Rob Ainscough 00:00:00
Was ist eine harte Wahrheit?
Eve Maler 00:00:01
Intentbasierte Zugriffskontrolle sieht nicht gleichbedeutend mit verbesserter Autorisierung aus. Betrachtet man Identität als Infrastruktur, stößt man an Grenzen, wenn man sie über Tickets oder ausschließlich über Incidents verwaltet. Diese Ansätze haben ihre Grenzen hinsichtlich ihrer Leistungsfähigkeit.
Eve Maler 00:00:16
Wenn wir also von Single Sign-On sprechen, bedeutet das im Bereich IT-Sicherheit eine Möglichkeit zur Stärkung der Authentifizierung. Im Marketing hingegen geht es darum, Kunden einen schnelleren und einfacheren Zugriff auf die gewünschten Produkte zu ermöglichen. Dieselbe Technologie, völlig unterschiedliche Geschäftsziele.
Eve Maler 00:00:33
Schutz, Personalisierung, Zahlung und Menschen. Risikobewältigung, Marktorientierung, Transaktionsabwicklung und Kundenkontakt. Meistens ist es der Kundenkontakt, der uns immer wieder Probleme bereitet.
Rob Ainscough 00:00:43
Vereinbart.
Roy Akerman 00:00:43
Identität ist nicht nur ein operatives Problem, sondern auch ein Sicherheitsproblem, und die meisten Teams finden das gerade erst heraus.
Rob Ainscough 00:00:50
Dies ist der Podcast, in dem wir die Bedeutung von Identitätssicherheit rückwärts analysieren und offene Gespräche über die Menschen führen, die Identitätssicherheit von innen heraus aufbauen, verbessern und neu denken.
Roy Akerman 00:01:00
Ich bin Roi Ackerman.
Rob Ainscough 00:01:01
Und ich bin Rob Ainscough.
Roy Akerman 00:01:02
Lass uns eintauchen.
Rob Ainscough 00:01:04
Machen wir das.
Rob Ainscough 00:01:10
Hallo zusammen. Hier ist der dritte Tag von Identiverse, und wir haben heute Eve Maler bei uns. Hallo Eve, wie geht es dir?
Eve Maler 00:01:16
Mir geht es super, danke.
Rob Ainscough 00:01:17
Sehr gut. Also Miterfinder von SAML, CTO bei ForgeRock und jetzt Gründer von The Ven Factory – genau … er entwickelt unwiderstehliche Produktstrategien im Bereich Identity.
Eve Maler 00:01:28
Ja. Fantastisch. Ich liebe dieses Wort, unwiderstehlich. Wer mag es nicht?
Rob Ainscough 00:01:31
Du, du hast wirklich
Eve Maler 00:01:32
gesehen
Rob Ainscough 00:01:32
it
Eve Maler 00:01:32
Alle. Und wer mag keine Venn-Diagramme?
Rob Ainscough 00:01:33
Wir haben letzte Woche über Venn-Diagramme gesprochen – ja, genau. … als wir uns getroffen haben. Ich bin ein großer Fan. Wirklich ein großer Fan. Wir versuchen heute, ein neues zu erstellen. Heute geht es um ein wirklich interessantes, wie ich finde, wichtiges und aktuelles Thema, richtig? Wir haben die Entwicklung des Identitätsmanagements in den letzten 10, 15 Jahren miterlebt: von der Erfüllung von Compliance-Vorgaben und der Unterstützung des Geschäftsbetriebs hin zur Sicherung des Unternehmens. Genau. Und dadurch sind Führungskräfte und Mitarbeiter im Bereich Identitätsmanagement vor neue Herausforderungen gestellt: Wie kommuniziert man darüber? Wie erklärt man, warum das wichtig ist, wie man die nötigen Mittel erhält, um die Ziele zu erreichen und letztendlich Sicherheit zu gewährleisten?
Eve Maler 00:02:07
Selbstverständlich.
Rob Ainscough 00:02:08
Äh, das ist das Thema Ihres neuen Buches.
Eve Maler 00:02:10
Ja.
Rob Ainscough 00:02:10
Sehr aufregend. Wir haben hier ein Exemplar. Roi hat auch eins. Oh, willst du es etwa vorzeigen? Er hat es jetzt immer dabei. Ich habe es schon gelesen. Er hat es immer dabei.
Roy Akerman 00:02:14
Ich habe es mit ihm zusammen gelesen. Ich habe die Kindle-Version gelesen – … aber ich habe mir ein signiertes Exemplar besorgt.
Rob Ainscough 00:02:18
Ja. Genau. Genau. Wir werden also über einige der Themen sprechen, die Sie im Buch ansprechen, nämlich darüber, wie wir Identität als Produkt behandeln, wie wir mit dem Vorstand darüber sprechen – ja … und letztendlich unsere Ziele erreichen.
Roy Akerman 00:02:29
Yep.
Rob Ainscough 00:02:29
Klingt gut?
Roy Akerman 00:02:30
Das klingt fantastisch.
Rob Ainscough 00:02:31
Sehr gut. Roi wird – Das
Roy Akerman 00:02:32
Der Schmerz, den Schmerz zu erklären und mit ihm umzugehen,
Rob Ainscough 00:02:34
Stimmt's? Ja. Und, sehen Sie, wir sehen das, ich sehe das, und ich bin sicher, Sie auch, Roi, wenn man sich in Foren wie Identiverse und mit Praktikern unterhält, merkt man, dass es gerade ein brandaktuelles Thema ist. Ich weiß, dass viele Unternehmen und Praktiker damit zu kämpfen haben, wie sie das Ganze kommunizieren sollen – ja, Sie wissen schon, was es bedeutet und welchen Wert es hat.
Eve Maler 00:02:54
Ich glaube, ich habe bei Gesprächen mit Leuten während meiner Recherche für das Buch festgestellt, dass es eine Art Grenze gibt, an die man stößt, wenn man Identität als Infrastruktur betrachtet, sie über Tickets oder ausschließlich über Vorfälle verwaltet – also aus der Sicherheitsperspektive. Diese Ansätze haben ihre Grenzen, was die Leistungsfähigkeit angeht, und oft sieht man das Potenzial, die Benutzererfahrung zu verbessern. Ja … manchmal betrachte ich das als eine Schwachstelle im UX-Bereich.
Rob Ainscough 00:03:21
Vereinbart.
Eve Maler 00:03:21
Und, äh, ich mag die Idee, keine Kompromisse einzugehen. Das ist sozusagen mein Ziel. Und um das zu erreichen, muss man wie ein Produktverantwortlicher denken.
Roy Akerman 00:03:29
Ja. Ich freue mich riesig auf diese Diskussion. Und, äh, mit Ihrer Erlaubnis, würde ich gerne etwas Struktur vorgeben, ja? Genau. Also, ich denke, es fängt alles damit an, wo wir gerade stehen. Identität ist immer noch ein ziemlich unübersichtliches Thema. Wir entwickeln sie quasi – oh ja … Patch für Patch, mit all den technologischen Fortschritten. Und es ist interessant zu verstehen, wie man als Miterfinder von SAML an diesen Punkt gelangt. Ich denke, es besteht ein Ungleichgewicht zwischen Identität als Sicherheitswerkzeug oder in einem Sicherheitsumfeld und Identität als Geschäftstreiber – ja, im Gegensatz zu Identität als einem sehr wichtigen Bestandteil des Unternehmens.
Eve Maler 00:04:04
Mm-hmm.
Roy Akerman 00:04:04
Äh, und dann können wir über die Zukunft sprechen und vielleicht über ein paar Rahmenbedingungen, die uns helfen werden, diesen verrückten Wandel zu bewältigen, den die KI der Welt bringt, nicht wahr?
Eve Maler 00:04:12
In der Tat eine verrückte Veränderung.
Roy Akerman 00:04:13
Cool. Ja, haben wir uns also auf den, äh, Rahmen geeinigt? Los geht's.
Eve Maler 00:04:16
Los geht's! Los geht's! Wir sind dabei!
Roy Akerman 00:04:16
Board. Ja. Mach es.
Eve Maler 00:04:17
Wir sind da. Okay. Ich habe das Gefühl, wir könnten tatsächlich eine archäologische Ausgrabung durchführen, um zu entdecken, wie Identität schrittweise zu diesem unübersichtlichen Gebilde geworden ist, das wir heute kennen.
Roy Akerman 00:04:26
Ja.
