Zutritt, der an den Zertifizierungsstatus geknüpft ist. Läuft ein Sicherheitszertifikat ab, wird der Zutritt automatisch am selben Tag entzogen. Keine manuelle Nachverfolgung.
In vielen Unternehmen liegen Zutritt und Zertifizierung an zwei verschiedenen Orten. Die Zertifizierung steht in einem Schulungsnachweis, einer Tabelle oder einem Compliance-System. Das Zutrittsrecht liegt im Zutrittskontrollsystem. Und die Verbindung dazwischen ist eine Person, die daran denken soll, das eine zu aktualisieren, wenn sich das andere ändert.
Das funktioniert, bis sich jemand verletzt.
Was eine abgelaufene Zertifizierung tatsächlich bedeutet, wird an einem Beispiel deutlich. Jemand absolviert eine Strahlenschutzbelehrung und erhält Zutritt zu einem Speziallabor. Zwei Jahre später läuft die Zertifizierung ab. Der Schulungsnachweis zeigt sie als abgelaufen an. Das Zutrittskontrollsystem zeigt die Tür weiterhin als offen. Betritt diese Person den Bereich und es geht etwas schief, hat das Unternehmen Zutritt zu einem Gefahrenbereich gewährt, ohne dass eine gültige Zertifizierung dokumentiert war. Die Lücke zwischen den beiden Systemen ist zur Haftungsfrage geworden.
Genau diese Lücke schließt die zertifikatsbasierte Zutrittskontrolle.
IDfunction PIAM weist Zutrittsprofile automatisch anhand von Richtlinien zu. Eine Richtlinie verknüpft eine Bedingung mit dem Zutrittsprofil, das sie steuert. Ist die Bedingung erfüllt, wird der Zutritt gewährt. Ist sie es nicht, bleibt er verwehrt.
Eine Zertifikatsrichtlinie ist eine Art dieser Richtlinien. Sie verknüpft einen Zertifikatstyp mit dem Zutrittsprofil, das sie steuert, sodass der Zutritt direkt vom Zertifizierungsstatus abhängt. Das kann eine Sicherheitsqualifikation, eine technische Schulung, eine medizinische Freigabe oder eine ähnliche Anforderung sein, die Ihr Unternehmen bereits erfasst. Der Mechanismus bleibt derselbe, unabhängig vom Zertifikatstyp und der Anzahl beteiligter Standorte.
Der entscheidende Unterschied: Zutritt ist nicht länger etwas, das eine Person gewährt und dann wieder entziehen muss. Er wird zur Folge der Zertifizierung selbst.
Der Ablauf folgt der Logik, die man erwarten würde, wenn Zutritt und Zertifizierung richtig miteinander verbunden wären.
Die Zertifizierung wird im Profil der jeweiligen Person hinterlegt, zusammen mit ihrem Gültigkeitszeitraum und einem unterstützenden Dokument. Eine Zertifikatsrichtlinie verknüpft diesen Zertifikatstyp mit dem Zutrittsprofil, das sie für eine oder mehrere Einrichtungen steuert. Das Zutrittsprofil wird automatisch aktiviert, und seine Gültigkeit entspricht exakt dem Gültigkeitszeitraum des Zertifikats.
Vor Ablauf versendet ein konfigurierbarer Workflow Erinnerungen, frühzeitig und erneut kurz vor Fristende, und kann auch Einrichtungs- oder Compliance-Verantwortliche benachrichtigen. Wird das Zertifikat verlängert, bleibt der Zutritt ohne Unterbrechung bestehen. Läuft es ab, wird der Zutritt noch am selben Tag automatisch entzogen.
Keine manuelle Nachverfolgung. Keine Lücke zwischen dem Datensatz und der Realität.
In Hochrisiko- und KRITIS-Umgebungen ist eine Zertifizierung keine Formalität. Sie ist der Nachweis, dass ein Unternehmen seinen gesetzlichen und sicherheitsbezogenen Pflichten nachgekommen ist, bevor es jemandem Zutritt gewährt hat.
Eine Sicherheitszertifizierung belegt nicht, dass eine Person eine Aufgabe korrekt ausführt. Sie belegt, dass das Unternehmen die erforderliche Schulung bereitgestellt und vor der Zutrittsgewährung überprüft hat. Dieser Unterschied ist entscheidend, wenn etwas schiefgeht. Kommt es zu einem Vorfall und die Person verfügte über eine gültige, dokumentierte Zertifizierung, hat das Unternehmen seine Sorgfaltspflicht erfüllt. Befand sich diese Person mit einer abgelaufenen Zertifizierung in einem Sperrbereich, die niemand entzogen hatte, trägt das Unternehmen die Verantwortung.
Die direkte Verknüpfung von Zutritt und Zertifizierungsstatus verändert, wo dieses Risiko liegt. Läuft ein Zertifikat ab, wird die Person vorab benachrichtigt, und der Zutritt wird in dem Moment automatisch entzogen, in dem das Zertifikat seine Gültigkeit verliert. Das Unternehmen ist nicht länger darauf angewiesen, dass jemand den Ablauf manuell bemerkt. Es kann mit einem vollständigen Audit-Trail belegen, dass kein Zutritt aktiv war, ohne dass eine gültige Zertifizierung dahinterstand.
Für regulierte und sicherheitskritische Umgebungen ist das keine betriebliche Nettigkeit. Es ist der Unterschied zwischen gesteuertem Risiko und unkontrollierter Gefährdung.
Der Unterschied wird im Vergleich zwischen vorher und nachher am deutlichsten.
Heute werden Zertifikate manuell über mehrere Einrichtungen hinweg nachverfolgt. Verlängerungserinnerungen erfolgen manuell oder fehlen ganz. Es besteht das ständige Risiko, dass eine abgelaufene Zertifizierung neben einem weiterhin aktiven Zutritt besteht. Und Zutrittsaktualisierungen hinken Zertifikatsverlängerungen hinterher, weil jemand sie vornehmen muss.
Mit zertifikatsbasierter Zutrittskontrolle verwaltet ein einziger Datensatz sowohl das Zertifikat als auch den Zutritt. Verlängerungsbenachrichtigungen werden automatisch vor Ablauf versendet. Der Zutritt läuft automatisch ab, sobald das Zertifikat abläuft. Und eine Verlängerung aktualisiert den Zutritt sofort, ohne zweiten Schritt.
Jede Gewährung, Verlängerung und jeder Entzug wird im Zertifikatsdatensatz protokolliert. Der Audit-Trail entsteht damit als Nebenprodukt der Funktionsweise des Systems und nicht als etwas, das im Nachhinein zusammengestellt wird.
Derselbe Mechanismus reicht so weit wie Ihre Anforderungen. Zusätzliche Zertifikatstypen. Richtlinien, die mehrere Einrichtungen umfassen. Freigabeschritte, wo Sie sie wünschen. Das System kann auch Online-Schulungsdienste einbinden, sodass IDfunction PIAM das Zertifikat und das Zutrittsprofil automatisch zuweist, sobald jemand eine erforderliche Schulung abschließt.
Das Prinzip dahinter bleibt konstant: Wenn Zutritt an eine Qualifikation geknüpft ist, sollte er mit dieser Qualifikation bestehen und mit ihr ablaufen. Nicht in einem separaten System, und nicht im Gedächtnis einer einzelnen Person.
