Startseite Impressum / Kontakt Datenschutz (Disclaimer) Haftungsausschluss
Auto & Verkehr Bildung, Karriere & Schulungen Elektro & Elektronik Essen & Trinken Familie, Kinder & Zuhause Freizeit, Buntes & Vermischtes Garten, Bauen & Wohnen Handel & Dienstleistungen Immobilien Internet & Ecommerce IT, NewMedia & Software Kunst & Kultur Logistik & Transport Maschinenbau Medien & Kommunikation Medizin, Gesundheit & Wellness Mode, Trends & Lifestyle PC, Information & Telekommunikation Politik, Recht & Gesellschaft Sport & Events Tourismus & Reisen Umwelt & Energie Unternehmen, Wirtschaft & Finanzen Vereine & Verbände Werbung, Marketing & Marktforschung Wissenschaft, Forschung & Technik
  Pressemitteilungen heute: 0
  Pressemitteilungen gesamt: 302.446
  Pressemitteilungen gelesen: 39.110.148x
27.09.2012 | IT, NewMedia & Software | geschrieben von Alexandra Janetzko¹ | Pressemitteilung löschen

KuppingerCole und Beta Systems analysieren in gemeinsamer Studie die organisatorischen Rahmenbedingungen für Identity Access Management und Governance

Berlin, 26. September 2012 - Eine aktuelle Studie des europäischen Analystenunternehmens KuppingerCole in Zusammenarbeit mit der Berliner Beta Systems Software AG zeigt, welche organisatorischen Rahmenbedingungen das Thema Identity Access Management (IAM)1 und Identity Access Governance (IAG)2 in der Finanzindustrie derzeit bestimmen. IAM/IAG-Lösungsexperte Beta Systems gilt aufgrund seiner langjährigen Erfahrung und seines breiten Kundenstamms als Branchenkenner der Finanzindustrie. Laut Studie rücken IAM und IAG insbesondere durch den verschärften regulatorischen Druck wesentlich mehr als bisher ins Blickfeld der Unternehmen. Die meisten beschäftigen sich damit sehr viel intensiver als bisher, allerdings gibt es auch noch einige offene Baustellen. Hierzu zählen insbesondere die Einbindung von IAM und IAG in die Gesamtstrukturen für Governance, Risk Management und Compliance sowie die Schaffung geeigneter organisatorischer Strukturen für dieses Themenfeld.
Bei der Untersuchung der organisatorischen Rahmenbedingungen für IAM/IAG ist laut Studie zu berücksichtigen, dass Banken und Versicherungen beim Risikomanagement - trotz der gestiegenen Bedeutung von regulatorischen Anforderungen auch für das Zugriffsmanagement - noch andere, oft wesentlich kritischere Bereiche haben. Dies veranschaulicht Abbildung 1 zur Frage nach den priorisierten Bereichen im Risikomanagement.

Abb. 1: Die priorisierten Bereiche im Risikomanagement der Finanzindustrie (http://www.hbi.de/uploads/media/Abb1_Die_priorisierten_Bereiche_im_Risikomanagement_der_Finanzindustrie.jpg)

Hier steht das operationelle Risikomanagement klar an der Spitze. IAM/IAG ist in diesen Bereich einzuordnen, weil die Reduzierung von IT-Risiken durch IAM/IAG auf die operationalen Risiken wirkt. Sie sind jedoch nur ein Teil des Gesamtthemas.
Ein ganz anderes Bild zeigt sich beim Blick auf die Initiativen zum Risikomanagement innerhalb der IT. Hier hat IAM die mit Abstand größte Bedeutung. Auch Access Governance und Access Intelligence3 sind nicht unwichtig, werden aber von vielen Unternehmen als Teil der IAM-Initiative verstanden. Ansonsten verteilen sich die Antworten über unterschiedliche Themenfelder (Abbildung 2).

Abb. 2: Die wichtigsten IT-Risikoinitiativen (http://www.hbi.de/uploads/media/Abb2_Die_wichtigsten_IT-Risikoinitiativen.jpg)

Ein sehr breit gefächertes Spektrum an Antworten ergibt die Frage nach den Stakeholdern für das Thema IAM/IAG. Deutlich wird, dass es typischerweise mehrere Stakeholder gibt. Zudem kommt das Thema immer mehr auf der Leitungsebene des Unternehmens an. Bei immerhin einem Drittel der Unternehmen ist der Gesamtvorstand ein Stakeholder, bei weiteren gut 20 % sind es Einzelvorstände. Auch die Konzernorganisation, die interne Revision und das Risk Management führen die befragten Unternehmen als häufig involviert an (Abbildung 3).