Eve Maler 00:04:26
Also, was ich mir überlegt habe, ist Folgendes: Für das Buch und aufgrund meiner langjährigen Erfahrung mit Identitätsmanagement – ja … ich habe angefangen zu erfassen, wo die Verantwortung für Identitätsmanagement in der Organisation liegt. Und das Lustige ist, dass sie wirklich überall verteilt ist. Man denkt zum Beispiel an den CISO. Stimmt. Und das ist auch naheliegend – insbesondere für die Identität der Mitarbeiter. Ja. Bei der Kundenidentität ist das viel variabler.
Rob Ainscough 00:04:48
Recht.
Eve Maler 00:04:49
Ähm, aber selbst dann könnte die Belegschaft irgendwo unter dem CIO in einer Shared-Services-IT-Funktion angesiedelt sein. Stimmt. Aber ich habe zum Beispiel bei einer Bank erlebt, dass die Kundendaten im Marketingbereich verwaltet wurden, richtig? Warum? So habe ich es jedenfalls empfunden. Warum?
Roy Akerman 00:05:04
Nun ja, das kann ich verstehen. Sie brauchen Daten – nun ja – um die neuen Angebote zu verkaufen.
Eve Maler 00:05:07
Und noch so einiges, nicht wahr? Es ist das kleine, schmutzige Geheimnis. Ja. Also, wenn wir über Single Sign-On sprechen, wissen Sie, als SAML-Anhänger, was auch immer – ich habe mich lange damit beschäftigt, über Single Sign-On zu sprechen und es anderen beizubringen.
Rob Ainscough 00:05:15
Recht.
Eve Maler 00:05:16
Aber ich habe gelernt – und es hat eine Weile gedauert, bis ich es begriffen habe –, dass es für verschiedene Menschen unterschiedliche Bedeutungen hat.
Rob Ainscough 00:05:20
Recht.
Eve Maler 00:05:21
Wenn Sie also im Bereich IT-Sicherheit tätig sind, bedeutet dies eine Möglichkeit, eine stärkere Authentifizierung über mehr Ihrer tausend, vielleicht sogar internen Anwendungen hinweg zu verbreiten.
Rob Ainscough 00:05:28
Ja.
Eve Maler 00:05:29
Äh, wenn man im Marketing oder im Produktmanagement arbeitet – denn heutzutage hat ja jeder digitale Produkte, jedes Unternehmen ist ein Technologieunternehmen –, dann sieht man es als Möglichkeit, Menschen einen besseren und schnelleren Zugang zu den gewünschten Produkten zu ermöglichen und das Nutzererlebnis zu personalisieren. Genau. Single Sign-On nutzt also dieselbe Technologie, wird aber für völlig andere Geschäftszwecke eingesetzt.
Rob Ainscough 00:05:50
Und ich denke, es geht um unterschiedliche Herangehensweisen an die Nutzererfahrung, richtig? Ja. Ich denke, aus der Perspektive der Arbeitskräfte – ich kenne das ja – ist alles sehr binär. Es heißt dann: „Du machst das jetzt“, richtig? Ja. Denn so funktioniert es nun mal, und genau das brauchen wir.
Eve Maler 00:06:03
Mhm. Mhm.
Rob Ainscough 00:06:04
In der Konsumwelt herrscht viel eher die Devise: „Okay, wir nehmen Sie mit auf diese Reise, und dann, wenn wir Sie weiterbringen und mehr für Sie tun müssen – ja, und mehr über Sie erfahren müssen.“
Eve Maler 00:06:14
Du hast, du hast
Rob Ainscough 00:06:14
zu
Eve Maler 00:06:14
be
Rob Ainscough 00:06:15
schön
Eve Maler 00:06:16
Ihnen gegenüber, denn – man muss nett sein und
Rob Ainscough 00:06:17
Rücksichtsvoll, nicht wahr? … Du bist ja nicht der Chef.
Eve Maler 00:06:17
von ihnen. Das ist die Wahrheit. Und man kann Angestellte tatsächlich ausnutzen, und wir sollten Angestellte nicht ausnutzen. Und einer der Gründe, warum ich überhaupt über das Schreiben eines Buches nachgedacht habe …
Rob Ainscough 00:06:26
Sicher
Eve Maler 00:06:26
Jahre zuvor hatte ich erfahren, dass einige der etablierteren Anbieter von Identitätslösungen – hm … tatsächlich A/B-Tests durchführen, wenn sie Authentifizierungsprozesse entwickeln.
Roy Akerman 00:06:35
Recht,
Eve Maler 00:06:36
Genau … sogar für die Mitarbeiter. Stimmt. Und ich denke mir: „Wow, ich möchte für Ihr Unternehmen arbeiten.“ Das ist möglich, und wenn man an die Produktivitätssteigerungen denkt – und an die Loyalitätsgewinne, die dadurch entstehen, dass die Mitarbeiter irgendwann auch kündigen können. Ja. Es gibt also viele Vorteile, und man entwickelt diese kompromisslose Einstellung – genau … die ich wirklich schätze.
Roy Akerman 00:06:57
Es handelt sich also um mehrere Produkte gleichzeitig für dieselbe Entität, die wir Identität nennen. Ja, richtig?
Eve Maler 00:07:03
Ja.
Rob Ainscough 00:07:03
Ja. Ich meine, ich hatte da so eine kleine Anekdote, die, glaube ich, ganz gut zusammenfasst, wo wir stehen, oder? Mhm. Ich war beim Abendessen, ich weiß gar nicht mehr, ob ich die Geschichte schon mal im Podcast erzählt habe. Hoffentlich nicht. Wir haben ja erst ungefähr zehn Folgen aufgenommen. Also, ich war bei einem Abendessen, und wir haben über PAM gesprochen, und das war so ein Abendessen von Leuten aus der Finanzdienstleistungsbranche. Und einer der Anwesenden sagte: „Ich habe keinen Tresor.“ Und ein anderer war total fassungslos. „Wie kann man denn keinen Tresor haben? Sie arbeiten doch in einer regulierten Branche. Wie geht das denn?“ Mhm. Er meinte: „Nein, nein, nein. Ich habe keinen Tresor. Ich habe da so ein ausgeklügeltes System von Workarounds.“ Ja.
Roy Akerman 00:07:36
Okay.
Rob Ainscough 00:07:37
Recht?
Roy Akerman 00:07:37
Ja.
Rob Ainscough 00:07:37
Und ich denke, das trifft in gewisser Weise auch auf die Identität zu.
Eve Maler 00:07:40
Ja
Rob Ainscough 00:07:40
So sehe ich das auch. Es gibt viele Umwege und Dinge, die sich über die Jahre entwickelt haben – ja … die zwar ihren Zweck erfüllen, aber nicht wirklich … und, wissen Sie, wir haben da … Haben Sie gesagt, dass …
Eve Maler 00:07:49
stolz, oder war er
Rob Ainscough 00:07:50
Etwas zugeben? Äh, er hatte ein paar Gläser Wein getrunken. Ja. Ich muss zu dem Zeitpunkt sagen, dass… Oh je. So ist das eben.
Eve Maler 00:07:53
kann
Rob Ainscough 00:07:54
ehrlich
Eve Maler 00:07:54
Komm schon. Ich meine, ich habe ähnliche Geschichten darüber gehört, wie zum Beispiel bei der rollenbasierten Zugriffskontrolle, wo es eine Menge Flickwerk gibt und – ja … die Rollenexplosion ist ein Beweis dafür, wie schwierig es ist, ein klares Bild zu bekommen.
Rob Ainscough 00:08:06
Ja.
Eve Maler 00:08:06
Und so gibt es überall Behelfslösungen – nun ja, es stellte sich heraus, dass diese eine Person aus irgendeinem Grund Zugriff benötigte, und es war wahrscheinlich nur vorübergehend – ja … aber wir haben es nicht als vorübergehend behandelt.
Rob Ainscough 00:08:14
jetzt an
Eve Maler 00:08:15
Es ist fest verankert. Und wenn es einmal fest verankert ist, muss man, um es wieder loszuwerden … Eine der Lektionen, die ich gelernt habe, war, wie ein Produktmanager zu denken, die Stimme des Kunden zu hören und herauszufinden, wo die Probleme liegen. Hm. Denn sie hingen so sehr daran fest, nicht weil sie es liebten, sondern weil sie buchstäblich nicht wussten, wie sie es loswerden sollten. Und wenn man derjenige ist, der dieses Problem löst – Einverstanden … vorher an etwas gearbeitet hat, das sich wie eine Identitätsinfrastruktur anfühlte – ich … dann ist man jetzt ihr Held. Ja. Einverstanden. Das ist eine viel bessere Position, viel befriedigender.
