V předchozích článcích jsme již zkoumali, co je IdM, jak pochopit, zda vaše organizaci takový systém potřebuje, jaké úkoly řeší a jak obhájit rozpočet na implementaci před vedením. Dnes se budeme bavit o důležitých krocích, kterými musí organizace projít, aby dosáhla požadované úrovně zralosti před zavedením systému IdM. IdM je určen k automatizaci procesů, a automatizovat chaos není možné.
Do doby, než společnost vyroste do velikosti velkého podniku a nahromadí řadu různých business systémů, obvykle se nezabývá správou přístupu. Procesy žádání o práva a kontrola oprávnění tedy nejsou strukturované a špatně se analyzují. Zaměstnanci si žádají o přístup, jak chtějí, proces schvalování také není formalizován, nebo někdy ani neexistuje. Je nemožné rychle zjistit, jaká práva má zaměstnanec, kdo je schválil a na jakém základě.
Vzhledem k tomu, že proces automatizace přístupu se dotýká dvou hlavních oblastí – personálních údajů a údajů informačních systémů, s nimiž se má provést integrace, zvažme kroky potřebné k tomu, aby implementace IdM proběhla hladce a nezpůsobila odpor:
- Analýza personálních procesů a optimalizace správy databáze zaměstnanců v personálních systémech.
- Analýza údajů o uživatelích a právech, stejně jako aktualizace způsobů správy přístupu v cílových systémech, které se plánují připojit k IdM.
- Organizační opatření a zapojení zaměstnanců do procesu přípravy na zavedení IdM.
Personální údaje
Zdroj personálních údajů v organizaci může být jeden, nebo jich může být více. Například organizace může mít dostatečně širokou pobočkovou síť a v každé pobočce může být používána vlastní databáze zaměstnanců.
Především je nutné pochopit, jaké základní údaje o zaměstnancích jsou uchovávány v systému personální evidence, jaké události jsou zaznamenávány, a posoudit jejich úplnost a strukturu.
Často se stává, že ne všechny personální události jsou zaznamenány v personálním zdroji (a ještě častěji jsou zaznamenávány opožděně a nesprávně). Zde jsou některé typické příklady:
- nejsou zaznamenány dovolené, jejich kategorie a trvání (běžné nebo dlouhé);
- Částečná pracovní doba není zaznamenávána: například během dlouhé mateřské dovolené může zaměstnanec zároveň pracovat na částečný úvazek;
- Skutečný status kandidáta nebo zaměstnance se již změnil (přijetí/převod/ukončení), ale příkaz k této události je vydáván se zpožděním;
- Zaměstnanec je převeden na novou pozici prostřednictvím ukončení, přičemž v personálním systému není zaznamenána informace, že se jedná o technické ukončení.
Je také důležité věnovat pozornost hodnocení kvality dat, protože jakékoli chyby a nepřesnosti získané z důvěryhodného zdroje, kterým jsou systémy personální evidence, mohou následně být nákladné a vyvolat řadu problémů při implementaci IdM. Například zaměstnanci personálních služeb často zadávají pozice pracovníků do personálního systému v různém formátu: velká a malá písmena, zkratky, různé množství mezer a podobně. V důsledku toho může být jedna a tatáž pozice zaznamenána v personálním systému v následujících variantách:
- Vedoucí manažer
- vedoucí manažer
- v. manažer
- v. manažer…
Často se také setkáváme s rozdíly ve psaní jmen a příjmení:
- Šmeljova Natálie Genadijovna,
- Šmeljova Natalia Genadijevna…
Pro další automatizaci je takový nepořádek nepřijatelný, zejména pokud jsou tyto atributy klíčovým poznávacím znakem, tedy údaje o zaměstnanci a jeho pravomocích v systémech se porovnávají právě podle jména a příjmení.
Kromě toho by se nemělo zapomínat na možné existenci jmenovců a úplných dvojníků ve společnosti. Pokud má organizace tisíc zaměstnanců, takových shod může být málo, ale pokud je jich 50 tisíc, může to představovat kritickou překážku pro správnou funkci systému IdM.
