Rollen-Engineering im IT-Berechtigungsmanagement

Die Sicherheitsadministration - Zugriffsschutz und Rechtevergabe - besitzt unter den IT-Sicherheitsprozessen häufig das höchste Potenzial für Einsparungen beim Arbeitsaufwand. Besonders attraktiv wird das Ausschöpfen dieses Einsparpotenzials durch eine damit verbundene Anhebung des IT-Sicherheitsniveaus. Sowohl Ausgangspunkt als auch Hauptschwierigkeit hierbei ist die hohe Komplexität moderner heterogener und verteilter IT-Landschaften.

Verschiedene Großunternehmen haben bereits demonstriert, wie diese Komplexität zu bewältigen ist: Zugriffsschutz und Rechtevergabe in verschiedenen IT-Systemen auf verschiedenen Plattformen wurden zu einem einheitlichen Berechtigungsmanagement auf der Basis rollenbasierter Zugriffsschutzmechanismen zusammengefasst. In vielen Fällen wurden verteilte Client-Server- und Workflow-Systeme erst auf diese Weise handhabbar.

Plattformübergreifendes Berechtigungsmanagement setzt sich im Wesentlichen zusammen aus Benutzer-Management und Rollen-Management mit klar definierten Prozessen zur Durchführung der Administrationsaufgaben. Während die Prozesse des Benutzer-Managements - Anlegen von Benutzerkonten, Zuordnung von Rollen, Antragsverfahren usw. - etabliert sind, spiegelt sich die volle Komplexität des Unternehmens und seiner IT-Landschaft im Rollen-Management wider, in der Bildung und Verwaltung geeigneter plattformübergreifender Rollen. Zur Bewältigung dieser Komplexität sind Erfahrung und ein strukturiertes Vorgehen erforderlich, wie es beispielsweise das nachfolgende Modell zum plattformübergreifende Rollen-Management skizziert. Hierfür wurde der Begriff Rollen-Engineering eingeführt.

----------Anfang Textkasten----------

Glossar

Eine Rolle entspricht den Aufgaben, die ein Mitarbeiter in einem Unternehmen ausübt. Die Organisationstheorie nutzt Rollen, um Fähigkeiten, Kenntnisse und Erfahrungen personenunabhängig mit Aufgaben zu verknüpfen. Auch Verantwortlichkeiten und Berechtigungen können Rollen zugewiesen werden.

Rollenbasierter Zugriffsschutz umfasst die Bündelung von IT-Zugriffsrechten in Rollen und die Erteilung von IT-Zugriffsrechten durch Zuweisung dieser Rollen an Benutzer. Da eine Rolle generell nicht auf einzelne IT-Systemplattformen beschränkt ist, können auf dieser Basis plattformübergreifende Administrationsmechanismen implementiert werden.

Ein Rollenmodell bestimmt die Datenstruktur des Rollen-Repositories. Rollenmodelle bestehen aus verschiedenen Ebenen zur Verdeutlichung der Zusammenhänge von einerseits Benutzern, Rollen und Ressourcen und andererseits organisatorischen Gegebenheiten, Rollen und deren Implementierung.

----------Ende Textkasten----------

Ausgehend von der Sicherheitspolicy des Unternehmens wird mit Methoden des Rollen-Engineering ein vollständiges Abbild der Berechtigungsstrukturen in Form von Rollen entwickelt, implementiert und gepflegt. Aufgrund der engen Verzahnung des Berechtigungsmanagements mit der Ablauforganisation des Unternehmens setzt Rollen-Engineering auf einer Betrachtung der IT-gestützten Geschäftsprozesse des Unternehmens auf. Leistungsfähige Software-Werkzeuge können das beschriebene Vorgehensmodell durchgängig unterstützen.

----------Anfang Textkasten----------

Rückblick

Die Idee der plattformübergreifenden Benutzerverwaltung geht bis in die späten 80er Jahre zurück, als erste Hersteller begannen, Tools zu entwickeln, um Benutzer in mehreren IT-Systemen gleichzeitig anzulegen und zu verwalten. Etwa zur gleichen Zeit arbeiteten Informatiker verschiedener US-Universitäten gemeinsam an Methoden zum Zugriffschutz auf der Basis so genannter Rollen, einem Ordnungsbegriff, der ursprünglich aus der Organisationstheorie stammt [2, 4].

