Upgrade auf Cloud-basiertes Identitäts- und Zugriffsmanagement
Die TX Group hatte bereits vor der Evaluierung der Cloud-basierten IAM-Plattform von Okta damit begonnen, Single-Sign-On-Funktionen über ihre bisherige On-Premise-Infrastruktur zu implementieren. Pierre Steiner, Head of Cloud & Technology der TX Group, bestätigt aber, dass die Nutzung und Implementierung dieser Funktion durch die Einführung von Okta sehr viel einfacher geworden ist. Die TX Group hat jetzt mit Okta Single Sign On (SSO) 276 Anwendungen integriert. Dies bot den Benutzern eine Reihe von Vorteilen, inklusive der Möglichkeit, Passwörter über das Okta-Self-Service-Portal zurückzusetzen.
„Wenn ein neuer Mitarbeiter anfängt, kann er sich einfach einloggen und findet in seinem Portal sofort alle Tools, die er braucht“, erklärt Steiner. „Das bietet viele Vorteile, nicht zuletzt für die Benutzer, die sich nun weniger URLs merken müssen, aber auch in Bezug auf die Sicherheit. Das hilft uns, den Mehrwert von Okta intern zu verdeutlichen.“
Sacchet ergänzt, dass der Wert von SSO über diese praktischen Vorteile hinausgeht und mit der Einführung von Okta im Unternehmen viel Ruhe eingekehrt ist. Ein ursprünglich nicht beabsichtigter, aber vom Timing her perfekter Vorteil der Umstellung auf Okta ergab sich, als die TX Group während der ersten Tage der COVID-19-Pandemie Teleworking-Modelle einführte. Sacchet ist überzeugt, dass diese Umstellung mit dem ursprünglichen Setup alles andere als einfach gewesen wäre.
„Unser vorhandenes SSO-System basierte auf der Zuordnung zu Domänen. Dadurch wäre der Wechsel zu hybriden Arbeitsmodellen in der COVID-19-Pandemie ungleich schwerer gewesen“, erklärt er. „Durch die zuverlässigen Sicherheitsmaßnahmen von Okta konnten wir umstellen, ohne ein VPN aufzubauen.“
Sichere und reibungslose Benutzerzugriffe
Wie in vielen Unternehmen hat die Sicherheit auch bei der TX Group höchste Priorität, doch die Maßnahmen müssen mit Blick auf die User Experience ausgewogen sein. Die TX Group hatte die Einführung von MFA bereits on-premise in Angriff genommen. Ähnlich wie bei SSO wurde das Feature mit dem Wechsel zu Okta deutlich erweitert. Im nächsten Schritt soll die adaptive Multi-Faktor-Authentifizierung (AMFA) von Okta zur Authentifizierung der Identities ausgewählter Benutzer implementiert werden. Die AMFA-Richtlinien bilden die Grundlage für eine intelligente Authentifizierung, die kontextbezogenes Zugriffsmanagement und Big Data-Analysen nutzt, um Anwendungen effektiver zu schützen. Dies führt auch zu weniger Verärgerung bei den Endbenutzern, da im Vergleich zur Zwei-Faktor-Authentifizierung (2FA) deutlich weniger Authentifizierungsabfragen erforderlich sind.
Einige Benutzer innerhalb der TX Group verwenden weiterhin Zwei-Faktor-Authentifizierung per SMS. Dabei kann es bis zur Beantwortung der Abfrage allerdings bis zu 60 Sekunden dauern. Bei einer Belegschaft von 3.800 Mitarbeitern bedeutet dies einen erheblichen und unnötigen Zeitaufwand. Aktuell nutzen 1.500 Mitarbeiter AMFA. Steiner ist jedoch zuversichtlich, dass AMFA in Zukunft von immer mehr Marken der TX Group eingeführt wird.
„Das MFA-Projekt gewann erheblich an Dynamik, als wir Okta einführten, da nun deutlich mehr Anwendungen davon profitieren“, fügt Steiner hinzu, „Wir hoffen, dass wir in naher Zukunft eine Kommunikationskampagne für unsere Kollegen zu den Vorteilen von AMFA starten können.“
Der Chief Information Security Officer der TX Group, Andreas Schneider, findet die passwortlose Signierung besonders beeindruckend.
Automatisierung des Benutzerlebenszyklus
Ein weiterer Bereich, in dem die TX Group Okta einsetzt, ist die Lebenszyklusverwaltung für die Benutzer. Hier wurden zahlreiche Prozesse automatisiert, die früher manuell durchgeführt wurden. Das Unternehmen hat Stand heute 21 Anwendungen mit Lifecycle Management (LCM) integriert, darunter Amazon Web Services, GitLab, Google Workspace, Microsoft 365, Salesforce, Slack, Workday und Zoom. Die Entwicklung manuell maßgeschneiderter Integrationen für diese Anwendungen hätte im Schnitt drei Jahre Entwicklungszeit in Anspruch genommen. Darüber hinaus hat LCM auch erhebliche Kosteneinsparungen ermöglicht, da schätzungsweise 6.000 Lizenzen weggefallen sind, für die die TX Group jedes Jahr unnötigerweise bezahlt hat.