Shrnující vše výše uvedené, docházíme k závěru: formát zadávání údajů do personální databáze organizace by měl být standardizován. Parametry zadávání jmen a příjmení, pozic a oddělení by měly být jasně definovány. Optimálním řešením je, když personální pracovník nezadává údaje ručně, ale vybírá je z předem vytvořeného seznamu struktury oddělení a pozic pomocí funkce „select“, která je k dispozici v personální databázi.
Aby se předešlo dalším chybám v synchronizaci a ručnímu opravování nesrovnalostí v reportech, nejpreferovanějším způsobem identifikace zaměstnanců je zavedení ID pro každého pracovníka organizace. Tento identifikátor bude přidělován každému novému pracovníkovi a bude figurovat jak v mzdovém systému, tak v informačních systémech organizace jako povinný atribut účtu. Nezáleží na tom, zda se skládá z číslic nebo písmen — hlavní je, aby byl pro každého pracovníka unikátní (například mnozí používají evidenční číslo zaměstnance). Zavedení tohoto atributu výrazně usnadní spojení údajů o zaměstnanci v mzdovém zdroji s jeho účty a oprávněními v informačních systémech.
Všechny kroky a mechanismy mzdového účetnictví bude třeba analyzovat a uspořádat. Je možné, že některé procesy bude třeba změnit nebo upravit. Je to únavná a pečlivá práce, ale je nezbytná, jinak absence jasných a strukturovaných dat o mzdových událostech povede k chybám při jejich automatizovaném zpracování. V nejhorším případě nebudou neorganizované procesy vůbec automatizovatelné.
Cílové systémy
V dalším kroku je třeba vyjasnit, kolik informačních systémů chceme integrovat do struktury IdM, jaké údaje o uživatelích a jejich právech jsou v těchto systémech uchovávány a jak je spravovat.
V mnoha organizacích panuje názor, že nainstalujeme IdM, nastavíme konektory k cílovým systémům a mávnutím kouzelného proutku vše začne fungovat, bez dalšího úsilí z naší strany. Tak tomu, bohužel, není. V společnostech se krajina informačních systémů vyvíjí a postupně roste. V každém z těchto systémů může být zorganizován různý přístup k poskytování práv přístupu, což znamená, že jsou nastaveny různé rozhraní pro správu přístupu. Někde se správa uskutečňuje přes API (aplikační programovací rozhraní), jinde pomocí databáze a uložených procedur, jinde mohou rozhraní pro interakci zcela chybět. Je dobré být připraven na to, že bude třeba přezkoumat mnohé stávající procesy správy účtů a práv v systémech organizace: změnit formát dat, předem doladit rozhraní pro interakci a vyčlenit prostředky na tyto práce.
Role model
S pojmem role model se pravděpodobně setkáte už v etapě výběru dodavatele řešení IdM, protože to je jedno z klíčových pojmů v oblasti správy práv přístupu. V tomto modelu je poskytování přístupu k datům realizováno prostřednictvím role. Role je souhrn přístupů, které jsou minimálně potřebné k tomu, aby zaměstnanec na určité pozici mohl plnit své funkční povinnosti.
Role-based access management má řadu nesporných výhod:
- jednoduchost a efektivita při přiřazování stejných práv velkému počtu zaměstnanců;
- rychlé změny přístupu zaměstnanců, kteří mají stejnou sadu práv;
- vyloučení nadbytečnosti práv a oddělení neslučitelných pravomocí pro uživatele.
Role matrix se nejprve vybuduje samostatně v každém systému organizace a poté se škáluje na celou IT krajinu, kde se z rolí každého systému formují globální obchodní role. Například obchodní role "Účetní" bude obsahovat několik samostatných rolí pro každý z informačních systémů použitých v účetnictví podniku.