Roy Akerman 00:08:40
Ich fange an, das ganze Durcheinander zu verstehen, woher es kommt. Also, einerseits muss man viele Dinge miteinander verbinden, richtig? Und dafür gibt es SAML und andere Technologien oder Protokolle. Aber dann die Anforderungen – von Identität bis Service – für so viele Zwecke, quasi so viele Bereiche, die schwer zu regeln sind, richtig? Ja.
Rob Ainscough 00:09:00
Ja, und ich denke, für mich persönlich – mehr als für jede andere Disziplin im Bereich Cybersicherheit, die ich natürlich als Sicherheitsdisziplin betrachte – geht es um Menschen. Es geht darum, dass Menschen ihre Arbeit machen. Und um auf Ihren Punkt zurückzukommen: Ja, es gibt so viel Angst vor dem Zugriff und dem Verlust des Zugriffs.
Eve Maler 00:09:13
Ja.
Rob Ainscough 00:09:14
Werde ich meine Arbeit noch erledigen können? Und das ist wirklich ein schwieriger Balanceakt, nicht wahr? Ja … zwischen Sicherheit, Benutzerfreundlichkeit, UX und Produkt, richtig? Und
Eve Maler 00:09:22
Ich habe da tatsächlich eine Theorie. Erzähl weiter. Man spricht ja immer von absoluter Zugriffsbeschränkung als dem neuen Heiligen Gral. Stimmt. Ja. Und das klingt super. Wenn wir uns überlegen, wie wir das umsetzen können, ist das größte Problem nicht die eigentliche Zugriffsbeschränkung, obwohl das natürlich auch ein großes Problem ist – hm … denn jede Anwendung hat ja ihre eigene Semantik. Klar. Das größte Problem ist vielmehr, herauszufinden, wie man Nutzern nahtlos und schnell Zugriff gewährt, wenn sie ihn brauchen. Und wenn wir das lösen – da stimme ich zu … denken wir nur mal an das iPhone 5S – ja … das mit Touch ID ausgestattet war. Das war sehr interessant, weil es eine Art sanftere, tolerantere Version der Fingerabdruckerkennung war. Ja. Genau. Mhm. Aber dadurch entstand eine Art Herden-Sicherheitsmechanismus – ja, wenn man so will –, weil es so einfach wurde, sein Handy zu entsperren – ja … man war plötzlich eher bereit, sein Handy zu sperren. Da stimme ich zu. Und wir sind von etwa 50 % gesperrten Handys auf über 99 % gekommen. Ja. Es ist also ein gutes Beispiel dafür, wie die Vereinfachung des Hinzufügens von Zugriffsrechten es ermöglicht, den Zugriff einzuschränken und tatsächlich so etwas wie minimale Berechtigungen zu realisieren.
Rob Ainscough 00:10:27
Ja.
Eve Maler 00:10:27
Ich warte also auf den Tag, an dem wir richtig gut darin sind, den Leuten im Moment Zugriff zu gewähren und ihnen gleichzeitig das Gefühl zu geben, dass dieser Zugriff verschwindet, sobald sie weg sind. Oh.
Rob Ainscough 00:10:36
Wir hatten vor ein paar Wochen bei EIC eine wirklich interessante Diskussion, richtig? Wir hatten ein richtig gutes Frühstück, das von Identity Underground ausgerichtet wurde. Eine tolle Gruppe. Ja. Eine wirklich gute Diskussion, an der du teilgenommen hast. Oh, das war super. Richtig gut. Aber wir, wir haben uns irgendwie auf dieses Konzept geeinigt: Anstatt all diese Zugänge zu verwalten, was wäre, wenn sie einfach da wären, wenn man sie braucht?
Roy Akerman 00:10:56
Mm-hmm.
Rob Ainscough 00:10:56
Ja. Und wir haben diese Entscheidung zu diesem Zeitpunkt getroffen.
Roy Akerman 00:10:58
Ich rieche hier Agenten, nicht wahr?
Rob Ainscough 00:11:01
Es war eine handlungsorientierte Diskussion. Ah,
Roy Akerman 00:11:03
Ja.
Rob Ainscough 00:11:03
Ähm, aber genau da gab es diese breite Übereinstimmung, und das lag hauptsächlich an – ja … dieser UX-Perspektive und der Betrachtung als Produkt – Mm-hmm … und wie wir uns von all dem Ballast, den wir über die Jahre angesammelt haben, lösen und zu etwas Neuem und Anderem gelangen können, und das war eine wirklich interessante Perspektive.
Roy Akerman 00:11:17
Jetzt wächst es also immer schneller, und trotzdem spüren wir, dass die Identität in einer Identitätskrise steckt, richtig? Ja. Da ist noch etwas ungelöst, und – ja … äh, äh, viele der Führungskräfte, mit denen ich auf dieser Konferenz spreche, sagen, dass wir uns nicht sicher sind, was wir in der nächsten Phase sein sollen, richtig? Ja. Also vielleicht für einen Moment, einfach so … Wir haben also verschiedene Identitätsaspekte, die geklärt werden müssen. Wie würden Sie die aktuelle Situation in den meisten Organisationen beschreiben, die Sie beraten, besuchen oder mit denen Sie sprechen?
Eve Maler 00:11:47
Ja. Ähm, ich sehe das als eine Chance. Ja. Wir wissen ja noch gar nicht, welche Innovationen uns erwarten, weil jetzt quasi jeder Produktmanager sein kann. Aber es gab hier bei Identiverse so eine Art Hintergrundgespräch zwischen einigen, ich weiß nicht, etwas zynischen Leuten – ja … ähm, die meinten, jetzt kann ja jeder eine App entwickeln. Genau. Und damit habe ich jetzt in meiner Organisation zu tun, weil sie denken, sie wüssten, wovon sie reden – ja … und dann entwickeln sie etwas, das ziemlich weit vom Ziel entfernt ist – in Bezug auf alle Funktionen, wenn man so will. Aber ich bin tatsächlich begeistert davon, denn jetzt müssen echte Produktmanager, die ihre Vorstellungen jemandem erklären und vielleicht Figma benutzen mussten, … mm. Ja … und machen Sie eine Simulation und versuchen Sie zu vermitteln, welche Marktlücke sie zu füllen versuchen.
Rob Ainscough 00:12:34
Recht.
Eve Maler 00:12:35
Und das können wir auch metaphorisch betrachten – mm … mit meiner Vorstellung von Identität als Produkt. Es gibt einen Endnutzer, für den wir ein schwieriges Problem lösen müssen. Das ist gewissermaßen auch eine Marktlücke. Mit dieser Denkweise lassen sich erstaunliche Dinge erreichen. Wenn man es wirklich versteht und dann etwas ausprobiert, startet man zumindest von einem Standpunkt aus, der mehr als nur eine Illusion ist. Ja. Und die Person, die die Idee hat, stößt dann auf immer mehr Probleme.
Rob Ainscough 00:12:59
Rechts …
Eve Maler 00:13:00
und die realen Kompromisse, die man beim Produktdesign eingehen muss.
Rob Ainscough 00:13:01
Recht.
Eve Maler 00:13:02
Ich denke also, es ist eine großartige Zeit, in der wir viele clevere Lösungen sehen werden, sowohl im kryptografischen Bereich – also im Bereich der Verknüpfung verschiedener Komponenten – also der Art der Orchestrierung – als auch im Hinblick auf die Einbindung von Agenten. Die Einbindung des Menschen ist definitiv eine UX-Herausforderung. Es kann vorkommen, dass man gerade keine Sitzung hat, wenn man – ja – in den Prozess einbezogen werden muss. Diese Einbindung, die ich als „Ask-me-Policy“ bezeichne, …
Rob Ainscough 00:13:28
Rechts …
Eve Maler 00:13:28
ist ein entscheidender Punkt, der richtig gemacht werden muss.
Rob Ainscough 00:13:30
Recht.
Eve Maler 00:13:31
Und man muss sich wirklich fragen: Warum interessiert das überhaupt jemanden?
Rob Ainscough 00:13:34
Mmm.
Eve Maler 00:13:34
Und wie integriere ich das in ihren Alltag? Genau. Das sind Dinge, die einen die Identität unweigerlich mit sich bringt – ja … in die Arbeit, die man tut.
