KI im Identitäts- und Zugriffsmanagement: Wird sie den Wandel stören oder die Zukunft sichern?

Bei meiner Recherche nach ISO-27001-Experten auf LinkedIn stieß ich auf Alexandre Blancs Erkenntnisse zum Thema KI in der Sicherheit. Natürlich war ich fasziniert.

Wer könnte besser über IAM sprechen, das Rückgrat von ISO-Rahmenwerken und jeder Sicherheitsstrategie? Identitäts- und Zugriffsmanagement (IAM) ist zentral für den Schutz sensibler Daten, sodass nur berechtigte Personen (oder Systeme) Zugriff auf kritische Ressourcen haben. Ohne IAM drohen Unternehmen Sicherheitslücken, Compliance-Verstöße und operatives Chaos.

Es ist nicht verwunderlich, dass sich auch die IAM-Branche aufgrund der Auswirkungen von KI weiterentwickelt. Dies führt uns zu Fragen wie:

Wie viel Kontrolle sollte KI haben? Welche Rolle spielt die menschliche Überwachung? Und kann KI Risiken wie die Ausweitung von Befugnissen wirklich verhindern?

Alexandre Blanc, Berater, führender Implementierer von ISO/IEC 27001 und 27701 sowie LinkedIns Top-Stimme im Bereich Cybersicherheit, teilt seine Erkenntnisse zu den oben genannten Punkten und mehr! 

Der Aufstieg der KI im IAM: Automatisierung und menschlicher Faktor im Gleichgewicht

Der globale IAM-Markt wird bis 2027 voraussichtlich ein Volumen von 22.94 Milliarden US-Dollar erreichen, angetrieben durch Automatisierungstechnologien wie KI. 

KI verbessert das Identitäts- und Zugriffsmanagement (IAM) durch die schnellere Verarbeitung von Zugriffsanfragen mithilfe von Nutzerverhaltensanalysen, Zugriffshistorie und Kontextdaten. Dasselbe gilt für die Vorteile von KI in Rollenbasierte Zugriffssteuerung (RBAC) und automatisierte Entscheidungsfindung. 

• Rollenbasierte Zugriffskontrolle (RBAC)Die KI weist Rollen dynamisch basierend auf Benutzeraktivitäten, Stellenwechseln oder organisatorischen Erfordernissen zu. Dadurch wird das Risiko menschlicher Fehler drastisch reduziert und präzise Zugriffsberechtigungen bei gleichzeitiger Minimierung von Sicherheitsrisiken gewährleistet.

• Automatisierung der EntscheidungsfindungKI kann Zugriffsanfragen auch automatisch genehmigen oder ablehnen und Prozesse beschleunigen. Dies ist besonders nützlich in großen Organisationen, die Tausende von Konten verwalten.

Das erleichtert die Arbeit von Zugriffs- und IT-Managern ungemein, nicht wahr? Nun stellt sich die Frage: Wird menschliches Eingreifen dadurch überflüssig? 

„Viele Compliance-Anforderungen und -Vorschriften, insbesondere in Bezug auf vertrauliche Daten und den allgemeinen Datenschutz, erfordern die Durchsetzung von Rechenschaftspflicht und Verantwortung. Dies bedeutet, dass eine reale Person die Verantwortung für den Zugriff auf die Daten trägt.“

Dies zeigt, dass der Mensch in den Prozess einbezogen werden muss und dass daher der Automatisierungsgrad der Systeme der Risikobereitschaft des für die Aufgabe verantwortlichen Menschen entsprechen muss.“ – Alexandre. 

Man kann also mit Sicherheit sagen, dass trotz der Fähigkeiten der KI die menschliche Beteiligung für die Einhaltung von Vorschriften und die Rechenschaftspflicht weiterhin von entscheidender Bedeutung ist. 

Tatsächlich erfordern viele Rahmenwerke, wie beispielsweise die DSGVO und PCI-DSS, eine sorgfältige Zugriffskontrolle und lückenlose Protokollierung, um die Konformität sicherzustellen. IAM-Systeme bieten detaillierte Berechtigungen und Protokolle, und mit Unterstützung von KI lässt sich der Prozess bis zu einem gewissen Grad automatisieren und menschliche Fehler reduzieren. 

