I de tidligere artikler har vi allerede set på, hvad IdM er, hvordan man vurderer, om din organisation har brug for et sådant system, hvilke opgaver det løser, og hvordan man argumenterer for budgettet til implementering over for ledelsen. I dag vil vi tale om de vigtige trin, som organisationen selv skal gennemgå for at nå det nødvendige niveau af modenhed før implementeringen af IdM-systemet. For IdM har til formål at automatisere processer, og det er umuligt at automatisere kaos.
Inden en virksomhed vokser til størrelsen af en stor virksomhed og opbygger en række forskellige forretningssystemer, tænker den som regel ikke på adgangsstyring. Derfor er processerne for at opnå rettigheder og kontrol over beføjelser ikke strukturerede og underkastes dårlig analyse. Medarbejdere ansøger om adgang på måder, de finder passende, godkendelsesprocessen er heller ikke formaliseret, og nogle gange eksisterer den slet ikke. Det er umuligt hurtigt at få overblik over, hvilke adgange medarbejderen har, hvem der har godkendt dem, og på hvilket grundlag.
Da processen for automatisering af adgang involverer to hovedaspekter – personaledata og oplysninger fra informationssystemer, som der skal foretages integration med, vil vi se på de nødvendige trin for at sikre, at implementeringen af IdM forløber glat og ikke skaber modstand:
- Analyse af personalprocesser og optimering af vedligeholdelsen af medarbejderdatabaser i HR-systemer.
- Analyse af data om brugere og rettigheder samt aktualisering af metoder til adgangsstyring i de målrettede systemer, som planlægges tilsluttet IdM.
- Organisatoriske aktiviteter og inddragelse af medarbejdere i forberedelsesprocessen til implementeringen af IdM.
Personaldata
Kilden til personaledata i organisationen kan være en enkelt eller flere. For eksempel kan organisationen have et bredt netværk af filialer, hvor hver filial kan anvende sin egen personale database.
Først og fremmest er det nødvendigt at forstå, hvilke grundlæggende data om medarbejdere der gemmes i lønsystemet, hvilke begivenheder der registreres, samt vurdere deres fuldstændighed og struktur.
Ofte er det sådan, at ikke alle personalebegivenheder registreres i personalekilden (og oftere registreres de ikke i tide og korrekt). Her er nogle typiske eksempler:
- Ferier, deres kategorier og varighed (regelmæssige eller langvarige) registreres ikke;
- Delvis beskæftigelse registreres ikke: for eksempel kan en medarbejder, der er på langvarig barselsorlov, samtidig arbejde på deltid;
- Den faktiske status for kandidaten eller medarbejderen er allerede ændret (ansættelse/overførsel/afsked), mens ordre om denne begivenhed udstedes med forsinkelse;
- Medarbejderen overføres til en ny stilling gennem afskedigelse, samtidig med at der ikke registreres information i personalsystemet om, at dette er en teknisk afskedigelse.
Det er også vigtigt at vurdere datakvaliteten, da enhver fejl og unøjagtighed fra en pålidelig kilde, som er personaleregistreringssystemer, kan blive dyrt og skabe mange problemer ved implementeringen af IdM. For eksempel indtaster HR-medarbejdere ofte medarbejderpositioner i personalsystemet i forskellige formater: store og små bogstaver, forkortelser, forskellige antal mellemrum og så videre. Som et resultat kan den samme stilling registreres i personalsystemet i følgende variationer:
- Senior Manager
- senior manager
- st.manager
- st. manager…
Man støder ofte på forskelle i skrivemåden af fulde navne:
- Shmeleva Natalia Gennadyevna,
- Shmeleva Natalia Gennadyevna…
For yderligere automatisering er en sådan sammenblanding uacceptabel, især hvis disse attributter er nøglen til identifikation, dvs. data om medarbejderen og deres beføjelser i systemerne sammenlignes netop på baggrund af det fulde navn.
Desuden bør man ikke glemme muligheden for at have navneslægtninge og navnesøstre i virksomheden. Hvis der er tusinde ansatte, kan sådanne sammenfald være få, men hvis der er 50.000, kan det blive en kritisk hindring for korrekt drift af IdM-systemet.
