Einführung von IdM. Vorbereitung auf die Einführung seitens des Auftraggebers

In den vorherigen Artikeln haben wir bereits behandelt, was IdM ist, wie zu verstehen ist, ob Ihre Organisation ein solches System benötigt, welche Aufgaben es löst und wie man das Budget für die Implementierung gegenüber der Geschäftsleitung rechtfertigt. Heute werden wir über wichtige Schritte sprechen, die die Organisation gehen muss, um ein angemessenes Reifegradniveau vor der Implementierung des IdM-Systems zu erreichen. Denn IdM soll Prozesse automatisieren, und Chaos zu automatisieren ist unmöglich.

Bis zu dem Zeitpunkt, an dem ein Unternehmen die Größe eines großen Unternehmens erreicht und eine Vielzahl von verschiedenen Geschäftssystemen ansammelt, denkt es normalerweise nicht über das Zugangsmanagement nach. Daher sind die Prozesse zur Erlangung von Rechten und zur Kontrolle von Berechtigungen nicht strukturiert und schlecht analysierbar. Mitarbeiter stellen Anträge auf Zugriff, wie sie wollen, der Genehmigungsprozess ist ebenfalls nicht formalisiert, und manchmal gibt es ihn einfach nicht. Es ist unmöglich, schnell zu klären, welche Zugriffsrechte ein Mitarbeiter hat, wer diese genehmigt hat und auf welcher Grundlage.

Da der Prozess der Automatisierung des Zugriffs zwei Hauptseiten berührt – die Personal- und die Daten der Informationssysteme, mit denen eine Integration aufrechterhalten werden muss, betrachten wir die Schritte, die notwendig sind, damit die Implementierung von IdM reibungslos verläuft und keine Abneigung hervorruft:

1. Analyse der Personalprozesse und Optimierung der Verwaltung von Mitarbeiterdaten in den Personalsystemen.
2. Analyse der Nutzerdaten und Berechtigungen sowie Aktualisierung der Methoden zur Verwaltung des Zugriffs in den Zielsystemen, die an das IdM angeschlossen werden sollen.
3. Organisatorische Maßnahmen und Einbeziehung des Personals in den Prozess der Vorbereitung auf die Implementierung von IdM.

Personalstammdaten

Die Quelle der Personalstammdaten in der Organisation kann eine oder mehrere sein. Zum Beispiel kann die Organisation ein recht umfangreiches Filialnetz haben, und in jeder Filiale kann eine eigene Personalbasis verwendet werden.

Zunächst muss man verstehen, welche grundlegenden Daten über Mitarbeiter im Personalverwaltungssystem gespeichert sind, welche Ereignisse erfasst werden und deren Vollständigkeit und Struktur bewerten.

Es kommt häufig vor, dass nicht alle Personalereignisse in der Personalquelle erfasst werden (und noch häufiger werden sie nicht rechtzeitig und nicht ganz korrekt erfasst). Hier sind einige typische Beispiele:

• Urlaube, deren Kategorien und Fristen (jährliche oder langfristige) werden nicht erfasst.
• Teilzeitbeschäftigung wird nicht erfasst: Beispielsweise kann ein Mitarbeiter während eines längeren Mutterschaftsurlaubs gleichzeitig in Teilzeit arbeiten.
• Der tatsächliche Status des Kandidaten oder Mitarbeiters hat sich bereits geändert (Einstellung/Umsetzung/Kündigung), während der Auftrag für dieses Ereignis mit Verzögerung erfolgt.
• Ein Mitarbeiter wird durch eine Kündigung auf eine neue feste Position versetzt, wobei im Personalverwaltungssystem keine Informationen darüber erfasst werden, dass es sich um eine technische Kündigung handelt.

