzeitiger Wahrung der Systemsicherheit und ermöglicht es Unternehmen, eine reibungslosere und sicherere Benutzererfahrung zu bieten, was zu einem verbesserten Wettbewerbsvorteil führt.

Fragen an Anbieter:

• Nutzt die Plattform kontextbezogene Authentifizierungs- und Autorisierungsfaktoren zu jedem Zeitpunkt einer Sitzung zur Risikobewertung – und löst stärkere Authentifizierungsmechanismen nur bei Bedarf aus, indem bewertet wird, wer der Benutzer ist und in welchem Kontext er sich befindet?
• Kann die Plattform grundlegende digitale Risikosignale eines Benutzers wie Standort, IP-Adresse, Gerätetyp, Betriebssystem und Browsertyp erkennen und aggregieren?
• Welche Arten von Autorisierungsmethoden und Zugriffskontrollen bietet der Anbieter an?

Login-Analysen und Entscheidungslogik

Die einzige Möglichkeit, die Benutzererfahrung kontinuierlich zu verbessern, sind datengestützte Erkenntnisse. Als Teil der Authentifizierung und Autorisierung der nächsten Generation bieten Login-Analysen Metriken und Zeitmessungen, die Benutzerinteraktionen und deren Geräte über alle Kanäle und Geschäftsbereiche hinweg analysieren. IAM-Plattformen sollten in der Lage sein, die Performance von Drittanbieter-Betrugs- und Analysediensten zu überwachen, die sich auf Login-Journeys auswirken.

IAM-Plattformen sollten Administratoren außerdem ermöglichen, die Login-Erfahrung von Mitarbeitenden durch kontextuelle und verhaltensbasierte Analysen zu optimieren, die untersuchen, welche Geräte und Browser genutzt werden, von wo aus sich Personen anmelden, wie lange Login-Journeys innerhalb der Benutzerpopulation dauern und mehr. Daraus können Unternehmen Korrelationen zwischen bestehenden Login-Methoden erkennen, um die Erfahrungen von Mitarbeitenden, Auftragnehmern und Partnern zu verbessern.

Login-Analysen und Entscheidungslogik ermöglichen es Unternehmen, Ressourcen, Zeit und Geld zu sparen und dadurch Kosten zu senken.

Fragen an Anbieter:

• Bewertet die Plattform die durchschnittliche Dauer von Aufrufen an Drittanbieterdienste oder Datenquellen?
• Überwacht die Plattform die Einhaltung von Service Level Agreements (SLAs), die sich auf Login-Journeys auswirken?
• Ermittelt die Plattform, ob kürzere Login-Journeys zu weniger Helpdesk-Anrufen führen?

Systemintegrationen

Als wesentlicher Bestandteil des Lösungsökosystems speichern Identitätsplattformen Identitäten und führen Datenerfassung sowie Analysen durch. Dieses Lösungsökosystem umfasst unter anderem IAM-, Mobile-Device-Management- (MDM), Human-Relationship-Management- (HRM) und Enterprise-Resource-Planning- (ERP) Systeme.

Leider führt dieses breite Ökosystem zu fragmentierten Benutzeransichten. Fortschrittliche IAM-Plattformen sind in der Lage, diese Systeme zu integrieren und zu verbinden, um eine einheitliche Sicht auf den Benutzer im gesamten Unternehmen zu schaffen. Diese aggregierten Daten liefern eine deutlich robustere Datengrundlage für wichtige Personal- und Geschäftsentscheidungen.

Systemintegrationen ermöglichen es Unternehmen, alle ihre Systeme und Investitionen zu nutzen, was zu einem höheren ROI und geringeren Kosten führt.

Fragen an Anbieter:

• Integriert sich die Plattform in andere Systeme und ermöglicht sie die Konsolidierung mehrerer Identitätssilos, um eine einheitliche Sicht auf einen Benutzer im gesamten Unternehmen zu schaffen?

Datenresidenz

Datenresidenz und Datensouveränität sind verwandte Konzepte, die die rechtlichen Aspekte betreffen, wo Benutzerdaten gespeichert werden und welche rechtliche Zuständigkeit über die Daten besteht – unabhängig davon, wo sie gespeichert sind. Im Allgemeinen verlangt Datenresidenz, dass personenbezogene Daten eines Bürgers ausschließlich innerhalb der Landesgrenzen seines Landes erhoben, gespeichert und verarbeitet werden.

Um das GDPR-Konzept der Datenresidenz zu adressieren, sollten IAM-Anbieter eine datenschutzgebundene Speicherung von Benutzerdaten und eine partielle Replikation personenbezogener Daten ermöglichen. Dies erlaubt die Verarbeitung von Benutzerdaten, die kontextsensitiv für eine bestimmte Gerichtsbarkeit sind.

Fragen an Anbieter:

• Unterstützt die Plattform Datenresidenz durch die Ermöglichung einer datenschutzgebundenen Speicherung von Benutzerdaten und einer partiellen Replikation personenbezogener Daten?

