Was hat das Internet of Things mit Identity und Access Management zu tun?

Das Internet of Things wird gefährlich, sagen die Defätisten. Optimisten sehen primär die völlig neuen Chancen, die uns das Internet der Dinge (Internet of Things, IoT) ermöglicht. Sicher dabei ist, dass jedes „Ding“ im Internet der Dinge eine eigene digitale Identität benötigt. Dies erfordert völlig neue Ansätze in der Verwaltung von Milliarden digitaler Identitäten. Moderne Systeme müssen nicht nur die Identitäten, sondern auch die Relationen zwischen allen Entitäten verwalten können.

Viele Unternehmen fokussieren sich in ihren Identity und Access Management Projekten primär auf die Verwaltung von Mitarbeitern und den entsprechenden Rollen und Rechten. Das Ziel dabei ist, den Mitarbeitern Zugriff auf genau die benötigten Ressourcen zu ermöglichen, die sie für ihre tägliche Arbeit benötigen, und dies auf Knopfdruck überprüfen und nachweisen zu können. Letzteres wird als Identity Governance bezeichnet. Dieser Teil von Identity und Access Management ist zweifellos sehr wichtig, reicht aber bei weitem nicht mehr aus.

Internet of Things & Identity und Access Management

IAM wird ergänzt um CIAM (Customer Identity & Access Management)

In der Vergangenheit ging es vor allem darum, den externen Zugriff auf unternehmensinterne Ressourcen zu unterbinden. Dies hat sich in der Zwischenzeit vollständig gewandelt. Heute wachsen genau jene Unternehmen, die Geschäftspartner, externe Mitarbeiter und Kunden in ihre Service- und Geschäftsprozesse bestmöglich integrieren.

Telekommunikationsanbieter wollen bspw. ihre Kunden in die Lage setzen, Tarifänderungen am Vertrag einfach und selbst in einem Webportal durchzuführen. Versicherungskunden sollen ihre Schadensmeldungen zeitnah & digital an ihre Versicherung melden. Gerne per App auf dem Smartphone, mit der ein KFZ-Schaden gemeldet werden kann – ergänzt um Beweisfotos, die GPS Koordinaten des Unfallortes und eventuell sogar eine Sprachaufzeichnung des Gesprächs der beiden Unfallgegner.

Vor diesem Hintergrund ist es nur noch bedingt sinnvoll, unternehmensinterne Applikationen und Systeme generell durch eine Firewall nach außen abzuschirmen. Gefragt sind vielmehr Lösungen, mit denen Geschäftspartner, externe Mitarbeiter und Kunden besser ein- und so an das Unternehmen gebunden werden können. Unternehmen müssen in der Lage sein, die digitalen Identitäten auch dieser „externen Ressourcen“ zu integrieren, sicher zu verwalten und die Zugriffsberechtigungen zu steuern.

Internet of Things & Identity und Access Management

Klassisches IAM hat seine Grenzen

Im o.g. Beispiel wird deutlich, dass sich Kunden in „traditioneller“ Weise mit Benutzername und Passwort am Webportal des TK-Anbieters anmelden. Es gibt allerdings eine immer größere Zahl von Anwendungsfällen, in denen eine App auf einem dedizierten, smarten Device im Namen des Benutzers Zugriff auf Unternehmensapplikationen und Backend-Services benötigt, um Dokumente und Dateien direkt in die elektronische Akte des Unternehmens hochladen und Folgeprozesse anstoßen zu können.

Für die Zugriffssteuerung wird es immer wichtiger, nicht nur die Anwender, sondern auch deren Geräte zu kennen. Sicherlich haben sich die meisten Unternehmen in den vergangenen Jahren bereits damit beschäftigt, wie man Kunden und Mitarbeiter über ihre smarten Endgeräte identifiziert und autorisiert.

Mobile Benutzer, Endgeräte und vernetzte Dinge

Die Autorisierung smarter Endgeräte ist dabei nur ein Teil der Aufgabenstellung. Rund um die Themen Smart Home und der Vernetzung von Fertigung- und Lieferantenprozessen (Industrie 4.0) kommen permanent immer mehr vernetzte Dinge dazu, die eine digitale Identität benötigen: Telemetrie Systeme in Fahrzeugen, Activity Tracker, smarte Health Watches u.v.m.

