Durchschnittliche Lesezeit: 4 Minuten
Gesteigerte Nutzererwartungen, globale Vernetzung von Systemen, sich schnell ändernde Regulatorien, Datenaustausch von unterschiedlichen Software-Lösungen – die Anforderungen an ein Identity Management System von Banken oder Versicherungen werden immer komplexer. Die Basis: eine funktionierende, cloudbasierte CIAM-Gesamtlösung, über die Kunden und Partner in Interaktion mit den Finanzdienstleistern treten.
Orchestrierung und Implementierung von Aufgaben und Systemen
Ein cloudbasiertes, umfassendes CIAM-System stellt Banken und Versicherungen vor große technische Herausforderungen. Denn keine Anwendung deckt alle Bereiche ab. Schnittstellen zwischen den Systemen, Aufgaben und Anwendungen müssen geschaffen werden.
Regulatorien
Beachtung der Regeln von BAFIN, BAIT, DSGVO/GDPR etc.
Identity Management
Sichere, kundenorientierte Authentifizierung.
Cloud-Management
Zugriff auf eigene Cloud oder die eines Fremdanbieters.
SIEM
Echtzeitanalyse von Sicherheitsalarmen.
Service-Desk
Einbindung der Anlaufstelle von eigener IT und Anwendern.
Risk Management
Beachtung des ISRM und anderer Risiko-Systeme.
CIAM-Implementierung erwünscht? Wir vereinen Branchen- und Produktexpertise sowie Erfahrung in Schnittstellenanbindung.
Ihr Ansprechpartner: Konrad Pfeffer
Digitalen Identitäten bei Banken und Versicherungen
Schauen wir uns die Herausforderungen genauer an. Es ist noch nicht so lange her, da waren die Dinge noch einfach für Banken, Versicherungen und andere Finanzdienstleister: Mitarbeiter nutzten ihren Firmen-PC im Firmennetzwerk, um auf Firmenanwendungen zuzugreifen. Mitarbeiter auf Reisen verwendeten ihren Firmen-Laptop, um sich über VPN am Firmennetzwerk anzumelden und Zugriffe auf alle Anwendungen zu erhalten. Mitarbeiter und Externe griffen auf ihren Firmenaccount über das IAM-System der Firma zu, das seine Daten aus dem HR-System bezog.
Das war einmal. Konzepte wie das interne LAN oder eine Demilitarized Zone (DMZ) bilden die Anforderungen an diese Geschäftsmodelle nicht mehr adäquat ab. Eine Antwort sind CIAM-Lösungen. Sie erlauben einen sicheren Zugriff von Mitarbeitern, Partnern, Kunden und Geräten auf unterschiedliche Systeme. Und sie eröffnen den Finanzdienstleistern ganz neue Chancen.
Nutzerzentriertes Denken: Erwartungen und Zugangsstrukturen
User
Kunden wie Mitarbeiter erwarten jederzeit Zugriff auf alle Informationen, die sie benötigen, unabhängig vom Standort und Gerät. Nutzerfreundlich und sicher.
Identity Provider (IDP)
Externe Partner nutzen ihren eigenen Identity Provider und profitieren von dessen bequemer und sicherer Authentifizierung. Kunden greifen ggf. über Social-IDPs wie Google oder Facebook zu.
Zielsystem
Die Zielsysteme der Anwender befinden sich in der Cloud (und nicht mehr On-Premise). Die Cloud-Lösung kann die eigene oder die eines Drittanbieters sein.
Für Banken und Versicherungen bedeutet das, sie müssen vielfältige Nutzererwartungen, Authentifizierungsmöglichkeiten und Zielsysteme in Einklang bringen, um ein störungsfreies und sicheres Nutzererlebnis zu bieten.
Neue Anforderungen, erhöhte Komplexibilität
Die Anforderungen für Banken und Versicherer an Services rund um Identity Management sind jetzt schon hoch: BAIT- und BAFIN-Regularien, bei einem USA-Geschäft Richtlinien wie den Sarbanes-Oxley-Act oder Gramm-Leach-Bliley-Act. Dazu kommen die üblichen regulatorischen Anforderungen wie DSGVO/GDPR, ISO-Standards oder BSI-Grundschutz. Verknüpft sein müssen sie mit den Kern-Capabilities eines Identity Managements wie Authentifizierung, Single-Sign-On, Federation, Identity Lifecycle. Anforderungen aus anderen Bereichen kommen hinzu. Beispiele dafür sind Erfordernisse des SIEM (Security Information and Event Management), von Service Desks, des Risk Managements und mehr.