Application Programming Interface (API)-First-Modell

Das API-First-Modell ist eine entwicklerzentrierte Methode zur Erstellung einer Lösung. In diesem Modell erstellt ein Anbieter zunächst die API und baut anschließend die Plattform darum herum auf. Dies führt zu geringerer Komplexität für externe Entwickler und Organisationen. Für Benutzerfreundlichkeit, Skalierbarkeit und Flexibilität sollten Anbieter digitaler Identitätslösungen dieses API-First-Entwicklungsmodell anwenden, um ein gemeinsames REST-API-Framework über die gesamte Plattform hinweg zu schaffen und eine einheitliche Methode zur Nutzung jedes Identitätsdienstes bereitzustellen. Das Ergebnis sollte eine einfache und sichere Möglichkeit sein, Identität auf alle Bereiche auszuweiten, einschließlich Social, Mobile, Cloud und IoT.

Fragen an Anbieter:

• Verwendet der Anbieter ein API-First-Entwicklungsmodell, um ein gemeinsames REST-API-Framework über die gesamte Plattform hinweg zu schaffen und eine einheitliche Methode zur Nutzung jedes Identitätsdienstes bereitzustellen?

Identity Platform Software as a Service (SaaS)

Die Wartung und Aktualisierung von Identitätslösungen ist komplex und arbeitsintensiv. Mit einer umfassenden IAM-Plattform, die als Software as a Service (SaaS) bereitgestellt wird, können Unternehmen die neuesten Funktionen nutzen, ohne für Hosting, Wartung, Upgrades und mehr verantwortlich zu sein. Identity SaaS ermöglicht es IT-Ressourcen zudem, sich auf andere wichtige Initiativen wie Innovation zu konzentrieren.

Sicherheitsbedenken – einschließlich Datenaustausch und Datensouveränität – gehören zu den Hauptgründen, warum viele große Unternehmen davor zurückgeschreckt sind, auf eine vollständige Cloud-IAM-Plattform umzusteigen. Dies liegt daran, dass viele SaaS-Anbieter mehrere Kunden (Mandanten) in einer einzigen Instanz zusammenführen. Dieser veraltete Ansatz der Mandantenfähigkeit führt zu erhöhten Risiken, da die Aktivitäten einer Organisation andere Organisationen beeinträchtigen könnten. Aus diesem Grund bietet die ideale IAM-SaaS-Plattform eine vollständige Mandantenisolation, sodass Daten und Workloads niemals mit anderen vermischt werden. Mandantenisolation beseitigt zudem gängige Herausforderungen im Zusammenhang mit der Skalierung und Speicherung sensibler und regulierter Identitätsdaten in der Cloud. Identity SaaS sollte außerdem Datensouveränität und Compliance sowie maximale Verfügbarkeit mit individuellen Backups bieten. Darüber hinaus sollte es eine Hochverfügbarkeitsarchitektur mit transparentem Failover umfassen, um strenge Service Level Agreement (SLA)-Anforderungen zu erfüllen, sowie mandantenspezifische Backup- und Wiederherstellungsfunktionen. Dies ermöglicht es Unternehmen, sich schnell und effizient von versehentlichen oder böswilligen Datenbeschädigungen zu erholen.

Fragen an Anbieter:

• Bietet der Anbieter seine gesamte Identitätsplattform als Service an?
• Weisen die Platform-as-a-Service- und Software-Angebote des Anbieters Funktionsparität auf?

Starkes Partner-Ökosystem

Die stärksten IAM-Anbieter und -Plattformen sind diejenigen, die gut mit einer Vielzahl anderer Technologien, Softwarelösungen und Branchenführern zusammenarbeiten, um die individuellen Ziele jeder Organisation zu erreichen. Daher müssen IAM-Anbieter über ein starkes Ökosystem aus renommierten Beratungs-, Technologie- und Integrationspartnern verfügen. Darüber hinaus sollte dieses Partner-Ökosystem so konzipiert sein, dass es die heutigen Anforderungen sofort und einfach unterstützt und gleichzeitig als Quelle für Zusammenarbeit und Innovation in der Zukunft dient.

Ein starkes Ökosystem aus renommierten Beratungs-, Technologie- und Integrationspartnern ermöglicht es Organisationen, die neuesten Sicherheitsfunktionen einfach hinzuzufügen und Ressourcen, Zeit und Kosten zu sparen.

Fragen an Anbieter:

• Verfügt der Anbieter über ein starkes Ökosystem aus renommierten Beratungs-, Technologie- und Integrationspartnern?
• Bietet der Anbieter sofort einsatzbereite Integrationen von Technologiepartnern, die im Kauf enthalten sind?

Schritt drei: Anbieter hinsichtlich erweiterter Funktionen bewerten

IAM-Plattformen auf Enterprise-Niveau umfassen fortschrittliche, zukunftsorientierte Funktionen und dienen als wichtigste Differenzierungsmerkmale zwischen IAM-Anbietern. Umfassende IAM-Plattformen sind darauf ausgelegt, die Komplexität der weltweit größten Unternehmen zu bewältigen.

Um die Antworten von Ping Identity auf diese Fragen zu erhalten, fordern Sie bitte ein Exemplar des Workforce IAM RFP Workbook.