Und für alle gilt gleichermaßen: Es muss zentral festgelegt, gesteuert und überwacht werden können, wer oder was Zugriff auf welche Anwendungen, Systeme und Daten erhält.

Identity & Access Management für das Internet of Things – darum geht’s:

Skalierbarkeit

Es müssen Milliarden von Identitäten auf einer einheitlichen Plattform verwaltet werden können.

Standardisierung

Das Identity und Access Management sollte unternehmensweit und auch über die Unternehmensgrenzen hinweg vereinheitlicht werden.

Verwaltung der Beziehungen zwischen allen Entitäten

Unternehmen, die ihre Geschäftspartner, externe Mitarbeiter und Kunden in ihre Service- und Geschäftsprozesse integrieren, wachsen schneller und sind profitabler.

Agilität

Dynamisch und flexibel auf geänderte Sachlagen zu reagieren und proaktive Schutzmaßnahmen zu ergreifen.

Gesteigerte Sicherheit

Der Schlüssel zu einer erhöhten Sicherheit beim Zugriff auf Daten, digitaler Kommunikation und Geschäftsprozessen sind sichere Identitäten, die in einem unternehmensweit verfügbaren Identity und Access Management zentral verwaltet werden. Sicherer Zugriff auf Informationen, Applikationen und Systeme für die richtige Identität zur richtigen Zeit.

Rollen und Rechte im Internet der Dinge

Who knows who I am?

Eine besondere Herausforderung ist, die oft komplexen und sich dynamisch ändernden Beziehungen zwischen verschiedenen Identitäten abzubilden. Diese Herausforderung beginnt bei internen Identity und Access Management Projekten: Wenn Mitarbeiter bspw. in mehreren Konzerngesellschaften oder temporär im Ausland arbeiten. Bereits dann haben Mitarbeiter temporär oder dauerhaft mehrere IDs, deren Relation abgebildet und verwaltet werden muss. Nur so kann nachvollzogen werden, dass es sich bei den verschiedenen IDs immer um die gleiche Person handelt.

Die Realität ist oft deutlich komplexer: Wenn Mitarbeiter eines Versicherungsunternehmens nebenher freiberuflich als Versicherungsmakler arbeiten und gleichzeitig Kunde bei der Versicherung sind. Oder wenn erfahrene Mitarbeiter nach Renteneintritt in Teilzeit als Berater für das Unternehmen arbeiten und so die Möglichkeit haben, die Produkte des Unternehmens mit Rabatt zu kaufen.

Das Identity und Access Management System muss in der Lage sein, diese komplexen Strukturen abzubilden und die benötigten Zugriffsrechte sicher zu gewähren. Geräte und sonstige „Dinge“ können temporär ausgeliehen werden – dass IAM-System muss mit dieser hohen Dynamik Schritt halten können. Unter dem Stichwort IRM (Identity Relationship Management) gibt es bereits erste Ansätze einer Standardisierungsinitiative.

One for all: Ein IAM – nicht viele!

Fakt ist: Die grundlegende Fragestellung hat sich nicht geändert: Wer oder was soll worauf und wann Zugriff erhalten? Allerdings haben die oben genannten Beispiele verdeutlicht, dass man mit singulären Lösungen nicht weiter kommt. Zwar gibt es bei der Einbindung von „Dingen“ eine Reihe technischer Details und Spezifikationen zu beachten, aber letztlich erhalten „Dinge“ – genauso wie Menschen – eine Identität, die zentral angelegt, verwaltet und überwacht werden muss. Letztlich greift eine maschinelle Identität genauso auf ein IAM-System zu, wie ein Benutzer.

Dies ist eine der Kernaufgaben zentraler Identity und Access Management Lösungen, deren Anwendungsbereich auf „Dinge“ ausgedehnt werden muss. Moderne IAM-Lösungen sind in der Lage, digitale Maschinenidentitäten (Identitäten, Zugriffsrechte etc.) zu verwalten. Gleiches gilt auch für das Logging und Auditierung.

Das Internet der Dinge benötigt ein hochverfügbares Identity und Access Management

Um diesen Anforderungen gerecht zu werden, muss die IAM-Plattform sehr zuverlässig, skalierbar und hochverfügbar sein. Geschäftsmodelle und Services eines Unternehmens werden ohne eine IAM-Plattform nicht funktionieren.