Roy Akerman 00:13:41
Einverstanden. Das ist wirklich spannend. Und ich denke, Rob, als Experte für Identitätsmanagement, dass es so viele Möglichkeiten gibt. Es gibt so viele Bedürfnisse in diesem Bereich. Wir warten immer noch auf die Lösung einiger Probleme. Wie bringt man dieses Gespräch auf die nächste Ebene? Wie kommuniziert man das mit der Führungsebene in den Unternehmen, nicht nur um das Budget zu rechtfertigen, sondern um Identitätsprodukte tatsächlich in die gesamte Geschäftslandschaft zu integrieren? Wie kommuniziert man das? Sie sind keine Technikexperten. Sie sind ergebnisorientiert. Sie sind Risikomanager, richtig? Genau. Wie hält man als Führungskraft auf C-Level den Dialog aufrecht? Wie baut man ein Rahmenwerk auf? Wie hält man diese Diskussion am Laufen? Und nicht zu vergessen die Aufsichtsräte, die man ebenfalls überzeugen muss.
Rob Ainscough 00:14:19
Ja. Ich meine, vielleicht können wir die Frage des Vorstands angehen – ja … als nächsten Schritt. Ja. Aber, wie Sie schon sagten, ist noch lange nicht geklärt, wo die Identität im Unternehmen verankert ist – genau.
Eve Maler 00:14:30
Yep.
Rob Ainscough 00:14:30
Stimmt's? Aber wenn Sie dem CISO unterstellt sind, können Sie sicher sein, dass der CIO Ihnen ständig UX-Tipps gibt, richtig? Darauf können Sie sich verlassen.
Roy Akerman 00:14:39
Ich meine-
Rob Ainscough 00:14:39
Das war ganz sicher meine Erfahrung. Nicht
Roy Akerman 00:14:41
Okay … eine aktive Beteiligung, aber ja. Äh – ich meine, es fällt unter deren RNRs für diese Funktion, richtig?
Rob Ainscough 00:14:46
Genau. Für mich ging es also vor allem darum herauszufinden, was den einzelnen Beteiligten wichtig ist und wie ich das messen kann. Wie messe ich UX im Hinblick auf Single Sign-On, Zugriff und schnelles Arbeiten? Wie kann ich Stimmungs- und Feedback-Analysen im Unternehmen durchführen, um die Situation so zu beschreiben, dass sie für die Beteiligten relevant ist? Mir ging es dabei insbesondere um die Steigerung der Geschäftseffizienz. Wie lange dauert es, bis jemand nach der Anmeldung im HR-System die benötigten Zugriffsrechte für seine Arbeit hat?
Roy Akerman 00:15:18
Mhm. Oder anders gesagt, wie viel Zeit sie nicht arbeiten und dann warten.
Rob Ainscough 00:15:22
Also – genau. Und wie viel kostet das das Unternehmen dann? Ja. Ja. Und wie viel kostet es mich? Dann können wir vernünftig darüber reden, die Bearbeitungszeit von 48 auf 24 Stunden zu verkürzen, richtig? Denn das bringt geschäftliche Vorteile.
Roy Akerman 00:15:34
Okay, das spart also Kosten, richtig? Im Geschäftsleben, zum Beispiel – Ja. Genau … das spart Kosten, richtig?
Rob Ainscough 00:15:38
Genau. Okay. Aber ja, der Fokus liegt auf den Kosten- und Effizienzaspekten – also dem, worauf es beispielsweise dem CIO ankommt. Was die Sicherheit angeht, sind wir noch weit davon entfernt, einheitliche Kennzahlen zu haben, um zu beschreiben, wie Erfolg im Bereich Identitätsmanagement aussieht. Ganz sicher. Ähm, ich denke – ja … mein einziger Ratschlag für alle, die sich damit beschäftigen, ist: Konzentriert euch nicht auf Prozesskennzahlen. Genau. Wie viele Dinge ihr geprüft, genehmigt oder erledigt habt, ist nicht relevant.
Eve Maler 00:16:02
Die Sicherheitsmetrik. Das wird nicht interessant sein – logisch betrachtet – … besonders je höher man kommt. Man braucht operative Kennzahlen, um zu wissen, wie etwas läuft, wenn man beispielsweise ein Programm einführt. Aber der Grund für das Programm, das Warum, muss viel aussagekräftiger sein. Genau. Und ich muss Ihnen da leider die Illusion rauben, denn ich habe Beispiele von CISOs gefunden, die an CTOs berichteten.
Rob Ainscough 00:16:23
Recht.
Eve Maler 00:16:23
Also, und viel enger mit der Produktfunktion verknüpft. Genau. Je nachdem, was das Unternehmen macht, spielen historische und kulturelle Faktoren sowie die Unternehmensdauer eine Rolle – und auch M&A-Faktoren und so weiter. Manchmal liegt die Identität aber gar nicht wirklich in der Hand des CISO, und selbst wenn sie in seiner Hand liegt, unterliegt er anderen Zwängen als der CIO. Gerade beim CIO spricht man das an, was ich das versteckte fünfte P in meinem 4-P-Modell nenne: Produktivität. Letztendlich muss alles effizient und produktiv sein, und aus Sicht der Mitarbeiter möchte man einfach, dass sie die Aufgaben schneller erledigen.
Rob Ainscough 00:17:04
Recht.
Eve Maler 00:17:04
Und das ist etwas ganz anderes als die Tatsache, dass man darauf achtet, die Sache nicht schneller zu erledigen, weil man sie sofort wieder freigeben wollte.
Rob Ainscough 00:17:13
Ja.
Eve Maler 00:17:13
Das ist ein Beispiel, das ich am Sonntag bei unserer Veranstaltung verwendet habe, als wir über die Bereitstellung und Deaktivierung von Benutzerkonten sprachen. Ja. Normalerweise erledigt dieselbe Software beides. Richtig. Aber die Person, der es am wichtigsten ist, dass es effizient, schnell und präzise abläuft, ist eine andere, richtig? Ja. Genau. Ja. Ein CISO legt beispielsweise großen Wert auf eine schnelle Deaktivierung. Schnelle Bereitstellung ist hingegen eine Mischung aus beidem. Manche Endbenutzer des Systems legen darauf Wert. Stimmt. Absolut. Ein Genehmiger – ja … dem ist das sehr wichtig. Und auch manche Manager.
Rob Ainscough 00:17:49
Ja.
Eve Maler 00:17:49
Wer arbeiten möchte, vorausgesetzt, er ist ein guter Mitarbeiter – und am ersten Tag loslegen will, oder sobald er die Funktion gewechselt hat, ähm, dann will er auch loslegen – richtig … denn es ist frustrierend.
Rob Ainscough 00:17:57
Ja …
Eve Maler 00:17:57
Ansonsten. Ähm, aber dann schaut man sich Dinge an wie zum Beispiel den ganzen Verwaltungsaufwand, den man so hat – ja, wie bei IGA. Ja. Und jetzt gibt es noch andere, ich mag das Wort „Stakeholder“ gar nicht, aber, Sie wissen schon, andere Kunden für diese Identitätslösung – richtig … die Sie implementieren und die andere Anforderungen daran haben.
Rob Ainscough 00:18:14
Recht.
Eve Maler 00:18:15
Die Person im GRC-Relationship ...
Roy Akerman 00:18:22
Einverstanden. Wie schafft man eine solche Ausrichtung? Ich meine, in Ihrem Buch, von dem Sie sprechen, beginnt es mit einem Weckruf für CEOs. CEOs, die sagen: „Hört zu!“ Ja, ich versuche es ja. Und es geht nicht nur um die Kosten eines Verstoßes, sondern um viel mehr. Es geht um die entgangenen Geschäftschancen. Es sind viele Dinge. Ja, ja. Also, wenn man ganz von vorne anfängt, ruft einen jemand an und sagt: „Eve, ich bin ratlos. Hilf mir, einen Prozess, ein Framework, Kennzahlen zu entwickeln – ja … von unten nach oben oder von oben nach unten.“ Wie fängt das an? Ja. Wenn Sie uns ein Beispiel aus einer anderen Branche geben könnten, wäre das super.
Eve Maler 00:18:47
Ich biete etwas an, das ich „Leadership Alignment Workshop“ nenne. Es beginnt damit, dass wir sozusagen die historischen und kulturellen Faktoren erfassen, die zur Identitätsentwicklung beigetragen haben – sei es durch das Leben an einem unerwarteten Ort oder durch ein sehr niedriges Reifeniveau, sodass man überhaupt keine Funktion ausüben konnte. Hm. Manchmal hat man zum Beispiel…
Roy Akerman 00:19:05
Zustimmen …
Eve Maler 00:19:06
Ich habe mich mit jemandem von einer großen internationalen Bank unterhalten. Als die ins Spiel kamen, gab es jemanden mit dem Titel „Identitätsstratege“, aber er war nur ein Einzelkämpfer ohne Befugnisse und Budget und quasi ein Außendienstmitarbeiter. In Wirklichkeit waren Authentifizierung und Zugriffsmanagement getrennt. Die Funktionen ließen sich nicht aufeinander abstimmen.
