U prethodnim člancima već smo razmatrali što je IdM, kako shvatiti treba li vašoj organizaciji takav sustav, koje zadatke rješava i kako opravdati budžet za implementaciju pred vodstvom. Danas ćemo razgovarati o važnim koracima koje sama organizacija mora proći kako bi postigla odgovarajući nivo zrelosti prije implementacije IdM sustava. Naime, IdM ima za cilj automatizirati procese, a automatizirati kaos je nemoguće.
Do trenutka kada tvrtka naraste do veličine velikog poduzeća i prikupi mnoge različite poslovne sustave, obično ne razmišlja o upravljanju pristupom. Stoga su procesi dobivanja prava i kontrole ovlasti često nestrukturirani i slabo podložni analizi. Zaposlenici podnose zahtjeve za pristup na razne načine, proces odobravanja također nije formaliziran, a ponekad ga jednostavno nema. Teško je brzo shvatiti koje pristupe zaposlenik ima, tko ih je odobrio i na kojem je osnovu.
Uz to što proces automatizacije pristupa obuhvaća dvije glavne strane – osobne podatke i podatke informatičkih sustava s kojima će se provesti integracija, razmotrit ćemo korake potrebne za to da implementacija IdM prođe glatko i ne izazove odbacivanje:
- Analiza osobnih procesa i optimizacija praćenja baze podataka zaposlenika u kadrovskim sustavima.
- Analiza podataka o korisnicima i pravima, kao i ažuriranje načina upravljanja pristupom u ciljanim sustavima koje se planiraju povezati s IdM-om.
- Organizacijske aktivnosti i uključivanje osoblja u proces pripreme za implementaciju IdM-a.
Osobni podaci
Izvor osobnih podataka u organizaciji može biti jedan ili više. Na primjer, organizacija može imati široku mrežu podružnica, a svaka podružnica može koristiti svoju bazu osobnih podataka.
Prije svega, potrebno je razumjeti koji se osnovni podaci o zaposlenicima pohranjuju u sustavu kadrovskog računovodstva, koja se događanja bilježe, te ocijeniti njihovu potpunost i strukturu.
Često se dogodi da nisu svi kadrovski događaji zabilježeni u kadrovskom izvoru (a još češće se bilježe nepravovremeno i ne sasvim točno). Evo nekoliko tipičnih primjera:
- ne bilježe se godišnji odmori, njihove kategorije i datumi (redovni ili dugotrajni);
- ne bilježi se djelomična zaposlenost: na primjer, dok je na dugotrajnom odmoru radi brige o djetetu, zaposlenik može istovremeno raditi s nepunim radnim vremenom;
- stvarni status kandidata ili zaposlenika se već promijenio (prihvat/premještaj/otkaz), a nalog o ovom događaju izlazi s kašnjenjem;
- zaposlenik se premješta na novu poziciju preko otkaza, pri čemu se u kadrovskoj evidenciji ne bilježi informacija da se radi o tehničkom otkazu.
Također je važno posvetiti posebnu pozornost procjeni kvalitete podataka, jer sve pogreške i netočnosti, dobijene iz pouzdanog izvora, a to su sustavi za vođenje kadrova, mogu kasnije skupo koštati i uzrokovati mnoge probleme prilikom implementacije IdM-a. Na primjer, zaposlenici kadrovskih službi često unose pozicije zaposlenika u kadrovsku bazu u različitim formatima: velika i mala slova, skraćenice, različit broj razmaka i slično. Kao rezultat, ista pozicija može biti zabilježena u kadrovskoj evidenciji u sljedećim varijacijama:
- Viši menadžer
- viši menadžer
- v.menadžer
- v. menadžer…
Često se susrećemo i s razlikama u pisanju imena i prezimena:
- Šmeljova Natalija Genadijevna,
- Šmeljeva Natalija Genadijevna…
Za daljnju automatizaciju takav haos nije prihvatljiv, pogotovo ako su ti atributi ključni za identifikaciju, to jest podaci o zaposleniku i njegovim ovlastima u sustavima se uspoređuju upravo po imenu i prezimenu.
Osim toga, ne treba zaboraviti na mogućnost postojanja istih prezimena i potpune sličnosti među zaposlenicima unutar kompanije. Ako u organizaciji ima tisuću zaposlenika, takvih podudarnosti može biti malo, a ako ih je 50 tisuća, to može postati kritična prepreka za ispravan rad IdM sustava.
