Varasemates artiklites oleme juba käsitlenud, mis on IdM, kuidas mõista, kas teie organisatsioon vajab sellist süsteemi, milliseid ülesandeid see lahendab ja kuidas põhjendada eelarvet süsteemi juurutamiseks juhtkonnale. Täna räägime olulistest etappidest, mille peab organisatsioon läbima, et saavutada vajalik küpsustase enne IdM süsteemi juurutamist. Lõppude lõpuks on IdM mõeldud protsesside automatiseerimiseks, aga kaost ei saa automatiseerida.
Enne seda, kui ettevõte kasvanud suurteks ettevõteteks ja kogunud mitmesuguseid ärisüsteeme, ei mõtle ta tavaliselt juurdepääsu juhtimisele. Seetõttu ei ole ligipääsu saamise ja volituste kontrollimise protsessid struktureeritud ning raskesti analüüsitavad. Töötajad esitavad ligipääsu taotlusi, kuidas iganes tahavad, korraldamise protsess ei ole formaliseeritud ja mõnikord pole seda üldse olemas. On keeruline kiiresti mõista, millised ligipääsud töötajal on, kes need on heaks kiitnud ja millisel alusel.
Arvestades, et juurdepääsu automatiseerimise protsess hõlmab kahte põhialust – töötajate andmed ja infotehnoloogia süsteemide andmed, millega tuleb integreerimine läbi viia, vaatleme samme, mis on vajalikud, et IdM-i juurutamine kulgeks sujuvalt ja ei tooks kaasa vastupanu:
- Töötajate protsesside analüüs ja andmebaasi haldamise optimeerimine personalisüsteemides.
- Kasutajate ja õiguste andmete analüüs ning juurdepääsu haldamise meetodite ajakohastamine sihtsüsteemides, mis plaanitakse IdM-iga ühendada.
- Organisatsioonilised meetmed ja töötajate kaasamine IdM-i juurutamise ettevalmistamise protsessi.
Töötajate andmed
Töötajate andmete allikas organisatsioonis võib olla üks või ka mitu. Näiteks võib organisatsioonil olla piisavalt suur filiaalide võrk, kus igas filiaalis kasutatakse oma personalibaasi.
Esiteks on oluline mõista, millised põhiteated töötajate kohta on personalihalduse süsteemis talletatud, millised sündmused fikseeritakse ning hinnata nende täielikkust ja struktuuri.
Tihti juhtub, et mitte kõik personaliüritused ei kajastu personaliallikas (ja veelgi sagedamini kajastatakse neid ebaõigesti ja mitte õigeaegselt). Siin on mõned tüüpilised näited:
- puhkusi, nende kategooriaid ja tähtaegu (tavalised või pikaajalised) ei fikseerita;
- osalist tööhõivet ei fikseerita: näiteks võib töötaja, kes on pikkadel vanemapuhkusel, töötada samal ajal osalise koormusega;
- kandidaadi või töötaja tegelik staatuse muutus (vastuvõtt/ülevaatus/lahkumine) toimub, kuid selle sündmuse korraldus väljastatakse hilinemisega;
- töötaja ümberpaigutatakse uuele ametikohale läbi lahkumise, samas ei kajastu personaliinfos, et tegemist on tehnilise lahkumisega.
Samuti väärib erilist tähelepanu andmete kvaliteedi hindamine, kuna kõik vead ja ebatäpsused, mis on saadud usaldusväärsest allikast, nagu näiteks personalihaldussüsteemid, võivad hiljem osutuda kulukaks ja põhjustada mitmeid probleeme IdM-i juurutamisel. Näiteks sisestavad personalitöö töötajad sageli ametikohti personalisüsteemi erinevates vormingutes: suured ja väikesed tähed, lühendid, erinev arv tühikuid ja nii edasi. Tulemuseks on, et sama ametikoht võib olema registreeritud personalisüsteemis järgmistes variatsioonides:
- Vanemhaldur
- vanemhaldur
- v.haldur
- v. haldur…
Tavaliselt tuleb ette ka erinevusi F.I.O. kirjutamises:
- Šmeljova Natalia Genadjevna,
- Šmeljova Natalia Genadjevna…
Edasise automatiseerimise jaoks on selline segadus vastuvõetamatu, eriti kui need atribuudi on identifitseerimise võtmeomadused, st töötaja andmeid ja tema volitusi süsteemides võrreldakse just F.I.O. kaudu.
