GRC-Lösungen in der Gegenüberstellung - Komplementär statt Konkurrent

Governance, Risk & Compliance. Diese drei Wörter und deren Kürzel GRC sind seit einiger Zeit Ausgangspunkt von vielen interessanten Diskussionen. Zunächst einmal eine Klarstellung: Es gibt nicht "die" GRC Lösung. Alles was am Markt in diesem Kontext angeboten wird, kann nie mehr als eine GRC Support Solution sein. Das heißt konkret: Erst mit dem Input des Kunden und einem gewissen Realisierungsaufwand können IT basierte Verfahren implementiert werden, die den Kunden bei der Einhaltung von Regularien, der Ab-/Einschätzung und Verwaltung von Risiken sowie der transparenten Steuerung und Kontrolle der Geschäftstätigkeiten unterstützen.

Diese Tatsache macht deutlich, dass es keine Lösung gibt, die alle Facetten widerspiegelt.

Zu Veranschaulichung möchten wir exemplarisch zwei Lösungen gegenüberstellen. Nahezu jedes mittelgroße und alle großen Unternehmen in Deutschland nutzen SAP Software auf die eine oder andere Weise. Dadurch dürfte den meisten SAP Kunden das SAP Virsa (Akquisition von Virsa Systems Inc. durch SAP im April 2006) bekannt sein. Heute trägt die Lösung den Namen SAP Business Objects Access Control (SAP BO AC). Es ist nicht verwunderlich, dass SAP mit diesem Produkt den Schwerpunkt sehr stark auf SAP ERP Software setzt.

Weit weniger bekannt ist der spezialisierte Hersteller von IdentityIQ, die Firma SailPoint Technologies Inc. aus Austin, Texas. Das Team um Mark McClain und Kevin Cunningham verfolgt ganz klar den heterogenen Ansatz und die Synchronisation von Geschäftsprozessen mit IT-Steuerungsfunktionen. Die meisten SailPoint Mitarbeiter haben übrigens ehemals für Waveset Technologies gearbeitet, jene Firma, die in 2003 von Sun Microsystems akquiriert wurde und aus deren Produkt Lighthouse der Sun Identity Manager hervorging.

Diese Tatsache macht klar, dass hinter der Firma ein erfahrenes Team steckt, welches sich seit vielen Jahren mit dem Thema Identity Management beschäftigt.

Der direkte Vergleich veranschaulicht, dass diese beiden Lösungen nur in wenigen Punkten konkurrieren. Im Vordergrund stehen nicht Überschneidungen, sondern komplementäre Eigenschaften, welche die aktuellen Anforderungen heutiger Unternehmen im Bereich GRC erfüllen. Dies bedeutet: Nicht das eine ersetzt nicht das andere – sondern beides ergänzt sich zu einer ausgereiften, tragfähigen Lösungsarchitektur.

Der tabellarische Vergleich schaut wie folgt aus:

 

 

SailPoint IdentityIQ

SAP BO AccessControl

Compliance

Enterprise, übergreifend, Policy-Definitionen auf Rollen- und Attribut-Level
Report-Engine

Für SAP ERP sehr detailliert bis hin zu Berechtigungsobjekten, zahlreiche vorgefertigte Prüfungen und Standard Rule Set
Report-Engine.
Erweiterbarkeit für LDAP und JDBC vorhanden.

(Re)-Zertifizierung

Enterprise, übergreifend

fokussiert auf SAP ERP

Approval Workflow

Approval-Workflow für Rollen-Management, Rollenzuordnung und Zertifizierungen

Approval-Workflow im Compliance-Modul für eingehende Requests, auch für Remediation

Provisioning

Integration mit gängigen Provisioning-Lösungen oder Ticket-Systemen

Provisioning Engine für die SAP ERP-Welt

Rollenmanagement

Enterprise Rollen: Mining, Definition und Lifecycle-Management.
Keine Rollengenerierung in angeschlossenen Applikationen.

Rollendefinition für SAP ERP, inklusive Rollengenerierung in den angeschlossenen SAP-Systemen.
Kein Rollen-Mining.

Requests

Access Request Manager als integrierte Zusatzapplikation auf Basis definierter Rollen, inklusive Approval

Interne UI und Requests über Webservice, von z.B. IDM und HR, werden verarbeitet

Privileged Accounts

Erkennung und Risk Management, keine aktive Verwaltung

FireFighter bietet aktives Management für die SAP-Welt

Modularität

WebService für Zugriff von anderen Tools für Abfrage von Rollen und Policies; Integration mit Provisioning-Lösungen

WebService für Zugriff von anderen Tools für SoD-Checks und Anstoß des SAP-ERP-Provisionings.

zurück