KI- und ML-gestützte Bedrohungserkennung

Cyberkriminelle werden zunehmend raffinierter, was zu einem Anstieg von Cyberbedrohungen wie der Kontoübernahme führt. Eine Kontoübernahme (Account Takeover, ATO) liegt vor, wenn ein Angreifer unbefugten Zugriff auf das digitale Identitätskonto eines Benutzers erlangt. ATO ist häufig die Ursache für Datenschutzverletzungen, Diebstahl und andere betrügerische Aktivitäten, die zu Umsatzverlusten, Rufschädigung der Marke und erheblichen Kosten für Schadensbegrenzung führen.

Um legitimen Benutzern die nahtlosen und sicheren Zugriffserlebnisse zu bieten, die sie erwarten, benötigen Unternehmen eine moderne Sicherheitslösung, die unerwünschte Reibung reduziert und gleichzeitig die Sicherheit stärkt. Eine KI- und ML-gestützte Lösung zum Bedrohungsschutz hilft, Kontoübernahmen und Betrug am Identitätsperimeter zu verhindern, indem jede Anmeldeanforderung basierend auf einem Risikowert unterschiedlich behandelt wird. Dadurch können Organisationen vertrauenswürdige Benutzer beispielsweise mit passwortloser Authentifizierung beschleunigt zulassen und gleichzeitig Angreifer stoppen.

Fragen an Anbieter:

• Bietet der IAM-Anbieter eine Plattform zur Bedrohungserkennung, die künstliche Intelligenz (KI) oder Machine Learning (ML) nutzt?
• Nutzt die Plattform Lernalgorithmen zur Stärkung der Bedrohungserkennungsdienste?
• Wie nutzt die Plattform KI oder ML, um bekannte Bedrohungen zu verhindern?
• Wie nutzt die Plattform KI oder ML, um neu entstehende oder unbekannte Bedrohungen zu verhindern?
• Unterstützt die Plattform einen mehrschichtigen, auf Intelligence basierenden Sicherheitsansatz?
• Erfordern die Bedrohungserkennungsdienste der Plattform eine kundenspezifische Integration?
• Unterstützt die Plattform Skalierbarkeit auf Enterprise-Niveau?

Identitätsprüfung

Identitätsprüfung ist der Prozess der Bestätigung, dass eine Person tatsächlich diejenige ist, die sie vorgibt zu sein, typischerweise unter Verwendung von Nachweisen wie Ausweisdokumenten, biometrischen Merkmalen oder digitalen Zertifikaten. Sie ist entscheidend für die Aufrechterhaltung der Sicherheit, die Verhinderung von Betrug und die Einhaltung regulatorischer Anforderungen. Eine präzise Identitätsprüfung schützt sensible Daten, minimiert Risiken und schafft Vertrauen in digitale und physische Transaktionen.

Fragen an Anbieter:

• Bietet der IAM-Anbieter einen Identitätsprüfungsservice an?
• Führt der Identitätsprüfungsservice einen Live-Selfie-Abgleich durch?
• Unterstützt die Plattform die Live-Verifizierung von behördlichen Ausweisdokumenten?

Durch Artificial Intelligence (AI) und Machine Learning (ML) informierte Identitätsverwaltung und -Governance

Viele Organisationen unterstützen zunehmend eine vollständig remote arbeitende Belegschaft. Dieser Wandel setzt ihre bestehenden IAM-Systeme für Mitarbeiter sowie die IT-Mitarbeiter, Administratoren und Manager unter Druck, die sicherstellen müssen, dass die richtigen Personen die richtigen Zugriffsrechte auf die richtigen Systeme und Anwendungen haben, während sie von zu Hause aus arbeiten. Darüber hinaus steigt das Risiko von Datenschutzverletzungen, Hacks, Betrug und anderen böswilligen Aktivitäten mit dem plötzlichen Anstieg der Anzahl an Remote-Mitarbeitern.

Identity Governance and Administration (IGA) unterstützt die Verwaltung und Bereitstellung von Benutzerzugriffen und reduziert das Risiko, das entsteht, wenn Mitarbeiter übermäßige oder unnötige Zugriffsrechte auf Anwendungen, Systeme und Daten besitzen. KI und ML heben IGA auf die nächste Stufe, indem sie Ausreißer in großen Datenmengen schnell identifizieren. Diese Technologien erzeugen zudem Vertrauenswerte, die Manager und Genehmiger bei der Durchführung von Zugriffsprüfungen und -freigaben unterstützen.

Umfassende moderne IAM-Plattformen, die Identitäts- und IGA-Funktionen auf Basis von KI und ML bieten, steigern die Effizienz und verschaffen IT-Mitarbeitern sowie Zugriffsverantwortlichen mehr Zeit, sich auf als riskant oder anomal identifizierte Zugriffsrechte zu konzentrieren. Das Ergebnis sind verbesserte Sicherheit und eine geringere administrative Belastung.

Fragen an Anbieter:

• Bietet der Anbieter KI- und ML-Funktionen zur Erweiterung der Governance-Funktionalität?
• Ist die KI und ML der Plattform erklärbar?
• Kann die KI-Engine Daten aus anderen Quellen verarbeiten? Ist sie flexibel genug, um mit anderen IAM-Lösungen und Datenquellen zu arbeiten, oder ist sie ausschließlich auf die Plattform des Anbieters beschränkt?
• Ist die Plattform auf Peer-Group-Analysen beschränkt?