Sažimajući sve prethodno navedeno, donosimo zaključak: format unosa podataka u kadrovsku bazu organizacije mora biti standardiziran. Parametri unosa imena i prezimena, pozicija i odjela trebaju biti jasno definirani. Optimalna opcija je kada kadrovski radnik ne unosi podatke ručno, već ih odabire iz unaprijed kreiranog priručnika strukture odjela i pozicija putem funkcije „select”, koja je dostupna u kadrovskoj bazi.
Kako bismo izbjegli daljnje greške u sinkronizaciji i ne bismo se morali baviti ručnim ispravljanjem razlika u izvještajima, najpreporučiviji način identifikacije zaposlenika je uvođenje ID-a za svakog radnika organizacije. Taj identifikator bit će dodijeljen svakom novom zaposleniku i pojavljivat će se i u kadrovskoj te u informatičkim sustavima organizacije kao obavezna atribut računa. Nije važno jesu li to brojevi ili slova — najvažnije je da za svakog zaposlenika bude jedinstven (na primjer, mnogi koriste evidencijski broj zaposlenika). U budućnosti će uvođenje ovog atributa znatno olakšati povezivanje podataka o zaposleniku u kadrovskom izvoru s njegovim računima i ovlastima u informatičkim sustavima.
Dakle, sve korake i mehanizme kadrovskog računovodstva treba analizirati i urediti. Sasvim je moguće da će neki procesi trebati promijeniti ili doraditi. To je iscrpan i mukotrpan posao, ali je neophodan; inače, nedostatak jasnih i strukturiranih podataka o kadrovskim događajima dovest će do grešaka pri njihovoj automatskoj obradi. U najgorem slučaju, nestrukturirani procesi neće moći biti automatizirani.
Ciljne sustave
U sljedećem koraku potrebno je utvrditi koliko informatičkih sustava želimo integrirati u strukturu IdM, koji se podaci o korisnicima i njihovim pravima pohranjuju u tim sustavima te kako njima upravljati.
U mnogim organizacijama prevladava mišljenje da ćemo, čim postavimo IdM, konfigurirati konektore za ciljne sustave, i uz mahnitost čarobne palice sve će proraditi, bez dodatnih napora s naše strane. Nažalost, to ne funkcioniše tako. U kompanijama se pejzaž informatičkih sustava postupno razvija i povećava. U svakom od tih sustava može postojati različit pristup upravljanju pravima pristupa, odnosno podešeni su različiti interfejsi za upravljanje pristupom. Negdje se upravljanje odvija putem API-ja (interfejs za programiranje aplikacija), negdje putem baze podataka uz pomoć pohranjenih procedura, a negdje čak i interfejsi za interakciju mogu potpuno nedostajati. Treba biti spreman na to da će biti potrebno preispitati mnoge postojeće procese upravljanja računima i pravima u sistemima organizacije: promijeniti format podataka, unaprijed prilagoditi interfejse za interakciju i odrediti resurse za te radove.
Uloga modela
S pojmom uloga modela susrest ćete se, vjerojatno, već u fazi odabira dobavljača IdM rješenja, jer je to jedno od ključnih pojmova u području upravljanja pravima pristupa. U ovom modelu, pristup podacima se pruža putem uloge. Uloga je skup prava koja su minimalno potrebna da bi zaposlenik na određenoj poziciji mogao obavljati svoje funkcionalne obaveze.
Upravljanje pristupom putem uloga ima nekoliko neospornih prednosti:
- jednostavnost i efikasnost dodjele istih prava velikom broju zaposlenika;
- brza izmjena pristupa zaposlenika koji imaju isti skup prava;
- isključivanje suvišnosti prava i razdvajanje nespojivih ovlasti za korisnike.
Matrica uloga se najprije formira odvojeno u svakom od sistema organizacije, a zatim se skalira na cijeli IT pejzaž, gdje se od uloga svakog sistema formiraju globalne poslovne uloge. Na primjer, poslovna uloga "Računovođa" uključivat će nekoliko odvojenih uloga iz svake od informatičkih sistema koji se koriste u računovodstvu preduzeća.