Rob Ainscough 00:19:30
Recht.
Eve Maler 00:19:30
Man muss also wissen, wo man ungefähr steht. Ja. Und ich plädiere nicht dafür, das Ganze in eine bestimmte Richtung zu lenken. Genau. Das wäre sinnlos. Ja. Aber man kann anfangen zu verstehen, welche KPIs bisher zur Erfolgsmessung verwendet wurden.
Rob Ainscough 00:19:46
Recht.
Eve Maler 00:19:46
Und dann kann man anfangen zu fragen: „Wie erfolgreich war es denn? Gab es ins Stocken geratene Programme?“ Genau. „Gab es Programme, die drei Jahre liefen und dann scheiterten?“ Sowas kommt vor. Ja. Und manchmal gibt es Erfolgsgeschichten über Zusammenführungen, vielleicht nach einer Fusion oder Übernahme, oder es gibt einfach eine größere, infrastrukturellere Entwicklung – klar, aber es war ja die Absicht, alles zusammenzuführen. Und so erfährt man die ganze Geschichte. Jetzt kann man anfangen herauszufinden, wer enttäuscht war. Und –
Rob Ainscough 00:20:17
Wen haben wir enttäuscht?
Eve Maler 00:20:19
Ja. Und das ist für mich eine Frage der Marktanpassung.
Rob Ainscough 00:20:21
Ja. Einverstanden. Mhm.
Eve Maler 00:20:22
Wow. Wenn Sie sich also fragen, ob Sie wirklich alle Nutzer Ihrer Software kontrollieren können, dann sollten Sie Folgendes bedenken: Angenommen, Sie möchten 1,000 verschiedene Anwendungen ansprechen – und selbst für die grundlegendsten Dinge Single Sign-On nutzen.
Rob Ainscough 00:20:38
Sicher.
Eve Maler 00:20:38
Und vielleicht haben es 30 % von ihnen geschafft, wenn auch nicht perfekt, und Sie – mm … wollen wirklich mehr, oder Sie führen ein Passkey-Programm ein – mm … und Sie wollen wirklich hohe Erfolgsquoten sehen, denn – richtig, Phishing-Resistenz ist großartig.
Rob Ainscough 00:20:50
Yep.
Eve Maler 00:20:50
Man muss sich schon fragen: Was sind die Hindernisse für den Erfolg? Denn diese Leute – ja … die Leute, deren Verhalten man ändern möchte, schulden einem nichts.
Rob Ainscough 00:20:57
Ja …
Eve Maler 00:20:58
typischerweise.
Rob Ainscough 00:20:58
Vereinbart. Ja.
Eve Maler 00:20:59
Sie wirklich – und deshalb, wissen Sie, kann die Ansprache dieses Marktes Dinge beinhalten, die wie Produktmanagement und tatsächliches Marketing aussehen, selbst wenn es sich ausschließlich um interne Maßnahmen handelt. Ja. Um dieses Gespräch zu beginnen, sollte man sich ein Beispiel ansehen, das vielleicht gescheitert oder erfolgreich war, aber bei dem jemand traurig zurückblieb, und genau da setzt man an. Ja, ja, ja.
Roy Akerman 00:21:17
Und-
Eve Maler 00:21:17
Gibt es da – Ja …
Roy Akerman 00:21:18
Gibt es ein wiederkehrendes Muster für Bereiche, in denen es an Unterstützung mangelt, also Bereiche in Organisationen, die üblicherweise als die üblichen Verdächtigen gelten, die nicht angegangen werden?
Rob Ainscough 00:21:27
Wen, wen geben wir der Schuld?
Roy Akerman 00:21:29
Wen geben wir die Schuld? Ja. Nein, nein, nein. Oh, das ist ein guter Anfang. Die andere Richtung, die andere Richtung. Leute, die – wessen Schuld ist das? Die nicht einmal wissen, die sich nicht einmal bewusst sind, dass sie – äh – viel Nutzen daraus ziehen können, oder dass ihnen dadurch viel – äh – ja – Geschäft entgeht.
Eve Maler 00:21:38
Genau das will man erreichen, und ich liebe es, mir zu fragen: „Wie können wir FOMO (Fear of Missing Out) in diesem Bereich erzeugen?“
Roy Akerman 00:21:44
Ja. Richtig.
Eve Maler 00:21:44
Richtig? Und genau deshalb spreche ich von einer unwiderstehlichen Identitätsstrategie. Wenn Sie beispielsweise ein Anbieter einer bestimmten Lösung sind, möchten Sie natürlich, dass Ihr Markteintritt diese Qualität aufweist. Aber Sie müssen genauso über Ihre Identitätsprogramme nachdenken. Wie schaffen Sie es also, dass jemand sagt: „Oh, das will ich auch!“? Ich habe das in der Praxis schon erlebt. Ich habe zum Beispiel jemanden für das Buch interviewt – ich wünschte, ich könnte Marken nennen. Es sind … Marken, die jeder kennt. Ähm, aber …
Rob Ainscough 00:22:11
Womit reimt es sich?
Eve Maler 00:22:13
Ich kenne diesen Trick. Ich falle nicht darauf herein. Ähm, aber es war wirklich faszinierend, dass Sie eine ganze Marketingkampagne speziell für Mitarbeiter gestartet haben, um dieses neue Programm vorzustellen, mit dem wir alles verbessern wollen, ohne die Benutzererfahrung zu beeinträchtigen. Im Gegenteil, die war ziemlich mies. Ja. Man hatte für all diese Systeme unterschiedliche Zugangsdaten.
Rob Ainscough 00:22:33
Yep.
Eve Maler 00:22:34
Und wir werden es zum Laufen bringen, und wir werden es sicher machen, und es wird Sie weder Zeit noch geistige Anstrengung kosten.
Rob Ainscough 00:22:40
Yep.
Eve Maler 00:22:40
Und wenn dem so ist, dann ist das ein Versprechen, das Sie nun einhalten müssen.
Rob Ainscough 00:22:44
Yep.
Eve Maler 00:22:44
Und in diesem Fall haben sie sich sozusagen einen Leuchtturm-Kunden ausgesucht. Ich würde sagen, das ist so ein Fall, wo jeder seine eigenen Phasen durchläuft – ja, welche Apps man zuerst an Bord holt. Klar. Welche Communities man zuerst anspricht, und dann entscheidet man, dass man sie zu einem Riesenerfolg macht.
Roy Akerman 00:22:55
Yep.
Eve Maler 00:22:55
Und man behandelt sie mit Samthandschuhen. Hm. Und genau das haben sie getan.
Roy Akerman 00:22:58
Mmm.
Eve Maler 00:22:59
Und das bei so einem Markenprodukt. Wow. Ja, das ist es.
Roy Akerman 00:23:02
Wie der MVP. Ja. Also hast du… ich, ich wieder – du hast es tatsächlich bis zum Ende durchgezogen, bis zum Schluss, ja? Ja. Das, das, den gesamten Umfang. Ich mag
Eve Maler 00:23:08
Ich nutze diese Metapher voll aus. Das, das, das ist cool. Weil es so produktiv ist. Kann ich einfach
Roy Akerman 00:23:11
Bring das – Ja … zu
Rob Ainscough 00:23:11
Das Leben ein bisschen aus meiner Sicht? Denn ich denke, es gibt ja verschiedene Endkunden, richtig? Mhm. Sei es die Belegschaft selbst – ja … Authentifizierung zum Beispiel. Ja. Oder Zugriff erhalten und loslegen, oder Compliance, Sicherheit oder was auch immer. Es gibt ja auch noch die technischen Kunden, richtig? Da hatten wir zum Beispiel die Vorgabe, dass jede Anwendung SSO-fähig sein und unter der Kontrolle von IGA stehen sollte. Und die Bereitstellung sollte automatisiert sein, all das. Mhm, mhm. Wir haben das also umgesetzt und waren, wie ich jetzt verstehe, ziemlich erfolgreich, richtig? Mhm. Wir sprechen hier von Tausenden von Anwendungen – Mhm … von den modernsten bis zu den ältesten. Wir haben das wirklich gut gemacht. Aber wenn eine neue Anwendung dazukam, war es für uns viel, viel einfacher, sie für Single Sign-On zu gewinnen.
Eve Maler 00:23:57
Ja
Rob Ainscough 00:23:57
Weil sie wussten, dass ihre Nutzer ihnen dafür danken würden. Ja. Sie mussten die Konten nicht verwalten. Ja.
