Currys senkt sein Risiko und automatisiert die Identitätssicherheit mit SailPoint

Die Technologien im Einzelhandel entwickeln sich schnell weiter, was auch Currys betrifft. Der in London ansässige Elektronik- und Dienstleistungshändler betreibt mehr als 800 Geschäfte in acht Ländern und verkauft dort alles von Waschmaschinen über Laptops bis hin zu Handys und Mobilfunkdiensten.

Ein wichtiger Teil der Geschäftstätigkeit von Currys sind seine Mitarbeiter, die Kunden helfen, informierte Entscheidungen zu treffen und gute Technologieoptionen zu wählen. Das Ziel ist es, den Kunden die richtigen Technologien zu erschwinglichen Preisen zu empfehlen. Um Kunden unterstützen und den bestmöglichen Service bieten zu können, benötigen die Mitarbeiter von Currys Zugang zu verschiedenen Systemen und Apps.

Die Verwaltung dieses Zugriffs und die Sicherstellung, dass Mitarbeiter nur auf jene Dinge zugreifen können, die sie tatsächlich benötigen, und nicht auf Ressourcen, die sie gar nicht benötigen, kann allerdings komplex und zeitaufwendig sein. Currys suchte daher nach einer effektiven und effizienten Identitäts- und Zugriffsmanagementlösung für seine mehr als 28.000 Mitarbeiter.

„Wir benötigten Identitätssicherheit, um sicherzustellen, dass die richtigen Personen zur richtigen Zeit Zugang zu den richtigen Systemen haben und um die Sicherheit unserer Daten und Systeme zu gewährleisten“, sagte Nicholas Rossiter, Head of Technology Risk bei Currys. „Als Unternehmen ist es unmöglich, Daten zu schützen, wenn man nicht genau weiß, worauf die Leute zugreifen können.“

Die Herausforderung, den Zugriff ohne Tool zu sichern und zu überprüfen

Da Currys ein großes Einzelhandelsunternehmen mit Hunderten von Filialen ist, wächst und schrumpft die Zahl der Mitarbeiter saisonal. Diese Fluktuation setzt voraus, dass das Unternehmen die Zugriffsrechte für diese Mitarbeiter abhängig vom Beschäftigungsstatus und der Rolle hinzufügt, entfernt und ändert. Für Currys war dies ein zeitaufwendiger manueller Prozess.

„Unsere größte Herausforderung war die Bereitstellung, die Aufhebung der Bereitstellung und die Verwaltung von Umsteigern. Der Ablauf war sehr manuell und basierte auf Excel-Dateien“, sagte Rossiter. „Es war ein langsamer und umständlicher Prozess, den wir beim ersten Mal oft nicht fehlerfrei bewältigt haben.

Currys hatte ein Team, das neue Konten manuell anlegte, wobei es sich auf einen täglichen Bericht des Personalsystems stützte. Die Reaktionszeit betrug mindestens einen Tag. Erschwerend kam hinzu, dass nach dem Hinzufügen eines neuen Mitarbeiters mehrere Teams kontaktiert werden mussten, um diesem Zugang zu den verschiedenen benötigten Systemen zu geben, was den Ablauf noch komplexer machte und das Fehlerpotenzial erhöhte.

Darüber hinaus gab es keine gute Vorlage für die Erstellung neuer Benutzerkonten. Die Administratoren duplizierten oft bestehende Konten aus derselben Abteilung, riskierten damit aber, dass neue Benutzer zu viele Zugriffsrechte erhielten. Darüber hinaus erschwerte das manuelle Hinzufügen, Ändern oder Löschen von Zugriffsrechten die Erstellung vollständiger Prüfberichte für Zugriffsänderungen.

Nicht zuletzt verfügte das Unternehmen aufgrund der aufgeteilten, manuellen Prozesse über keine effiziente Möglichkeit, das Zugriffsrisiko zu berechnen oder eine effektive Analyse des Zugriffsrisikos durchzuführen.

Lösung von Identitätsmanagement-Problemen mit SailPoint

Nach einer Ausschreibung zur Beurteilung möglicher Optionen entschied sich Currys für SailPoint und beauftragte das Unternehmen, seine Probleme im Bereich der Zugriffs- und Identitätssicherheit zu lösen. Currys nutzte das Tool zur Verwaltung des Zugriffsrisikos von SailPoint, um eine effektive und effiziente Analyse des Zugriffsrisikos zu ermöglichen, dem Unternehmen detaillierte Einblicke zu geben und eine bessere Compliance sicherzustellen.