U posljednje vrijeme se smatra „najboljom praksom“ već u fazi razvoja aplikacija, baza podataka i operativnih sustava stvaranje modela uloga. Istodobno, nisu rijetke situacije kada u sustavu uloge nisu postavljene ili ih jednostavno nema. U tom slučaju, administrator sustava mora unijeti podatke o korisničkom računu u nekoliko različitih datoteka, biblioteka i direktorija koji pružaju potrebne dozvole. Korištenje unaprijed definiranih uloga omogućava davanje privilegija za izvođenje cijelog niza operacija u sustavu sa složenim sastavnim podacima.
Uloge u informacijskom sustavu obično se raspodjeljuju prema radnim mjestima i odjelima unutar organizacijske strukture, ali se mogu stvoriti i za određene poslovne procese. Na primjer, u financijskoj organizaciji nekoliko zaposlenika u odjelu obračuna obnaša istu funkciju – operater. No, unutar odjela postoji i raspodjela na zasebne procese, po različitim vrstama operacija (vanjske ili unutarnje, u različitim valutama, s različitim segmentima organizacije). Da bi se svakom od poslovnih smjerova unutar odjela omogućio pristup informacijskom sustavu prema potrebnoj specifičnosti, potrebno je uključiti prava u zasebne funkcionalne uloge. To će omogućiti osiguranje minimalnog skupa ovlasti, bez uključivanja suvišnih prava, za svaki od smjerova djelovanja.
Osim toga, za velike sustave sa stotinama uloga, tisućama korisnika i milijunima dozvola, dobra praksa je korištenje hijerarhije uloga i nasljeđivanja privilegija. Na primjer, roditeljska uloga Administrator nasljeđuje privilegije dječjih uloga: Korisnika i Čitatelja, budući da Administrator može raditi sve ono što može i Korisnik i Čitatelj, plus će imati dodatna administratorska prava. Korištenjem hijerarhije nema potrebe ponovno navoditi iste prava u više uloga unutar jednog modula ili sustava.
U prvom koraku moguće je stvoriti uloge u onim sustavima gdje je moguće broj kombinacija prava relativno mali, te kao posljedica nije teško upravljati malim brojem uloga. To mogu biti standardna prava koja su potrebna svim zaposlenicima tvrtke, u javnim sustavima poput Active Directory (AD) kataloga, poštanskih sustava, Service Managera i sličnih. Nakon toga, stvorene uloge matrica po informacijskim sustavima mogu se uključiti u ukupni model uloga, spajajući ih u poslovne uloge.
Koristeći takav pristup, daljnje uvođenje IdM sustava olakšat će automatizaciju cijelog procesa dodjeljivanja prava pristupa na temelju uloga stvorenih u prvom koraku.
Napomena. Ne treba pokušavati odmah uključiti što više sustava u integraciju. Sustavi s kompleksnijom arhitekturom i strukturom upravljanja pravima pristupa bolje je na prvom koraku povezati s IdM-u u poluautomatskom modu. To znači da se na temelju kadrovskih događaja može realizirati samo automatsko formiranje zahtjeva za pristup, koji će biti proslijeđen administratoru na izvršenje, a on će ručno postaviti prava.
Nakon uspješnog završetka prvog koraka, moguće je proširiti funkcionalnost sustava na nove proširene poslovne procese, provesti potpunu automatizaciju i skaliranje povezivanjem dodatnih informacijskih sustava.
Drugim riječima, kako bi se pripremili za uvođenje IdM-a, potrebno je ocijeniti spremnost informacijskih sustava za novi proces i prethodno doraditi vanjske sučelje interakcije za upravljanje korisničkim računima i pravima, ukoliko takva sučelja u sustavu nedostaju. Također, treba razraditi pitanje postupnog stvaranja uloga u informacijskim sustavima za sveobuhvatno upravljanje pristupom.
Organizacijske aktivnosti
Ne treba zaboraviti ni organizacijske aspekte. U nekim slučajevima oni mogu igrati ključnu ulogu, jer je uspjeh cijelog projekta često ovisan o učinkovitom međusobnom djelovanju odjela. Zato obično savjetujemo da u organizaciji formirate tim sudionika u procesu, koji će uključivati sve uključene odjele. Budući da je to dodatno opterećenje za ljude, pokušajte unaprijed objasniti svim sudionicima budućeg procesa njihovu ulogu i važnost u strukturi suradnje. Ako na ovoj etapi uspijete „prodati” kolegama ideju IdM, možete izbjeći mnoge komplikacije u budućnosti.