Besondere Aufmerksamkeit sollte auch der Bewertung der Datenqualität gewidmet werden, da Fehler und Ungenauigkeiten, die aus einem vertrauenswürdigen Quellen stammen, nämlich den Personalverwaltungssystemen, später teuer werden und bei der Implementierung von IdM viele Probleme verursachen können. Beispielsweise geben Mitarbeiter der Personalabteilung häufig Positionen in unterschiedlichem Format in das Personalverwaltungssystem ein: Groß- und Kleinbuchstaben, Abkürzungen, unterschiedliche Anzahl von Leerzeichen und ähnliches. Infolgedessen kann die gleiche Position im Personalverwaltungssystem in den folgenden Variationen erfasst werden:

• Senior Manager
• senior manager
• s. manager
• s. manager…

Außerdem stößt man häufig auf Unterschiede in der Schreibweise von Namen:

• Schmeljova Natalia Genadievna,
• Schmeljewa Natalia Genadievna…

Für eine weitere Automatisierung ist ein solches Durcheinander inakzeptabel, zumal diese Attribute ein wichtiges Identitätsmerkmal darstellen, nämlich dass die Daten über den Mitarbeiter und seine Befugnisse in den Systemen genau nach dem vollständigen Namen abgeglichen werden.

Darüber hinaus sollte man die mögliche Existenz von Namensvettern und vollwertigen Namensgleichheiten im Unternehmen nicht vergessen. Wenn in der Organisation tausend Mitarbeiter beschäftigt sind, mag es solche Übereinstimmungen wenig geben, aber wenn es 50.000 sind, kann das ein kritisches Hindernis für die korrekte Funktionsweise des IdM-Systems darstellen.

Zusammenfassend lässt sich sagen, dass das Datenformat für die Eingabe in die Personalakte des Unternehmens standardisiert sein sollte. Die Eingabeparameter für Namen, Positionen und Abteilungen müssen klar definiert sein. Die optimale Variante ist, wenn der Personalmitarbeiter die Daten nicht manuell eingibt, sondern sie über eine zuvor erstellte Übersicht der Struktur der Abteilungen und Positionen mit der Funktion „select“, die im Personalverwaltungssystem vorhanden ist, auswählt.

Um weitere Fehler bei der Synchronisierung zu vermeiden und das manuelle Korrigieren von Abweichungen in den Berichten zu verhindern, ist die bevorzugte Methode zur Identifizierung von Mitarbeitern die Einführung einer ID für jeden Mitarbeiter der Organisation. Diese Kennung wird jedem neuen Mitarbeiter zugewiesen und sowohl in der Personalverwaltung als auch in den Informationssystemen der Organisation als obligatorisches Attribut des Kontos sichtbar sein. Es spielt keine Rolle, ob sie aus Zahlen oder Buchstaben besteht – wichtig ist, dass sie für jeden Mitarbeiter einzigartig ist (zum Beispiel verwenden viele die Personalnummer des Mitarbeiters). Zukünftig wird die Einführung dieses Attributs das Verknüpfen von Daten über einen Mitarbeiter in der Personalquelle mit seinen Konten und Berechtigungen in den Informationssystemen erheblich erleichtern.

Alle Schritte und Mechanismen der Personalverwaltung müssen also analysiert und in Ordnung gebracht werden. Es ist gut möglich, dass einige Prozesse geändert oder überarbeitet werden müssen. Das ist mühsame und gründliche Arbeit, aber sie ist notwendig, da das Fehlen klarer und strukturierter Daten zu Personalereignissen zu Fehlern bei deren automatischer Verarbeitung führen kann. Im schlimmsten Fall lassen sich unstrukturierte Prozesse überhaupt nicht automatisieren.

Zielsysteme

Im nächsten Schritt müssen wir herausfinden, wie viele Informationssysteme wir in die Struktur von IdM integrieren möchten, welche Daten über Benutzer und deren Berechtigungen in diesen Systemen gespeichert sind und wie wir mit ihnen umgehen können.

In vielen Organisationen herrscht die Meinung vor, dass wir IdM installieren, Connectoren zu den Zielsystemen konfigurieren und mit einem Zauberstab alles funktioniert, ohne zusätzlichen Aufwand unsererseits. So läuft es leider nicht. In Unternehmen entwickelt sich und wächst die Landschaft der Informationssysteme allmählich. In jedem der Systeme kann ein unterschiedlicher Ansatz zur Bereitstellung von Zugriffsrechten organisiert sein, das heißt, es sind unterschiedliche Schnittstellen für die Zugriffsverwaltung konfiguriert. An manchen Stellen erfolgt die Verwaltung über APIs (Application Programming Interfaces), an anderen über Datenbanken mithilfe von gespeicherten Prozeduren, und manchmal können Schnittstellen zum Austausch ganz fehlen. Man sollte darauf vorbereitet sein, dass viele bestehende Prozesse zur Verwaltung von Benutzerkonten und Rechten in den Systemen der Organisation überarbeitet werden müssen: Datenformate ändern, Schnittstellen im Voraus anpassen und Ressourcen für diese Arbeiten bereitstellen.

