Identitätsmanagement als Software-as-a-Service Fünf Anforderungen, die ID-Cloud-Anbieter erfüllen sollten

Anbieter zum Thema

ForgeRock Deutschland GmbH

Fsas Technologies GmbH

netfiles GmbH

Hyland Software Germany GmbH

Datenschutzverletzungen aufgrund von unzureichendem Identitätsmanagement werden zu einem immer häufigeren regulatorischen, Compliance- und Sicherheitsrisiko. Gleichzeitig wird eine einheitliche User Experience im Identitätsmanagement von Mitarbeitenden, Kunden und Geschäftspartnern wichtiger, um Prozesse zu optimieren und so Kosten und Aufwand in der Verwaltung einzusparen.

Für viele Unternehmen lohnt es sich deshalb, komplexe identitätsbasierte Prozesse wie Nutzerauthentifizierung und -autorisierung, Single-Sign-On-Funktionalität und Identitätsmanagement im Rahmen eines Software-as-a-Service-Modells in die Cloud auszulagern.

Da sich die Produkte von ID-Cloud-Anbietern in einigen Faktoren unterscheiden, eignet sich auch nicht jede ID-Cloud-Lösung für alle Geschäftsmodelle und -anforderungen. Eine Reihe an Anforderungen und Funktionalitäten, vor allem hinsichtlich Performance und Skalierbarkeit, sollte daher jedes Unternehmen bei der Wahl ihres ID-Cloud-Anbieters im Hinterkopf behalten.

Anforderung #1: Cloud-Kompetenzen

ID-Cloud-Lösungen umfassen oftmals nicht alle Funktionen, die ein Unternehmen gerade benötigt. Einige der Anbieter fokussieren sich auf Lösungen für das Customer Identity and Access Management (CIAM) und stellen dementsprechend in erster Linie Funktionen für die Optimierung der Online-Nutzererfahrung von Kunden bereit. Andere Anbieter spezialisieren sich hingegen auf unternehmensinterne oder mitarbeiterbezogene Anwendungsfälle, bei der die Sicherheit von Mitarbeitenden mit Zugriff auf Unternehmensanwendungen, -daten und -netzwerken im Vordergrund steht.

Obwohl es zahlreiche Überschneidungen zwischen Identitäts- und Zugriffmanagement für Kund en und Mitarbeitende gibt, existieren in diesem Kontext auch einige zu berücksichtigende Unterschiede. Um sowohl aktuelle als auch zukünftige Anwendungsszenarien nachhaltig abbilden zu können, müssen Unternehmen, innerhalb ihrer ID-Cloud-Lösung die verschiedenen Nutzererfahrungen planen können.

Ein ID-Cloud-Anbieter sollte es dem Unternehmen dabei ermöglichen, die Nutzererfahrungen so einfach wie möglich zu gestalten, von der Registrierung und Authentifizierung bis hin zu den möglichen Zugriffsmöglichkeiten für Nutzer (z.B. Multi-Faktor-Authentifizierung, passwortlose Lösungen, Einmal-Passwörter, Magic Link usw.). Gleichzeitig sollten Self-Service-Prozesse wie das eigenhändige Zurücksetzen von Passwörtern, vergessenen Benutzernamen und -einstellungen möglich sein. Idealerweise decken Unternehmen mit einer einzigen ID-Cloud-Lösung die jeweiligen Anforderungen aller Benutzergruppen ab.

Anforderung #2: Hybride IT

Laut einer aktuellen Umfrage werden hybride Cloud-Umgebung genau so häufig genutzt wie öffentliche Cloud-Umgebungen (z.B. Amazon Web Services, Google Cloud Platform, Microsoft Azure etc.), bei denen Anwendungen sowohl vor Ort on-premises als auch in der Cloud bereitgestellt werden. Dieser Trend überrascht nicht: Eine von ForgeRock durchgeführte Studie zeigt ebenfalls, dass 86 Prozent der befragten Unternehmen planen, in den kommenden fünf Jahren eine hybride Cloud-Umgebung zu nutzen.

Unternehmen sollten also prüfen, ob ihr potenzieller ID-Cloud-Anbieter über die Möglichkeiten verfügt, Anwendungen sowohl On-Premises, in einer öffentlichen Cloud-Umgebung ihrer Wahl oder im Rahmen einer hybriden oder Multi-Cloud-Struktur zu sichern. Um diese Anwendungsszenarien bestmöglich abzubilden, sollten Unternehmen bei der Auswahl einer ID-Cloud-Architektur besonders darauf achten, dass diese eine Kombination aus privaten und öffentlichen Clouds, Infrastructure-as-a-Service- (IaaS) und Platform-as-a-Service-Funktionen (PaaS) umfassen.