Sammenfattende alt ovenstående konkluderer vi: formatet for indtastning af data i virksomhedens personaledatabase skal være standardiseret. Parametrene for indtastning af fulde navne, stillinger og afdelinger skal være klart defineret. Den optimale løsning er, at HR-medarbejderen ikke indtaster data manuelt, men vælger dem fra et forudoprettet register over strukturer afdelinger og stillinger ved hjælp af en «select»-funktion, som findes i personalsystemet.
For at undgå yderligere fejl i synkroniseringen og for ikke at skulle håndtere manuelle korrektioner af uoverensstemmelser i rapporterne, er den mest foretrukne metode til identifikation af medarbejdere introduktionen af en ID for hver medarbejder i organisationen. Denne identifikator vil blive tildelt hver ny medarbejder og vil figurere både i personalessystemet og i organisationens informationssystemer som et obligatorisk attribut i brugerens konto. Det er ligegyldigt, om den består af tal eller bogstaver - det vigtigste er, at den er unik for hver medarbejder (for eksempel bruger mange det ansattes nummer). Indførelsen af dette attribut vil i fremtiden væsentligt lette sammenkædningen af data om medarbejderen i personalekilden med deres konti og beføjelser i informationssystemerne.
Således skal alle trin og mekanismer i personaleregistreringen analyseres og struktureres. Det er helt muligt, at nogle processer skal ændres eller justeres. Dette er en trættende og møjsommelig opgave, men den er nødvendig, ellers vil mangel på klare og strukturerede data om personalebegivenheder føre til fejl ved automatisk behandling. I værste fald vil ustukturerede processer slet ikke kunne automatiseres.
Målrettede systemer
I det næste trin skal vi finde ud af, hvor mange informationssystemer vi ønsker at integrere i IdM-strukturen, hvilke data om brugerne og deres rettigheder, der opbevares i disse systemer, og hvordan vi administrerer dem.
I mange organisationer hersker der en opfattelse af, at hvis vi installerer IdM, opsætter forbindelser til de relevante systemer, så vil alt fungere som ved et trylleslag, uden yderligere indsats fra vores side. Sådan er det desværre ikke. I virksomheder udvikles og udvides landskabet af informationssystemer gradvist. Hver af systemerne kan have en forskellig tilgang til at tilvejebringe adgangsrettigheder, hvilket vil sige, at der er oprettet forskellige grænseflader til adgangsstyring. Nogle steder sker styringen via API (application programming interface), andre steder gennem databasen ved hjælp af lagrede procedurer, og nogle grænseflader til interaktion kan helt mangle. Man skal være forberedt på, at det bliver nødvendigt at genoverveje mange eksisterende processer for styring af konti og rettigheder i organisationens systemer: ændre datamodulet, forudarbejde interaktionsgrænseflader og allokere ressourcer til dette arbejde.
Roller-model
Med begrebet roller-model vil du sandsynligvis støde på det allerede i valgprocessen af leverandøren af IdM-løsningen, da det er et af de centrale begreber indenfor adgangsstyring. I denne model gives der adgang til data via roller. En rolle er en samling af adgange, der minimum er nødvendige for, at en medarbejder i en bestemt stilling kan udføre sine funktionelle opgaver.
Rollebaseret adgangsstyring har en række ubestridte fordele:
- simplicitet og effektivitet i tildeling af ens rettigheder til et stort antal medarbejdere;
- hurtig ændring af adgangen for medarbejdere, der har samme sæt af rettigheder;
- udlukning af overflødige rettigheder og opdeling af inkompatible beføjelser for brugerne.
Rolle-matrixen opbygges først separat i hvert af organisationens systemer og skaleres derefter til hele IT-landskabet, hvor rollerne fra hvert system danner globale forretningsroller. For eksempel vil forretningsrollen "Bogholder" inkludere flere separate roller fra hver af de informationssystemer, der anvendes i virksomhedens bogføring.