Herausforderungen im KI-gestützten IAM

Auf die Frage nach den wesentlichen Herausforderungen, die KI für traditionelle IAM-Frameworks mit sich bringt, führte Alexandre einige kritische Punkte an:

„Eine der größten Herausforderungen ist Gewährleistung der Konsistenz bei KI-gestützter Entscheidungsfindung und Verständnis wie Fehler entstehenDa KI riesige Datenmengen und Parameter verarbeitet, liegt die Schwierigkeit darin, Überprüfung seiner Entscheidungen und die Durchsetzung von Richtlinien zur Vermeidung wiederholter Fehler.“

Die Anpassung autonomer Systeme an die betrieblichen Gegebenheiten erhöht die Komplexität zusätzlich. Darüber hinaus, als Teil einer Organisation Der Technologie-Stack entwickelt sich weiter, die Attribute, auf die sich die KI stützt für Die Entscheidungsfindung könnte sich verlagernund dadurch im Laufe der Zeit ihr Gewicht und ihre Wirkung verändern.“

Von hier aus können wir fünf entscheidende Herausforderungen herausarbeiten, die mit einer übermäßigen Abhängigkeit von KI im Bereich Identitäts- und Zugriffsmanagement einhergehen:

1. Mangelnde Gewährleistung von Konsistenz: KI-gesteuerte IAM-Systeme bergen das Risiko, im Laufe der Zeit inkonsistente oder unvorhersehbare Entscheidungen zu treffen, was zu Sicherheitslücken führt.
2. Mangelnde Erklärbarkeit und PrüfbarkeitDer Entscheidungsprozess von KI kann intransparent sein, was es schwierig macht, Fehler nachzuverfolgen, zu überprüfen und zu korrigieren.
3. Schwierigkeiten, sich an Veränderungen anzupassenMit der Weiterentwicklung der Technologieinfrastruktur eines Unternehmens kann es vorkommen, dass KI auf veralteten Parametern basiert, was zu fehlerhaften Zugriffsentscheidungen führen kann.
4. Vernachlässigung der menschlichen AusbildungOhne kontinuierliches Feedback von IAM-Administratoren, KI-Ingenieuren und Datenwissenschaftlern können KI-Modelle sehr schnell ineffektiv oder nicht konform werden.
5. Sich verändernde Entscheidungsparameter ignorieren: KI-Systeme passen sich möglicherweise nicht an veränderte Risikofaktoren an, was dazu führen kann, dass sie Sicherheitsbedrohungen falsch interpretieren.

Wir wissen, dass KI ohne menschliches Eingreifen Schwierigkeiten haben wird, relevant zu bleiben. Daher werden Menschen im Bereich IAM (Identity, Access and Management) unerlässlich sein. Alexandre fügt hinzu:

Umgang mit ausufernden Berechtigungen: Ausnahmen behandeln

Wenn eine Person im Laufe der Zeit unnötige Zugriffsrechte anhäuft, erhöht dies die Sicherheitsrisiken, wie beispielsweise Bedrohungen durch Insider und Verstöße gegen Compliance-Vorgaben. Dies ist ein klassisches Beispiel für die schleichende Ausweitung von Berechtigungen.

Was ist Privilege Creep? Privilegienausweitung tritt auf, wenn Benutzer, Systeme oder KI im Laufe der Zeit übermäßige Zugriffsrechte anhäufen, häufig aufgrund von Rollenwechseln, temporären Berechtigungen oder mangelhaften Zugriffsverwaltungspraktiken. Dies erhöht die Sicherheitsrisiken, da die Angriffsfläche vergrößert und die Durchsetzung des Prinzips der minimalen Berechtigungen erschwert wird.

Die schleichende Ausweitung von Berechtigungen ist ein erhebliches Problem im IAM, insbesondere wenn Automatisierung und KI im Spiel sind. Hochgradig eingeschränkte Umgebungen erfordern oft die Behandlung von Ausnahmen – Regeln, die sich nicht nahtlos in die automatisierte Logik einfügen. 

