Technical Review
Wer hat tatsächlich Zugriff worauf?
Die meisten Organisationen wissen, was ihre Zugriffssteuerung leisten soll. Weniger wissen, was tatsächlich im AD, in Entra ID, im HR-System und in den Fachanwendungen steht. Ein Technical Review liest die Berechtigungen direkt aus den Quellen, verknüpft sie und zeigt die Lücke zwischen dem, was Sie annehmen, und dem, was tatsächlich vorhanden ist – mit Zahlen, die Sie der Geschäftsführung und den Prüfern vorlegen können.
Wann ist es relevant?
Anzeichen, dass Ihnen das tatsächliche Bild fehlt
- Prüfer haben gefragt, wer Zugriff auf ein System hat, und die Antwort hat eine Woche Handarbeit in Excel-Tabellen gekostet.
- Sie haben eine IGA-Plattform, sehen aber nicht, was an ihr vorbei vergeben wurde.
- Ausgeschiedene Mitarbeitende tauchen noch lange nach dem Offboarding mit aktiven Konten auf.
- Die Zahl der Administratorrechte und Servicekonten ist gewachsen, ohne dass jemand sagen kann, warum.
- Vor einem IGA-Projekt, einer AD-Migration oder einer Fusion wollen Sie den Ausgangspunkt kennen, bevor Sie etwas verschieben.
- NIS2 oder ISO 27001 verlangt von Ihnen, die Zugriffssteuerung nachzuweisen und nicht nur zu beschreiben.
Der Ablauf
Vom Lesezugriff zur priorisierten Liste
- Scoping
Wir klären, welche Quellen einbezogen werden, wem sie gehören und worauf die Geschäftsführung oder die Prüfer eine Antwort brauchen. In der Regel sind das die HR-Quelle, AD, Entra ID, die wichtigsten Fachanwendungen und – sofern vorhanden – Ihre IGA-Plattform.
- Anbindung
Die Quellen werden mit ausschließlich lesendem Zugriff an eine Analyseplattform angebunden. Keine Änderungen an Ihren Systemen und keine Agenten auf den Endgeräten. Identitäten und Konten werden quellenübergreifend verknüpft, sodass jede Person nur einmal erscheint.
- Analyse
Eine Reihe von Standardkontrollen liefert ein erstes Bild: verwaiste Konten, privilegierte Berechtigungen, Berechtigungsanhäufung, Funktionstrennung und Datenqualität. Danach prüfen unsere Berater, was die Kontrollen nicht erfassen: Muster in Ihrem Rollenmodell, Abweichungen zwischen IGA und Zielsystem und die Konten, die niemandem gehören.
- Bericht und Ergebnisgespräch
Sie erhalten einen Bericht mit den Zahlen, eine Bereinigungsliste, sortiert nach der Reihenfolge, in der sich die Punkte umsetzen lassen, und Nachweise, die Sie den Prüfern vorlegen können. Wir gehen die Ergebnisse mit Ihnen durch und empfehlen nächste Schritte, die Sie selbst oder gemeinsam mit uns umsetzen können.
Darauf erhalten Sie eine Antwort
Acht Fragen mit Zahlen dahinter
- Verwaiste Konten: Wie viele Konten gehören zu keinem aktiven Mitarbeitenden, und in welchen Systemen?
- Privilegierte Konten: Wer hat Administratorrechte, und wie viele dieser Konten sind persönliche Konten, gemeinsam genutzte Konten oder Servicekonten?
- Berechtigungsanhäufung: Welche Mitarbeitenden haben noch Berechtigungen aus früheren Funktionen, die nie entzogen wurden?
- Identitätshygiene: Wie viele Personen haben mehrere Konten, und wie viele Konten lassen sich keiner Person zuordnen?
- Rollenhygiene: Welche Rollen und Gruppen sind leer, veraltet oder mit anderen identisch?
- Datenqualität: Wo weichen HR-System und Zugriffssysteme voneinander ab, etwa bei Abteilung, Führungskraft oder Austrittsdatum?