Geschichte des IT-Berechtigungsmanagements: Theorie und Praxis konvergieren.

Mit den ersten Markterfolgen plattformübergreifender Administrationstools Anfang bis Mitte der 90er Jahre wurde deutlich, dass eine Abstraktion des Berechtigungskonzepts unter Nutzung der Rollensemantik den Schlüssel zum wirkungsvollen Einsatz dieser Tools bildet [1]. Wissenschaftler entwickelten zu der Zeit formale Rollenmodelle [7, 8] und begannen mit ihrer Standardisierung. Ein skalierbares und validierbares Verfahren zur unternehmensweiten Definition und Pflege der Rollen war jedoch noch nicht in Sicht.

Inzwischen arbeiten Anwender und Wissenschaftler punktuell gemeinsam an den wichtigsten Themen [5]. Der vorliegende Ansatz zum Rollen-Engineering wurde aus der Praxis entwickelt, enthält aber auch neueste Forschungsergebnisse. Umgekehrt gehen praktische Erfahrungen und Anforderungen verstärkt in wissenschaftliche Untersuchungen ein, etwa die Anforderung nach einer Integration des Rollen-Engineering in die Geschäftsprozesse eines Unternehmens.

----------Ende Textkasten----------

Überblick

Je mehr sich IT-Manager um Sicherheit sorgen, desto lauter wird der Ruf nach unternehmensweiten und plattformübergreifenden Lösungen. Neben der Frage einer starken Authentifizierung von Benutzern stellt sich bei Großunternehmen die Frage nach einer wirksamen Autorisierung und effizienten Administration der Zugriffsberechtigungen. In den letzten Jahren wurden deshalb in vielen Fällen Projekte zur Einführung von plattformübergreifendem Berechtigungsmanagement durchgeführt. Aus diesen Projekten liegen inzwischen Erfahrungswerte vor, die fast immer das Rollen-Engineering als kritisches Teilprojekt nennen.

Rollen-Engineering-Projekte zeichnen sich durch eine Vielzahl ineinander verwobener Sachverhalte aus. Für ein abgestimmtes Rollenkonzept sind detaillierte Sichten auf die Unternehmensstruktur mit ihren Geschäftsprozessen sowie Analysen der Sicherheitseinrichtungen der beteiligten Betriebssysteme notwendig. Zudem müssen unternehmensweit gültige Sicherheitsrichtlinien beachtet oder neu formuliert werden und es ist gleichzeitig ein detaillierter technischer Sachverstand erforderlich, um über sinnvolle Implementierungen entscheiden zu können.

Da dieses Wissen und insbesondere die übergreifenden Sichtweisen in der Regel nicht bei einzelnen am Projekt beteiligten Personen oder Abteilungen vorhanden ist, haben wir es bei Rollen-Engineering mit Querschnittsprojekten zu tun, die nicht leicht zu managen sind. Ein Rollenfindungs- und -implementierungsteam benötigt Mitarbeiter mit ganz unterschiedlichen Erfahrungen und Zielsetzungen, üblicherweise aus den Bereichen:

Ein Rollenprojekt mit einem derart heterogenen Team sollte nach einem formalen Vorgehensmodell geführt werden, um Kommunikations- und Verständigungsprobleme sowie Projektrisiken wie Kosten- und Terminüberschreitungen oder unzureichende technische Lösungen in überschaubaren Grenzen zu halten.

Das Vorgehensmodell dient allen am Projekt Beteiligten dazu, schrittweise von der ursprünglichen Idee zum produktiven Betrieb zu gelangen. Es hat, ähnlich wie Modelle des Software-Engineerings, eine Reihe weiterer Vorteile:

Das hier vorgestellte Vorgehensmodell (vgl. Abbildung) kombiniert eine Reihe von Prozessen. Es berücksichtigt die speziellen Bedürfnisse von Projekten der Sicherheitsadministration einschließlich der Unterstützung durch Softwarewerkzeuge. Dabei müssen die in der Praxis vorhandenen Begrenzungen im Hinblick auf Zeit und finanzielle Mittel ebenso Beachtung finden wie die Komplexität von Anwendungen und Änderungshäufigkeiten im betrieblichen Alltag.