Lisaks ei tohiks unustada, et ettevõttes võivad olla samanimelised ja samade nimekujude inimesed. Kui organisatsioonis töötab tuhat töötajat, siis ei pruugi selliseid juhtumeid palju olla, kuid kui töötajaid on 50 tuhat, võib see osutuda kriitiliseks takistuseks IdM-süsteemi nõuetekohaseks toimimiseks.
Kokkuvõttes järeldame, et organisatsiooni töötajate andmebaasi sisestamise formaat peab olema standardiseeritud. Nime, ametikohtade ja osakondade sisestamise parameetrid peavad olema selgelt määratletud. Optimaalne lahendus on see, et personalitöötaja ei sisesta andmeid käsitsi, vaid valib need ettevalmistatud osakondade ja ametikohtade registeridest läbi "select" funktsiooni, mis on olemas personalibaasis.
Edasiste sünkroniseerimisvigade vältimiseks ja aruannete erinevuste käsitsi parandamise vältimiseks on töötajate tuvastamise kõige eelistatum viis ID sisestamine. iga töötaja jaoks organisatsioonis. Selline identifikaator antakse igale uuele töötajale ning see ilmub nii personalisüsteemis kui ka organisatsiooni infosüsteemides kohustusliku kontovaldaja atribuudi osana. Pole tähtis, kas see koosneb numbritest või tähtedest, — oluline on, et iga töötaja identifikaator oleks ainulaadne (näiteks paljud kasutavad töötaja töötasu numbrit). Selle atribuudiga sisseviimine muudab hiljem töötaja andmete sidumise personali allikast tema kontode ja õiguste infosüsteemides palju lihtsamaks.
Nii tuleb analüüsida kõiki personalihalduse samme ja mehhanisme ning need korda ajada. On täiesti võimalik, et teatud protsesse on vaja muuta või täiustada. See on väsitav ja põhjalik töö, kuid see on vajalik, vastasel juhul toob selgete ja struktureeritud andmete puudumine personaliürituste kohta kaasa vigu nende automaatsetes töötlemistes. Halvimal juhul on struktureerimata protsesse täielikult võimatu automatiseerida.
Sihtsüsteemid
Järgmisena tuleb selgeks teha, kui palju infosüsteeme soovime IdM struktuuriga integreerida, milliseid andmeid kasutajate ja nende õiguste kohta nendes süsteemides säilitatakse ning kuidas nendega hallata.
Paljudes organisatsioonides eksisteerib arusaam, et me lihtsalt installime IdM, seadistame ühendused sihtsüsteemidega ja nagu maagilise pulgaga, hakkab kõik tööle, ilma täiendavate pingutusteta meie poolt. Kahjuks ei toimu see nii. Ettevõtetes areneb ja kasvab infosüsteemide maastik järk-järgult. Igas süsteemis võib olla erinev lähenemine juurdepääsuõiguste andmisele, see tähendab, et juurdepääsu haldamiseks on seadistatud erinevad liidesed. Kusagil toimub haldamine API (rakendusprogrammide liides) kaudu, kusagil andmebaasi kaudu, kasutades salvestatud protseduure, ja kusagil võivad isegi suhtlemise liidesed puududa. Tuleb olla valmis selleks, et tuleb ümber vaadata paljusid olemasolevaid kontoprotsesside ja õiguste haldamise protsesse organisatsiooni süsteemides: muuta andmeformaat, eelnevalt töötada välja suhtlemise liidesed ja eraldada ressursid nende tööde jaoks.
Rollimudel
Rollimudeli mõistega kohtate tõenäoliselt juba IdM-ratkaudi valimise etapis, kuna see on üks võtmemõisted juurdepääsu haldamise valdkonnas. Selles mudelis antakse juurdepääs andmetele läbi rolli. Roll on ligipääsude kogum, mis on minimaalne vajalik, et töötajal teatud ametikohal oleks võimalik oma tööülesandeid täita.
Rollipõhine juurdepääsu haldamine omab rida vaieldamatuid eeliseid:
- kergendus ja efektiivsus sama õiguste määramise suures hulk töötajaid;
- töötajate juurdepääsu kiire muutmine, kellel on sama õiguste kogum;
- õiguste liigsete määramiste välistamine ja vastuolus olevate volituste eristamine kasutajate jaoks.
Rollide maatriks ehitatakse alustuseks eraldi igas organisatsiooni süsteemis ning seejärel laiendatakse kogu IT-maastikule, kus iga süsteemi rollidest moodustatakse globaalsed ärilised rollid. Näiteks äriline roll "Raamatupidaja" sisaldab mitmeid eraldi rolle iga teabele süsteemi raames, mida ettevõtte raamatupidamises kasutatakse.