Automatisierte Provisionierung und Deprovisionierung

Provisionierung ist die Registrierung und das Onboarding von Mitarbeitenden, Auftragnehmern, Partnern oder Lieferanten in mehreren Anwendungen auf Grundlage spezifischer Attribute wie Titel, Standort oder Vorgesetzter, um ihnen vom ersten Tag an Zugriff auf das zu gewähren, was sie benötigen.

Die Deprovisionierung deaktiviert oder löscht automatisch alle mit einer Identität verbundenen Konten, wenn Mitarbeitende oder Partner eine Organisation verlassen, und beseitigt so sogenannte Zombie-Konten.

Die Automatisierung der Vergabe zusätzlicher Zugriffsrechte sowie der Entzug übermäßiger und risikoreicher Berechtigungen mit einer KI- und ML-gestützten Governance-Lösung spart administrativen Aufwand und steigert die Produktivität. Die automatisierte Deprovisionierung verbessert zudem die Sicherheits­hygiene und senkt Kosten, indem nicht mehr benötigte Konten aus Anwendungen entfernt und die damit verbundenen Lizenzkosten reduziert werden.

Fragen an Anbieter:

• Ermöglicht die Plattform eine automatisierte Provisionierung und Deprovisionierung von Benutzern?
• Kann die Plattform in ein bestehendes HR-System oder andere führende Datenquellen für Benutzerinformationen integriert werden, um Benutzer aufzunehmen, zu aktualisieren oder zu entfernen?

Verteiltes Scope-Design mit Least Privileged Access

Scopes ermöglichen das Prinzip des „Least Privileged Access“, das bedeutet, nur den Zugriff zu gewähren, der für die Erfüllung eines beabsichtigten Zwecks erforderlich ist. Beispielsweise dürfen Mitarbeitende nur auf genau die Informationen und Ressourcen zugreifen, die notwendig sind für
einen bestimmten und legitimen Zweck.

Ein erster Schritt zur Erreichung dieser fein granularen Autorisierung ist die Entwicklung eines Mechanismus zur Verteilung und Zuweisung stark typisierter Scopes an Anwendungen, API-Endpunkte und andere geschützte Ressourcen. Scopes müssen anschließend mit Echtzeit-Kontext an Richtlinien durchsetzenden Kontrollpunkten im gesamten Identity-Ökosystem verknüpft werden. Scopes für fein granulare, umsetzbare Regeln, die zur Entscheidungsfindung bei der Autorisierung verwendet werden können, sollten ebenfalls angewendet werden.

Ein verteiltes Scope-Design mit Least Privileged Access hilft Unternehmen, Betrug und böswillige Aktivitäten zu verhindern, und verbessert dadurch Sicherheit und Compliance.

Fragen an Anbieter:

• Kann die Plattform Least Privileged Access ermöglichen, indem nur der Zugriff gewährt wird, der zur Erfüllung eines beabsichtigten Zwecks erforderlich ist?

Multi-Brand / Omnichannel / Cross-Channel (UI-Theming)

Jeder Benutzer ist einzigartig und muss entsprechend behandelt werden. Eine Organisation mit mehreren Marken oder Kanälen (z. B. Filialen) muss jeden Benutzer erkennen und ihm ein personalisiertes Erlebnis bieten, indem sie ihn zur passend gebrandeten Zugriffserfahrung führt. Darüber hinaus müssen Organisationen in Multi-Party-Ökosystemen mit Partnern verschiedene Geschäftsbereiche oder Benutzergruppen innerhalb ihrer Identitätshierarchie separat und klar voneinander abgegrenzt verwalten. Möglicherweise müssen sie Partnern bestimmte Berechtigungen erweitern, um deren Endkunden besser zu verwalten (B2B2C).

Eine Workforce-IAM-Lösung sollte Multi-Brand-UI-Theming umfassen, das es Organisationen ermöglicht, individuelle Journeys zu definieren, die Benutzer mit dem entsprechenden Kanal oder der passenden Marke verbinden. Zudem sollte sie hierarchische Benutzerstufen und delegierte Administratoren unterstützen.

Fragen an Anbieter:

• Wie passt die IAM-Plattform UI-Themes für Endbenutzer an?
• Kann die IAM-Plattform ein Theme dynamisch basierend auf einer Spracheingabe auswählen?
• Kann die IAM-Plattform erkennen, welcher Organisation ein Benutzer angehört, und anschließend eine thematisch passende Benutzeroberfläche anzeigen, die dieser Organisation entspricht?
• Kann die IAM-Plattform Benutzer mit Sehbeeinträchtigungen oder anderen Anforderungen an Barrierefreiheit unterstützen?

Hierarchisches, Multi-Brand- und komplexes Organisationsdesign

Die meisten Unternehmen erstellen eine Hierarchie von Abteilungen oder Geschäftsbereichen (LOB), die ihrer individuellen Organisationsstruktur entspricht (z. B. mehrere Marken). Diese Hierarchien bestimmen, wie sie Administration sowie Zugriffsrechte an Benutzer innerhalb dieser Organisationen delegieren.

