Legal & General reduziert den Ressourcenaufwand um 72 %

Als eine der führenden Finanzdienstleistungsgruppen im Vereinigten Königreich und bedeutender globaler Investor weiß Legal & General, wie entscheidend Effizienz und Kostenersparnis sind. Gegründet 1836 von sechs Anwälten in einem Londoner Kaffeehaus, unterstützt die Gruppe heute über 10 Millionen Menschen bei Spar- und Altersvorsorge sowie Lebensversicherungen. Darüber hinaus zählt Legal & General zu den weltweit größten Vermögensverwaltern und bietet leistungsstarke Kompetenzen in der Asset Origination.

Als Finanzdienstleister, dem weltweit Millionen Menschen und Unternehmen ihre finanzielle Zukunft anvertrauen, trägt Legal & General besonders strenge Sicherheits- und Schutzverantwortung. Unberechtigter Zugriff erzeugt weitreichende Schwachstellen und Compliance-Risiken – insbesondere durch toxische Kombinationen. Zugriffe müssen den richtigen Personen zur richtigen Zeit schnell bereitgestellt und ebenso zügig wieder entzogen werden, sobald sie nicht mehr benötigt werden. Ebenso grundlegend ist Transparenz darüber, wie Daten und Prozesse zwischen Infrastruktur und Anwendungen fließen: Nur so lässt sich nachvollziehen, wie Identitäten den Geschäftsbetrieb beeinflussen – und an welchen Stellen das Servicerisiko liegt.

Anhaltende Identitätsherausforderungen

In der Vergangenheit stand Legal & General vor mehreren zentralen Herausforderungen im Identity and Access Management (IAM). „Unsere Identity Journey wurde durch die Notwendigkeit angestoßen, unsere Sicherheit weiterzuentwickeln“, sagt Mark Ward, Head of Identity & Access Management bei Legal & General. „Der Zugriff war föderiert, und wir haben kritische Geschäftssysteme nicht zertifiziert. Gleichzeitig wechselte das Unternehmen den Managed-Service-Provider und versuchte parallel, die Verlagerung von Anwendungen in die Cloud zu beschleunigen.“

Zuvor basierten Provisionierung, Deprovisionierung sowie die Verwaltung von Joiners, Movers, Extensions und Leavers (JMeL) auf einem langwierigen, komplexen manuellen Anfrage- und Erfüllungsprozess. Mehrere Accounts über verschiedene Systeme hinweg waren keiner eindeutigen Identität zugeordnet. Zudem waren Shared Accounts bzw. Service Accounts nur schwer nachzuverfolgen und einzuordnen.

Zugriffe waren an einzelne Personen gebunden und dadurch anfällig für Zugriffsbeibehaltung oder unnötig fortbestehende Berechtigungen. Um neuen Mitarbeitenden Zugriff zu geben, waren zwischen 10 und 100 Tickets erforderlich – und jedes Ticket verursachte zusätzliche Kosten bei Drittanbietern. Häufig dauerte der Prozess zudem mehrere Wochen. Das führte dazu, dass neue Mitarbeitende nicht am geplanten Startdatum loslegen konnten, und Fehler verlängerten die Verzögerung bei der Vergabe der korrekten Zugriffe zusätzlich.

In der Folge band der lange, manuelle Zugriffsprozess erhebliche Unternehmensressourcen – und schränkte neue Mitarbeitende darin ein, Kundinnen und Kunden überhaupt einen Service zu bieten, geschweige denn einen positiven. Ebenso gefährdete die Zeit, die benötigt wurde, um ausscheidenden Mitarbeitenden Zugriffe zu entziehen, Sicherheit und Vertraulichkeit. John Heal, IAM & PAM Platform Lead bei Legal & General, beschreibt die Ausgangslage so: „Als ich anfing, lag das Unternehmen im Gartner Identity and Access Management Program Maturity Model deutlich unter eins. Wir waren an einem Punkt, an dem wir fast nicht einmal wussten, was wir nicht wussten.“

Mit einigen praxisnahen, wirkungsvollen Anpassungen bestand jedoch klar das Potenzial, ein neues Effizienzniveau zu erreichen und signifikante Kostenersparnis zu realisieren. Deshalb begannen Mark, John und Legal & General, nach Unterstützung für IAM zu recherchieren.

