SECURIX Developed Product
Non-human Identity Discovery X Ray
Bestandsaufnahme Ihrer Non-Human Identities, einschliesslich Service Accounts, Credentials, AI Agents und Cloud Workloads. Sie zeigt Risiken durch ungeklärte Zuständigkeiten, weitreichende Berechtigungen und Lücken im Lifecycle Management.
Die Lösung im Überblick
Non-human Identity Discovery X Ray erfasst zentral verwaltete oder föderierte Non-Human Identities auf den vereinbarten, unterstützten Plattformen. Bewertet werden Zuständigkeiten, Credentials, Berechtigungen und Lifecycle. Silverfort übernimmt die Discovery mit rein lesendem Zugriff. SECURIX bewertet die Risiken nach einem eigenen Scoring-Modell, ordnet die Ergebnisse relevanten regulatorischen Kontrollen zu und priorisiert die Massnahmen. Sie erhalten vier Ergebnisse: einen NHI Inventory Report, eine Risk Heatmap, ein Executive Briefing und eine Regulatory Gap Analysis.
Ihr Handlungsbedarf
Erkennen Sie Ihre Non-Human Identities und die damit verbundenen Risiken
Inventar und Zuständigkeiten
Service Accounts, Workload Identities und AI Agents sammeln sich über verschiedene Plattformen hinweg an, ohne gemeinsames Inventar oder klar zugewiesene Verantwortliche. Teams können nicht zuverlässig sagen, welche Identitäten existieren und wer dafür zuständig ist.
Credentials und Berechtigungen
Credentials ohne Ablaufdatum und Identitäten mit weitreichenden Berechtigungen hinterlassen ungelöste Risiken. Ohne einheitliche Bewertung ist schwer zu entscheiden, wo zuerst gehandelt werden muss.
Lifecycle und Nachweise
Fehlen Nutzungsinformationen, lassen sich inaktive Identitäten nicht von aktiven unterscheiden. Risk- und Compliance-Teams stellen Nachweise für jedes Audit erneut zusammen, ohne auf eine gemeinsame Bestandsaufnahme zurückgreifen zu können.
Zielgruppe
Eine gemeinsame Grundlage für die Verantwortlichen für NHI-Risiken
Für mittlere und grosse Organisationen mit Entra ID und lokalem Active Directory, wachsender Cloud- und Automatisierungsnutzung sowie regulatorischen Anforderungen. Das Assessment richtet sich an Organisationen, denen der Überblick über NHI-Bestand, Zuständigkeiten, Berechtigungen und Lifecycle fehlt.
CISO / IAM-Verantwortliche
Eine priorisierte Übersicht der NHI-Risiken und eine dokumentierte Grundlage für die Entscheidung, welche Massnahmen und Investitionen zuerst anstehen.
IAM / SecOps / Infrastruktur- und Cloud-Teams
Ein Inventarverzeichnis und klassifizierte Ergebnisse für die technische Untersuchung und die Planung der Risikobehebung.
Risk / Compliance / Internal Audit
Eine regulatorische Gap-Analyse, die Ergebnisse mit relevanten Kontrollen verknüpft und Nachweise für Audit-Gespräche benennt.
Unsere Leistungen
Vier Ergebnisse für Ihre Entscheidungen zur Risikobehebung
Jedes Assessment umfasst vier Ergebnisse für die vereinbarten Plattformverbindungen. Silverfort übernimmt die Discovery. SECURIX liefert das Scoring-Modell, die regulatorische Zuordnung, die Priorisierung und die Übergabe.
- NHI Inventory ReportEin Bericht und ein CSV-Verzeichnis der erfassten Identitäten mit Klasse, Plattform, Credential-Status, Lifecycle-Status und Informationen zur Zuständigkeit. Das CSV-Verzeichnis bleibt bei Ihnen.
- Executive BriefingEin Briefing mit 10 bis 15 Folien, das dem Management in verständlicher Sprache präsentiert wird. Es erläutert die Ergebnisse und die drei Entscheidungen, die zur Reduktion der Risiken erforderlich sind.
- Risk HeatmapEine Risikobewertung nach dem SECURIX-Scoring-Modell für Credential-Hygiene, Lifecycle, Alter und Berechtigungen. Kritische Ergebnisse werden ausgewiesen.
- Regulatory Gap AnalysisEine Zuordnung der Ergebnisse zu relevanten Kontrollen aus DORA RTS 2024/1774 Artikel 20 und 21, NIS2 Artikel 21, ISO 27001:2022 A.5.16 bis A.5.18 und A.8.2 sowie FINMA, soweit anwendbar. Die Analyse benennt unterstützende Nachweise für Audit-Gespräche. Sie ist weder eine Compliance-Zertifizierung noch eine rechtliche Beurteilung.
- Risikobehebung und Implementierung
- Kontinuierliches Monitoring und Betrieb
- Lokale und eigenständige Umgebungen
- Vaults und Secret Scanning
- Individuelle AI-Umgebungen
Unsere Vorgehensweise
Von der Discovery zu priorisierten Massnahmen
-
Wir vereinbaren Plattformverbindungen, beteiligte Personen und den Umgang mit den Daten. Wir richten rein lesende Zugriffe ein und klären erforderliche Firewall-Freigaben für das lokale Active Directory.