Die Funktion für hierarchisches, Multi-Brand- und komplexes Organisationsdesign bietet Unternehmen die Flexibilität, individuelle Identity- und Access-Management-Konfigurationen wie Passwortrichtlinien und Zugriffsberechtigungen für unterschiedliche Zielgruppen einzurichten. Dies wird durch die Erstellung hierarchischer Benutzerstufen und delegierter Administratoren ermöglicht, sodass Organisationen getrennte Benutzergruppen entsprechend ihren geschäftlichen Anforderungen einrichten und verwalten können.

Hierarchien können bei Bedarf innerhalb anderer Hierarchien verschachtelt werden. Für jede Hierarchie werden Eigentümer und Administratoren benannt, die die fein granulare Verwaltung von Zugriffs- und Autorisierungsrechten der Benutzer innerhalb ihrer Stufe übernehmen. Ein Administrator einer Organisation kann vollständigen Zugriff auf die Benutzer innerhalb dieser Organisation haben, jedoch keinen Zugriff auf Benutzer einer benachbarten Organisation. Dies befähigt jeden Administrator innerhalb der Hierarchie, die notwendigen Anpassungen vorzunehmen, um die Anforderungen an Sicherheit, Benutzerfreundlichkeit und Komfort seiner Benutzer zu erfüllen.

Dieser Ansatz spart Organisationen Zeit und Geld, da mehrere Identitätstypen in einem einzigen System konsolidiert werden können.

Fragen an Anbieter:

• Wie unterstützt die IAM-Plattform individuelle Identity- und Access-Management-Konfigurationen für unterschiedliche Hierarchien oder Geschäftsbereiche (LOBs)?
• Wie richtet der Administrator der IAM-Plattform die IAM-Plattform so ein, dass mehrere Marken oder Online-Angebote derselben übergeordneten Kundenorganisation unterstützt werden? Demonstrieren Sie Account Linking.

Zero Trust Security und Continuous Adaptive Risk and Trust Assessment (CARTA)

Die Sicherheitsmodelle Zero Trust und CARTA basieren auf der Annahme, dass keinem Netzwerk, keiner Person, keinem Objekt und keinem Gerät vertraut werden kann.

IAM-Plattformen sollten in der Lage sein festzustellen, ob eine Entität, die eine Aktion anfordert, dazu autorisiert ist und ob sie mit einem angemessenen Vertrauensniveau – basierend auf dem Risiko der jeweiligen Aktion – nachgewiesen hat, dass sie tatsächlich die behauptete Identität ist.

Innerhalb eines Zero Trust Security- und/oder CARTA-Modells muss jede durchgeführte Aktion ordnungsgemäß authentifiziert und autorisiert werden. Hierzu nutzen Authentifizierungs- und Autorisierungsentscheidungen kontextbezogene Informationen und werden risikobasiert statt binär getroffen, wobei ein umfangreicher Informationssatz berücksichtigt wird.

Zero Trust und CARTA helfen Organisationen, Betrug und böswillige Aktivitäten zu verhindern, und verbessern dadurch Sicherheit und Compliance.

Fragen an Anbieter:

• Bietet die Plattform Zero Trust Security und CARTA-Modelle für risiko- und/oder wertbasierte Authentifizierung (adaptive Authentifizierung), sodass Personen, Geräte, Objekte und Anwendungen unterschiedliche Anmeldeinformationen zur Authentifizierung gegenüber einem gemeinsamen Identitätsspeicher verwenden können?
• Kann die Plattform beim Login Authentifizierungs- und Autorisierungskontext erfassen und diesen bei nachfolgenden Zugriffsereignissen kontinuierlich erneut prüfen?
• Kann dieser Kontext verwendet werden, um die Reaktion dynamisch anzupassen und Inhalte in Echtzeit freizugeben oder zu verändern, etwa durch das Schwärzen oder Maskieren von Daten?

Authentifizierung und Autorisierung der nächsten Generation

Traditionelle Authentifizierungs- und Autorisierungsmethoden umfassen Benutzernamen und Passwörter sowie von Drittanbietern validierte Datenelemente wie Sozialversicherungsnummern und Geburtsdaten. In einem Zero-Trust-Modell wird jedoch davon ausgegangen, dass diese Authentifikatoren kompromittiert sein können.

Daher sollten digitale Identitätsanbieter Authentifizierung und Autorisierung der nächsten Generation bereitstellen, bestehend aus einer kontinuierlichen Bewertung für Autorisierung und Authentifizierung. Dazu gehört die transaktionsbezogene Autorisierung und Authentifizierung, bei der Benutzer innerhalb einer Sitzung – häufig mehrfach – für jede Transaktion mit hohem Risiko Aktionen ausführen und zusätzliche Faktoren bereitstellen müssen.