Rollenmodell

Mit dem Konzept des Rollenmodells werden Sie wahrscheinlich schon in der Phase der Auswahl des IdM-Anbieters konfrontiert, da es eines der Schlüsselkonzepte im Bereich der Zugriffsberechtigung ist. In diesem Modell erfolgt die Bereitstellung des Zugangs zu Daten über Rollen. Eine Rolle ist eine Gesamtheit von Rechten, die für einen Mitarbeiter in einer bestimmten Position minimal erforderlich sind, um seine funktionalen Aufgaben erfüllen zu können.

Die rollenbasierte Zugriffsverwaltung hat einige unbestrittene Vorteile:

• einfachheit und Effizienz bei der Zuweisung identischer Rechte an eine große Anzahl von Mitarbeitern;
• schnelle Änderung des Zugriffs für Mitarbeiter mit identischem Rechtepaket;
• Vermeidung von überflüssigen Rechten und Abgrenzung inkompatibler Befugnisse für Benutzer.

Die Rollentabelle wird zunächst separat in jedem der Systeme der Organisation erstellt und anschließend auf die gesamte IT-Landschaft skaliert, wobei aus den Rollen jedes Systems globale Geschäftsrollen gebildet werden. Zum Beispiel wird die Geschäftsrolle „Buchhalter“ mehrere separate Rollen aus den jeweiligen Informationssystemen umfassen, die in der Buchhaltung des Unternehmens verwendet werden.

In letzter Zeit gilt es als «Best Practice», bereits in der Entwicklungsphase von Anwendungen, Datenbanken und Betriebssystemen ein Rollenmodell zu erstellen. Gleichzeitig gibt es häufig Situationen, in denen in einem System keine Rollen konfiguriert sind oder sie einfach fehlen. In einem solchen Fall muss der Administrator dieses Systems die Kontodaten in mehrere verschiedene Dateien, Bibliotheken und Verzeichnisse einpflegen, die die erforderlichen Berechtigungen bereitstellen. Die Verwendung vordefinierter Rollen ermöglicht es, Berechtigungen für die Durchführung eines ganzen Komplexes von Operationen im System mit komplexen zusammengesetzten Daten zu erteilen.

Rollen in einem Informationssystem werden in der Regel für Positionen und Abteilungen gemäß der organisatorischen Struktur verteilt, können jedoch auch für spezifische Geschäftsprozesse erstellt werden. Zum Beispiel haben mehrere Mitarbeiter der Abteilung für Abrechnungen in einer Finanzorganisation dieselbe Position – Operator. Innerhalb der Abteilung gibt es jedoch auch eine Unterteilung in einzelne Prozesse, je nach verschiedenen Arten von Vorgängen (außeren oder inneren, in verschiedenen Währungen, mit verschiedenen Segmenten der Organisation). Um jeder der Geschäftsrichtungen einer Abteilung im Informationssystem den Zugang gemäß der erforderlichen Spezifik zu gewähren, ist es notwendig, Rechte in separate funktionale Rollen einzuschließen. Dies ermöglicht es, ein minimal ausreichendes Set an Befugnissen bereitzustellen, das keine übermäßigen Rechte für jede der Tätigkeitsrichtungen umfasst.

Darüber hinaus ist es für große Systeme mit Hunderten von Rollen, Tausenden von Benutzern und Millionen von Berechtigungen eine gute Praxis, eine Rollenhierarchie und Erbschaft von Berechtigungen zu verwenden. Zum Beispiel wird die Elternrolle Administrator die Berechtigungen der untergeordneten Rollen: Benutzer und Leser erben, da der Administrator alles tun kann, was der Benutzer und der Leser können, plus er zusätzliche Administratorrechte haben wird. Mit der Verwendung einer Hierarchie ist es nicht notwendig, identische Rechte in mehreren Rollen eines Moduls oder Systems erneut anzugeben.