Dieses Vorgehensmodell ähnelt dem Spiralmodell von Böhm [3], das seit seiner ersten Veröffentlichung in vielfältiger Weise weiterentwickelt wurde [11]. Das Modell enthält zwei Iterationszyklen: Einen ersten Zyklus mit Rückverweisen aus der Prototyping-Phase zur Verdeutlichung der ersten Arbeitsergebnisse und einen zweiten Zyklus mit Rückverweisen aus der Weiterentwicklungs- und Wartungsphase zur Unterstützung des Konfigurationsmanagements. Dazwischen lassen sich Meilensteine platzieren, um den Projektfortschritt mit allen Beteiligten abzustimmen und gegebenenfalls den Projektplan anzupassen.

Nach der Erzeugung stabiler Systemanforderungen unter Betrachtung des gesamten Sicherheitsumfelds wird mit der Prozessanalyse und Modellbildung sowie - nach einem oder mehreren Zyklen durch das Prototyping - mit der Rollenbildung begonnen. Der Schwerpunkt liegt auf den Phasen der Konzeption und des Rollendesigns mit dem Ziel zu stabilen Rollen zu kommen. Auf dieser Basis können die Einflüsse der zweiten Iterationsschleife, die sich aus kontrollierten Rollenänderungsprozessen ergeben, überschaubar und begrenzt gehalten werden.

Einblick

Bedarfsdefinition

In der Anforderungsphase werden der Projektauftrag und damit die Ziele des Rollen-Engineering im Rahmen des plattformübergreifenden Berechtigungsmanagements festgelegt. Dies erfolgt unter Berücksichtigung der gegebenen Rahmenbedingungen und umfasst z. B. gewünschte Einsparungen, zu erreichende Sicherheitsverbesserungen sowie bereits festliegende Anforderungen an die zukünftigen Arbeitsabläufe und das Systemumfeld. Zu den wesentlichen Rahmenbedingungen gehört die Dynamik des Unternehmens und seiner technischen und organisatorischen Veränderungen.

Vorbereitend wird der Ist-Zustand der Sicherheitslage und der Rechtevergabe für die gegenwärtigen Systembenutzer erfasst. Die wesentlichen Informationen finden sich in bestehenden Administrationskonzepten und in der Sicherheitspolitik des Unternehmens. Geben diese nur unzureichend Auskunft, müssen sie an dieser Stelle konkretisiert werden. Beispielhafte Fragestellungen sind:

Sobald diese Fragestellungen geklärt sind, lassen sich die technischen Anforderungen und Rahmenbedingungen für das Rollenmodell formulieren.

Konzeption und Modellbildung

Analog zum Software-Engineering dient die Analyse-Phase im Rollen-Engineering der Festlegung der fachlichen Strukturen des rollenbasierten Zugriffsschutzes. Dies umfasst zunächst die Adaption eines geeigneten Rollenmodells für das Unternehmen. Dieses Modell muss sich an den Gegebenheiten im Unternehmen ausrichten und erlauben, die Zusammenhänge zwischen Rollen und Geschäftsprozessen abzubilden. Damit kann das Projektteam das Betriebsgeschehen abstrahieren und organisatorische mit administrativen Gegebenheiten in Einklang bringen.

Aus dem Rollenmodell soll hervorgehen, wie das Tätigkeitsbild von Anwendern sich in Berechtigungen abbilden lässt. Verschiedene Rollenmodelle besitzen verschiedene Möglichkeiten der Skalierbarkeit und erfordern gegebenenfalls unterschiedliche Methoden der Rollenfindung und -implementierung. Den Anwendern stehen heute eine Vielzahl von Alternativen zur Auswahl eines Rollenmodells zur Verfügung. Die Wahl eines geeigneten Modells anhand der festgelegten Projektziele bildet die Basis für alle weiteren Bestandteile; auf Aufwärtskompatibilität ist deshalb zu achten.