Authentifizierungsbäume sind ein integraler Bestandteil der Authentifizierung und Autorisierung der nächsten Generation. Als visueller Drag-and-Drop-Workflow ermöglichen Authentifizierungsbäume Administratoren, Anmeldeprozesse mithilfe digitaler Signale wie Gerät, Kontext, Verhalten, Benutzerwahl, Analysen und risikobasierten Faktoren einfach zu konfigurieren, zu messen und anzupassen. Mit einer intuitiven Drag-and-Drop-Oberfläche können Administratoren zudem schnell sofort verfügbare Authentifikatoren nutzen, bestehende Authentifikatoren verwenden und Integrationen mit anderen Cybersicherheitslösungen vornehmen.

Authentifizierung und Autorisierung der nächsten Generation ermöglichen es Unternehmen zu wissen, wer mit ihnen interagiert, wozu diese Personen berechtigt sind, und darauf zu vertrauen, dass die Interaktion sicher ist. Dies führt zu verbesserter Sicherheit und Compliance.

Fragen an Anbieter:

• Kann die Plattform Authentifizierungsprozesse mithilfe von Faktoren und digitalen Signalen (Kontext, Risiko, Verhalten, Wahl, Analysen) einfach konfigurieren, messen und anpassen, um Risiken zu bestimmen, die Benutzererfahrung zu verbessern und nachgelagerte Anwendungen über die während des Authentifizierungsprozesses gewonnenen Erkenntnisse zu informieren?
• Identifiziert die Plattform digitale Signale eines Benutzers – wie Standort, IP-Adresse, Gerätetyp, Betriebssystem, Browsertyp und mehr – bereits, bevor ein Benutzername erfasst wird?
• Bietet die Plattform Out-of-Band-Authentifikatoren (OOBA), die Möglichkeit zur individuellen Erstellung von Authentifikatoren sowie eine schnelle Integration von Drittanbietern für Authentifizierung, Betrugserkennung und Risikobewertung an einem zentralen Ort?
• Ermöglicht die Plattform, Autorisierungs- und Authentifizierungs-Workflows mithilfe von Drag-and-Drop-Funktionalität über Workflows und Bäume zentral einfach anzuzeigen, zu erstellen, zu ändern und zu verwalten?
• Umfasst die Plattform eine Autorisierung für Ereignisse mit hohem Risiko innerhalb einer Sitzung?

Datenaggregation von Personen, Dingen und ihren Beziehungen

Um einen sicheren und präzisen Mitarbeiterzugang zu gewährleisten, müssen IAM-Anbieter Organisationen ermöglichen, relationale Daten zwischen Personen und ihren Objekten zu aggregieren, um eine umfassende, einheitliche Sicht auf den Mitarbeiter zu schaffen. Dies wird durch die Erfüllung mehrerer technischer Anforderungen erreicht, darunter die Etablierung eines gemeinsamen Identitätsdatenmodells, die Anbindung einer breiten Palette von Datenquellen, die Implementierung einfacher Synchronisierungs- und Abgleichslogiken sowie die Bereitstellung des Zugriffs auf Benutzerdaten in einem geeigneten Format.

Angesichts von Milliarden digitaler Beziehungen, die unterstützt und verwaltet werden müssen, entwickeln besonders zukunftsorientierte digitale Identitätsanbieter Identity-Graph-Engines. Diese beziehungsorientierten Engines bilden komplexe und miteinander verknüpfte Netzwerke von Identitätsbeziehungen ab und ermöglichen deren Abfrage – über Organisationen, Systeme, Personen, Services, Geräte, Geschäftsvereinbarungen und mehr hinweg.

Die Aggregation von Identitäts- und Zugriffsdaten ist insbesondere bei Fusionen und Übernahmen von großer Bedeutung, wenn Identitätsspeicher und IAM-Systeme verschiedener Organisationen schnell integriert werden müssen, damit Benutzer nahtlosen Zugriff auf die Ressourcen erhalten, die sie für ihre Arbeit benötigen.

Fragen an Anbieter:

• Beinhaltet die Plattform eine granulare Modellierung von Identitätsbeziehungen auf Basis von Mitarbeitern und deren Beziehungen zu Anwendungen, Standorten, Richtlinien und Mitarbeitergeräten?
• Unterstützt die Plattform das Identitätsmanagement innerhalb dieser Beziehungen?

Software Development Kits (SDKs)

Ein SDK ist ein Toolkit, das aus vorgefertigten Softwarekomponenten, Tools und Dokumentation besteht und es Entwicklern ermöglicht, Anwendungen für eine bestimmte Plattform schneller und effektiver zu erstellen. SDKs verkürzen die Time-to-Market, da Entwickler keinen Code für spezifische Funktionen selbst erstellen müssen. Zudem tragen sie zur Standardisierung der Anwendungsentwicklung bei.

Fragen an Anbieter:

• Stellt die Plattform SDKs für eine schnelle Integration in mobile und Webanwendungen bereit?

Unterstützung für Legacy-Anwendungen

Die meisten Organisationen unterstützen zahlreiche Systeme und Anwendungen. Viele davon speichern Benutzerdaten und Zugangsdaten und sind geschäftskritisch. Dennoch verfügen sie nur über eingeschränkte oder gar keine integrierten Funktionen für Benutzerregistrierung, Authentifizierung, Autorisierung oder Föderation. Daher ist die Fähigkeit, Legacy-Systeme und -Anwendungen mit einem modernen Identitätssystem zu verbinden und zu erweitern, eine wichtige Funktion von IAM-Plattformen. Dies erfolgt über ein Identity Gateway, das sowohl Legacy- als auch moderne Systeme und Anwendungen in die Lage versetzt, nahtlos und sicher miteinander zu kommunizieren.

