Eine F4-Feststellung im Berechtigungsmanagement gab den Anstoß für den unternehmensweiten Neuaufbau einer regulatorisch konformen Identity und Access Management (IAM)-Lösung bei einem IT-Dienstleister für Banken. Wir übernahmen von Beginn an die Gesamtprojektleitung, Teilprojektleitungen sowie Aufgaben als Fachspezialisten und IAM-Architekten. Über fünf Jahre begleiteten wir das erfolgreiche Großprojekt mit sieben Teilprojekten und bis zu 120 Projektmitarbeitern.
Die Ausgangslage
Das Ziel war klar: Die IAM-Lösung sollte regulatorisch konform neu aufgebaut werden. Dafür mussten bestehende Berechtigungsstrukturen, technische Systeme und organisatorische Verfahren überprüft und in ein einheitliches IAM-Verfahren überführt werden. Eine zentrale Anforderung war, die Zuordnung vom Benutzer bis zum atomaren Einzelrecht transparent nachvollziehbar zu machen.
Das Großprojekt „Zentrales IAM“ umfasste sieben Teilprojekte mit bis zu 120 Projektmitarbeitern und einem Gesamtumfang von rund 27.000 Personentagen. Entsprechend anspruchsvoll waren die fachliche und technische Abstimmung sowie die Steuerung der beteiligten internen Teams und externen Dienstleister.
Unser Beitrag
Wir planten, konzipierten und leiteten das Gesamtprojekt, verantworteten das Budget und steuerten die eingesetzten Dienstleister einschließlich Ausschreibung und Beschaffung. Als zentrale Schnittstelle zu BaFin und Bundesbank begleiteten wir die Abarbeitung der F4-Feststellungen im Berechtigungsmanagement. Unsere Mitarbeit im Kernteam verband die übergreifende Projektsteuerung mit fachlicher Beratung und Architekturarbeit.
Auf Basis einer Analyse der bestehenden Identity-Management-, Berechtigungs- und Compliance-Prozesse konzipierten wir ein neues unternehmensweites IAM-Verfahren und führten eine zentrale Governance nach den im Projekt zugrunde gelegten Anforderungen aus BAIT und MaRisk ein. Dazu gehörten einheitliche Prozesse für Rezertifizierung, Rollenkonzeption und Entitlement Management sowie ein zentrales Berechtigungskonzept. Ein Schwerpunkt lag auf der durchgängigen Zuordnungskette zwischen Benutzern und ihren feingranularen Einzelrechten.
Die technische Grundlage bildete die neue IAM-Governance-Lösung auf Basis des One Identity Manager. Wir begleiteten deren Auswahl und Integration und verknüpften die IAM-Prozesse mit der bestehenden Provisionierungsengine auf Basis von IBM Tivoli Identity Manager beziehungsweise IBM Security Identity Manager. Im Teilprojekt „ITIM-Konzern“ steuerten wir die Vereinheitlichung der eingesetzten Instanzen und bereiteten deren Ablösung vor.
Darüber hinaus umfasste unser Beitrag die Anbindung aller Zielsysteme und Applikationen, darunter Active Directory, Azure AD, Windows, Linux und Host-Systeme. Fehlende IT-Komponenten und Workflows wurden integriert und ein zentraler Eingangskanal für das interne IAM eingerichtet.
Die Zusammenarbeit war über die gesamte Laufzeit eng und vertrauensvoll. Wir bereiteten Workshops mit bis zu 45 Teilnehmenden vor, führten diese durch und wirkten an verbundweiten IAM-Abstimmungen mit. Zudem begleiteten wir Prüfungen nach PS 951 und IDW PS 850 sowie die interne Nachschau zur Prüfung nach § 44 KWG.
Das Ergebnis
Das Großprojekt „Zentrales IAM“ wurde erfolgreich abgeschlossen. Mit dem eingeführten IAM-Verfahren, der zentralen Governance und der systemübergreifenden Berechtigungsverwaltung wurde die unternehmensweite Neuaufstellung des IAM umgesetzt. Unser Beitrag reichte dabei von der Gesamtverantwortung für Planung und Steuerung bis zur fachlichen und technischen Ausgestaltung der Verfahren.