Viimastel aastatel peetakse parimaks tavaks rakenduste, andmebaaside ja operatsioonisüsteemide arendusprotsessis luua rollimudel. Samas esinevad sageli ka olukorrad, kus süsteemis rolle ei ole seadistatud või need puuduvad täiesti. Sel juhul peab süsteemi administraator sisestama kontoandmed mitmesse erinevasse faili, teeki ja kataloogi, mis annavad vajalikud õigused. Eelnevalt määratletud rollide kasutamine võimaldab anda privileege kogu hulga süsteemi keerukate koosolekute teostamiseks.
Infosüsteemis jagatakse rollid tavaliselt ametikohtade ja osakondade järgi, kuid neid saab luua ka teatud äriprotsesside jaoks. Näiteks finantsorganisatsioonis täidavad mitu arveldusosakonna töötajat sama ametikohta – operaator. Kuid osakonnas on ka jaotamine erinevatesse protsessidesse, erinevat tüüpi toimingutesse (välised või sisemised, erinevates valuutades, erinevate organisatsiooni segmentidega). Et igaühele selle osakonna ärisuundadest anda ligipääs infosüsteemis vajaliku spetsiifika järgi, tuleb õigusi kaasata eraldi funktsionaalsetesse rollidesse. See võimaldab osutada minimaalset vajalike õiguste komplekti, mitte sisaldades liigseid õigusi, iga ärisuuna jaoks.
Lisaks on suurte süsteemide puhul, kus on sadu rolle, tuhandeid kasutajaid ja miljoneid õigusi, hea tava kasutada rollihierarhiat ja õiguste pärimist. Näiteks emarolle Administraator pärib tütarollide õigused: Kasutaja ja Loeja, kuna Administraator saab teha kõike, mida Kasutaja ja Loeja, pluss omab täiendavaid administraatori õigusi. Hierarhia kasutamine kõrvaldab vajaduse määrata sama õigust mitu korda ühe mooduli või süsteemi erinevates rollides.
Esimeses etapis on võimalik luua rolle nendes süsteemides, kus võimalike õiguste kombinatsioonide arv ei ole liiga suur ja seetõttu on lihtne hallata väikest hulka rolle. Need võivad olla tüüpilised õigused, mis on vajalikud kõigile ettevõtte töötajatele, näiteks avalikes süsteemides, nagu Active Directory (AD) kataloog, postisüsteemid, Teenuse Halduse Manager ja sarnased. Seejärel saab loodud rollimatrikseid teabe süsteemide alusel integreerida üldisse rollimudelisse, ühendades need ärirollideks.
Sellise lähenemisega on IdM-süsteemi rakendamisel lihtne automatiseerida kogu juurdepääsuõiguste määramise protsess, lähtudes esimeses etapis loodud rollidest.
N.B. Ärge püüdke kohe integreerida võimalikult palju süsteeme. Kompleksemate arhitektuuri ja juurdepääsuõiguste haldamise struktuuriga süsteeme on parem esimesel etapil IdM-iga poolautomaatse režiimi kaudu ühendada. See tähendab, et töötajate sündmuste põhjal rakendatakse automaatne juurdepääsutaotluse genereerimine, mis saadetakse täitmiseks administraatorile, kes seadistab õigused käsitsi.
Pärast edukat esimest etappi saab süsteemi funktsionaalsust laiendada uutele keerukatele äriprotsessidele, teostada täielikku automatiseerimist ja skaleerimist, ühendades täiendavaid infosüsteeme.
Teisisõnu, et valmistuda IdM rakendamiseks, tuleb hinnata teabehaldusvahendite valmisolekut uue protsessi jaoks ning eelnevalt kohandada kasutajaarvestuse ja õiguste haldamise välised suhtlusliidesed, kui süsteemis sellised liidesed puuduvad. Samuti tuleks töösse võtta küsimus, kuidas järk-järgult luua rolle teabehaldusvahendites, et tagada kompleksne juurdepääsu haldus.
Organisatsioonilised meetmed
Ärge alahindage ka organisatsioonilisi aspekte. Mõningatel juhtudel võivad need mängida otsustavat rolli, kuna tõhus koostöö osakondade vahel sõltub sageli kogu projekti tulemusest. Seetõttu soovitame tavaliselt luua organisatsioonis osalejate meeskond, kuhu kuuluvad kõik kaasatud osakonnad. Kuna see on lisakoormus inimeste jaoks, püüdke eelnevalt selgitada kõigile osalistele nende rolli ja tähtsust suhtluse struktuuris. Kui suudate kolleegidele IdM mõtte sellisel etapil „müüa“, on võimalik vältida palju keerukusi hiljem.