„Der Einsatz eines einzelnen KI-Systems zur Verwaltung des gesamten IAM-Stacks ist vergleichbar mit einem Blindflug, bei dem man sich vollständig auf einen KI-gesteuerten Piloten verlassen muss. Daher besteht Bedarf an sich überschneidenden Kontrollmechanismen, die auf Prüffunktionen basieren und eine kontinuierliche Überprüfung und Bewertung der Entscheidungen des Hauptsystems ermöglichen“, bemerkte Alexandre. 

Welche Lösungsansätze gibt es für solche Ausnahmen? 

Es ist ziemlich offensichtlich, dass eine einzige Sicherheitsebene für die Verwaltung von Berechtigungen und Zugriffen in komplexen IAM-Situationen nicht ausreicht. Auch KI-Systeme allein genügen nicht. Alexandre Blanc meint dazu Folgendes. 

Brechen sie ab:

• Führen Sie regelmäßige Zugriffsüberprüfungen durch, um unnötige Berechtigungen zu identifizieren und zu widerrufen.
• Das Prinzip der minimalen Berechtigungen (PoLP) soll durch KI-gestützte Anpassungen und menschliche Aufsicht durchgesetzt werden.
• Implementieren Sie rollenbasierte Zugriffskontrolle (RBAC) für ein einheitliches und vereinfachtes Zugriffsmanagement.
• Nutzen Sie Tools zur Verwaltung privilegierter Zugriffe (PAM), um privilegierte Konten zu überwachen und einzuschränken.
• Tragen Sie überlappende Kontrollen durch die Kombination von KI-Automatisierung mit manuellen Überprüfungen für sensible Fälle
• Nutzen Sie die adaptive Authentifizierung, um Risiken zu bewerten und bei Bedarf eine zusätzliche Verifizierung anzuwenden.

KI-Identitäten in IAM-Systemen 

KI-Identitäten in IAM-Systemen klingen nach Zukunftsmusik, doch das ist keineswegs richtig. Schon jetzt sind KI-Identitäten in unseren Systemen weit verbreitet, und es gibt Daten, die dies belegen. 

KI-Entitäten und -Prozesse funktionieren als autonome Agenten, was die Frage aufwirft, ob sie unterschiedliche Identitäten haben und innerhalb von IAM-Systemen verwaltet werden sollten. 

Da sie in den Bereichen Sicherheit und Automatisierung entscheidende Rollen übernehmen, könnte die Nachverfolgung und Steuerung ihrer Zugriffe, ähnlich wie bei menschlichen Nutzern, unerlässlich werden. Alexandre fügte hinzu:

„Angesichts der zunehmenden Bedeutung von KI-Prozessen im Systemmanagement müssen diese Prozesse ebenso wie Benutzer identifiziert und verfolgt werden. Dies ist entscheidend für die Aufrechterhaltung der Prüffähigkeit und die Identifizierung potenzieller Probleme.“ 

Allerdings werden diese Mechanismen nicht so weit verbreitet sein wie menschliche Identitäten; vielmehr werden sie von ihnen abhängen. Aus Gründen der Verantwortung und Rechenschaftspflicht werden KI-Systeme weiterhin der Aufsicht einer bestimmten Stelle innerhalb der Organisationshierarchie unterliegen. 

Ich verwende den Begriff „Entität“ bewusst, weil wir durchaus haben könnten einige KI-Systeme sind auch für die Überwachung kleinerer KI-Systeme zuständig."

Integration von KI in bestehende IAM-Systeme ohne Störung des laufenden Betriebs

Die Integration von KI in Ihr IAM-System muss keine radikale Umstrukturierung bedeuten. Alexandre empfiehlt ein durchdachtes, schrittweises Vorgehen, um KI sanft in Ihre Sicherheitsprozesse zu integrieren und gleichzeitig einen reibungslosen Betrieb zu gewährleisten.

