Trane Technologies automatisiert Identitätssicherheit im großen Maßstab

Mit einer Unternehmensgeschichte, die bis ins vergangene Jahrhundert zurückreicht, verfügt Trane Technologies über umfassende Fertigungsexpertise. Das Unternehmen, früher bekannt als Ingersoll Rand, konzentriert sich heute auf Systeme für Heizung, Lüftung, Klimatisierung und Kältetechnik. 2022 überschritt der Umsatz die Marke von 15 Milliarden US-Dollar. Trane ist weltweit tätig und unterhält Hauptsitze in Irland, Belgien, Shanghai und North Carolina.

Trane entwickelt und liefert Lösungen für private, gewerbliche und industrielle Einsatzbereiche. Das Portfolio umfasst Klimaanlagen, Wärmepumpen, Kältemaschinen, Steuerungen und Gebäudemanagementsysteme, Transportkühleinheiten sowie Services. Gleichzeitig hat sich das Unternehmen klar zur Nachhaltigkeit verpflichtet – sowohl im eigenen Betrieb als auch mit dem Ziel, Kunden dabei zu unterstützen, Energieverbrauch und Treibhausgasemissionen zu senken.

Als Teil interner Initiativen zur Unterstützung der Nachhaltigkeitsziele fiel auf Unternehmensebene die Entscheidung, auf eine cloudbasierte IT-Infrastruktur umzustellen. Trane erkannte, dass mehr Agilität erforderlich ist – und dass dafür sichere Zugriffslösungen für ein breites Spektrum an Kunden, Mitarbeitenden und weiteren Partnern bereitgestellt werden müssen. Partner benötigen Zugriff auf geschäftskritische Tools und Ressourcen, um Kunden zu betreuen, Anlagen zu verwalten sowie neue Produkte und Services zu bestellen.

Angesichts der hohen Veränderungsgeschwindigkeit im heutigen Geschäftsumfeld war zudem klar: Es braucht eine Lösung, die Mitarbeitenden, Partnern und Kunden vom ersten Tag an den Zugriff auf die jeweils richtigen Ressourcen ermöglicht – und diesen Zugriff auch über die gesamte Dauer der Zusammenarbeit hinweg zuverlässig steuert. Gleichzeitig sollte der Aufwand für die manuelle Vergabe, Anpassung und Entziehung von Berechtigungen deutlich reduziert werden.

„Wir brauchten eine Lösung für Identity Governance and Administration (IGA), mit der wir neue Technologien genauso schnell einführen können, wie unsere Kunden sie nutzen – und die zugleich die notwendige Infrastruktur bereitstellt, um mit steigender Nachfrage über die Zeit hinweg problemlos zu skalieren“, sagt Prince Jones, Senior Identity Leader bei Trane Technologies.

Eine wachsende Herausforderung im Identity and Access Management

Trane verwaltete über Jahre hinweg sämtliche Anforderungen an Zugriffsverwaltung und Identitäten manuell. Dafür stand ein 18-köpfiges Supportteam bereit, das Tickets zu Identitätsmanagement und Zugriffskontrolle bearbeitete. Das Vorgehen funktionierte zwar, war jedoch weder nachhaltig noch skalierbar oder kosteneffizient. Mit dem weiteren Wachstum, neuen Benutzern und zusätzlichen Funktionen wäre die bestehende Lösung zu teuer geworden – und zugleich zu langsam, um mit den Geschäftszielen von Trane Schritt zu halten.

Daher benötigte Trane eine IGA-Lösung, die skalieren kann, neue Funktionen ausrollt und neue Integrationen einfach und schnell unterstützt. Außerdem musste sichergestellt werden, dass Benutzerinnen und Benutzer bereits beim ersten Anmelden die passenden Zugriffsrechte erhalten – auf Basis der Prinzipien „Least Privilege“ und „Need to know“.

Zusätzlich sollte die IGA-Lösung dabei unterstützen, diese Zugriffsentscheidungen schnell und präzise zu treffen, und zugleich robuste Funktionen für Monitoring und Reporting bereitstellen, um die Wirksamkeit der Lösung nachvollziehbar zu messen.

„Angesichts unseres klaren Anspruchs, weltweit führend bei der Bereitstellung nachhaltiger Klimalösungen zu bleiben, war uns bewusst: Damit wir wettbewerbsfähig, innovativ und führend bleiben, müssen sich unsere Back-End-Prozesse mit der Geschwindigkeit unseres Geschäfts weiterentwickeln“, sagte Jones.

