Identitätsdaten Verwaltung (Identity Management)

Im Identity Management werden Identitätsdaten zentral verwaltet.

Eine klare Definition bildet den Grundstein jeder IAM Lösung. Dabei wird bestimmt, welche Typen von Identitäten im Unternehmen vorhanden und wie deren Prozesse sind.

Identitätstypen und deren Prozesse

Verbreitete Identitätstypen sind: Mitarbeitende, Externe, Partner, Administratoren, Funktionale User, Gruppen Mailboxen, Service User und Test User.
Gängige Prozesse dieser Typen sind: Eintritt, Austritt, Übertritt, Namenswechsel, Temporäre Suspendierung, Wechsel des Typs.

Für viele Identitätstypen ist die Personal-Datendatenbank (wie SAP HR) als Identität erzeugendes System (autoritative Quelle) angeschlossen. Für externe oder temporäre Mitarbeitende kann aber auch das Identity-System selbst mittels eines entsprechenden Userportals die Identität erzeugende Instanz sein.

Einige Identitätstypen sind vom Lebenszyklus her an die Hauptidentität gekoppelt. Zum Beispiel ein persönlicher Administrations-User, welcher beendet werden soll, wenn der Mitarbeitende das Unternehmen verlässt. Bei anderen ist beim Austritt nur ein Besitzerwechsel notwendig. Die Identität bleibt weiter erhalten. Zum Beispiel bei Gruppen-Mailboxen.

Weitere Systeme werden angeschlossen, um die Identitäten mit weiteren Informationen anzureichern. Dabei werden einzelne Werte aus dem System genommen, welche für eine bestimmte Information die beste Qualität aufweist. Oft werden Mailadressen aus den Mailsystemen oder Telefonnummern aus der Telefonverwaltung dazugeschrieben. Auf der Identität wird eine entsprechende Verknüpfung zum Datensatz vom Umsystem hinterlegt, um später Datenaktualisierungen gezielt schreiben zu können. Auf die Synchronisation erfolgt eine Datenbereinigung, da zu diesem Zeitpunkt die Inkonsistenzen erstmals sichtbar werden.

Lebenszyklus einer Identität

Vorerfassung

Oft werden die Identitäten vor dem eigentlichen Eintritt des Users erfasst, um damit den vorgängigen Ausrüstungsprozess unterstützen zu können. Dies bedingt eine Identitätsquelle, welche solche Übertritte vorankündigen kann.

Eintritt

Beim Beginn einer Anstellung wird die Identität aktiv geschaltet. Oft ist damit auch ein Prozess für das Initialpasswort verbunden.

 
Temporäre Suspendierung

Wird eine Identität über eine definierte Zeit nicht benötigt, kann diese deaktiviert werden. Solche Prozesse trifft man bei Sabbaticals, Mutterschaftsurlaub oder bei normalerweise deaktivierten Partner Accounts an.

 
Übertritt

Bei einem Übertritt von der Anstellung bei der Abteilung A zu Abteilung B kann dies oft nicht einfach zu einem Stichtag erfolgen. Es bedarf einer Logik, wo die Identität für die neue Abteilung B bereits aufgebaut werden kann. Um laufende Arbeiten abzuschliessen, wird vor dem Übertritt die Identität der Abteilung A zeitlich begrenzt noch aktiv weitergeführt. Dies erfordert vom Identity Management entsprechende Prozesse und Möglichkeiten, welche die Identitätsquelle für solche Übertritte vorankündigen kann.

Austritt

Ein Austritt kann durch das Erreichen des Enddatums einer Identität sein. Oder weil sie bei einer zyklischen Überprüfung der Identität nicht mehr bestätigt wurde. Länger nicht mehr benutzte Identitäten können ebenfalls in diesen Status überführt werden. Dies ist aber mit Vorsicht zu nutzen. Beim Austritt wird üblicherweise eine Identität erst nur deaktiviert und eine Nachhalteperiode (Retention) eingeleitet. Dabei bleiben die Rechte zugewiesen, um so eine schnelle Reaktivierung ermöglichen zu können.

 
Nachhalteperiode Retention

Da in dieser Phase die Rechte noch vorhanden sind, kann die Identität schnell wieder reaktiviert werden, sollte sich der Austritt als falsch herausstellen.

 
Löschung

Eine Identität, welche nach der Nachhalteperiode steht, muss gemäss DSGVO aus dem System gelöscht, pseudonymisiert oder anonymisiert werden. Daher ist diesem Schritt nun mehr Beachtung zu schenken, da die Identitäten in früheren Zeiten oft endlos im System verblieben sind zur Nachverfolgbarkeit.