„Das Tool zur Verwaltung des Zugriffsrisikos von SailPoint bietet uns alles, was wir brauchen“, sagt Rossiter. „Wir haben einen Leitfaden bekommen, der sich problemlos mit den SAP S4- und ECC-Systemen verbinden lässt. Wir haben damit einige schnelle und einfache Erfolge erzielt.“

Ein wesentliches Kriterium für Currys bei der Auswahl von SailPoint waren die Integrationsmöglichkeiten des Produkts. Currys nutzte die Integrationen von SailPoint, um eine nahtlose Verbindung zu SAP ECC und S4 herzustellen. „Die Konnektoren und Integrationen von SailPoint haben sich für uns bewährt“, so Rossiter. „Sie waren einer der Gründe, weshalb unsere Bereitstellung ein Erfolg war. Wir verwendeten sogar API-Aufrufe, um die Integrationen mit einigen Altsystemen zu automatisieren, was sehr gut funktioniert hat.“

Currys nutzt nicht nur die Bereitstellungsfunktionen von SailPoint, sondern auch die Funktion zur Trennung der Zuständigkeiten und die Zugriffszertifizierung.

Die geschäftlichen Vorteile einer automatisierten Zugriffsverwaltung

Ein wesentlicher Vorteil der SailPoint-Lösung besteht darin, dass der Benutzerzugriff sofort gewährt werden kann – im Gegensatz zur vorherigen manuellen Lösung, bei der die Mitarbeiter nicht immer rechtzeitig Zugang erhielten.

„SailPoint half uns dabei, die Bereitstellung, die Aufhebung der Bereitstellung und Änderungen zu beschleunigen. All dies ist jetzt innerhalb von wenigen Minuten und ohne Fehler erledigt“, sagte Rossiter. „SailPoint half uns, die manuelle Zugriffsverwaltung komplett zu eliminieren. Wir haben jetzt einen nahtlosen Prozess, der in unsere anderen Systeme integriert ist.“

Eine weitere positive Auswirkung der Nutzung von SailPoint für Currys war die Vollständigkeit der Auditberichte. Auditberichte stehen jetzt praktisch sofort und aus einer Quelle zur Verfügung, anstatt auf mehreren unterschiedlichen Tools und Plattformen gesucht werden zu müssen.

„Durch die Integration von IdentityNow in ServiceNow wird jede Bereitstellung, Aufhebung der Bereitstellung oder Änderung in einem Prüfprotokoll festgehalten und wir können den gesamten Ablauf validieren. Das hat uns sehr geholfen“, sagte Rossiter. „Jetzt befindet sich alles an einem Ort.“

Insgesamt führte die automatisierte Lösung auch zu einer Zeitersparnis. Rossiter schätzt, dass das Unternehmen jährlich 210 Stunden an manuellem Aufwand einspart – und das sind die Ergebnisse von nur vier Apps.

Ein weiterer wichtiger Vorteil von SailPoint ist die Risikominderung. Die Lösung ermöglichte es Currys, die nicht ausgeführten Berechtigungen seiner Benutzer drastisch zu reduzieren. Für das Finanz-Supportteam zahlte sich die SailPoint-Implementierung aus, da es nun über ein Tool verfügt, das ihm einen vollständigen Überblick über die Zugriffsrechte aller Benutzer sowie über deren Aktivitäten gibt.

„Mit SailPoint konnten wir sehr schnell die übermäßigen Zugriffsrechte einiger unserer Benutzer beseitigen“, so Rossiter. „Die nicht ausgeführten Risiken reduzierten sich in kurzer Zeit um über 78%. Das ist ein enormer Vorteil.“

Currys eliminiert auch Zugriffsrisiken, da SailPoint automatisch eine Rezertifizierungskampagne startet, wenn ein Benutzer wechselt oder sein Geburtsrechtzugriff geändert wird. Der neue Manager kann die bestehenden Zugriffe des Benutzers entweder genehmigen oder anpassen, während das System Zugriffsvorschläge für verschiedene Rollen anbietet.

Die rollenbasierten Vorlagen können auch für neue Mitarbeiter verwendet werden und trugen dazu bei, übermäßige Zugriffsrechte durch Duplizierung bestehender Konten für neue Benutzer zu reduzieren.

„Die Möglichkeit, bestimmte Rollen in einem rollenbasierten Zugriffsmodell auszuwählen, ist für uns aus Sicht der Compliance und der Rechnungsprüfung von großer Bedeutung“, so Rossiter. „Den Zugriff basierend auf Rollen zu gruppieren und zu automatisieren, damit die Zuteilung innerhalb von wenigen Minuten erledigt ist und nicht von einem Administrator manuell bearbeitet werden muss, ist enorm wichtig.“

Dies bedeutet auch eine Zeitersparnis für Manager, da sie Rollen für ihre Mitarbeiter auswählen können und der Zugriff innerhalb von wenigen Minuten gewährt wird. Die früheren manuellen Abläufe nahmen ein bis zwei Tage in Anspruch.

Eine vielversprechende Zukunft für die weitere Automatisierung des Identitätsmanagements

Die Nutzung von SailPoint wirkte sich bereits erheblich auf die Risikominderung und die Effizienz von Currys aus – doch das war noch nicht alles. Bislang konzentrierte sich Currys auf die Nutzung von SailPoint in Kombination mit seinen SAP-Systemen in Großbritannien und integrierte dabei über fünfzig Systeme, darunter Microsoft Active Directory, ServiceNow und SAP SuccessFactors. Die Pläne für SailPoint sehen vor, die Lösung auf weitere Systeme und Standorte auszuweiten.