In der ersten Phase können Rollen in den Systemen erstellt werden, in denen die mögliche Anzahl an Berechtigungskombinationen nicht sehr groß und somit die Verwaltung einer kleinen Anzahl von Rollen nicht kompliziert ist. Dies können Standardrechte sein, die allen Mitarbeitern des Unternehmens in öffentlich zugänglichen Systemen, wie dem Katalog Active Directory (AD), E-Mail-Systemen, Service Manager und ähnlichem, benötigt werden. Danach können die erstellten Rollenmuster für Informationssysteme in das allgemeine Rollensystem integriert werden, indem sie in Geschäftsrollen zusammengeführt werden.

Mit diesem Ansatz wird es bei der Implementierung der IdM-Systeme nicht schwierig sein, den gesamten Prozess der Berechtigungsvergabe basierend auf den im ersten Schritt erstellten Rollen zu automatisieren.

N.B. Es ist nicht ratsam, sofort so viele Systeme wie möglich in die Integration einzubeziehen. Systeme mit komplexerer Architektur und Struktur für die Verwaltung von Berechtigungen sollten in der ersten Phase besser in einem halbautomatischen Modus an IdM angeschlossen werden. Das bedeutet, dass auf der Grundlage von Personalereignissen nur die automatische Erstellung eines Zugriffsantrags realisiert wird, der zur Bearbeitung an den Administrator weitergeleitet wird, damit dieser die Berechtigungen manuell einrichten kann.

Nach erfolgreichem Abschluss der ersten Phase kann die Funktionalität des Systems auf neue erweiterte Geschäftsprozesse ausgeweitet, eine vollständige Automatisierung und Skalierung mit der Anbindung zusätzlicher Informationssysteme umgesetzt werden.

Mit anderen Worten, um sich auf die Implementierung von IdM vorzubereiten, muss die Bereitschaft der Informationssysteme für den neuen Prozess bewertet und gegebenenfalls die externen Schnittstellen für die Verwaltung von Konten und Benutzerrechten überarbeitet werden, wenn solche Schnittstellen in den Systemen fehlen. Zudem sollte die schrittweise Erstellung von Rollen in Informationssystemen für ein umfassendes Zugriffsmanagement durchdacht werden.

Organisatorische Maßnahmen

Man sollte auch die organisatorischen Aspekte nicht außer Acht lassen. In einigen Fällen können sie entscheidend sein, da das effektive Zusammenspiel zwischen den Abteilungen oft den Erfolg des gesamten Projekts beeinflusst. Daher empfehlen wir in der Regel, im Unternehmen ein Team für den Prozess zu bilden, in das alle beteiligten Abteilungen einbezogen werden. Da dies eine zusätzliche Belastung für die Mitarbeiter bedeutet, ist es ratsam, allen zukünftigen Beteiligten ihre Rolle und Bedeutung innerhalb der Interaktionsstruktur im Vorfeld klar zu machen. Wenn es gelingt, den Kollegen zu diesem Zeitpunkt die Idee des IdM zu „verkaufen“, lassen sich viele Schwierigkeiten in der Zukunft vermeiden.

Häufig sind die „Eigentümer“ des IdM-Einführungsprojekts in Unternehmen die Abteilungen für Informationssicherheit oder IT, während die Meinungen der Fachabteilungen nicht berücksichtigt werden. Das ist ein großer Fehler, denn nur sie wissen, wie und in welchen Geschäftsprozessen jede Ressource verwendet wird, wer darauf zugreifen darf und wer nicht. Daher ist es in der Vorbereitungsphase wichtig klarzustellen, dass der Geschäftsinhaber für das funktionale Modell verantwortlich ist, anhand dessen die Benutzerrechte (Rollen) im Informationssystem entwickelt werden, sowie dafür, dass diese Rollen aktuell gehalten werden. Das Rollenkonzept ist keine statische Matrix, die einmal erstellt wurde und damit zufrieden sein kann. Es ist ein „lebender Organismus“, der sich ständig ändern, aktualisieren und weiterentwickeln muss, um mit den Veränderungen in der Organisationsstruktur und den Aufgaben der Mitarbeiter Schritt zu halten. Andernfalls können entweder Probleme bei der Zugangsgewährung entstehen oder es gibt Risiken im Bereich der Informationssicherheit durch übermäßige Zugriffsrechte, was noch schlimmer wäre.