„Von den Marken innerhalb der TX Group hatte ich das wichtige Feedback bekommen, dass die Verwaltung des Benutzerlebenszyklus immer ein Problem war“, sagt Sacchet. „Die Einrichtung neuer Benutzer war zwar einfach, doch wenn ein Benutzer das Unternehmen verließ, gestaltete sich das Aufräumen deutlich schwieriger. Das führte dazu, dass wir am Ende viele zusätzliche Lizenzen hatten, die wir nicht brauchten. Gleichzeitig ließ sich kaum feststellen, wie viele davon tatsächlich genutzt wurden. Mit Okta haben wir jetzt einen sauberen Benutzerlebenszyklus und die Übersicht, die wir benötigen.“
LCM trägt auch zur Sicherheit des Unternehmens bei. In der früheren Konstellation war es für die TX Group kaum nachzuverfolgen, wer nach seinem Weggang noch auf seine Anwendungen zugreifen konnte. Das war ein offensichtliches Sicherheitsrisiko, das durch die automatisierte Deprovisionierung ausgeräumt werden konnte. Das bedeutet auch, dass Anwendungen nicht direkt mit den Active Directories der TX Group verbunden sind, sodass sie auf weniger Daten Zugriff haben.
„Die Anwendungsintegration setzt oft die Erlaubnis voraus, Ihr Directory zu lesen, was wir aus Sicherheitsgründen nicht gut finden“, fügt Steiner hinzu. „Mit LCM profitieren wir von allen Vorteilen der Automatisierung, ohne die Kontrolle über unsere Daten abzugeben.“
HR-zentrierte IT-Bereitstellung
Die Automatisierungsphilosophie der TX Group setzt auf eine HR-zentrierte Bereitstellung der IT-Dienste. In diesem Bereich kann die vorkonfigurierte Okta-Integration für Workday ihre Stärken voll ausspielen. Früher arbeitete die TX Group mit einem Ticketing-System, bei dem die Personalabteilung die IT-Abteilung per E-Mail aufforderte, ein Benutzerverzeichnis zu erstellen oder zu löschen. Dies nahm etwa 20 Minuten in Anspruch. Bei 3.700 Mitarbeitern in allen Systemen sind das rund 1.266 Stunden Zeit, die allein für die Erstellung von Benutzerverzeichnissen verwendet wurden.
Mit der HR-zentrierten IT-Bereitstellung konnte dieser Prozess (ebenso wie andere) für 90 % der Mitarbeiter der TX Group vollständig automatisiert werden. Weil dieser Provisionierungsprozess bidirektional funktioniert, sind darüber hinaus auch Routine-Aktualisierungen der Personalakten (etwa Adressänderungen oder Beförderungen), die vor Okta manuell durchgeführt werden mussten, deutlich effizienter.
„Mit Okta bildet HR die zentrale Schnittstelle, von der aus alle Änderungen eingegeben und an Okta weitergereicht werden. Dann werden sie an die Downstream-Systeme übergeben. Immer mehr Mitarbeiter aus anderen Geschäftsbereichen kommen inzwischen auf uns zu und bitten uns, zu Okta zu wechseln, weil das die Prozesse so sehr vereinfacht“, erklärt Steiner.
Weichenstellung für die Zukunft
Sacchet und Steiner sind sich einig, dass Okta für die TX Group heute weit mehr ist als ein Technologieanbieter: ein wertgeschätzter Partner. Dies betrifft besonders die Erfahrungen mit dem Premier Access Service und Support-Paket. Diese Services haben zu konkreten Vorteilen geführt, z. B. bei der Behebung eines Problems mit einem externen Konnektor.
Steiner erklärt: „Der Support, den wir erhalten haben, war unbezahlbar. Okta verbindet uns proaktiv mit internen Ressourcen. Dadurch erhalten wir aufschlussreiche Einblicke in geplante Features und können unsere Implementierung entsprechend ausrichten. Im Fokus steht dabei stets die Identität. In diesem Bereich darf es also nicht zu Fehlern kommen. Wir versuchen, uns so dynamisch wie möglich an die Dynamik beim Identity-Management anzupassen.“
Sacchet und Steiner arbeiten intensiv daran, ihre Kollegen von den Vorteilen der Partnerschaft mit Okta zu überzeugen. Beide sind sich einig, dass diese Beziehung in Zukunft ausgebaut und vertieft werden soll. Im Zuge der Integration der Okta-Lösungen hat die TX Group nun auch Okta Identity Engine eingeführt und wird FastPass / Device Trust 2 .0 mit Cybereason und Richtlinien auf Anwendungsebene verwenden. Wenn die TX Group weiter expandiert, wird man auch die neuen Unternehmen ermutigen, sich diesem Lösungsansatz anzuschließen.
„Unser Unternehmen kennt den Wert dessen, was wir hier tun“, erklärt Sacchet, „da wir jetzt die Möglichkeit haben, neue Benutzer wesentlich schneller zu integrieren und anzubinden. Gleichzeitig wollen wir unseren Endnutzern in Zukunft noch mehr Komfort bieten und ihr Leben noch einfacher machen.“