Abb. 3: Die Stakeholder für das Thema IAM/IAG (http://www.hbi.de/uploads/media/Abb3_Die_Stakeholder_f%C3%BCr_das_Thema_IAM__IAG.jpg)

"Bei immerhin rund 28 % der befragten Unternehmen haben sich die Stakeholder in den vergangenen zwei Jahren verändert, wobei die Erfahrungswerte aus Advisory-Projekten zeigen, dass dabei regelmäßig die Business-Organisation ein höheres Gewicht bekommt", erläutert Martin Kuppinger von KuppingerCole. "Die vergleichsweise hohe Veränderungsrate bei Stakeholdern zeigt, dass das Thema Compliance in den Organisationen diskutiert wird, die richtige Zuordnung aber oft noch nicht gefunden ist. Insgesamt ist IAM/IAG allerdings inzwischen generell auch ein Thema für die Business-Organisation und längst nicht mehr nur für die IT."
Ein noch breiter gefächertes Bild zeigt sich bei den beteiligten Organisationseinheiten. Hier gibt es eine große Zahl von unterschiedlichen beteiligten Stellen in den Projekten. Die Verantwortlichkeiten sind über viele Stellen verteilt (Abbildung 4). In praktisch jedem Unternehmen sind auch mehrere Stellen involviert, was schon aus der Notwendigkeit des Zusammenspiels zwischen Fachbereichen und IT resultiert. Entsprechend nennen immerhin rund 85 % der befragten Unternehmen die Fachbereiche als beteiligte Organisationseinheiten.

Abb. 4: Beteiligte Organisationseinheiten beim Thema IAM/IAG (http://www.hbi.de/uploads/media/Abb4_Beteiligte_Organisationseinheiten_beim_Thema_IAM___IAG.jpg)

Bei der Frage danach, welche speziellen organisatorischen Einheiten es in den Unternehmen für IAM und IAG gibt, ergibt sich dagegen ein ernüchterndes Bild. Zwar besteht in einer großen Zahl von Unternehmen ein festes Team für IAM/IAG als organisatorische Einheit. Funktionen wie ein Governance Board oder eine unabhängige Prüfstelle, die sich in der Linienfunktion um Richtlinien, SoD-Regeln (Seggregation of Duties) oder die Festlegung von kompensatorischen Kontrollen kümmern, fehlen dagegen fast überall.

Abb. 5: Spezielle organisatorische Einheiten für IAM/IAG (http://www.hbi.de/uploads/media/Abb5_Spezielle_organisatorische_Einheiten_f%C3%BCr_IAM___IAG.jpg)

Das zeigt, dass der organisatorische Status für IAM/IAG in sehr vielen Fällen noch nicht auf dem eigentlich erforderlichen Niveau ist. Viele Unternehmen haben keine speziellen Richtlinien für IAM/IAG, SoDs oder die Rezertifizierung, sondern viel zu unspezifische IT-Sicherheitsrichtlinien.
Die gesamte Studie mit weiteren Ergebnissen und Informationen zur Methodik der Studie steht im Internet zum freien Download zur Verfügung unter: http://www.betasystems.com/kuppingercole2012

Anmerkungen:
1)IAM steht für Identity und Access Management und bezeichnet die Technologien, mit denen die Identitäten von Benutzern und ihre Zugriffsberechtigungen verwaltet werden.
2)Identity und Access Governance (IAG) betrachtet die Governance um Identitäten (beispielsweise verwaiste Konten von Benutzern, die längst nicht mehr im Unternehmen sind) und Zugriffsberechtigungen. Hier geht es darum sicherzustellen, dass Benutzer minimale oder angemessene Berechtigungen haben, aber eben keine Berechtigungen über das hinaus, was sie sinnvollerweise in ihrer Arbeit benötigen. Die Analyse von Zugriffsberechtigungen und die regelmäßige Rezertifizierung durch manuelle Prüfprozesse sind wesentliche Funktionen der Identity und Access Governance.
3)Bei Identity und Access Intelligence geht es um analytische Funktionen, bei denen vermehrt Technologien aus dem Bereich Business Intelligence/Data Warehouse zum Einsatz kommen, um Berechtigungen analysieren und beispielsweise spezifische Risiken erkennen zu können. Im Gegensatz zu IAG werden dabei vermehrt nicht nur statische Berechtigungszuweisungen, sondern auch die aktive Nutzung von Berechtigungen einbezogen.

¹ Für den Inhalt der Pressemeldung/News ist allein der Verfasser verantwortlich.
http://www.betasystems.de
Beta Systems Software AG
Alt-Moabit 90d 10559 Berlin

Pressekontakt
http://www.hbi.de
HBI Helga Bailey PR&MarCom GmbH
Stefan-George-Ring 2 81929 München

Weitere Meldungen in der Kategorie "IT, NewMedia & Software"

| © devAS.de