Durchgängige Automatisierung mit IdentityNow

Nach einer umfassenden Analyse entschied sich Trane, dass – basierend auf den eigenen Anforderungen – eine Cloud-First-Strategie der beste Ansatz für IGA ist. Ziel war es, einen Partner zu finden, der eine erstklassige, cloudbasierte IGA-Experience liefern kann, die den bestehenden On-Premises-Lösungen in nichts nachsteht. Gleichzeitig sollte der Partner die gleichen Werte teilen: konsequente Kundenorientierung, Aufbau von Vertrauen und eine klare Innovationshaltung.

Nach der Bewertung verschiedener Optionen – einschließlich des Zuhörens bei Earnings Calls, um künftige Produkt-Roadmaps und Funktionen besser einordnen zu können – stand für Trane fest, dass der Ansatz von SailPoint überzeugt.

„Schon früh haben wir erkannt, dass SailPoint sich dadurch abhebt, eine cloudbasierte IGA-Lösung bereitzustellen, die auf den Grundprinzipien von Best-of-Breed aufbaut und diese so zusammenführt, dass sie nahtlos und effektiv ineinandergreifen“, sagte Jones. „Uns war klar, dass wir einen Partner gewählt hatten, der mit vielen der Ergebnisse, auf die wir mit unseren Lösungen hinarbeiten wollten, eng im Einklang steht.“

Trane implementierte SailPoint IdentityNow sowie SailPoint SaaS Workflows. Für die Konfiguration und Implementierung der Lösung zog das Unternehmen den Partner Focal Point Data Risk (heute Teil von CDW) hinzu. Die weiteren Ausbauphasen der Implementierung werden inzwischen intern umgesetzt.

Trane begann mit der vollständigen Automatisierung des Microsoft-Active-Directory-Managements – von der Kontoerstellung über Updates bis zur laufenden Pflege. Heute verwaltet SailPoint den Großteil der Active-Directory-Objekte von Trane, darunter Benutzer, Servicekonten und weitere, wobei ServiceNow als Genehmigungsinstanz und zentraler Einstiegspunkt dient.

„Beim Active Directory arbeiten wir komplett hands-off“, sagte Jones. „Das ist ein großartiges Gefühl. Wir müssen uns um diese ganzen Konten überhaupt nicht mehr kümmern. Sie werden entweder über PeopleSoft oder ServiceNow gesteuert. Das wurde vollständig mit SailPoint IdentityNow automatisiert.“

Bevor Provisioning aus der Cloud möglich war, bearbeitete Trane mit einem 18-köpfigen Supportteam jährlich mehr als 100.000 Support-Tickets manuell. IdentityNow verarbeitet inzwischen automatisch über 40.000 dieser zuvor manuell bearbeiteten Tickets. „SailPoint hat uns ermöglicht, unsere qualifizierten Ressourcen deutlich wirkungsvoller einzusetzen“, sagte Jones.

Das Unternehmen arbeitet am Ausbau der IdentityNow-Implementierung: Eine große Zahl von Anwendungen ist bereits in der Produktion aktiviert, und im kommenden Jahr wird das Onboarding weiterer Anwendungen fortgesetzt.

Wie viele Unternehmen betreibt auch Trane Services bei allen großen Cloud-Providern – jeweils ausgerichtet an den Anforderungen der einzelnen Anwendungen. Unabhängig davon übernimmt die SailPoint-Implementierung eine zentrale Rolle bei der Governance über alle diese Umgebungen hinweg.

Darüber hinaus setzte das Unternehmen auf die umfassenden Integrationsmöglichkeiten von SailPoint. Mithilfe der sofort einsatzbereiten Konnektoren von SailPoint wurden Integrationen mit Infrastrukturkomponenten wie Active Directory und Azure in kurzer Zeit umgesetzt. Zusätzlich nutzte Trane die JDBC-Integration des Produkts intensiv, um die Anbindung auf weitere Systeme auszuweiten. Für die verbleibenden Anwendungen ohne moderne Integrationsoptionen stellten Jones und sein Team Governance-Funktionen bereit, indem sie den Anwendungen ermöglichten, Dateien in beliebigen Formaten zu senden, und IdentityNow-Prozesse darauf trainierten, diese Dateien zu lesen und zu importieren.

