Sicherung des Identitäts-Ökosystems bei Clarios

Meine Funktion bei Clarios ist die des Chief Information Security Officer. Zudem bin ich für die IT-Infrastruktur verantwortlich. Ich bin nun seit etwa sechs Jahren bei Clarios tätig. Clarios ist der weltweit größte Hersteller von Batterien – und wenn ich von Batterien spreche, meine ich die Niederspannungsbatterien, die in jedem Automobil verbaut werden. Wir sind ein globales Unternehmen. Wir verfügen weltweit über mehr als 50 Standorte, an denen diese Batterien hergestellt werden, und produzieren jährlich etwa 155 Millionen Batterien. Wir haben also dieses Kernunternehmen, das die Batterien herstellt. Das Grundlegende ist, dass wir dieses Geschäft schützen müssen. Wir müssen die Kontinuität des Betriebs und der Produktion sicherstellen, da die gesamte Automobilindustrie von den gelieferten Batterien abhängig ist. Andernfalls könnten große Automobilhersteller ihre Fahrzeuge nicht von den Fertigungsstraßen rollen lassen. Wir steigen in den Bereich der Batteriemanagementsysteme ein – das ist eine Software, die in diese Batterien integriert werden kann und die Batterien „intelligenter“ macht, nicht wahr? Diese Anforderungen oder Wünsche kommen von eben diesen Automobilherstellern. Wir entwickeln uns also von einem Fertigungsunternehmen zu einem Softwareunternehmen, was dazu führen könnte, dass wir auch Dienstleistungen anbieten. Stellen Sie sich das so vor: Wir verwalten das Ökosystem aller Batterien in Fahrzeugflotten und ähnlichen Bereichen, und das ist ein bedeutendes Dienstleistungsgeschäft. Meine Herausforderung besteht also darin, hier ein Gleichgewicht zu finden: das Kerngeschäft zu schützen – das heute noch 80 Prozent unseres Umsatzes ausmacht – und gleichzeitig das Unternehmen, die Infrastruktur sowie die Sicherheit auf diese neuen, sich abzeichnenden Bereiche vorzubereiten. Und das ist meine tägliche Herausforderung. Welche Auswirkungen hätte ein Ausfall von Clarios? Die Fahrzeuge würden nicht vom Band laufen. Denn jedes Fahrzeug, das vom Band läuft – PKWs, LKWs, große LKWs und dergleichen – benötigt eine Niederspannungsbatterie, um zu funktionieren. Wenn wir also ausfallen, fallen auch sie aus, und das ist nicht gut. Warum Semperis? Als wir unsere Initiativen für unser Cyber-Sicherheitsprogramm und Ähnliches vorantrieben, hatten wir den Slogan: „Wir wollen gut sein und schützen“, in Anlehnung an das NIST-Modell. Doch dann sagten wir: „Wir wollen gut sein und schützen, aber wir wollen bei der Erkennung, Reaktion und Wiederherstellung herausragend sein.“ Die Logik dahinter ist, dass wir nur bis zu einem gewissen Grad schützen können. Und ich denke, die klügeren Unternehmen sind diejenigen, die über gute Reaktions- und Wiederherstellungsfähigkeiten verfügen. Als wir uns also mit einigen dieser Aspekte befassten, wurde sehr schnell klar, dass sich der Großteil dieser Bemühungen auf Anwendungen konzentrierte, und es wurde ausführlich über Redundanz, andere SaaS-Anbieter sowie darüber diskutiert, wie man Backups durchführt und Ähnliches. Doch als wir dann eine Übung durchführten und den Prozess Schritt für Schritt während einer tatsächlichen Probe durchgingen, wurde uns bewusst, dass wir in Bezug auf Active Directory von vielen Dingen einfach ausgehen, nicht wahr? Mein Vorgesetzter fragte: „Was tun Sie, wenn Active Directory ausfällt?“ Die Situation ändert sich grundlegend, wenn Angreifer Ihr Active Directory in ihre Gewalt bringen und es unbrauchbar machen oder Sie keiner der Identitäten mehr vertrauen können. An diesem Punkt begann die Diskussion, und wir machten uns auf die Suche nach Lösungen. Im Rahmen unserer Recherchen stießen wir auf Semperis, woraufhin wir die Gespräche aufnahmen. Heute nutzen wir Semperis für unsere Forest-Wiederherstellung, für unser „ DSP “-Tool, das unsere Erkennung übernimmt, sowie für DRET. Ich weiß nicht, ob wir das gesamte Portfolio von Semperis nutzen, aber wir verfügen über einen Großteil, nämlich die Mehrheit ihrer Produkte. Wir interessieren uns auch für das Produkt „ Ready1 “, vor allem, weil – wie ich bereits sagte – Ausfallsicherheit ein großes Thema ist. Wir tätigen einige Investitionen in das Krisenmanagement und die Geschäftskontinuität, damit wir in einer Krise nicht erst das Rad neu erfinden müssen. Wie stellen wir also sicher, dass wir über eine Reihe von Verfahren verfügen, die die Mitarbeiter befolgen können, und dass diese regelmäßig getestet werden? Daher sind wir auch an dieser Fähigkeit sehr interessiert. Ich kann die technischen Fähigkeiten, die das Semperis-Team mitbringt, gar nicht hoch genug loben. Wissen Sie, wir betrachten AD als einen kleinen Teil einer umfassenderen Wiederherstellungsstrategie, aber ich denke, wir vergessen oft, dass es sich dabei um einen sehr, sehr entscheidenden Teil handelt – und wenn wir diesen einfach gestalten können, dann ist das genau der Punkt. Ob es nun darum geht, an ihren Veranstaltungen teilzunehmen, oder jemanden von Semperis in unser Unternehmen einzuladen, um eine Diskussion im Workshop-Stil oder eine Produktdemo durchzuführen – ich bin von ihren Fähigkeiten sehr beeindruckt. Mein Team ist nicht nur mit dem technischen Know-how sehr zufrieden, sondern auch mit dem umfassenderen Wissen, das sie einbringen, nicht wahr? So sehr wir auch von Active Directory sprechen – es ist das umfassendere Identitäts-Ökosystem, das berücksichtigt werden muss. So viele Unternehmen verfügen nicht nur über Active Directory, sondern auch über andere IGA-Tools, Tools zum privilegierten Zugriffsmanagement und so weiter. Die Bandbreite, die das Semperis-Team in Bezug auf einen entscheidenden Aspekt der Identitätssicherheit mitbringt, wird daher sehr geschätzt, und wir haben stets gute Erfahrungen mit ihnen gemacht.