Die Unterstützung von Legacy-Anwendungen ermöglicht es Organisationen, ihre bestehenden Investitionen zu erweitern, was zu einem höheren ROI und geringeren Kosten führt, ohne ein umfangreiches Rip-and-Replace-Projekt durchführen zu müssen.

Fragen an Anbieter:

• Verfügt die Plattform über die Möglichkeit, Legacy-Systeme und -Anwendungen über ein Identity Gateway zu verbinden und zu erweitern?

DevOps-freundliche Architektur und Microservices

DevOps ermöglicht es, Softwareentwicklung und -bereitstellung in einem kontinuierlichen Zyklus durchzuführen, sodass Organisationen neue Funktionen schneller bereitstellen können, indem die Zeit bis zur Produktionsreife verkürzt wird. IAM-Anbieter sollten eine DevOps-freundliche Architektur mit der Fähigkeit bereitstellen, DevOps-Tools zu nutzen, beispielsweise zur Automatisierung und Orchestrierung von Push-Button-Deployments und Continuous Delivery. Zudem sollten sie containerisierte Images für eine schnelle Automatisierung mit Unterstützung für Docker und Kubernetes einsetzen. DevOps erfordert eine intelligente Architektur, die Konfiguration von Binärdateien trennt, um Versionskontrolle für DevOps-Artefakte einfach zu ermöglichen. Darüber hinaus sollten IAM-Anbieter Befehlszeilentools für die Remote-Konfiguration bereitstellen.

Microservices sind eine weitere wichtige Entwicklungsmethode, die sich auf den Aufbau und die Bereitstellung von Anwendungen als Gruppen modularer, kombinierbarer Services innerhalb einer Anwendung konzentriert. Der Vorteil von Microservices liegt in der Möglichkeit, einen einzelnen Service zu ändern, ohne die anderen zu beeinträchtigen.

Der DevOps-Ansatz für die Bereitstellung unter Verwendung von Containerisierung und Orchestrierungstechnologien wie Docker und Kubernetes ermöglicht es Organisationen, Projekte um 3–6 Monate zu beschleunigen und 25 % der Implementierungskosten einzusparen.

Fragen an Anbieter:

• Unterstützt die Plattform moderne DevOps-Bereitstellungsansätze mit Containerisierung und Orchestrierungstechnologien wie Docker und Kubernetes?
• Kann die Plattform Microservices absichern?

Multi-Cloud und Hybrid-Cloud

Multi-Cloud-Umgebungen sind aufgrund ihrer erhöhten Flexibilität, Verfügbarkeit und Skalierbarkeit zu einem aktuellen Trend geworden. Diese Umgebungen ermöglichen es Organisationen, Vendor Lock-in zu vermeiden und die Time-to-Market zu verkürzen, während sie gleichzeitig die Komplexität reduzieren und Zeit sowie Kosten sparen.

Hybrid-Umgebungen umfassen sowohl On-Premises- als auch Cloud-Umgebungen. Cloud-Umgebungen unterstützen Anforderungen in großem Maßstab, während On-Premises-Umgebungen eine sicherere Option für die Speicherung sensibler Daten darstellen. Der Vorteil von Hybrid-Umgebungen ist die Flexibilität, jede Bereitstellung jederzeit und überall zu unterstützen.

IAM-Anbieter, die Multi-Cloud- und Hybrid-Cloud-Umgebungen unterstützen, ermöglichen es Organisationen, Vendor Lock-in zu vermeiden und Kosten zu senken.

Fragen an Anbieter:

• Kann die Plattform innerhalb weniger Minuten in jeder Cloud-Umgebung – einschließlich Multi-Cloud, Bring-your-own-Cloud oder Hybrid-Cloud – in einer hochverfügbaren und produktionsbereiten Konfiguration bereitgestellt werden?

Systemprüfung und Analysen

Systemprüfung und Analysefunktionen sind geschäftskritische Aufgaben. IAM-Plattformen müssen in der Lage sein, Audits für Systemsicherheit, Fehlerbehebung, Nutzungsanalysen und regulatorische Compliance durchzuführen. Sie sollten zudem ein breites Spektrum an Monitoring- und Logging-Funktionen unterstützen. Audit-Protokolle sollten operative Informationen zu Ereignissen innerhalb einer Deployment-Umgebung erfassen, um Prozesse und Sicherheitsdaten nachzuverfolgen, einschließlich Authentifizierungsmechanismen, Systemzugriff, Benutzer- und Administratoraktivitäten, Fehlermeldungen sowie Konfigurationsänderungen. Darüber hinaus müssen IAM-Plattformen Audit- und Analysefunktionen für die Systeme bereitstellen, mit denen sie zusammenarbeiten, beispielsweise Partnersysteme.