- Funktionstrennung: Welche Kombinationen von Berechtigungen sollte niemand gleichzeitig haben, und wer hat sie dennoch?
- Abweichungen von der IGA-Plattform: Was wurde an Ihrer IGA-Plattform vorbei vergeben, und welche Systeme kennt sie überhaupt nicht?
Nächster Schritt
Ein Review ist eine Momentaufnahme. Der Überblick kann bleiben.
Viele Organisationen behalten die Analyseplattform nach dem Review im Betrieb. Die Quellen werden täglich neu geladen, zu jeder Kontrolle entsteht eine Historie, und Führungskräfte und Anwendungsverantwortliche führen die Rezertifizierung selbst durch, statt eine Excel-Tabelle zugeschickt zu bekommen.
Die Plattform ändert von sich aus nichts in Ihren Systemen. Entscheidungen, Zugriffe zu entziehen, gehen als Tickets an Ihren Servicedesk oder Ihre IGA-Plattform, die die Änderung ausführt. Das hält die Verantwortung dort, wo sie hingehört, und erzeugt einen lückenlosen Audit-Trail von der Entscheidung bis zur Ausführung.
Haben Sie bereits eine IGA-Plattform, legt sich der Überblick als zusätzliche Schicht darüber und zeigt, was die Plattform selbst nicht sieht: Zugriffe, die am Prozess vorbei vergeben wurden, und Systeme, die nie angebunden wurden. Haben Sie keine, ist es eine schlanke Form von Governance, die sich in Wochen umsetzen lässt.
Mehr über Managed ServiceLaufender Überblick
- Tägliche Aktualisierung und Historie zu jeder Kontrolle, sodass sich die Entwicklung verfolgen lässt.
- Rezertifizierung durch die Verantwortlichen statt durch die IT-Abteilung.
- Änderungen als Tickets an Ihr ITSM-System oder Ihre IGA-Plattform.
- Betrieb bei Ihnen oder als Teil unseres Managed Service.
Drei Blickwinkel auf die Zugriffssteuerung
Technical Review, Healthcheck oder Maturity Assessment?
Die drei Formate betrachten jeweils eine andere Ebene und ergänzen einander. Ein Technical Review liefert die Zahlen hinter einem Healthcheck-Finding und den Ausgangspunkt für die Roadmap eines Assessments.
| Technical Review | IAM Healthcheck | IAM Maturity Assessment | |
|---|---|---|---|
| Betrachtet | Identitäten und Berechtigungen in Ihren Systemen | Ihre IAM-Lösung: Plattform, Konfiguration, Integrationen | Ihre Organisation: Prozesse, Governance, Reifegrad |
| Methode | Lesezugriff auf die Quellen und automatisierte Kontrollen | Technische Durchsicht der Lösung und Interviews | Interviews, Dokumente und Reifegradmodell |
| Beantwortet | Wer hat tatsächlich Zugriff worauf? | Läuft die Lösung, wie sie soll? | Wo stehen Sie, und was ist die nächste Stufe? |
| Setzt eine IAM-Lösung voraus | Nein | Ja | Nein |
| Ergebnis | Zahlen, Nachweise und Bereinigungsliste | Priorisierte Verbesserungsliste | Gap-Analyse und Roadmap |
Wenn Sie alle drei wollen, beginnen wir mit dem Review: Ein Finding lässt sich leichter erklären, wenn die Zahl bereits vorliegt.
Unsere Haltung
Eine Analyse auf Basis von Interviews sagt Ihnen, was die Beteiligten annehmen. Eine Analyse auf Basis von Daten sagt Ihnen, was vorhanden ist.
Wir tun beides, beginnen aber mit den Daten – denn hinter den Daten stehen die Berechtigungen, mit denen sich Angreifer anmelden.
Wann haben Sie Ihre Berechtigungen zuletzt so gesehen, wie sie tatsächlich sind?
Den Umfang legen wir nach einem kurzen Scoping fest. Bericht und Bereinigungsliste gehören Ihnen – unabhängig davon, wie Sie sich danach entscheiden.