IAM-Richtlinie

Was ist eine IAM-Richtlinie?

Eine IAM-Richtlinie ist ein Governance-Dokument, das festlegt, wer welche Zugriffe auf die Systeme des Unternehmens erhalten darf, wer sie genehmigt, wie oft sie überprüft und wann sie entzogen werden. Sie übersetzt Prinzipien wie Least Privilege und Funktionstrennung in Regeln, die IT, Führungskräfte und Prüfer anwenden und kontrollieren können. In Cloud-Plattformen bezeichnet derselbe Begriff zusätzlich ein technisches Berechtigungsobjekt.

Das Wichtigste in Kürze

• Eine IAM-Richtlinie legt fest, wer welche Rechte erhält, wer jede Anfrage genehmigt, wie oft Zugriffe geprüft und wann sie entzogen werden.
• Eine IAM-Richtlinie dokumentiert in der Regel die Regeln für physische und logische Zugriffe, die Massnahme 5.15 in Anhang A der ISO/IEC 27001:2022 verlangt.
• Eine IAM-Richtlinie deckt die Konzepte für die Zugriffskontrolle ab, die Artikel 21 Absatz 2 Buchstabe i der NIS2-Richtlinie zu den erforderlichen Massnahmen zählt.
• Eine IAM-Richtlinie, die nie im Identity Provider und in den SaaS-Anwendungen durchgesetzt wird, bleibt eine Absichtserklärung, denn Prüfer kontrollieren, was die Tools zeigen.

So funktioniert eine IAM-Richtlinie

• Geltungsbereich: Die Richtlinie nennt die Systeme, die Identitätstypen (Mitarbeitende, Externe, Dienstkonten) und die Datenklassen, die sie abdeckt.
• Standardzugriffe: Rollen oder Jobprofile bestimmen, was jede Person am ersten Tag erhält, nach dem Prinzip der geringsten Rechte; alles Weitere erfordert eine Anfrage.
• Genehmigung: Jede Anfrage hat eine benannte genehmigende Person, meist die Führungskraft, bei sensiblen oder teuren Tools zusätzlich den Application Owner.
• Überprüfung: Bestehende Berechtigungen werden in festen Abständen rezertifiziert, zum Beispiel quartalsweise für Adminrechte und jährlich für Standardrechte.
• Entzug: Die Richtlinie setzt eine Frist für den Entzug nach Austritt oder Rollenwechsel und benennt, wer ihn ausführt.

Im IT-Grundschutz des BSI behandelt der Baustein ORP.4 Identitäts- und Berechtigungsmanagement dasselbe Thema aus Sicht der Organisation.

Governance-Dokument oder Cloud-IAM-Policy: Was ist gemeint?

• Organisatorische IAM-Richtlinie: ein Dokument für Menschen, von der Geschäftsleitung freigegeben, das die Regeln für Vergabe, Genehmigung, Überprüfung und Entzug von Zugriffen im ganzen Unternehmen festlegt.
• Cloud-IAM-Policy: ein technisches Objekt, das eine Plattform auswertet. Bei AWS ist eine IAM-Policy ein JSON-Dokument, das einem Benutzer, einer Gruppe oder einer Rolle zugeordnet ist und dessen Statements einen Effect (Allow oder Deny), Actions, Resources und optionale Conditions kombinieren. Ein explizites Deny hat Vorrang vor jedem Allow, und was nicht erlaubt ist, wird standardmässig verweigert.

Beide Bedeutungen treffen sich bei der Durchsetzung. Artikel 21 der NIS2-Richtlinie zählt Konzepte für die Zugriffskontrolle zu den erforderlichen Massnahmen, doch ein Dokument schützt nichts, solange seine Regeln nicht als Rollen, Gruppen, Genehmigungsschritte und Deprovisionierungsaufgaben in den Tools existieren. Lücken entstehen dort, wo der Text einen Entzug am letzten Arbeitstag vorsieht, aber niemand diese Aufgabe in den Anwendungen ausserhalb von Single Sign-On verantwortet.

Beispiele und Anwendungsfälle

Ein Fintech mit 180 Mitarbeitenden schreibt eine IAM-Richtlinie, um die Zertifizierung nach ISO/IEC 27001:2022 vorzubereiten: rollenbasierte Standardzugriffe, Genehmigung durch die Führungskraft für jedes zusätzliche Tool, quartalsweise Überprüfung der Adminrechte und Entzug aller Zugriffe am letzten Arbeitstag. Sechs Monate später folgt der Identity Provider der Richtlinie, 25 von einzelnen Teams gekaufte SaaS-Tools jedoch nicht. Adminrechte hat vergeben, wer das jeweilige Tool eingerichtet hat, niemand hat sie geprüft, und zwei ehemalige Mitarbeitende haben noch aktive Konten.

Corma schliesst die Lücke zwischen der geschriebenen Richtlinie und den Tools. Die Plattform erstellt ein Inventar der genutzten SaaS-Anwendungen, leitet Zugriffsanfragen über Genehmigungsworkflows, automatisiert Zugriffsüberprüfungen mit Auditnachweisen und automatisiert die Deprovisionierung, auch in Anwendungen ohne SCIM.

Verwandte Begriffe

• Identity and Access Management (IAM)
• Prinzip der geringsten Rechte
• Rollenbasierte Zugriffskontrolle (RBAC)
• Zugriffsüberprüfung
• Funktionstrennung (SoD)
• Identity-Governance-Plattform von Corma

FAQ

Was gehört in eine IAM-Richtlinie?

Geltungsbereich, Standardzugriffe je Rolle, der Genehmigungsweg für zusätzliche Zugriffe, der Überprüfungsrhythmus und Entzugsfristen bei Austritt und Rollenwechsel. Gute Richtlinien regeln ausserdem privilegierte Konten, Dienstkonten, Ausnahmen und die verantwortliche Person für jede Regel.

Wer ist für die IAM-Richtlinie verantwortlich?

Meist schreibt sie der CISO oder die IT-Sicherheitsleitung, die Geschäftsleitung gibt sie frei. Führungskräfte und Application Owner wenden sie täglich an, indem sie Anfragen genehmigen und Zugriffe überprüfen.

Braucht man für ISO 27001 eine IAM-Richtlinie?

In der Praxis ja. Die Massnahme 5.15 in Anhang A der ISO/IEC 27001:2022 verlangt, dass Regeln für physische und logische Zugriffe festgelegt und umgesetzt werden, und diese Regeln werden üblicherweise in einer Zugriffskontroll- oder IAM-Richtlinie dokumentiert.

Was ist der Unterschied zwischen einer IAM-Richtlinie und einer AWS-IAM-Policy?

Die organisatorische IAM-Richtlinie ist ein Dokument, das Menschen erklärt, wie Zugriffe vergeben und entzogen werden. Eine AWS-IAM-Policy ist ein JSON-Berechtigungsobjekt, das die Plattform bei jeder Anfrage auswertet, wobei ein explizites Deny immer Vorrang vor einem Allow hat.

Demo anfragen