Systemprüfungen und Analysen tragen zur Absicherung Ihres Unternehmens bei – von kundenorientierten Anwendungen bis hin zum Edge – und führen so zu verbesserter Sicherheit und Compliance.

Fragen an Anbieter:

• Ist die Plattform in der Lage, Audits für Systemsicherheit, Fehlerbehebung, Nutzungsanalysen und regulatorische Compliance durchzuführen?
• Kann die Plattform zudem ein breites Spektrum an Monitoring- und Logging-Funktionen unterstützen?

Flexibilität für die UI

Die Benutzeroberfläche (UI) für Dinge wie Login-Felder, Profilseiten, Passwort-Zurücksetzungsoberflächen und Ähnliches ist ein wichtiger Bestandteil einer IAM-Strategie, die Benutzerfreundlichkeit als Teil einer hervorragenden digitalen Experience unterstützt. Digitale Identitäts-UIs sollten in die übergeordnete Corporate-UI-Strategie eines Unternehmens integriert werden. Es ist selbstverständlich, dass sich solche Strategien weiterentwickeln.

Fragen an Anbieter:

• Ermöglicht die IAM-Plattform Unternehmen den Aufbau einer maßgeschneiderten UI, also die Möglichkeit, REST APIs aufzurufen?
• Wie nutzt die IAM-Plattform SDKs, um Identität einfacher einzubetten?
• Bietet die IAM-Plattform flexible gehostete UI-Optionen?

Anforderungen schnell erfüllen – mit Ping Identity

Ping Identity ist der führende IAM-Anbieter auf Enterprise-Niveau und unterstützt Führungskräfte dabei, ihre Unternehmen zu verwalten, zu sichern und zu steuern. Weltweit setzen Marktführer auf Ping Identity, um die digitale Transformation zu modernisieren und zu beschleunigen, ihre digitalen Initiativen zu unterstützen und ihre Benutzer, Partner und Organisation zu schützen.

Ping Identity vereinfacht Identity and Access Management (IAM) radikal mit der einzigen Full-Suite-Plattform der Branche, die unübertroffene Intelligence-Funktionen bietet – bereitgestellt als moderner Cloud-Service oder überall per Knopfdruck implementierbar.

Moderne Identitätsanforderungen erfüllen – ohne Legacy-IAM zu ersetzen

Heute ist Zeit ein entscheidender Faktor bei der Implementierung moderner IAM-Funktionen. Im Gegensatz zu den meisten Anbietern müssen Sie mit Ping Identity nicht den Aufwand, das Risiko und die Kosten auf sich nehmen, bestehende Legacy-Identitätsplattformen vollständig zu ersetzen, um die Funktionen und Vorteile einer IAM-Modernisierung zu erhalten, die Sie zur Unterstützung Ihrer Workforce-Initiativen im großen Maßstab benötigen.

Ping Identity bietet einen flexiblen Ansatz, der es Ihnen ermöglicht, zunächst zu erweitern und anschließend parallel zu betreiben, sodass Sie unterschiedliche Legacy-Identitätsmanagementsysteme wie CA Single Sign On (SiteMinder), Oracle, IBM und sogar selbst entwickelte Identitätssysteme konsolidieren oder ablösen können.

Ping Identity umfasst zudem ein vorintegriertes Partner-Ökosystem mit einer No-Code-Identity-Orchestrierungs-Engine, mit der Unternehmen Drittanbieter-Authentifizierungs- und -Autorisierungsfunktionen wie Biometrie oder kontextbasierte Signalerfassung mit nur wenigen Klicks hinzufügen können. Dies ermöglicht eine risikoarme und schnelle Implementierung der neuesten innovativen Technologien – ohne die Risiken, die mit der Einführung neuer Technologien und der Zusammenarbeit mit Start-ups verbunden sind – und reduziert gleichzeitig Kosten und Komplexität.

Erfahren Sie mehr über Ping Identity für Ihre Organisation

Kontaktieren Sie uns für ein Gespräch, um zu erfahren, wie Ping Identity Ihrer Organisation helfen kann.

Bei Ping ermöglichen wir es, jedem digitalen Moment zu vertrauen – Momenten mit Kunden, Mitarbeitern, Partnern und nicht-menschlichen Identitäten. Ob Sie Millionen von Benutzern absichern, ausgeklügelten Betrug bekämpfen, den Zugriff für Dritte vereinfachen oder passwortlose Erlebnisse und verifizierbare Anmeldeinformationen einführen – der Aufbau von Vertrauen sollte Sie nicht ausbremsen. Unsere Identity-Plattform auf Enterprise-Niveau ist auf Skalierbarkeit, Geschwindigkeit und Flexibilität ausgelegt – und funktioniert nahtlos mit Ihrem bestehenden Tech-Stack in Cloud-, Hybrid- und On-Prem-Umgebungen. Wir helfen Innovatoren wie Ihnen, Wachstum zu beschleunigen und KI souverän zu nutzen – und erleichtern so Entwicklern, Benutzern, IT-Teams und Partnern die Arbeit. Mit Ping beginnt jede digitale Experience mit Vertrauen. Erfahren Sie mehr unter pingidentity.com.