Anforderung #3: Nutzererfahrung

In einer Welt, in der Nutzer über eine Vielzahl verschiedener digitaler Kanäle auf Dienste zugreifen, kann eine ID-Cloud-Lösung, die eine nahtlose Nutzererfahrung bietet – unabhängig vom Nutzerstandort oder genutztem Endgerät – einen entscheidenden Unterschied machen. Eine ID-Cloud-Plattform sollte demnach in der Lage dazu sein, eine nahtlose Omnichannel-Erfahrung sicherzustellen.

Ein Beispiel für eine solche Erfahrung ist die Abholung von online eingekauften Waren vor Ort im Laden, bei der die Bestellung bequem von zuhause und die Bezahlung über eine mobile Applikation stattfindet. Verschiedene Identitäts-, Compliance- und Sicherheits- sowie E-Commerce-Funktionen greifen hier ineinander, um eine zufriedenstellende Nutzererfahrung sicherzustellen.

Anforderung #4: Sicherheit und Compliance

Früher galt alles in der Cloud noch als bedrohlich und verdächtig, weil die Sicherheit gefühlt nicht mit einer selbstverwalteten On-Premises-Lösung gleichwertig war. Inzwischen ist aber allgemein bekannt, dass ein Cloud-Anbieter mit den entsprechenden Sicherheitsstandards das exakt gleiche Niveau an Compliance sowie Datensicherheit und -schutz erreichen kann, wie auch eine On-Premises-Architektur. Um vor diesem Hintergrund jedoch eine fundierte Entscheidung treffen zu können, müssen Unternehmen wissen, was der potenzielle ID-Cloud-Anbieter in Sachen Sicherheit bieten kann.

Ein besonders wichtiger Aspekt, den Unternehmen in ihre Entscheidung miteinbeziehen sollten, ist eine Single-Tenant-Isolierung. So können Sie sicherstellen, dass ihre Daten nicht mit denen anderer Kunden des Anbieters vermischt werden sowie, dass Daten versehentlich verloren gehen oder andere Kunden auf die eigenen Daten zugreifen.

Ebenfalls ist es wichtig, einen Anbieter zu wählen, der SOC2- und ISO27001-konform ist, da diese Zertifizierungen auf strengen Richtlinien für Sicherheit, Verfügbarkeit und Vertraulichkeit basieren. Ebenso wichtig ist es, dass Unternehmen die eigenen Compliance-Anforderungen beachten und einen Anbieter finden, der ihre Daten in bestimmten geographischen Regionen so isolieren kann, dass regionale und lokale Gesetze hinsichtlich Datenresidenz beachtet und regulatorische Anforderungen wie die EU-Datenschutzgrundverordnung (DSGVO) erfüllt werden.

Anforderung #5: Vorhersehbarkeit, Skalierbarkeit etc.

Die Art und Weise, wie eine Cloud-Lösung aufgebaut und betrieben wird, ist ausschlaggebend dafür, wie sie letztlich funktionieren wird. Unternehmen sollten die Update-Prozesse des Cloud-Anbieters überprüfen: Ermöglicht der Anbieter beispielsweise Updates ohne Ausfallzeiten, sodass ein Patch oder ein Update keine negativen Auswirkungen auf bestehende Service Level Agreements (SLAs) hat? Gerade bei identitätsbezogenen Diensten können selbst kürzeste Ausfallzeiten bei Updates erhebliche Auswirkungen auf die Nutzer haben.

Unternehmen sollten außerdem einen Anbieter wählen, dessen SLAs dem 99,99-Prozent-Industriestandard entsprechen und der diesen Standard in der Vergangenheit bereits nachweislich übertroffen hat. Viele Cloud-Anbieter vermischen die Daten einzelner Kunden, was die Durchführung von Backups innerhalb des erforderlichen Zeitrahmens erschweren kann. Im Falle eines solchen Zwischenfalls, sowie beim Auftreten von Fehlkonfigurationen sollte der Cloud-Anbieter in der Lage sein, bestimmte Datenumgebungen innerhalb einer akzeptablen SLA aus einem verschlüsselten Backup wiederherzustellen.

(ID:48768804)