Roy Akerman 00:24:01
Macht Sinn.
Rob Ainscough 00:24:02
Und vielen Dank, es basierte auf Standards.
Eve Maler 00:24:04
Äh-huh.
Rob Ainscough 00:24:05
Stimmt's? Es war also kinderleicht, oder? Gern geschehen. Und wir hatten eine asphaltierte Straße für sie – ja … das war wirklich super einfach.
Eve Maler 00:24:10
Ja.
Rob Ainscough 00:24:10
Zugriffsverwaltung war etwas komplexer, nicht wahr? Wir hätten zwar Active Directory in eine Gruppe auslagern können, das wäre einfach gewesen, aber in vielen Fällen wären direkte Integrationen nötig gewesen. Das war ziemlich schwierig. Oh ja. Ja. Wir haben ihnen die nötigen Voraussetzungen geschaffen, aber sie haben den Nutzen nicht wirklich erkannt. Ja. Und das war ein deutlich größerer technischer Aufwand für uns.
Eve Maler 00:24:28
Ja
Rob Ainscough 00:24:28
Um diese Leute davon zu überzeugen, dass es immer noch wichtig sei, hieß es immer nur: „Ach, Single Sign-On machen wir später.“ Mhm. „Governance machen wir später.“
Eve Maler 00:24:36
Mm-hmm.
Rob Ainscough 00:24:37
Und so entsteht ein zweiseitiger Marktplatz, auf dem es darum geht, wie man neue Dienste in die von einem selbst betriebenen Dienste integrieren und einführen kann.
Eve Maler 00:24:44
Ja
Rob Ainscough 00:24:45
Um meine Kunden auf der anderen Seite zufriedenzustellen. Ja.
Eve Maler 00:24:47
Ja. Ja.
Rob Ainscough 00:24:48
Und ich habe festgestellt, dass es sich um eine wirklich interessante, zweiseitige Art von Marktplatz für Identität handelt.
Eve Maler 00:24:51
Ja. Und herzlichen Glückwunsch, dass Sie es so gründlich gemacht haben, und das muss sich auch wirklich gut angefühlt haben, so erfolgreich zu sein. Er ist fast fertig, wie viele Jahre hat er denn noch gebraucht?
Rob Ainscough 00:24:59
Ich meine, ich denke, wir haben wahrscheinlich genauso schnell neue Apps eingeführt, wie wir Apps außer Betrieb genommen haben.
Eve Maler 00:25:05
Oh …
Rob Ainscough 00:25:06
Am Ende. Es gab also eine große Veränderung. Ich meine,
Eve Maler 00:25:08
Das ist eine interessante Kennzahl – ja, was möglich ist … ist, dass man mitkommt. Klempner haben da tatsächlich eine Kennzahl. Ich hatte einen verstopften Abfluss, der ziemlich langsam ablief. Und er erklärte mir – ich erinnere mich nicht mehr an den Fachbegriff –, dass, wenn man die Wasserhähne voll aufdreht und das Wasser genauso schnell abläuft, wie man die Hähne aufdreht, das ein Erfolgsindikator ist.
Roy Akerman 00:25:27
Gut.
Eve Maler 00:25:27
Ich war sehr froh, dass er das für meine Spüle geschafft hat. Genau das wünscht man sich von Anwendungen. Richtig. Und die Möglichkeit, sie bequem zu installieren und zu wissen, dass man auf dem neuesten Stand ist, weil…
Rob Ainscough 00:25:37
Ja …
Eve Maler 00:25:38
Es werden deutlich mehr sein, in Zukunft werden viel mehr Anträge erstellt. Richtig. Und viele davon werden intern sein.
Rob Ainscough 00:25:44
Genau.
Eve Maler 00:25:44
Da die Eigentümer heute sehr unterschiedlich sind – ja, im Gegensatz zu früher, als es eher hieß: „Oh, wir wollen keine individuellen Lösungen.“ Ja. „Wir versuchen, alles als SaaS anzubieten. Das ist kontrollierbar.“ Ähm, und jetzt gibt es einen regelrechten Boom an Leuten, die ihre eigenen Apps entwickeln. Ja. Ja. Und man möchte, dass der richtige Weg der einfachste ist.
Rob Ainscough 00:25:59
Genau das ist es. Genau das ist es. Du musst – als Identität – ich denke, du musst dich so weit wie möglich zurücknehmen – ja … und gleichzeitig diese Ergebnisse liefern.
Roy Akerman 00:26:05
Ja. Also, zurück zu diesem Besprechungsraum, Ihrem Beratungstreffen oder so – hm … wo Sie da saßen. Wir haben also beim MVP angehalten, richtig? Man erzielt einen ersten Erfolg. Jetzt sind alle begeistert. Es herrscht FOMO. Man beweist den Wert von – hm … dass wir in Sachen Identität sehr organisiert und strukturiert sind. Und was kommt dann? Ich meine, da saßen ungeduldige Führungskräfte – ja … weiter unten im Raum. Wie können wir Fortschritte erzielen und das als Produkt in den Organisationen etablieren? Gibt es … Gibt es Frameworks oder ähnliches, die sich leicht in den Organisationen verankern lassen, damit sie weiterhin so arbeiten? Nach dem Aha-Erlebnis, nach der Erkenntnis …
Eve Maler 00:26:38
Ja, also – Kennzahlendesign ist wirklich schwierig, aber ich denke, es ist absolut entscheidend. Und man muss es direkt mit dem Storytelling verknüpfen, das mittlerweile jeder kennt, und zwar mit Leuten, die nicht in die Technologieentscheidungen involviert sind – genau, und die bereit sind, sich genauso intensiv damit auseinanderzusetzen wie wir. Also Kennzahlen zu entwickeln, die gewissermaßen ein Produkt von Dingen sind, die normalerweise im Widerspruch zueinander stehen, ist bekannt dafür, gut für die Entwicklung von Kennzahlen oder Schlüsselergebnissen zu sein. Gemeinsame Ziele, ja. Also, das Beispiel, das ich verwendet habe und mit dem ich in den letzten Tagen experimentiert habe, ist folgendes: Das Unternehmen will unbedingt voranschreiten, weil Marktführerschaft alles ist, wenn es um Technologie geht. Aber es ist beängstigend für diejenigen von uns, die wissen, wie schnell die Angriffsfläche wächst.
Roy Akerman 00:27:30
Yep.
Eve Maler 00:27:31
Nun ja, dann brauchen Sie eine Kennzahl, die gewissermaßen das Produkt zweier messbarer, definierbarer und instrumenteller Faktoren darstellt, die Sie beobachten und gleichzeitig das Geschäft ankurbeln können.
Roy Akerman 00:27:44
Mmm.
Eve Maler 00:27:45
Ich schlug also so etwas wie eine mittlere Zeitspanne vor, um einen Fehlerfall einzudämmen – ja, in der agentenbasierten Welt.
Roy Akerman 00:27:52
Mm-hmm.
Eve Maler 00:27:52
Und es gibt mittlerweile einige gute Ressourcen, die Ihnen dabei helfen können – Oh, cool … definieren Sie das doch selbst. Ich meine, es geht um das, was ich als messbare Ergebnisse nenne. Agenten führen also Aktionen aus. Das unterscheidet sie von Chatbots, richtig? Genau. Ähm, so wie ich es sehe, ist es die Verbindung von API-Ökonomie und menschlicher Nachahmung.
Roy Akerman 00:28:13
So wahr.
Eve Maler 00:28:13
Es ist beängstigend, aber – so wahr. Ja … äh, aber auch spannend. Und wenn jede Handlung ein Ergebnis erzielt, wie zum Beispiel – ja … irgendwann wird man wirklich gute ROI-Berechnungen durchführen können, und wir nähern uns diesem Punkt, und manche sind von ihren Ergebnissen enttäuscht. Das ist ein ganz anderes Thema. Es ist etwas anderes. Aber es ist wichtig zu wissen: Wenn man Risiken messen will, muss man auch wissen, wie man den Wert misst und darauf reagiert, dass das Unternehmen Wert generiert, denn das ist ein viel stärkeres Argument für den Vorstand – ja … der schließlich darüber entscheidet, ob der CEO noch eine Woche im Amt bleibt oder nicht. Ja. Ähm, und so kommt es auf die Kombination dieser beiden Dinge an. Jetzt kann man erkennen, ob man sich in einer Situation befindet, in der das Wasser genauso schnell abfließt, wie man neues Wasser nachfüllt.
Rob Ainscough 00:28:54
Genau. Genau. Es gab da ein nettes Konzept, das mir immer gefallen hat. Äh, einer der Analysten bei Gartner sprach über Schutzniveauvereinbarungen.