CORE CAPABILITIES | |||
|---|---|---|---|
| Authentication | Authorization | Identity Reposority | Audit & Compliance |
| Single Sign on | Dynamic Authorization | Bulk Operations | Reporting & Dashboard |
| Adaptive Authentication | Administration | Privacy & Disclaimer Support | |
| Session Management | Delegated Administration | ||
| Identity Federation | |||
| API Security | |||
EXTENDED CAPABILITIES | |||
|---|---|---|---|
| Consider real-time Security Info | Fraud Detection | Service Desk Integration | Regulatory Reports |
| Aggregate Security Info | |||
Anwendungen orchestrieren: Capability Mapping
Eine besondere Herausforderung hierbei ist: Keine Anwendung deckt alle Anforderungen alleine ab. Mehrere Services und Produkte wie Fortinet, LogPoint (SIEM) oder Azure Active Directory (CIAM) müssen orchestriert werden. Die Systeme müssen Daten austauschen, wichtige Informationen extrahieren etc. Zum Beispiel benötigt eine SIEM-Lösung Daten aus den Audit- und Activity-Logs des Access Managements. Oder der Service-Desk braucht Informationen aus der Benutzeradministration.
Die folgende Abbildung veranschaulicht das Prinzip des Capability Mappings:
Aufgabe: API-Schnittstellen schaffen
Die Aufgabe ist es, über Schnittstellen eine funktionierende Gesamtlösung zu schaffen, die den Anforderungen der Banken und Versicherungen entspricht. Viele Anwendungen bieten bereits Schnittstellen an, um Daten mit anderen Anwendungen auszutauschen. Die eigenen APIs liefern meist den besten Ansatzpunkt, um Indirektionen und damit Unabhängigkeit zu schaffen. Mit ihnen vermeidet man einen Vendor-Lock-In, eine Inkompatibilität beim Datenaustausch.
CIAM in der Cloud nutzen
Mehr Identities, größere Abdeckung, stärkere Skalierbarkeit – um der globalen Vernetzung und den gestiegenen Anforderungen der Kunden und Partner gerecht zu werden, gehen die Finanzdienstleister mit dem CIAM-System in die Cloud. Sie bietet die idealen Voraussetzungen, um Dienste global verteilt, skalierbar und sicher zu nutzen.
Zum einen gibt es Software-as-a-Service-Anwendungen (SaaS), die global genutzt werden können. Zum anderen können über Cloud-Technologien wie Container flexible, skalierbare und resiliente Lösungen etabliert werden. Und das gerne auch über mehrere Cloud-Plattformen hinweg, um größtmögliche Ausfallsicherheit zu erreichen.
Dabei gehen die CIAM-Systeme in puncto Sicherheit weit über die herkömmlichen On-Premise-Lösungen hinaus. Sie nutzen risikobasierte Verfahren, um betrügerische Log-ins zu erkennen und zu verhindern. Anwendungen mit modernen Authentifizierungsprotokollen bilden die Basis für eine risikoarme Cloud-Journey für Finanzinstitute und Versicherungen.
DER AUTOR
Konrad Pfeffer, Geschäftsführung Tekaris
Seit 20 Jahren beschäftigt sich Konrad Pfeffer mit Fragen der Anwendungsentwicklung, dem Security-Umfeld sowie mit Compliance & Identity. Vor seiner Zeit bei Tekaris arbeitete er lange bei einem weltweit führenden Rückversicherer. Er brachte zahlreiche Innovationsprojekte auf den Weg und begleitete unterschiedliche Unternehmen in die Cloud. Konrad Pfeffer ist Initiator der Meet-Up Reihe "Smart Identity".
CIAM-Audit und CIAM-Beratung für die Finanzindustrie
Tekaris begleitet Sie bei der Einführung oder Erweiterung Ihrer CIAM-Lösung. Das sind unsere Services:
• Formulieren und Analysieren der Anforderungen
• Capability Mapping und Business Architektur
• Orchestrierung der Lösungen
• Technische Architektur und Umsetzung
In einem CIAM-Audit klären wir den IST- und SOLL-Zustand Ihres Identity Managements und besprechen die Vor- und Nachteile verschiedener Varianten der CIAM-Implementierung, von der individuellen Softwareentwicklung bis hin zu Standardlösungen.
Wir zeigen Ihnen den Weg zu Ihrer smarten CIAM-Lösung.