„Als cloudbasierte Plattform für Identitätsmanagement reduziert SailPoint IdentityNow unsere On-Premises-Präsenz und unterstützt zugleich unser Geschäft auf nachhaltige Weise. Wenn ich an IdentityNow denke, geht es vor allem um Effizienz“, sagte Jones.

Ressourcen sparen, Compliance sicherstellen und Nutzer begeistern

Die Wirkung von SailPoint IdentityNow bei Trane ist beeindruckend: Bislang wurden über 42.000 Accounts automatisch durch SailPoint angelegt – im Durchschnitt mehr als 400 neue Active-Directory-Accounts pro Woche. Der Automatisierungsgrad ist so hoch, dass die automatische Erfüllung eines Zugriffs- oder Account-Anlageantrags nach der Genehmigung heute im Schnitt nur 30 Sekunden dauert.

„Ohne SailPoint IdentityNow wäre es schwierig, neue Nutzer einzustellen oder bestehende Nutzer aus dem Unternehmen abzumelden – oder auch nur Zugriffe auf zentrale Systeme zu erteilen oder zu entziehen“, sagte Jones. „Da wir IdentityNow eng mit ServiceNow gekoppelt haben, arbeiten beide Lösungen zusammen und stellen für unsere Organisation essenzielle Services bereit.“

Jones und sein Team verfolgen auch bei Kennzahlen und Reporting einen proaktiven Ansatz. Mithilfe des ISO 27001 Identity Wheel wenden sie im IAM einen KPI-getriebenen Ansatz an. Das bedeutet: Sie messen Erfolg und Wirksamkeit in verschiedenen Bereichen – darunter Datenqualität, Datenhygiene sowie geschäftsspezifische KPIs für das Identitätsmanagement. Splunk erstellt diese KPIs mehrmals täglich, sodass potenzielle Probleme frühzeitig erkannt und jederzeit nachverfolgt werden können.

Ein wesentlicher Vorteil der Implementierung zeigt sich in der Compliance-Wirkung. „Die Erfüllung unserer Compliance-Aufgaben ist deutlich einfacher geworden, seit wir beim Offboarding von Benutzerinnen und Benutzern Zugriffe nahezu in Echtzeit deaktivieren können – und zugleich ein Reporting erhalten, ob die Maßnahme erfolgreich war“, sagte Jones. „Jetzt wissen wir, dass unsere zentralen Kontrollen durchgängig angewendet werden. Und wenn es ein Problem gibt, können wir es schnell priorisieren, eingrenzen und beheben.“

„Unser klarer Fokus liegt darauf, Kundinnen und Kunden zu begeistern – und SailPoint hilft uns dabei“, sagte Jones. „Das bedeutet: Unsere Kundinnen und Kunden arbeiten effizient, und wir werden nicht zum Engpass für Innovation und Fortschritt.“

Eine Zukunft voller Chancen

Ein weiterer Bereich, in dem Trane spürbar profitiert, ist der Einsatz von SailPoint SaaS Workflows. Bislang hat das Unternehmen zehn automatisierte Workflows erstellt; weitere befinden sich in der Entwicklung. Beispiele sind die automatische Umwandlung eines Auftragnehmers in einen Mitarbeitenden oder das Entfernen von Gastzugriffen aus dem System, wenn der Sponsor das Unternehmen verlässt. Bisher wurden die Workflows mehr als 12.000-mal ausgelöst und haben den jeweiligen Prozess vollständig abgeschlossen.

„Workflows sind für uns ein echter Durchbruch: Damit können wir eine erweiterbare Identitätsorchestrierung mit intelligenter Logik auf unterstützte Weise bereitstellen. Und weil ein großer Teil der Funktionen sofort einsatzbereit ist, können wir mit weniger Skripten schneller innovieren“, sagt Jones.

Zusätzlich zum Ausbau weiterer automatisierter Workflows plant Trane, künftig auch SailPoints Funktionen für Separations of Duties (SOD) sowie Zertifizierungen einzuführen.

Nachdem inzwischen viele Anwendungen angebunden sind, will Trane nun Role Mining durchführen, um die Verteilung der Zugriffsrechte zu ermitteln. Mit KI-gestützter Identitätssicherheit möchte das Unternehmen die Identitätsverwaltung und Zugriffsanfragen weiter automatisieren – und diese sogar im Voraus prognostizieren.

„Wir wollen ein Programm auf Basis von KI und Analytics aufsetzen, das Menschen automatisch Rollen zuweisen kann, sodass sie sie nicht einmal mehr beantragen müssen. Es ist dann einfach für sie da“, sagt Jones.