Wie bekannt ist, führt eine Vielzahl von Beteiligten oft zu Chaos, daher sollte ein Unternehmen eine Methodologie entwickeln, die die Architektur des Rollenmodells, die Interaktionen und die Verantwortlichkeiten der einzelnen Prozessbeteiligten beschreibt, um dessen Aktualität zu gewährleisten. Wenn das Unternehmen viele verschiedene Geschäftsbereiche hat und dementsprechend zahlreiche Abteilungen und Fachbereiche existieren, ist es notwendig, für jedes Geschäftsfeld (wie beispielsweise Kredite, operative Tätigkeiten, Fernservices, Compliance und andere) im Rahmen des Rollenmanagementprozesses spezielle Kuratoren zu benennen. Über diese können Informationen über Änderungen in der Struktur der Abteilung und die für jede Rolle erforderlichen Zugriffsrechte schnell eingeholt werden.

Es ist unerlässlich, die Unterstützung des Managements der Organisation zu gewinnen, um Konflikte zwischen den beteiligten Abteilungen zu lösen. Konflikte sind bei der Einführung eines neuen Prozesses unvermeidlich, das können wir aus Erfahrung bestätigen. Daher ist ein Schlichter notwendig, der mögliche Interessenkonflikte löst, um keine Zeit aufgrund von Missverständnissen oder Sabotage zu verlieren.

N.B. Eine gute Maßnahme zur Steigerung der Sensibilisierung wird die Schulung der Mitarbeiter sein. Eine detaillierte Auseinandersetzung mit dem zukünftigen Prozess und der Rolle jedes Teilnehmers wird dazu beitragen, die Herausforderungen beim Übergang zu einer neuen Lösung zu minimieren.

Checkliste

Zusammenfassend fassen wir die wichtigsten Schritte zusammen, die eine Organisation planen sollte, um IdM einzuführen:

• Ordnung in den Personaldaten schaffen;
• eine eindeutige Identifikationsparameter für jeden Mitarbeiter einführen;
• die Bereitschaft der Informationssysteme zur Einführung von IdM bewerten;
• Schnittstellen zur Verwaltung des Zugriffs mit Informationssystemen entwickeln, falls diese fehlen, und Ressourcen für diese Arbeiten bereitstellen;
• ein Rollenmodell entwickeln und aufbauen;
• den Prozess des Rollenmodellmanagements etablieren und Kuratoren aus jedem Geschäftsbereich einbeziehen;
• einige Systeme für die erste Anbindung an IdM wählen;
• ein effektives Projektteam bilden;
• die Unterstützung des Unternehmensmanagements sichern;
• die Mitarbeiter schulen.

Der Vorbereitungsprozess kann mühsam sein, daher ist es ratsam, Berater hinzuzuziehen, wenn möglich.

Die Implementierung einer IdM-Lösung ist ein komplexer und verantwortungsvoller Schritt. Für den erfolgreichen Abschluss sind sowohl die Bemühungen jeder einzelnen Partei – der Mitarbeiter der Fachabteilungen, der IT- und der Sicherheitsdienste – als auch die Zusammenarbeit des gesamten Teams von entscheidender Bedeutung. Aber die Anstrengungen zahlen sich aus: Nach der Implementierung von IdM in einem Unternehmen sinkt die Zahl der Vorfälle, die mit übermäßigen Befugnissen und unautorisierten Rechten in Informationssystemen verbunden sind; Mitarbeiter müssen nicht mehr auf die notwendigen Rechte warten oder haben kein Stillstandsrisiko mehr; durch Automatisierung sinken die Arbeitsaufwände und die Produktivität der IT- und Sicherheitsdienste steigt.

Quelle: habr.com