1. Beginnen Sie zunächst nur im Audit-Modus.

Betrachten Sie KI zunächst als Beobachter. Lassen Sie sie Zugriffsmuster analysieren, Anomalien erkennen und Empfehlungen aussprechen, ohne selbst Entscheidungen zu treffen. So können Sie ihre Leistungsfähigkeit beobachten, ohne Ihre bestehenden Arbeitsabläufe zu gefährden. Das Ergebnis dieser Beobachtungsphase ist im Wesentlichen ein kontinuierliches ZugangsprüfungDadurch werden dieselben veralteten oder übermäßigen Berechtigungen aufgedeckt, die auch eine vierteljährliche manuelle Überprüfung erkennen würde, jedoch ohne die Verzögerung zwischen Erkennung und Behebung.

2. Validierung der Entscheidungsfindung der KI

Bevor Sie der KI irgendeine Kontrolle geben, lassen Sie sie erst einmal laufen. schreibgeschützter Modus Vergleichen Sie die Empfehlungen mit den Entscheidungen Ihres Teams. Sie wissen, dass es für den nächsten Schritt bereit ist, wenn es durchgängig mit Ihren Richtlinien und Erwartungen übereinstimmt.

3. Der KI schrittweise mehr Kontrolle geben.

Sobald sich die KI bewährt hat, sollten Sie ihr erlauben, Entscheidungen mit geringem Risiko zu treffen, beispielsweise die Genehmigung routinemäßiger Zugriffsanfragen zu automatisieren. So können Sie beobachten, wie sie mit realen Szenarien umgeht, ohne die Kontrolle vollständig abzugeben.

4. Die Leistung der KI genau überwachen.

Auch wenn KI immer mehr Verantwortung übernimmt, sind regelmäßige Audits unerlässlich. Sie benötigen Einblick in die Entscheidungsprozesse und die Möglichkeit, Probleme frühzeitig zu erkennen und zu beheben.

5. Die Rolle der KI in einem überschaubaren Tempo ausbauen

Mit zunehmendem Vertrauen in KI können Sie sie für komplexere Entscheidungen einsetzen. Wichtig ist dabei die schrittweise Skalierung, um das System im Laufe der Zeit optimieren zu können.

6. Menschliche Aufsicht aufrechterhalten.

Egal wie fortgeschritten die KI wird, Der Mensch sollte immer das letzte Wort haben.– insbesondere bei sensiblen Zugriffsentscheidungen. Halten Sie die Überschreibungsfunktionen bereit und passen Sie das System an Ihre sich ändernden Sicherheitsanforderungen an.

Über IAM hinaus: Hybride Sicherheit

Die Zukunft der Cybersicherheit liegt in hybriden Sicherheitsmodellen, die die analytischen Fähigkeiten von KI mit menschlicher Expertise integrieren, um ein widerstandsfähiges und anpassungsfähiges System zu schaffen. Alexandre erwähnt, dass in Zukunft Folgendes gilt:

„Menschen werden Richtlinien, Leitlinien und Rahmenbedingungen für die Implementierung nicht-menschlicher Identitäten (NHI) festlegen, doch die operative Umsetzung erfordert KI (oder eine hochentwickelte Automatisierung für diesen Prozess). In diesem Kontext bedeutet „KI wird“ klar definierte und kontrollierte KI-Prozesse, deren Rolle innerhalb klarer Grenzen eindeutig festgelegt ist.“ 

Dies ist zu Recht so, denn KI kann riesige Datenmengen verarbeiten, Anomalien erkennen und Reaktionen in einem für Menschen allein unmöglichen Umfang automatisieren. Ohne klare Grenzen und menschliche Aufsicht können KI-gestützte Sicherheitsentscheidungen jedoch zu unbeabsichtigten Risiken, Fehlkonfigurationen oder sogar zu einer schleichenden Ausweitung von Berechtigungen führen. Eine Grundlage dafür ist die Einhaltung der Sicherheitsrichtlinien. granulare Zugangskontrolle begrenzt den Wirkungsradius einer einzelnen Fehlentscheidung der KI, da eng gefasste Berechtigungen ein versehentliches Überschreiten der Befugnisse von vornherein viel schwieriger machen. 

Ein hybrider Sicherheitsansatz gewährleistet, dass KI die Effizienz steigert, während Menschen in komplexen Szenarien strategische Ausrichtung, ethische Überlegungen und kritische Entscheidungsfindung gewährleisten.

Häufig gestellte Fragen