A korábbi cikkekben már foglalkoztunk az IdM-mel, arról, hogyan lehet megérteni, hogy a szervezetnek szüksége van-e ilyen rendszerre, milyen feladatokat old meg, és hogyan lehet indokolni a bevezetés költségvetését a vezetőségnek. Ma a szervezet által meg kell tennie fontos lépésekről beszélünk ahhoz, hogy elérje a megfelelő érettségi szintet az IdM rendszer bevezetése előtt. Végül is az IdM célja a folyamatok automatizálása, és a káosz automatizálása lehetetlen.
Addig, amíg a cég nem nő meg nagyvállalattá, és nem halmoz fel számos különböző üzleti rendszert, általában nem gondolkodik a hozzáférés kezelésről. Ezért a jogok megszerzési és hatáskör ellenőrzési folyamatai nem struktúráltak, és nehezen analizálhatók. A dolgozók bárhogyan kérnek hozzáférést, az engedélyezési folyamat sincs formálisan szabályozva, és néha egyszerűen nincs is. Nehéz gyorsan kideríteni, hogy milyen hozzáférései vannak a dolgozónak, ki engedélyezte azokat és milyen alapon.
Figyelembe véve, hogy a hozzáférés automatizálásának folyamata két fő oldalt érint – a személyzeti adatokat és az információs rendszerek adatait, amelyekkel integrációt kell végezni –, nézzük meg azokat a lépéseket, amelyek szükségesek ahhoz, hogy az IdM bevezetése zökkenőmentesen és elutasítástól mentesen történjen:
- A személyzeti folyamatok elemzése és a dolgozói adatbázisok karbantartásának optimalizálása a személyzeti rendszerekben.
- A felhasználói adatok és jogok elemzése, valamint a hozzáférés kezelésének aktualizálása a célzott rendszerekben, amelyeket az IdM-hez terveznek csatlakoztatni.
- Szervezési intézkedések és a személyzet bevonása az IdM bevezetésének előkészítési folyamatába.
Személyzeti adatok
A szervezetben a személyzeti adatok forrása lehet egy vagy több. Például a szervezet rendelkezhet széles körű fiókhálózattal, és minden fiókban saját személyzeti adatbázist használhat.
Elsősorban fontos megérteni, hogy milyen alapvető adatok vannak a dolgozókról a személyzeti nyilvántartási rendszerben, milyen események vannak rögzítve, és értékelni kell azokat a teljesség és szerkezet szempontjából.
Gyakran előfordul, hogy nem minden személyzeti eseményt jelentenek a személyzeti forrásban (és még gyakoribb, hogy nem időben vagy nem teljesen helyesen rögzítik őket). Íme néhány tipikus példa:
- nem rögzítik a szabadságokat, azok kategóriáit és időtartamait (rendes vagy hosszú távú);
- A részmunkaidő nem rögzített: például, ha egy munkavállaló hosszabb időre gyermektartás miatt szabadságon van, akkor egyidejűleg részmunkaidőben is dolgozhat;
- A jelölt vagy munkavállaló tényleges státusza már megváltozott (felvétel/áthelyezés/lemondás), és az ezzel kapcsolatos utasítás késlekedéssel érkezik;
- A munkavállalót új alkalmazotti pozícióra helyezik át a lemondás révén, miközben a HR rendszerben nem rögzítik, hogy ez technikai lemondás.
Különös figyelmet kell fordítani az adatok minőségének értékelésére, mivel a megbízható forrásból származó hibák és pontatlanságok, amelyek a HR nyilvántartó rendszerekből származnak, később költséges problémákat okozhatnak az IdM bevezetése során. Például a HR osztály munkatársai gyakran különböző formátumban rögzítik a munkavállalók pozícióit a rendszerben: nagy- és kisbetűs írásmód, rövidítések, eltérő szóköz mennyiség stb. Ennek eredményeként ugyanaz a pozíció a HR rendszerben a következő variációkban rögzíthető:
- Idősebb menedzser
- idősebb menedzser
- id.menedzser
- id. menedzser...
Gyakran találkozunk a nevek írásmódjában lévő eltérésekkel is:
- Szmelyova Natália Genyadievna,
- Szmelyova Natália Genyadievna...
A további automatizálás érdekében ez a zűrzavar elfogadhatatlan, különösen, ha ezek a jellemzők az azonosítás kulcsfontosságú jelei, vagyis a munkavállalóval és jogosítványaival kapcsolatos adatok éppen a nevek alapján kerülnek összehasonlításra.