I den seneste tid anses det for «best practice» at skabe en rollemodel allerede i udviklingsfasen af applikationer, databaser og operativsystemer. Samtidig er der ofte situationer, hvor rollerne i systemet ikke er konfigureret, eller de simpelthen ikke findes. I så fald skal administratoren af dette system indtaste konto-oplysninger i flere forskellige filer, biblioteker og kataloger, der giver de nødvendige tilladelser. At bruge foruddefinerede roller tillader dog at give privilegier til at udføre et helt kompleks af operationer i systemet med komplekse sammensatte data.
Roller i informationssystemet fordeles som regel til stillinger og afdelinger i den organisatoriske struktur, men de kan også oprettes til specifikke forretningsprocesser. For eksempel har flere medarbejdere i afdelingen for afregning i en finansiel organisation den samme stilling - operatør. Men inden for afdelingen er der også en fordeling af specifikke processer, for forskellige typer operationer (eksterne eller interne, i forskellige valutaer, med forskellige segmenter af organisationen). For at give hver af forretningsretningerne i en afdeling adgang til informationssystemet med den nødvendige specifikation, er det nødvendigt at inkludere rettighederne i separate funktionelle roller. Dette vil muliggøre at give et minimalt tilstrækkeligt sæt af beføjelser, som ikke inkluderer overflødige rettigheder, for hver af aktivitetsretningerne.
Desuden, for store systemer med hundredvis af roller, tusindvis af brugere og millioner af tilladelser, er det en god praksis at bruge hierarki af roller og arv af privilegier. For eksempel vil overordnet rollen Admin arve privilegierne fra de underordnede roller: Bruger og Læser, da Admin kan udføre alt det, som Bruger og Læser kan, plus have yderligere administratorrettigheder. Ved brug af hierarki er der ikke behov for at angive de samme rettigheder flere gange i forskellige roller i et modul eller system.
I det første trin kan man oprette roller i de systemer, hvor det mulige antal kombinationer af rettigheder ikke er særlig stort, og som følge heraf ikke er svært at administrere et lille antal roller. Dette kan være standardrettigheder, der er nødvendige for alle medarbejdere i virksomheden, i offentligt tilgængelige systemer som kataloget Active Directory (AD), e-mailsystemer, Service Manager og lignende. Derefter kan de oprettede rollematricer for informationssystemer inkluderes i den samlede rollestruktur ved at forene dem i forretningsroller.
Ved at anvende en sådan tilgang vil det i fremtiden være nemt at automatisere hele processen med at give adgangsrettigheder baseret på de oprettede roller fra det første trin, når IdM-systemet implementeres.
N.B. Man bør ikke forsøge at inkludere så mange systemer som muligt i integrationen fra starten. Systemer med en mere kompleks arkitektur og struktur for adgangsrettigheder bør i det første trin tilsluttes IdM i en semi-automatisk tilstand. Det vil sige, at man kun implementerer automatisk oprettelse af anmodninger om adgang baseret på personalehændelser, som bliver sendt til en administrator, der så indstiller rettighederne manuelt.
Efter en succesfuld gennemførelse af det første trin kan systemets funktionalitet udvides til nye, forbedrede forretningsprocesser, gennemføres fuld automatisering og skaleres med tilslutning af yderligere informationssystemer.
Med andre ord, for at forberede sig på implementeringen af IdM, skal man vurdere, hvor klar informationssystemerne er til den nye proces og på forhånd tilpasse de eksterne interaktionsoverflader til kontoadministration og brugerrettigheder, hvis sådanne overflader mangler i systemet. Det er også vigtigt at udarbejde en plan for trinvis oprettelse af roller i informationssystemerne for en samlet adgangsstyring.
Organisatoriske tiltag
Man skal ikke undervurdere de organisatoriske aspekter. I nogle tilfælde kan de spille en afgørende rolle, da resultatet af hele projektet ofte afhænger af effektivt samarbejde mellem afdelingerne. Derfor anbefaler vi normalt at oprette et team af aktører i organisationen, som skal omfatte alle involverede afdelinger. Da dette er en ekstra byrde for medarbejderne, er det vigtigt at forklare alle deltagere deres roller og betydning i samarbejdsstrukturen på forhånd. Hvis man formår at 'sælge' ideen om IdM til kollegerne på dette stadie, kan man undgå mange udfordringer senere hen.