Zu dieser Phase gehören außerdem die Festlegungen einer geeigneten Rollendokumentation sowie der Abläufe für die nachfolgenden Projektschritte zur Rollenfindung, -implementierung und -wartung. Diese Schritte sind auf unterschiedliche Weisen automatisierbar. Zudem gehört zur Analyse-Phase auch die Skizzierung einer Systemarchitektur (vgl. Abbildung) sowie die Auswahl geeigneter Tools, die das festgelegte Rollenmodell, die Rollendokumentation und die Integration mit den Geschäftsprozessen des Unternehmens unterstützen.

Prototyping

In dieser Phase wird ein Test- und Demosystem aufgebaut, um das Konzept und das im Entstehen begriffene Rollenmodell zusammen mit unterstützenden Softwarewerkzeugen zu erproben. Die Zielsetzung dieser Phase lässt sich wie folgt umreißen:

Prototypen sind zur Validierung des Rollenfindungs- und Administrationskonzepts besonders wichtig. Mit ihrer Hilfe lassen sich Alternativen ausarbeiten ohne die Produktivsysteme zu gefährden. Außerdem ist es nötig, die Komplexität der tatsächlich betroffenen Systemschnittstellen in den Sicherheitssystemen im Detail zu verstehen, um eine Lösung zu erarbeiten, die höchsten Sicherheitsanforderungen genügt. Es ist nicht sinnvoll auf dem Papier eine komplexe Vergabestruktur zu konstruieren, die sich in den bestehenden Systemen nicht umsetzen lässt.

Rollenbildung

Die Rollenbildung erfolgt auf der Basis der Geschäftsprozesse des Unternehmens. Eine bereits vorliegende Prozessdokumentation macht diesen Schritt automatisierbar, alternative Informationsquellen sind Organisationshandbücher und Stellenbeschreibungen. Um die Kommunikation mit den zu administrierenden Fachbereichen zu vereinfachen, sollte man die Ergebnisse der Rollenerfassung in einer Form darstellen, die sich an der Dokumentation der Unternehmensorganisation orientiert.

Die Prozessinformationen werden gemeinsam mit den abgeleiteten Rollendefinitionen in einem zentralen Repository verwaltet. Dieses Repository ist die Basis für die Erzeugung des Rollen-Katalogs, der Rollendokumentation sowie für die Implementierung der Rollen auf verschiedenen Plattformen und Sicherheitssystemen. Der Rollenkatalog bildet einen wichtigen Zwischenschritt im Entstehungsprozess der Rollen: Auf dieser Ebene können Rollen überprüft und qualitätsgesichert werden. Falls nötig können Rollen nachgearbeitet werden, um alle Anforderungen der Sicherheitsadministration zu erfüllen. Entscheidend für eine erfolgreiche Rollendefinition ist eine detaillierte Festlegung der durchzuführenden Abläufe auf der Basis des ausgewählten Rollenmodells.

Bei der Wahl von Software-Werkzeugen zur Unterstützung der Rollenbildung nach dem hier beschriebenen Vorgehensmodell ist darauf zu achten, dass die Ableitung des Rollenmodells aus bestehenden Geschäftsprozessmodellen sowie die Speicherung in einem Rollen- und Prozess-Repository unterstützt wird. Um die Integration von Tools zur Unterstützung der verschiedenen Ebenen zu gewährleisten, soll außerdem die Darstellung der Rollen im Rollenkatalog und die Implementierung in Tools zur plattformübergreifenden Sicherheitsadministration unterstützt werden.

Implementierung

In dieser Phase werden die identifizierten Rollen unter Beachtung von Syntax und Semantik zum Einsatz im plattformübergreifenden Berechtigungsmanagement implementiert. Um Einsparungen in Rollenimplementierung und Benutzerverwaltung zu erzielen, bietet sich ein plattformübergreifendes Administrationstool an. Die Rollen werden in diesem Tool definiert, die eigentliche Umsetzung in den verschiedenen zu administrierenden Sicherheitssystemen erfolgt dann automatisch durch das Tool.

