Berechtigungen mit Hilfe künstlicher Intelligenz neu definieren?

Der vorliegende Expertenbericht zeigt neue Wege der Rezertifizierung 2.0 auf
Sind die Berechtigungen der Mitarbeitenden noch den Aufgaben entsprechend angemessen oder haben sich diese im Laufe der Zeit verändert? Die Krux besteht darin, eine Berechtigungsrezertifizierung ohne grossen Aufwand zu machen. Wie das geht? Das erklärt unser Experte Miodrag Radovanovic in seinem Blog-Beitrag!

Was ist die Berechtigungsrezertifizierung?
Unter Berechtigungsrezertifizierung wird ein Vorgang verstanden, bei dem Führungskräfte prüfen, ob ihren Mitarbeitern Berechtigungen zugeordnet sind, die ihren Aufgaben entsprechen. Dabei werden Führungskräfte mit diversen Herausforderungen konfrontiert. Führungskräfte können bei der Berechtigungsrezertifizierung durch Entscheidungsempfehlungen unterstützt werden. Eine solche Unterstützung könnte man mithilfe der künstlichen Intelligenz - genauer gesagt, mithilfe der Verfahren des maschinellen Lernens (engl. machine learning) schaffen.

Was sind die Herausforderungen bei Rezertifizierungen?
Bei Rezertifizierungen geht es um das Treffen manueller wie auch subjektiver Entscheidungen. Für Rezertifizierer ergeben sich daraus folgende Herausforderungen:

• Menge: Häufig ist die Menge von Berechtigungen, die manuell geprüft werden muss, sehr gross.
• Komplexität: Einerseits kann es aufgrund der grossen Anzahl an Mitarbeitern und des stressigen Arbeitsalltags durchaus vorkommen, dass die Führungskraft die genauen Aufgaben von einigen Mitarbeitern gar nicht kennt und daher unsicher ist, welche Berechtigungen diese Mitarbeiter haben sollen. Andererseits kann es wegen der vielen vorhandenen Rollen/Gruppen in Berechtigungssystemen zu Missverständnissen kommen: Worauf beziehen sich die Berechtigungen dieser bestimmten Rolle/Gruppe eigentlich? In gängigen Rezertifizierungstools gibt es hierzu nur wenige technische Hinweise, welche die Führungskräfte unterstützen.
• Zeitfrist: Hinzu kommt die zeitliche Beschränkung, die bei jeder Rezertifizierung eingehalten werden muss und unbedachte Entscheidungen zur Folge haben kann.

Daraus entsteht die Notwendigkeit, dass Führungskräfte bei der Berechtigungsrezertifizierung durch Entscheidungsempfehlungen unterstützt werden sollten. Dieses soll die Zuverlässigkeit der Rezertifizierungen verbessern sowie die IT-Sicherheit im Unternehmen erhöhen.

Ist machine learning ein Lösungsansatz?
Als Lösungsansatz könnte das überwachte Lernen (engl. supervised learning) – als eine Unterkategorie von Verfahren des maschinellen Lernens – herangezogen und als Klassifizierungsproblem formuliert werden. Durch die Analyse gelabelter Trainingsdaten lernt hier ein Modell abzuschätzen, ob eine Berechtigung bestätigt bzw. entzogen werden soll. Diese Abschätzung (oder auch Wahrscheinlichkeit) kann dann mit der tatsächlich getroffenen Entscheidung für jede Berechtigung verglichen und somit die Genauigkeit des Verfahrens ermittelt werden. In einer Studie* hatten aus 7 ausgewählten Supervised Learning Verfahren (u.a. neuronale Netze, Entscheidungsbaum, logistische Regression) künstliche neuronale Netze die beste Performance. Nach einigen Optimierungen erreichten neuronale Netze sogar eine Testgenauigkeit von 91,18 %. Daraus lässt sich schliessen, dass dieses Lernverfahren bei einer Berechtigungsrezertifizierung durchaus hilfreich sein kann. Denn es lernt aus den vorhandenen Rezertifizierungsdaten, also aus den Entscheidungen der Führungskräfte bei Rezertifizierungen.

Datenwidrigkeiten durch mehrere Parameter vermeiden
Bei diesem Verfahren muss jedoch darauf geachtet werden, dass es zu keinen Datenwidersprüchlichkeiten kommt. Das kann passieren, wenn gleiche Rollen von unterschiedlichen Führungskräften unterschiedlich rezertifiziert werden. Dabei kann es vorkommen, dass diese von einigen Führungskräften bestätigt, von anderen gelöscht werden. Daher konnten sie vom neuronalen Netzwerk (basierend auf vorhandenen Parametern) nicht eindeutig gelernt werden. Es ist also zu empfehlen, die vorhandene Datenmenge durch weitere sinnvolle Parameter zu ergänzen sowie durch mehrere Rezertifizierungsdaten zu erweitern. So werden die vorhandenen Problemfälle verringert und bessere Ergebnisse erzielt.

Quelle und gesamter Artikel: ipg-group.com
IPG Group auf Security-Finder Schweiz