Eve Maler 00:29:03
Hmm. Sowas wie SLAs?
Rob Ainscough 00:29:04
So etwas zum Thema Sicherheit.
Eve Maler 00:29:05
Ja ja,
Rob Ainscough 00:29:06
Ja. Und das war wirklich ein – das Beratungsmodell. Ja … ein gutes Modell, das sie in den letzten Jahren entwickelt haben. Das gefällt mir. Es war eine sehr klare und verständliche Art, die Dinge, die den Leuten wichtig sind, so zu beschreiben, dass man sagen kann: „Hey, wenn Sie die durchschnittliche Wartezeit von fünf auf zwei Minuten verkürzen möchten – ja, oder von zwei auf eine Minute – ja. Jetzt wissen Sie, wie eine Verbesserung aussieht … das kostet Sie 10 Millionen Dollar.“
Eve Maler 00:29:25
Genau.
Rob Ainscough 00:29:26
Ist das das wert?
Eve Maler 00:29:27
Und, und das ist die Ironie, es gibt einige Betrüger, die Identitäten oder zumindest die Authentifizierung kontrollieren. Hm. Das kommt immer häufiger vor.
Rob Ainscough 00:29:35
Ja.
Eve Maler 00:29:35
Ähm, und so, wissen Sie, im Finanzdienstleistungssektor – genau, das werden Sie sehen, nicht wahr? Und wenn Sie also beruflich Betrugsbekämpfung betreiben, können Sie ziemlich genau messen, wie viel das kostet.
Rob Ainscough 00:29:46
Rechts …
Eve Maler 00:29:47
um Betrug zu reduzieren.
Rob Ainscough 00:29:48
Ja
Eve Maler 00:29:49
Und, ähm, ich erzähle diese Geschichte oft. Also, ich war mal bei PayPal und arbeitete in der Abteilung für Informationsrisikomanagement unter dem CISO. Die Authentifizierung war nicht unsere Aufgabe, sondern die der – wow … Betrugsrisikoabteilung.
Rob Ainscough 00:30:03
Wow.
Eve Maler 00:30:03
Ich glaube, das hat sich geändert. Es ist alles einheitlicher geworden und so weiter. Aber früher konnten sie genau festlegen, wie viel Betrug sie zu zahlen bereit waren.
Rob Ainscough 00:30:12
Ja.
Eve Maler 00:30:12
Das haben wir bei Sicherheitslücken oder Identitätsdiebstählen nicht, eben weil Identitätsdaten, die einmal an die Öffentlichkeit gelangen, also personenbezogene Daten, die einmal an die Öffentlichkeit gelangen, denen wir keinen Wert beimessen.
Rob Ainscough 00:30:25
Vereinbart.
Eve Maler 00:30:25
Deshalb untersuche ich im Buch das Konzept einer Identitätsdatenbilanz. Das würde vieles vereinfachen. Ja. Denn dann wüsste man, wer alle Kunden für diese Daten sind.
Rob Ainscough 00:30:36
Ja.
Eve Maler 00:30:37
Und wer ist für den Schutz zuständig? Man kann noch so viele Argumente vorbringen, aber die Kunden sagen: „Ich brauche das.“
Rob Ainscough 00:30:42
Ja. Ja.
Eve Maler 00:30:43
Das ermöglicht es Ihnen also, etwas damit anzufangen.
Roy Akerman 00:30:45
Also gut, lasst uns das nochmal genauer betrachten, okay? Mhm. Ich denke, wenn man uns am Ende des Tages versprechen kann, dass es… nicht versprechen, sondern eher eine bessere Welt beschreiben kann, in der wir merken, wann wir anfangen zu gewinnen… also in diesem Bereich. Ich mag die Metapher der Bilanz sehr. Mhm. Wie sollte diese Bilanz aussehen, als eine Art Navigator, zumindest als Kompass, an dem wir uns orientieren können? Wie sieht diese Bilanz aus?
Eve Maler 00:31:08
Das ist etwas, das man genauer untersuchen kann, sobald man diese Karte hat, von der ich gesprochen habe, sozusagen die Karte der Führungsausrichtung, denn man könnte einen Datenpunkt nehmen, der in jedem Profil einer bestimmten Bevölkerungsgruppe vorhanden ist.
Roy Akerman 00:31:21
Mm-hmm.
Eve Maler 00:31:22
Ähm, und wir haben Glück, wissen Sie, im Fall von i-IDPs haben wir etwa 20 Attribute. Wenn wir über MarTech-Profile sprechen – ja … das sind ungefähr 20,000, also … ja … fangen wir damit erstmal nicht an. Aber man findet ein Datenelement und überlegt sich: Welche Systeme sind davon betroffen? Wen interessiert das? Warum? Welches Interesse haben sie daran? Wollen sie vielleicht, dass wir die Daten nicht erfassen? Oder möchte die Datenschutzbeauftragte … hm … sie nicht erfassen? Oder ist die Personalabteilung die einzige verlässliche Quelle dafür?
Rob Ainscough 00:31:56
Ja.
Eve Maler 00:31:56
Ähm, das ist wahrscheinlich für Mitarbeiter gedacht. Und wer nutzt es sonst noch in Anwendungen? Oftmals ist uns der Datenfluss nicht ganz klar. Nachgelagert, ja. Ja. Aber jetzt kennen Sie die tatsächlichen Kunden für diese Daten.
Rob Ainscough 00:32:10
Recht.
Eve Maler 00:32:10
Das ist ziemlich aufschlussreich, weil sie einen Nutzen daraus ziehen.
Rob Ainscough 00:32:12
Ja.
Eve Maler 00:32:13
Also gut … und wenn Sie nur sehr wenige Kunden dafür finden, haben Sie wahrscheinlich etwas gefunden, bei dem Sie viel Geld und Risiko sparen können, indem Sie es wieder loswerden.
Rob Ainscough 00:32:21
Hinzu kommt, dass es im Kern um ein gewisses Maß an Verständnis und Präzision geht – ja, darum, wie Ihr Service genutzt wird.
Eve Maler 00:32:33
Ja.
Rob Ainscough 00:32:34
Und, äh, ich denke, wo ich stand, als ich das dem Vorstand erklärte, da ist das Storytelling, das ist wirklich wichtig, aber die Grundvoraussetzung ist, wenn man sein Identitätsprogramm an den Dingen misst, die man tut...
Eve Maler 00:32:49
Mhm …
Rob Ainscough 00:32:49
und Sie haben keine Kennzahlen für Sie-
Eve Maler 00:32:51
Mhm, das
Rob Ainscough 00:32:52
Wenn ich dir sagen könnte, wie gut du bist, hättest du keine Chance, diese Geschichte nach oben zu erzählen. Ja.
Eve Maler 00:32:57
Das ist richtig. Es wird ein rückständiges Gebiet im Bereich Infrastruktur oder Sicherheit bleiben.
Rob Ainscough 00:33:00
Ja.
Eve Maler 00:33:01
Und das wäre traurig. Ja. Ich meine, wirklich, ich möchte die Identitätsprogramme der Menschen beschleunigen und ihre Wirkung verstärken, und – ich
Rob Ainscough 00:33:07
stimme zu
Eve Maler 00:33:08
Der menschliche Faktor ist tatsächlich der wichtigste. Und ich meine, in meinen vier Ps – die ich, glaube ich, noch nicht benannt habe – also Schutz, Personalisierung, Zahlung und Menschen. Risikobewältigung, Marktorientierung, Transaktionsabwicklung und Kundenbetreuung.
Rob Ainscough 00:33:22
Recht.
Eve Maler 00:33:22
Es ist meistens der menschliche Aspekt, der uns jedes Mal überfordert.
Rob Ainscough 00:33:25
Zustimmen.
Eve Maler 00:33:26
Stimme ich zu. Es wird zu wenig investiert, und es wird so viele großartige Dinge ermöglichen.