V poslední době se považuje za „best practice“ už ve fázi vývoje aplikací, databází a operačních systémů vytvářet rolovou strukturu. Současně se však často vyskytují situace, kdy nejsou v systému role nastavené, nebo jednoduše vůbec neexistují. V takovém případě musí administrátor tohoto systému zadat údaje o účtu do několika různých souborů, knihoven a adresářů, které poskytují potřebná oprávnění. Použití předem definovaných rolí umožňuje udělovat práva k provádění celého souboru operací v systému se složitými kombinovanými daty.
Role v informačním systému jsou obvykle rozděleny mezi pozice a oddělení podle organizační struktury, ale mohou být také vytvářeny pro konkrétní obchodní procesy. Například ve finanční organizaci několik zaměstnanců oddělení vypořádání zastává stejnou pozici – operátor. Uvnitř oddělení však probíhá další rozdělení na jednotlivé procesy, podle různých typů operací (externí nebo interní, v různých měnách, s různými segmenty organizace). Aby každému z obchodních směrů jednoho oddělení byl poskytnut přístup v informačním systému podle požadované specifikace, je nutné zahrnout práva do jednotlivých funkčních rolí. To umožní poskytnout minimálně dostatečný soubor pravomocí, který neobsahuje nadbytečná práva, pro každý z oborů činnosti.
Dále, pro velké systémy se stovkami rolí, tisíci uživateli a miliony oprávnění je dobrým postupem používání hierarchie rolí a dědění oprávnění. Například rodičovská role Administrátor bude dědit oprávnění dceřiných rolí: Uživatel a Čtenář, protože Administrátor může provádět vše, co Uživatel a Čtenář, navíc bude mít další administrátorská práva. Při použití hierarchie není nutné znovu uvádět stejná práva v několika rolích jednoho modulu nebo systému.
V první fázi lze vytvářet role v těch systémech, kde je možné množství kombinací práv relativně malé a následně se snadno spravuje omezený počet rolí. Mohou to být standardní práva potřebná všem zaměstnancům firmy, ve veřejných systémech, jako je katalog Active Directory (AD), e-mailové systémy, Service Manager a podobně. Poté je možné zahrnout vytvořené rolové matice pro informační systémy do společného rolového modelu, čímž se sjednotí do obchodních rolí.
Použitím takového přístupu bude v budoucnu při implementaci systému IdM snadné automatizovat celý proces poskytování přístupových práv na základě vytvořených rolí z první fáze.
N.B. Není třeba se pokoušet okamžitě integrovat co nejvíce systémů. Systémy s komplexnější architekturou a strukturou správy přístupových práv by měly být v první fázi lépe připojeny k IdM v poloautomatickém režimu. To znamená realizovat na základě personálních událostí pouze automatické generování žádosti o přístup, která bude předložena administratorovi, a ten nastaví práva ručně.
Po úspěšném dokončení první fáze lze rozšířit funkčnost systému na nové rozšířené obchodní procesy, provést plnou automatizaci a škálování s připojením dalších informačních systémů.
Jinými slovy, abychom se připravili na implementaci IdM, je třeba posoudit připravenost informačních systémů na nový proces a v předstihu upravit externí rozhraní pro správu uživatelských účtů a práv, pokud v systému taková rozhraní chybí. Měli bychom také projednat otázku postupného vytváření rolí v informačních systémech pro komplexní správu přístupu.
Organizační opatření
Nelze opomíjet ani organizační aspekty. V některých případech mohou hrát rozhodující roli, protože efektivní spolupráce mezi odděleními často závisí na výsledku celého projektu. V tomto ohledu obvykle doporučujeme vytvořit v organizaci tým účastníků procesu, do něhož vstoupí všechna zapojená oddělení. Protože to pro lidi představuje dodatečnou zátěž, snažte se předem objasnit všem účastníkům nadcházejícího procesu jejich roli a význam ve struktuře spolupráce. Pokud se na této etapě podaří „prodat“ kolegům myšlenku IdM, lze se vyhnout mnoha komplikacím v budoucnu.