Ezen kívül nem szabad elfelejteni, hogy a cégen belül lehetnek névrokonok és teljes névazonosak. Ha a szervezetben ezernyi munkavállaló van, akkor ilyen egyezések lehet, hogy nem sokan vannak, de ha ötvenezer van, az kritikus akadályt jelenthet az IdM rendszer megfelelő működésében.
Összefoglalva mindazt, amit eddig mondtunk, arra a következtetésre jutottunk: a dolgozói adatbázisba való adatbevitel formátumát standardizálni kell. A név, pozíció és részleg bevitelének paramétereit világosan meg kell határozni. Az optimális megoldás az, amikor a HR munkatárs nem képes manuálisan beírni az adatokat, hanem előre létrehozott részleg- és pozíciókatalógusból választja ki azokat a 'select' funkció segítségével, amely a HR adatbázisban található.
A szinkronizációs hibák elkerülése és a jelentések eltéréseinek manuális javítása érdekében a legjobban preferált módszer a munkavállalók azonosítására a munkavállalói ID bevezetése minden munkavállaló számára. Ez az azonosító minden új munkavállalónak meg lesz adva, és meg fog jelenni mind a munkaügyi rendszerben, mind a szervezet informatikai rendszereiben, mint a fiók kötelező attribútuma. Nem számít, hogy számokból vagy betűkből áll, a lényeg, hogy minden munkavállaló esetében egyedi legyen (például sokan használják a munkavállalói azonosítószámot). A jövőben ennek az attribútumnak a bevezetése jelentősen megkönnyíti a munkavállalói adatok összekapcsolását a munkaügyi forrásban és az informatikai rendszerek fiókjain és jogosultságain.
Tehát az összes lépést és a munkaügyi nyilvántartás mechanizmusait elemezni és rendbe kell tenni. Lehetséges, hogy bizonyos folyamatokat meg kell változtatni vagy tovább kell fejleszteni. Ez fárasztó és aprólékos munka, de szükséges, mert a világos és strukturált adatok hiánya a munkaügyi eseményekről hibákhoz vezet az automatikus feldolgozás során. A legrosszabb esetben a strukturálatlan folyamatokat egyáltalán nem lehet automatizálni.
Célzott rendszerek
A következő lépésben meg kell határoznunk, hány informatikai rendszert szeretnénk integrálni az IdM struktúrájába, milyen felhasználói adatokat és jogokat tárolnak ezekben a rendszerekben, és hogyan lehet őket kezelni.
Sok szervezetben elterjedt az a vélekedés, hogy telepítjük az IdM-et, beállítjuk a csatlakozókat a célrendszerekhez, és varázsütésre minden működni fog, a mi részünkről történő további erőfeszítések nélkül. Sajnos ez nem így működik. A vállalatok információs rendszereinek tája fokozatosan fejlődik és bővül. Minden rendszerben eltérő megközelítést alkalmazhatnak a hozzáférési jogok biztosítására, tehát különböző interfészek lehetnek beállítva a hozzáférés kezelésére. Van, ahol az irányítás API-n (alkalmazásprogramozási interfészen) keresztül történik, más esetekben adatbázisokkal a tárolt eljárások segítségével, akár olyan helyek is lehetnek, ahol a kölcsönhatás interfészei teljesen hiányoznak. Fel kell készülni arra, hogy számos meglévő folyamatot át kell gondolni a fiókok és jogok kezelésével kapcsolatban a szervezet rendszereiben: meg kell változtatni az adatformátumot, előre el kell készíteni a kölcsönhatás interfészeit, és erőforrásokat kell biztosítani ezekre a munkákra.
Szerepkör modell
A szerepkör modell fogalmával valószínűleg még az IdM-megoldás szolgáltatójának kiválasztásakor találkozik, mivel ez az egyik kulcsfontosságú fogalom a hozzáféréskezelés területén. Ebben a modellben az adatokhoz való hozzáférés egy szereken keresztül történik. A szerepkör egy olyan jogosultságok halmaza, amely minimálisan szükséges ahhoz, hogy egy adott pozícióban dolgozó alkalmazott el tudja látni a funkcionális feladatait.