Često su „vlasnici” projekta implementacije IdM u tvrtki odjeli informacijske sigurnosti ili IT, dok se mišljenje poslovnih odjela ne uzima u obzir. To je velika greška, jer jedino oni znaju na koji način i u kojim poslovnim procesima se koristi svaki resurs, kome treba dati pristup, a kome ne. Stoga je u fazi pripreme važno naglasiti da je poslovni vlasnik odgovoran za funkcionalni model, na temelju kojeg se razvijaju setovi prava (uloga) korisnika u informacijskoj sustavu, kao i za održavanje ovih uloga ažuriranim. Model uloga nije statična matrica koju ste jednom postavili i potom mirno spavali. To je „živ organizam” koji se mora stalno mijenjati, ažurirati i razvijati, prateći promjene u strukturi organizacije i funkcionalnosti zaposlenika. Inače, mogu započeti problemi vezani za kašnjenja u odobravanju pristupa ili se mogu pojaviti rizici informacijske sigurnosti uzrokovani prekomjernim pravima pristupa, što je još gore.
Kao što je poznato, "gdje ima sedam dadilja, dijete ostaje bez oka", zato bi u tvrtki trebala biti razvijena metodologija koja opisuje arhitekturu uloge, interakciju i odgovornosti konkretnih sudionika u procesu kako bi se osigurala njihova ažurnost. Ako tvrtka ima mnogo pravaca poslovanja, a samim time i mnoštvo odjela i sektora, za svaki pravac (na primjer, kreditiranje, operativni rad, daljinske usluge, usklađenost i druge) treba imenovati posebne kordinatora unutar procesa upravljanja pristupom. Kroz njih ćemo moći brzo dobiti informacije o promjenama u strukturi odjela i pravima pristupa potrebnima za svaku ulogu.
Obavezno je osigurati podršku uprave organizacije za rješavanje sukoba između odjela - sudionika u procesu. A sukobi pri implementaciji bilo kojeg novog procesa su neizbježni, vjerujte našem iskustvu. Stoga je potreban arbitar koji će rješavati moguće sukobe interesa, kako ne bismo gubili vrijeme zbog nesporazuma i sabotiranja.
Napomena. Dobar korak ka podizanju razine svijesti bit će obuka osoblja. Detaljno proučavanje funkcioniranja budućeg procesa i uloge svakog sudionika u njemu omogućit će minimiziranje poteškoća pri prijelazu na novo rješenje.
Popis zadataka
Zaključno, rezimiramo osnovne korake koje organizacija treba poduzeti prilikom planiranja implementacije IdM-a:
- uspostaviti red u kadrovskim podacima;
- uvesti jedinstveni identifikacijski parametar za svakog zaposlenika;
- ocjeniti spremnost informacijskih sustava za implementaciju IdM-a;
- razviti sučelja za interakciju s informacijskim sustavima za upravljanje pristupom, ako ne postoje, i osigurati resurse za te radove;
- razviti i izgraditi model uloge;
- izgraditi proces upravljanja modelom uloge i uključiti kordinatora iz svakog poslovnog područja;
- odabrati nekoliko sustava za prvo povezivanje s IdM-om;
- stvoriti učinkoviti projektni tim;
- osigurati podršku uprave tvrtke;
- obučiti osoblje.
Proces pripreme može biti izazovan, stoga, ako je moguće, angažirajte konzultante.
Implementacija IdM rješenja je složen i odgovoran korak, a za njegov uspješan ishod važni su napori svake strane pojedinačno – zaposlenika poslovnih jedinica, IT odjela i službi informacijskih sigurnosti, kao i suradnja cijelog tima. No, trud se isplati: nakon uvođenja IdM-a u tvrtki smanjuje se broj incidenata povezanih s neprimjerenim ovlastima i neovlaštenim pravima u informacijskim sustavima; nestaju zastoji zaposlenika zbog nedostatka/dugog čekanja na potrebne ovlasti; automatizacijom se smanjuju radni napori i povećava produktivnost rada IT i sigurnosnih službi.
Izvor: habr.com