Ofte er 'ejerne' af IdM-implementeringsprojektet i virksomheden informationssikkerhedsafdelinger eller IT, mens forretningsafdelingerne ikke bliver taget i betragtning. Dette er en stor fejl, da det alene er dem, der kender til, hvordan og i hvilke forretningsprocesser hver ressource bruges, hvem der skal have adgang, og hvem der ikke skal. Derfor er det vigtigt i forberedelsesfasen at fastslå, at det er forretningslederen, der er ansvarlig for den funktionelle model, som sætningene af brugerrettigheder (roller) i informationssystemet udvikles ud fra, samt for at disse roller holdes ajour. Rollemønstret er ikke en statisk matrix, som man bare kan samle én gang og derefter lade stå. Det er en 'levende organisme', som konstant skal ændre sig, opdateres og udvikles i takt med ændringerne i organisationens struktur og medarbejdernes funktion. Ellers vil der enten opstå problemer med forsinkelser i adgangsrettighederne, eller der vil være risici for informationssikkerheden, der stammer fra overdrevne adgangsrettigheder, hvilket er endnu værre.
Som bekendt, "hvis syv ammer, så vil barnet miste sit øje", derfor skal virksomheden udvikle en metodologi, der beskriver arkitekturen for rollemodellen, interaktionen og ansvaret for de specifikke deltagere i processen for at opretholde dens aktualitet. Hvis virksomheden har mange forretningsretninger og dermed mange afdelinger og sektioner, så skal der for hver retning (f.eks. kreditgivning, operationelt arbejde, fjernservices, compliance og andre) inden for processen med rolleforvaltning tildeles specifikke kuratorer. Gennem dem kan man hurtigt få information om ændringer i strukturen af afdelingen og adgangsrettighederne, der er nødvendige for hver rolle.
Det er nødvendigt at sikre ledelsens støtte i organisationen for at håndtere konfliktsituationer mellem de involverede afdelinger. Konflikter under implementeringen af enhver ny proces er uundgåelige, tro vores erfaring. Derfor er der behov for en mægler, der kan håndtere mulige interessekonflikter, så man ikke mister tid på grund af misforståelser og sabotage fra nogen.
N.B. En god begyndelse for at øge bevidstheden vil være uddannelse af personalet. En detaljeret gennemgang af, hvordan den kommende proces fungerer, og den rolle, hver deltager spiller i den, vil minimere udfordringerne ved overgangen til den nye løsning.
Tjekliste
Afslutningsvis opsummerer vi de vigtigste skridt, som organisationen skal tage, hvis den planlægger at implementere IdM:
- ordne personaledata;
- indføre et unikt identifikationsparameter for hver medarbejder;
- vurdere informationssystemernes beredskab til at implementere IdM;
- udvikle grænseflader til interaktion med informationssystemerne til adgangsstyring, hvis de ikke findes, og allokere ressourcer til disse opgaver;
- udvikle og konstruere en rollemodel;
- bygge en proces til styring af rollemodellen og inkludere kuratorer fra hver forretningsretning;
- vælge flere systemer til den indledende tilslutning til IdM;
- oprette et effektivt projektteam;
- sikre ledelsens støtte i virksomheden;
- uddanne personalet.
Forberedelsesprocessen kan være udfordrende, så hvis det er muligt, inddrag rådgivere.
Implementering af IdM-løsninger er et komplekst og ansvarligt skridt, og for at det skal lykkes, er det vigtigt, at hver part – medarbejderne i forretningsenhederne, IT- og sikkerhedstjenesterne – bidrager, samt at hele teamet arbejder sammen. Men indsatsen er det værd: efter implementeringen af IdM i virksomheden falder antallet af hændelser relateret til overflødige beføjelser og uautoriserede rettigheder i informationssystemerne; medarbejdernes ventetid på nødvendige rettigheder reduceres, og automatiseringen sænker arbejdsomkostningerne og øger produktiviteten i IT- og sikkerhedstjenesterne.
Kilde: habr.com