Die Möglichkeiten des ausgewählten Administrationstools sollte man bereits in der Analysephase berücksichtigen, um die Rollenstruktur direkt übernehmen zu können. Andernfalls sind jetzt noch Zwischenschritte für weitere Harmonisierung und Automatisierung erforderlich.

In der Regel startet ein Rollenprojekt nicht auf der grünen Wiese sondern setzt auf einer Produktionsumgebung mit gewachsenen Berechtigungsstrukturen auf. In einem kontrollierten Migrationsprojekt sollte das plattformübergreifende Berechtigungsmanagement für das Gesamtunternehmen eingeführt werden. Die Entwicklung einer zum Unternehmen passenden Einführungsstrategie ist nach organisatorischen Einheiten, nach Systemplattformen oder nach regionalen, standortspezifischen Gesichtspunkten als Teilprojekt innerhalb der Implementierungsphase aufzusetzen.

Weiterentwicklung und Wartung

Nach der erfolgreichen Inbetriebnahme gilt es Veränderungen zu managen. Im Unterschied zu einem Software Engineering Projekt, bei dem es in der Wartungsphase um Fehlerkorrekturen oder um funktionale Erweiterungen geht, muss man hier einen Rollenänderungsprozess entwickeln und implementieren. Das erfordert die Identifikation aller Prozessschnittstellen, die Auswirkungen auf die Vergabe von Zugriffsberechtigungen mit Rollen haben. Mögliche Einflussfaktoren sind:

Diese Faktoren führen zur Überarbeitung oder Löschung bestehender Rollen. Neue Stellen im Unternehmen oder Änderung der Geschäftsprozesse führen in der Regel zu einer Neukonzeption und Entwicklung neuer Rollen. Aus diesem Grund besitzt das Vorgehensmodell eine zweite Iterationsschleife, die von dieser Phase zurück in die Designphase verweist.

Benefits

Ausgangspunkte und wesentliche Vorteile des plattformübergreifenden Berechtigungsmanagement sind eine Verschlankung der Sicherheitsadministration und die damit verbundenen Einsparungen sowie Verbesserungen der IT-Sicherheit.

Einsparungen ergeben sich aus der Zusammenfassung von Administrationsvorgängen auf verschiedenen Systemen unter einem Tool. Dieses Tool steht dann als zentraler Punkt der Sicherheitsadministration für weitere Prozessverbesserungen und Automatisierungen zur Verfügung. Je nach der vorherigen Situation im Unternehmen sind Einsparungen in der Benutzerverwaltung von bis zu 40 % realistisch. Weitere Einsparungen entstehen implizit dadurch, dass Endbenutzer durch die plattformübergreifenden Administrationsvorgänge schneller ihre vollständigen Zugriffsrechte erhalten. Speziell neue Mitarbeiter können dadurch frühzeitig produktiv eingesetzt werden.

In Sachen IT-Sicherheit bewirkt die Einführung zentralisierter und einheitlicher Administrationsprozesse mehr Übersicht und damit bessere Kontrollierbarkeit und geringere Fehleranfälligkeit. Sicherheitspolicies des Unternehmens lassen sich zentral umsetzen, was die Revision der Sicherheitsadministration unterstützt. Die Anzahl mächtiger Administratorkonten in den einzelnen Systemen kann deutlich reduziert werden.

Zur Realisierung der genannten Vorteile ist ein sorgfältig geplantes Projekt notwendig. Besonders wichtig sind die Schnittstellen zwischen Prozess-, Rollen- und Berechtigungssicht und die Zusammenarbeit der verschiedenen Tools und Vorgänge an diesen Schnittstellen. Dies sollte bereits in der Analyse- und der Prototyping-Phase beachtet werden.