Často jsou „majiteli“ projektu zavádění IdM ve společnosti oddělení informační bezpečnosti nebo IT, a názor obchodních oddělení není brán v úvahu. To je velká chyba, neboť pouze oni vědí, jakým způsobem a v jakých obchodních procesech je každý zdroj využíván, komu je třeba udělit přístup a komu ne. Proto je v přípravné fázi důležité vyjasnit, že obchodní majitel odpovídá za funkční model, na jehož základě jsou vyvíjeny sady práv (rolí) uživatelů v informačním systému, a také za to, aby tyto role byly udržovány aktuální. Role model není statická matice, kterou jednou vytvoříte a můžete se tím uspokojit. Je to „živý organismus“, který se musí neustále měnit, aktualizovat a vyvíjet, aby sledoval změny ve struktuře organizace a funkcionalitě zaměstnanců. Jinak se začnou objevovat problémy spojené se zpožděním v poskytování přístupu, nebo vzniknou rizika informační bezpečnosti spojená s nadměrnými přístupovými právy, což je ještě horší.
Jak je známo, "u sedmi chův je dítě bez oka", proto by v každé společnosti měla být vyvinuta metodologie, která popisuje architekturu rolové modelu, interakci a zodpovědnost konkrétních účastníků procesu za udržení její aktuálnosti. Pokud má společnost mnoho směrů podnikání a s tím spojené množství oddělení a departementů, je nutné pro každý směr (například pro poskytování úvěrů, operační práce, vzdálené služby, compliance a další) v rámci procesu řízení rolí přidělit jednotlivé kurátory. Přes ně bude možné operativně získávat informace o změnách ve struktuře oddělení a přístupových právech potřebných pro každou roli.
Je nezbytné získat podporu vedení organizace pro řešení konfliktů mezi odděleními, které se účastní procesu. Konflikty při zavádění jakéhokoli nového procesu jsou nevyhnutelné, věřte našim zkušenostem. Proto je potřeba rozhodce, který bude vyřešit možné střety zájmů, aby se neztrácelo čas kvůli nedorozuměním a sabotážím.
N.B. Dobrým začátkem pro zvýšení úrovně informovanosti bude školení zaměstnanců. Detailní studium fungování budoucího procesu a role každého účastníka v něm umožní minimalizovat obtíže spojené s přechodem na nové řešení.
Kontrolní seznam
Shrneme hlavní kroky, které by měla organizace provést při plánování zavedení IdM:
- uspořádat personální data;
- zavést jedinečný identifikační parametr pro každého zaměstnance;
- zhodnotit připravenost informačních systémů na zavedení IdM;
- vytvořit rozhraní pro interakci s informačními systémy pro správu přístupu, pokud neexistují, a vyčlenit prostředky na tyto práce;
- vyvinout a postavit rolový model;
- vytvořit proces řízení rolového modelu a zahrnout do něj kurátory z každého obchodního směru;
- vybrat několik systémů pro počáteční připojení k IdM;
- vytvořit efektivní projektový tým;
- získat podporu vedení společnosti;
- školit zaměstnance.
Proces přípravy může být obtížný, proto pokud je to možné, zapojte konzultanty.
Implementace řešení IdM je složitý a zodpovědný krok, přičemž pro úspěšnou realizaci jsou důležité jak snahy jednotlivých stran – zaměstnanců obchodních oddělení, IT a bezpečnostních služeb, tak i spolupráce celého týmu jako celku. Ale úsilí se vyplatí: po implementaci IdM ve společnosti klesá počet incidentů spojených s nadbytečnými pravomocemi a neoprávněnými právy v informačních systémech; zaměstnanci se již nemusí potýkat s prostoji kvůli nedostatku nebo dlouhému čekání na potřebná práva; automatizací se snižují pracovní náklady a zvyšuje se produktivita práce IT a bezpečnostních služeb.
Zdroj: habr.com
