Feingranularer Zugriffsschutz dank Attribute based Access Control

Feingranularer Zugriffsschutz dank Attribute based Access Control

(Quelle: AXA Winterthur)
4. September 2016 - Von Ronny Bernold und Jakob Steingruber

Die Digitalisierung macht auch vor der AXA Winterthur nicht halt. Mit der zunehmenden Digitalisierung der Kundeninteraktion haben sich auch die Anforderungen an den Zugriffsschutz erhöht. Diese Anforderungen können nur durch ein hochautomatisiertes Verfahren erfüllt werden. Ein Erfahrungsbericht.
Artikel erschienen in IT Magazine 2016/09
In der «alten Welt» haben primär Mitarbeitende die Informationen und Daten des Unternehmens bearbeitet. Heute können Kunden online Statusabfragen, Adressmutationen bis hin zu Schadensmeldungen selbständig erledigen. Diese digitalen Services bringen dem Kunden mehr Flexibilität und Freiraum, erfordern aber erweiterte Sicherheitsmechanismen. So dürfen entsprechende Mutationen natürlich nur auf die eigenen Angaben gemacht und sicherlich nur eigene Daten eingesehen werden. Gleichzeitig erfordern solch offene Interaktionsmodelle stärkere Transparenz über die einzelnen Schritte der Zugriffsberechtigten. Diese und ähnliche Anforderungen standen zu Beginn der Evaluation für ein neues Autorisierungskonzept im Vordergrund. Ein klassisches, rollenbasiertes Berechtigungssystem (RBAC), bei welchem entsprechende Rechte zugewiesen werden, würde hier offensichtlich an seine Grenzen stossen. Vielmehr müssen die Sicht- und Mutationsberechtigungen aus bestehenden Informationen abgeleitet werden: Wer beispielsweise Vertragspartner ist, darf auch das Auszahlungskonto ändern.

Sicherheit und mehr Transparenz bei Zugriffsrechten als Anforderungen

Der Aufbau des Kundenportals stand am Startpunkt der Evaluation. Wie bereits beschrieben, galt es die feingranularen Berechtigungen von Kunden möglichst automatisiert zu verwalten. Dazu sollten wann immer möglich bestehende Geschäftsdaten (sogenannte Business Attribute) wiederverwendet werden, anstatt eine zusätzliche Berechtigungsadministration mit eigenen Daten aufzubauen.

Dieses neuartige Berechtigungsverfahren sollte gleichzeitig auch für feingranulare Berechtigungs-Usecases bei den Mitarbeitenden genutzt werden. Denn bis dato musste pro Berechtigungsset eine Rolle gepflegt werden. Mit dem neuen Autorisierungsparadigma sollte die Anzahl der Rollen klar sinken.

Ein zweiter wichtiger Grundsatz war die Wiederverwendung der Autorisierungsregeln über mehrere Applikationen hinweg. So sollten Kunden selbst sowohl Schadendaten als auch Vertragsdaten auf Basis der gleichen Berechtigungsregeln (er / sie ist Versicherungsnehmer/-in) einsehen können. Die Zugriffe auf Businessdaten sollten über alle Applikationen gleichartig berechtigt werden. Die Anforderung ging sogar noch einen Schritt weiter: Um die Transparenz über effektive Zugriffe zu erhöhen, sollten die Zugriffsentscheide zentralisiert werden. Will heissen, der eigentliche Zugriffsentscheid wird aus der Applikation an eine dedizierte Komponente delegiert.
 
Seite 1 von 3

Neuen Kommentar erfassen

Anti-Spam-Frage Welche Farbe hatte Rotkäppchens Kappe?
Antwort
Name
E-Mail
SPONSOREN & PARTNER