Rob Ainscough 00:33:29
Ja, absolut. Absolut. Ich hatte letzte Woche ein wirklich interessantes Gespräch über jemanden, der seinen CISO davon überzeugen wollte, dass passwortlose Authentifizierung mit Zertifikaten, Passkeys und so weiter der richtige Weg sei. Er war sehr frustriert, weil der CISO meinte: „Nein, ich brauche einen Vault.“ Und ich fragte ihn: „Nun, aus der Sicht des CISO: Ist der Vault erfolgreich? Erfüllt er die Anforderungen?“ Hm. Er meinte: „Ja.“
Eve Maler 00:34:00
Nun, das ist-
Rob Ainscough 00:34:01
Ich dachte nur: „Na ja …“ Ja. Du hast ja noch einen Tresor … du hättest in das Meeting nie ein anderes Ergebnis erzielen können, als … Das ist …
Eve Maler 00:34:05
Rechts …
Rob Ainscough 00:34:05
Ich bin zufrieden mit dem, was ich habe. Weil Sie nicht indexiert haben… Und mein Rat an diese Person war: „Indexieren Sie etwas, das ihr wichtig ist.“ Ja, genau. Wie kann ich einen ebenso guten oder besseren Schutz – hm-hmm… die Dinge, die Ihnen als Unternehmen wichtig sind – ja… und vielleicht zu geringeren Kosten erhalten?
Roy Akerman 00:34:19
Ja. Produktergebnis.
Rob Ainscough 00:34:21
Genau.
Roy Akerman 00:34:22
Ich meine, genau darum geht es. Ja. Und wissen Sie, wir hatten ja mal eine Folge, in der wir über Identität als Steuerungsebene gesprochen haben, was ja gerade in aller Munde ist. Das war es ja schon immer, aber wie entwickelt man darauf aufbauend bestimmte Anwendungen und wie legt man Wert auf die Bedürfnisse verschiedener Interessengruppen?
Eve Maler 00:34:34
Ja.
Roy Akerman 00:34:34
Ich meine, außer deinem Team interessiert es niemanden, wie effizient du in Bezug auf dein eigenes, äh, das Wie der Dinge bist, aber nochmal, es geht um das Warum und wie wir beim Warum besser werden können.
Eve Maler 00:34:43
Das Warum. Genau, das Warum.
Roy Akerman 00:34:44
Das ist großartig. Und ich finde, das war die perfekte, natürliche Interpretation dessen, worüber wir gesprochen haben. Wir haben unserem Publikum ein Kennzahlensystem oder zumindest einen Rahmen mitgegeben, mit dem sie am Montag wieder an die Arbeit gehen und besser mit ihren Geschäftspartnern oder Führungskräften zusammenarbeiten können. Einverstanden. Und wenn Sie mir zustimmen, ist das vielleicht der perfekte Zeitpunkt für…
Rob Ainscough 00:35:06
Unsere Schnellfragerunde.
Roy Akerman 00:35:07
Ja. Okay.
Rob Ainscough 00:35:09
Bitteschön. Wir fangen also mit einem Mythos an. Welchen Mythos über Identität oder Sicherheit kennst du, Eve?
Eve Maler 00:35:18
Ich nehme an, diese Identität ist das Anmeldefeld.
Rob Ainscough 00:35:24
Stimmt, stimmt. Ja. Das ist gut. Das ist neu. Das ist gut. Nicht.
Roy Akerman 00:35:26
der Umfang
Rob Ainscough 00:35:26
Nicht die Box. Wir fangen jetzt eine Rangliste an – okay … so eine Art Top-Gear-Rangliste, was wir am häufigsten sehen. Oh, nun ja, ich … die hatten wir noch nicht …
Eve Maler 00:35:32
Ich möchte etwas Ungewöhnliches sein – genau … etwas, worauf noch niemand gekommen ist.
Rob Ainscough 00:35:35
Noch nicht, noch nicht, noch nicht. Ja.
Roy Akerman 00:35:36
Rate mal, welches davon ganz in deiner Nähe ist, zum Beispiel das Anmeldefeld. Identität ist…
Eve Maler 00:35:41
Der neue Umfang. Für
Roy Akerman 00:35:42
sicher.
Rob Ainscough 00:35:42
Ich spreche darüber im Buch, ja. Ding, ding, ding. Ja. Wir haben einen Gewinner. Ja. Ähm, also die zweite Frage, ein Behandlungsfehler. Was ist also ein Fehler, den Führungskräfte häufig machen?
Eve Maler 00:35:49
Dass sie herumgehen und die Beteiligten informieren müssen. Ähm, das ist einfach der falsche Ansatz.
Roy Akerman 00:35:56
Worüber sollen sie informieren? Darüber, wie hart sie arbeiten, um
Eve Maler 00:35:59
Wie kann man das erreichen? Nun ja, man muss es einfach allen mitteilen. Ich meine, ja, RACI-Diagramme mal beiseite – ich werde schon ganz müde, wenn ich nur das Wort RACI-Diagramme höre. RACI-Diagramme, ja. Also, Entschuldigung, aber man muss das Denken der Stakeholder in das Denken der Kunden umwandeln.
Rob Ainscough 00:36:10
Vereinbart.
Eve Maler 00:36:10
Und dann wird man tatsächlich zu einer dienenden Führungskraft – ja … und man beginnt, sich auf das Produkt zu konzentrieren. Und man …
Rob Ainscough 00:36:15
Pull generieren.
Eve Maler 00:36:16
Yep.
Rob Ainscough 00:36:17
Ja, absolut. Mein persönlicher Favorit ist eine harte Wahrheit. Was ist eine harte Wahrheit?
Eve Maler 00:36:22
Okay, das ist jetzt etwas kompliziert, aber, äh, diese absichtsbasierte Zugriffskontrolle sieht überhaupt nicht danach aus, als würde sie die Autorisierung verbessern.
Roy Akerman 00:36:33
Ich stimme vollkommen zu. Gänsehaut. Aber ich meine, ich denke, wenn man sich die Stände hier drüben ansieht, merkt man, dass die Leute immer noch ihr Leben leben.
Eve Maler 00:36:43
Sie definieren die Absicht immer weiter herunter, und die Absicht ist ein relativ neues Problem – richtig … im Hinblick auf die Sicherheit. Es ähnelt eher dem Bereich Datenschutz. Ich vergleiche es mit den Nutzungsbeschränkungen, die im Datenschutzbereich nicht gut umgesetzt sind. Ja. Aber wir können es jetzt besser machen, da wir wissen, dass es ein Problem ist. Oh.
Rob Ainscough 00:36:56
Sehr gut. So, unsere letzte Frage: Überbewertet. Welcher Trend ist Ihrer Meinung nach überbewertet?
Eve Maler 00:37:01
Oh je, dafür kriege ich bestimmt Kritik. Aber ich sehe, dass es um solche Dinge ganz natürlich einen Hype-Zyklus gibt.
Rob Ainscough 00:37:05
Sicher.
Eve Maler 00:37:06
Und ich denke, dass NHI, nicht-menschliche Identität, für sich genommen, ohne Agenten in die Gleichung einzubeziehen, obwohl sie sich in ihrer Art unterscheiden - Mm-hmm ähm, ist, dass es jetzt irgendwie fragwürdig wird, und ich war Teil des NHI-Gipfels hier, und ich bemerkte, dass er sich auf magische Weise in den NHAI-Gipfel verwandelt hat.
Roy Akerman 00:37:25
Ja.
Eve Maler 00:37:25
Es gab also eine Art Erweiterung des Tätigkeitsbereichs. Ein Rebranding. Und ich denke, das ist völlig legitim. Ja. Ja. Ich finde es großartig.
Rob Ainscough 00:37:31
Stimme vollkommen zu. Wir sehen in dieser Kategorie definitiv viele Veränderungen, nicht wahr? Ja. Ich denke also, dass sich da viel weiterentwickelt hat.
Roy Akerman 00:37:34
Da. Wir hatten ein ganzes Abendessen darüber, richtig? Ja, gestern Abend. Genau. Dass manche immer noch argumentieren werden, dass man es anders lösen muss, aber ich stimme dem vollkommen zu. Und damit vielen Dank. Wir hoffen, dass Sie die nächsten zwei Tage hier genießen werden.
Eve Maler 00:37:47
Ja.
Rob Ainscough 00:37:48
Selbstverständlich.
Roy Akerman 00:37:48
Ja, danke. Es war ein
Eve Maler 00:37:49
Ehre – Danke … für das Gespräch mit Ihnen beiden.
Roy Akerman 00:37:50
Für die Stunden, vier Stunden. Und
Eve Maler 00:37:51
Vergnügen.
Rob Ainscough 00:37:52
Danke.
Roy Akerman 00:37:53
Vielen Dank.
Rob Ainscough 00:37:54
Das war’s für diese Folge von Identity Decoded.
Roy Akerman 00:37:56
Falls dieses Gespräch Ihre Sichtweise auf Identitätssicherheit verändert hat, teilen Sie es mit jemandem, der mit denselben Herausforderungen zu kämpfen hat.
Rob Ainscough 00:38:03
Und vergesst nicht, die Sendung zu verfolgen, damit ihr nicht verpasst, was als Nächstes kommt.