Identität als Business-Enabler nutzen

Legal & General stieß bald auf SailPoint – empfohlen in den Gartner-Magic-Quadrant-Reviews als führender Anbieter für IAM mit schneller Implementierung. Das Team suchte eine cloudbasierte Lösung, die die Abhängigkeit von internen Ressourcen reduziert und sofort nutzbare Infrastruktur sowie Apps bereitstellt. Damit hob sich SailPoints Identitätssicherheit-Lösung sofort ab.

Legal & General investierte umgehend in die Lösung und startete den Rezertifizierungsprozess. Das Team entschied sich bewusst dagegen, alles auf einmal lösen zu wollen, und setzte stattdessen auf eine schrittweise Umsetzung – beginnend mit den kritischsten Applikationen. Dafür wurden 23 Anwendungen ausgewählt, für die Zertifizierungskampagnen und Kontrolle erforderlich waren; parallel prüfte das Team bereichsweise Auto-Provisioning und Auto-Deprovisioning. Schon nach kurzer Zeit zeigten sich sowohl die Auditoren als auch das Business zufrieden. Für das IAM-Team war damit jedoch nicht Schluss: Es erkannte zusätzliches Potenzial, das Provisioning für neue Mitarbeitende und die Prozesse für Austritte grundlegend zu verbessern – und Unternehmensressourcen bestmöglich zu nutzen.

„Es war äußerst schwierig zu verstehen, was unsere Fachbereiche wollten – und zu welchem Zeitpunkt. Deshalb sind wir in eine echte Partnerschaft mit dem Business gegangen. Statt nur als Technologie-Team zu agieren, haben wir uns als Wegbereiter für das Business positioniert. Aufgrund unserer Expertise sollte die Organisation die Services des IAM-Teams stärker zentralisieren. Mit Unterstützung der SailPoint-Lösung für Identitätssicherheit konnten wir unseren Fachbereichen anschließend noch mehr technischen Support bieten.“

Der Impact von SailPoint

Dank der Cloud-Funktionen der SailPoint-Lösung für Identitätssicherheit konnte das IAM-Team von Legal & General das Programm so skalieren, dass die Bereitstellung international für die gesamte Organisation möglich ist. Dafür nutzt das Team SailPoint-Unterstützung für Zertifizierungen von bis zu 500 Kampagnen pro Jahr sowie für rund 400 rollenbasierte Zugriffskontrollen über mehrere angebundene Systeme hinweg.

Sämtliche Mitarbeitenden und Lieferanten von Legal & General durchlaufen nun einen überwachten und kontrollierten JMeL-Prozess – mit Automatisierung in jeder Phase der JMeL-Transaktionen; auch nach ServiceNow-Anfragen sowie Freigaben laufen vollständig über die Identitätssicherheit-Lösung. Die durchschnittliche Bereitstellungszeit wurde von fünf Tagen auf wenige Minuten reduziert; die Deprovisionierung erfolgt jetzt zu den jeweiligen Austrittsdaten. Zusätzlich werden Notfallanfragen für Austritte mit hohem Sicherheitsrisiko heute automatisch nahezu sofort verarbeitet – statt wie zuvor in rund sieben Stunden. Dank der Automatisierung von SailPoint erzielt Legal & General höhere Effizienzgewinne denn je und spart dadurch erhebliche Kosten. So kann das Unternehmen Ressourcen gezielt in anderen Bereichen einsetzen, um dort Spitzenleistungen zu erzielen.

„Jede Abteilung bei Legal & General profitiert von der Einführung der Identitätslösung, weil es in jeder Abteilung neue Mitarbeitende und Zugriffsanfragen gibt“, sagte John. „Gerade für Finance und Audit ist das ein großer Vorteil, weil wir die Audit-Informationen bereitstellen können, die in unseren finanziell regulierten Branchen erforderlich sind.“

Ein neu aufgestelltes Identitätsteam

In den letzten 12 Monaten wurden mehr als 3.800 Neueintritte, über 3.500 Austritte und mehr als 100 Notfall-Austritte automatisch provisioniert – jeweils innerhalb weniger Minuten. Zudem hat die Plattform über 14.000 Gruppen-/Ordneranfragen verarbeitet. Das hat den Overhead deutlich reduziert und Mitarbeitenden ermöglicht, ihre Kapazitäten auf andere geschäftskritische Projekte zu verlagern.