Tihti on ettevõtte IdM-i rakendamise 'omanikeks' infotehnoloogia või IT-osakonnad, samas kui äriüksuste arvamust ei võeta arvesse. See on suur viga, kuna ainult nemad teavad, kuidas ja millistes äriprotsessides iga ressurssi kasutatakse, kellele tuleb sellele juurdepääs anda ja kellele mitte. Seetõttu on ettevalmistusetapis oluline rõhutada, et just äriomanik vastutab funktsionaalse mudeli eest, mille põhjal luuakse kasutajate õiguste (rollide) kogumid infosüsteemis ning selle eest, et need rollid püsivad ajakohasena. Rollimudel ei ole staatiline maatriks, mille olete kunagi ette valmistanud ja millega saab rahul olla. See on 'elav organism', mis peab pidevalt muutuma, uuenduma ja arenema, järgides organisatsiooni struktuuri ja töötajate funktsionaalsuse muutusi. Muidu võivad tekkida probleemid juurdepääsu andmise viibimisega või tekitada infotehnoloogia turvalisuse riske, mis on seotud üleliigsete juurdepääsuõigustega, mis on veelgi hullem.
Nagu teada, on «seitsme lapsehoidjaga laps ilma silmata», seetõttu peaks ettevõttes olema välja töötatud metoodika, mis kirjeldab rollimudeli arhitektuuri, osalejate vahelist suhtlemist ja vastutust selle ajakohasena hoidmise eest. Kui ettevõttes on palju ärisuundi ja vastavalt palju osakondi ja departemente, tuleks igas suunas (näiteks laenude andmine, operatiivtööd, kaugteenused, vastavus ja teised) rollipõhise juurdepääsu haldamise protsessis määrata eraldi kuraatorid. Nende kaudu saab kiiresti teavet osakonna struktuuri ja juurdepääsuõiguste muutuste kohta, mis on vajalikud iga rolli jaoks.
Kindlasti tuleb saada organisatsiooni juhtkonna toetus konfliktiolukordade lahendamiseks osakondade vahel – protsessi osalejate vahel. Ja konfliktid, mis tekivad enamiku uute protsesside rakendamisel, on paratamatud, uskuge meie kogemusele. Seetõttu on vajalik vahendaja, kes lahendab võimalikke huvide konflikte, et mitte kaotada aega kellegi valearusaamade ja sabotaaži tõttu.
N.B. Hea algatus teadlikkuse tõstmiseks on töötajate koolitamine. Detailne tulevase protsessi toimimise uurimine ja iga osaleja rolli mõistmine võimaldab minimeerida uue lahenduse kasutuselevõtuga seotud raskusi.
Kontrollnimekiri
Kokkuvõtteks vaatame üle peamised sammud, mida organisatsioon peaks võtma, kui plaanib IdM-i rakendamist:
- koondada personalialased andmed;
- sisse viia iga töötaja jaoks ainulaadne identifitseerimisparameeter;
- hinnata infotehnoloogia süsteemide valmisolekut IdM-i rakendamiseks;
- arendada välja interaktsiooniliidesed infotehnoloogia süsteemidega juurdepääsu haldamiseks, kui neid pole, ning eraldada ressursid nende tegemiseks;
- välja töötada ja luua rollimudel;
- ehitada üles rollimudeli haldamise protsess ja kaasata sellesse iga äriüksuse kuraatoreid;
- valida mitu süsteemi IdM-i esialgseks ühendamiseks;
- luua tõhus projektigrupp;
- saada ettevõtte juhtkonna toetus;
- koolitada töötajaid.
Ettevalmistusprotsess ei pruugi olla lihtne, seetõttu, kui on võimalus, kaasake konsultante.
IdM lahenduse juurutamine on keeruline ja vastutustundlik samm. Selle edukaks elluviimiseks on olulised mitte ainult iga osapoole, sealhulgas äriüksuste, IT- ja turvateenistuste, päringud, vaid ka kogu meeskonna koostöö. Kuid pingutused on seda väärt: pärast IdM-i juurutamist ettevõttes väheneb üleliigsete volituste ja volitamata õigustega seotud intsidentide arv infotehnoloogilistes süsteemides; töötajate seiskumised, mis on põhjustatud vajalike õiguste puudumisest või pika ootamise tõttu, kaovad; automatiseerimise kaudu vähenevad tööjõukulud ja suureneb IT- ja turvateenistuste töö tõhusus.
Allikas: habr.com