Ausblick

Weiterentwicklungen im Bereich des plattformübergreifenden Berechtigungsmanagements sind in verschiedener Hinsicht zu erwarten. Die zur Verfügung stehenden Rollenmodelle werden sicher noch skalierbarer und stärker an den Anforderungen bestimmter Administrationstools ausgerichtet werden. Die bereits begonnenen Standardisierungsbemühungen für Rollenmodelle werden fortgesetzt, um eine gemeinsame Basis für weitere Tool-Entwicklung und -Integration zu schaffen [5]. Hierbei ist eine weitere Zusammenarbeit zwischen Wissenschaftlern und Praktikern zu erwarten.

Auch das hier beschriebene Vorgehensmodell wird sich an weiterentwickelte Rollenmodelle anpassen müssen, sowohl um die beschriebenen Abläufe jeweils auf dem neuesten Stand zu halten, als auch aufgrund von Aktualisierungen der Tools. Veränderungen sind allerdings eher im Detail zu erwarten, sodass die dargelegten Schritte im Wesentlichen erhalten bleiben dürften.

Für verschiedene Branchen oder Unternehmensbereiche könnte es sinnvoll sein, Referenzmodelle für die Rollenstruktur zu entwickeln so wie es bereits Referenzmodelle für die durch ERP-Systeme unterstützten Geschäftsprozesse gibt. Gerade der Blick auf die Prozess-Referenzmodelle von ERP-Systemen gibt aber Grund zur Annahme, dass eine solche Entwicklung nicht in nächster Zeit erfolgen wird.

In den derzeit boomenden Bereichen E-Business und Workflow oder Telekooperation hingegen ist die Situation genau umgekehrt. Das E-Business erfordert klar strukturierte Transaktionen, deren Teilnehmer ebenso klar definierte Rollen einnehmen. In diesem Fall sind nicht nur die durchzuführenden Prozesse sondern bereits die teilnehmenden Rollen spezifiziert. Analog ist die Situation in Workflow-Systemen, wo die Definition des Workflows die Definition des Prozesses prinzipbedingt enthält. Um wirklich plattformübergreifende Administration zu ermöglichen, bleibt für das Berechtigungsmanagement die Aufgabe, die bekannten Prozesse aus E-Business und Workflow mit denjenigen Prozessen abzugleichen, die durch bestehende interne Anwendungen unterstützt werden.

Dr. Haio Röckle ist Geschäftsführer der Röckle IT-Sicherheit GmbH in Bochum, Gerhard Schimpf ist leitender IT-Sicherheitsberater bei der Systor GmbH und Co KG in Köln.

Literatur

[1]

Awischus, R.; Role-Based Access Control with the Security Administration Manager (SAM), Proc. 2nd ACM Workshop on Role-Based Access Control, Fairfax, Virginia, USA (1997)

[2]

Biddle, B.J., Thomas, E.J., Role Theory: Concepts and Research, New York: Robert E. Krieger Publishing Company (1979)

[3]

Boehm, B.; A Spiral Model of Software Development and Enhancement. In: Computer, May 1988

[4]

Ferraiolo, D., Kuhn, R., Role-based access controls, Proc. 15th NIST-NCSC National Computer Security Conference, Baltimore MD (1992)

[5]

Mönkeberg, A., Rakete, R., Three for One: Role-based Access Control Management in Rapidly Changing Heterogeneous Environments
Röckle, H., Schimpf, G., Weidinger, R,; Process-Oriented Approach for Role-Finding to Implement Role-Based Security Administration in a Large Industrial Organization
Sandhu, R.; Engineering Authority and Trust in Cyberspace: The OM-AM and RBAC Way
Sandhu, R., Ferraiolo, D., Kuhn, R.; The NIST Model for Role-Based Access Control: Towards A Unified Standard

alle in: Proc. 5th ACM Workshop on Role-Based Access Control, Berlin, Germany (2000)

[6]

Röckle IT-Sicherheit GmbH; RoFi-Dokumentation, (2000)

[7]

Sandhu, R., Coyne, E.J., Feinstein, H.L., Youman, C.E.; Role-based access control models, IEEE Computer, 29 (2) (1996)

[8]

Sandhu, R., Bhamidipati, V., Munawer, Q., The ARBAC97 model for role-based administration of roles, ACM Transactions on Information and System Security, Vol. 2, Nr. 1 (1999)

[9]