Durch Automatisierung erhalten neue Mitarbeitende bei Legal & General sofort Zugriff auf wichtige Tools und Services. So können mehr Beschäftigte externe Kundinnen und Kunden schneller unterstützen und vom ersten Tag an ein überzeugendes Kundenerlebnis bieten. Gleichzeitig wurde das Risiko menschlicher Fehler aus den Kontrollen herausgenommen und die Betriebskosten wurden gesenkt. Laut Mark: „Wir haben unser Team von über zwanzig Mitarbeitenden im Zugriffsbereich auf sieben reduziert – wir erbringen für Legal & General nicht nur eine essenzielle Leistung zu deutlich geringeren Kosten, sondern Mitarbeitende im Unternehmen können auch vom ersten Tag an loslegen.“ John ergänzte: „Fast alle unsere Implementierungen mit SailPoint waren kostenneutral oder haben Kosten eingespart.“

Gleichzeitig sind Auditoren und Vorstand weiterhin zufrieden. Die Bereitstellung und Entziehung von Zugriffen über RBACs hat die Kontrollen gestärkt und das Geschäftsrisiko reduziert. Klarheit darüber, welche Identitäten existieren, wem sie zugeordnet sind, wofür sie verwendet werden – und wie sich mehrere Konten auf einzelne Identitäten abbilden lassen – sorgt für eine belastbare Audit-Position. Das Unternehmen agiert heute agiler, weil Sicherheit von Beginn an in jedes Technologieprojekt einfließt. Wie Mark sagt: „Identität darf nicht auf der einen Seite ein IT-Thema und auf der anderen Seite ein Business-Thema sein. Es braucht einen durchgängigen Ansatz für Identitäten – und dass der Vorstand mitzieht, ist entscheidend.“

Heute pflegt das IAM-Team eine partnerschaftliche, sehr produktive Zusammenarbeit mit SailPoint und treibt gemeinsam zahlreiche Verbesserungen in den Bereichen Sicherheit und Zugriffsprozesse voran. „Unsere Beziehung zu SailPoint ist sehr symbiotisch“, sagt John. „Wir setzen voll auf SailPoint – und wir haben das Gefühl, dass SailPoint ebenso voll auf uns setzt.“

Wie es für SailPoint und Legal & General weitergeht

Ein zentraler Zukunftsschwerpunkt des IAM-Teams von Legal & General ist, unstrukturierte Daten stärker zu kontrollieren und die Automatisierungsmöglichkeiten von künstlicher Intelligenz (KI) und Machine Learning gezielt zu nutzen. Dazu bewertet das Team Access Insights, um die RBAC-Struktur aufrechtzuerhalten und neue RBACs auf Basis der Benutzeraktivität zu implementieren. So werden wichtige neue Erkenntnisse zu anwendungsübergreifenden Aktivitäten und Infrastrukturaktivitäten, zu Nutzerverhalten sowie zu Empfehlungen für Rezertifizierungen sichtbar. Außerdem implementiert das Team Berechtigungsmanagement für Cloud-Infrastrukturen (CIEM), um Identitäten und Zugriffsrechte in Multi-Cloud-Umgebungen besser zu steuern. Denn selbst bei Legal & General gibt es immer weitere Potenziale für Kostenersparnis, höhere Ressourceneffizienz und bessere Kundenerlebnisse.

Vor allem hat sich das IAM-Team beim Vorstand die Freiheit erarbeitet, Identitäten und Zugriffe in die Richtung weiterzuentwickeln, die es für richtig hält. Wie Mark sagt: „Seit die Identity-Security-Lösung implementiert wurde, sind wir agiler und reifer aufgestellt. Wir haben enorm viel erreicht. Bis das Business-Buy-in steht und die Kosten geklärt sind, dauert es lange – aber Identität muss am Anfang und am Ende jedes Software-Delivery-Lifecycles stehen. Wir liefern damit einen Service zur Unterstützung des Business – und wir machen ihn noch sicherer.“