-
Wir erfassen und klassifizieren die Identitäten über die vereinbarten Verbindungen hinweg, inventarisieren die zugehörigen Credentials und ordnen Informationen zu den Zuständigkeiten zu. AI Agents und Bots werden anhand von Namensmustern und Anwendungstypen klassifiziert und anschliessend mit den Applikationsverantwortlichen validiert. Diese Klassifizierung ist heuristisch.
-
Wir analysieren Risiken und Lifecycle anhand des SECURIX-Scoring-Modells, ordnen regulatorische Lücken zu und erstellen die vier Ergebnisse.
-
Wir präsentieren das Executive Briefing, besprechen die technischen Ergebnisse und priorisierten Quick Wins und übergeben das Inventar sowie die Empfehlungen an Ihre Teams.
Die Vorbereitung dauert typischerweise eine Woche und hängt von Zugriffsfreigaben und gegebenenfalls erforderlichen Firewall-Freigaben ab. Nach Abschluss der Vorbereitung und Bestätigung der Zugriffe dauert Core rund zwei Wochen und Extended rund drei Wochen. Das Rohinventar liegt am Ende der ersten Discovery-Woche vor.
Umfang der Discovery
Vier Klassen von Non-Human Identities
Das Assessment umfasst Identitäten, die über unterstützte Plattformen zentral verwaltet oder föderiert werden, sowie die damit verbundenen Credentials.
Service Accounts
Technische Konten für Dienste und automatisierte Prozesse. Bewertet werden Zuständigkeiten, Credential-Status, Lifecycle und Berechtigungen.
Keys, Secrets und Zertifikate
Credentials der berücksichtigten Identitäten, darunter Client Secrets, Zertifikate und Access Keys an App Registrations, Service Principals und IAM-Rollen.
AI Agents und Bots
Zentral verwaltete Agent- und Bot-Identitäten. Die Klassifizierung erfolgt anhand von Namensmustern und Anwendungstypen und wird mit den Applikationsverantwortlichen validiert.
Cloud Workload Identities
Identitäten von Cloud Workloads. Sie werden innerhalb der vereinbarten Plattformverbindungen auf Zuständigkeiten, Berechtigungen und Lifecycle-Risiken untersucht.
Paketumfang
X-Ray Core
Entra ID und lokales Active Directory mit bis zu drei Verbindungen. Dauer des Assessments: rund zwei Wochen nach Vorbereitung und Bestätigung der Zugriffe.
X-Ray Extended
Multi-Cloud Discovery über unterstützte Plattformen, darunter Entra ID, AWS, GCP, Okta, Ping und Active Directory, mit bis zu sechs Verbindungen. Dauer des Assessments: rund drei Wochen nach Vorbereitung und Bestätigung der Zugriffe.
Eine Verbindung entspricht einem Entra-ID-, AWS- oder GCP-Tenant, einer Okta- oder Ping-Instanz oder einer Active-Directory-Domäne. Zusätzliche Verbindungen werden separat vereinbart.
Technologiepartner
Discovery mit Silverfort, Bewertung durch SECURIX
Silverfort stellt die Discovery-Technologie bereit. SECURIX übernimmt Risikobewertung, regulatorische Zuordnung, Priorisierung und Übergabe. Die Discovery erfolgt mit rein lesendem Zugriff, ohne Installation von Agents und ohne Änderungen an der produktiven Authentifizierung.
Sie müssen keine Silverfort-Lizenz erwerben und legen sich auf keine Plattform zur Risikobehebung fest. Spätere Technologieentscheidungen richten sich nach den Ergebnissen.
Häufige Fragen
Gut zu wissen, bevor wir starten
Die Discovery erfolgt mit rein lesendem Zugriff. Es werden keine Agents installiert und keine Änderungen an der produktiven Authentifizierung vorgenommen. Vor dem Start können Zugriffsfreigaben und Firewall-Freigaben für das lokale Active Directory erforderlich sein.
Rein lesenden Zugriff auf jede vereinbarte Verbindung, eine benannte Kontaktperson je Plattform und die erforderlichen Firewall-Freigaben. Applikationsverantwortliche müssen für die Validierung der AI-Agent-Klassifizierung verfügbar sein. Der kundenseitige Aufwand beträgt rund vier bis sechs Personentage.
Das Statement of Work dokumentiert, wo Identitätsdaten verarbeitet und gespeichert werden, wie lange sie aufbewahrt und wie sie nach der Übergabe gelöscht werden. Dazu gehört die Vereinbarung zur Auftragsbearbeitung.
Nein. Es liefert das Inventar, die Risikoanalyse und die Empfehlungen, um über die nächsten Massnahmen zu entscheiden. Risikobehebung und Implementierung werden separat vereinbart. Eine priorisierte Remediation Roadmap ist als optionale Zusatzleistung verfügbar.
Kontakt
Sprechen wir über Ihren nächsten Schritt
Erzählen Sie uns, welche Themen rund um Non-Human Identities bei Ihnen Priorität haben. Gemeinsam klären wir den Scope und wie eine Discovery Ihre nächste Entscheidung unterstützen kann.