A szerep-alapú hozzáférésnek számos vitathatatlan előnye van:
- egyszerű és hatékony a hasonló jogok nagy számú alkalmazottra való kijelölése;
- gyors hozzáférésváltoztatás az azonos joggyűjteménnyel rendelkező alkalmazottak esetében;
- a jogok fölöslegességének kizárása és a nem összeférhető hatáskörök korlátozása a felhasználók számára.
A szerepmátrix először külön-külön épül fel az egyes szervezeti rendszerekben, majd kiterjesztik az egész IT tájra, ahol az egyes rendszerek szerepeiből globális üzleti szerepek alakulnak ki. Például az „Könyvelő” üzleti szerepkör magában foglalja az összes információs rendszerhez tartozó szerepet, amelyet a vállalat könyvelésében használnak.
Az utóbbi időben a legjobb gyakorlatnak számít, hogy a fejlesztési szakaszban alkalmazásokat, adatbázisokat és operációs rendszereket szerepkészlet modellezésével készítsenek. Ugyanakkor gyakoriak azok a helyzetek is, amikor a rendszerben a szerepkörök nincsenek beállítva vagy egyszerűen nincsenek is. Ilyen esetben a rendszer adminisztrátorának több különböző fájlba, könyvtárba és mappába kell bevinni a felhasználói fiók adatait, amelyek a szükséges engedélyeket nyújtják. Az előre meghatározott szerepkörök használata lehetővé teszi, hogy egy komplex működést végezhessünk a rendszerben, amely bonyolult adatösszetételekkel bír.
Információs rendszerekben a szerepköröket általában a helyezett pozíciók és részlegek között osztják el a szervezet struktúráján belül, de specifikus üzleti folyamatok számára is létrehozhatók. Például egy pénzügyi intézményben több munkatárs is azonos munkakört tölthet be – operátor. Azonban a részlegen belül különböző folyamatok is megszabják a különböző műveletek (külső vagy belső, különböző valutákban, különböző szervezeti szegmensekre vonatkozó) eloszlását. Ahhoz, hogy a részleg üzleti irányai hozzáférést kapjanak az információs rendszerhez a szükséges specifikációk szerint, külön funkcionalitási szerepkörökbe kell integrálni a jogosultságokat. Ez lehetővé teszi a minimálisan szükséges hatalom biztosítását, anélkül, hogy felesleges jogokat biztosítanánk bármelyik üzleti irányhoz.
Ezenkívül a nagy rendszerek, amelyek száz szerepkörből, ezer felhasználóból és milliónyi jogosultságból állnak, jó gyakorlatnak számít a szerepek hierarchiájának és a jogosultságok öröklésének a használata. Például a Szülői Szerepkör, az Adminisztrátor örökli a Gyermek Szerepkörök: Felhasználó és Olvasó jogosultságait, mivel az Adminisztrátor mindazokat a tevékenységeket elvégezheti, amelyeket a Felhasználó és az Olvasó is, plusz további adminisztrátori jogokkal bír. A hierarchia használatával nincs szükség arra, hogy azonos jogokat ismételten megadjuk ugyanazon modul vagy rendszer több szerepkörében.
Az első lépésben olyan rendszerekben lehet szerepeket létrehozni, ahol a lehetséges jogkombinációk száma nem túl nagy, így a kevés szerep kezelése is egyszerű. Ezek lehetnek az alapvető jogok, amelyekre minden vállalati alkalmazottnak szüksége van, például nyilvános rendszerekben, mint az Active Directory (AD) katalogizáló, levelező rendszerek, Service Manager és hasonlók. Ezután az informatikai rendszerekhez létrehozott szerepmátrixok beépíthetők egy átfogó szerepmódba, üzleti szerepeket összevonva.
Ezzel a megközelítéssel később, az IdM-rendszer bevezetésénél egyszerűen automatizálható lesz az összes hozzáférési jog kiadásának folyamata az első lépésben létrehozott szerepek alapján.
Figyelem. Nem érdemes az integrációba a lehető legtöbb rendszert azonnal bevonni. Olyan rendszerek, amelyek bonyolultabb architektúrával és jogkezelési struktúrával rendelkeznek, beterjesztésének első lépésben inkább félautomatikus módon kellene történnie az IdM rendszerhez. Ez azt jelenti, hogy a munkaügyi események alapján csak a hozzáféréshez szükséges kérelmek automatikus generálását kell megvalósítani, amelyet a rendszergazda végrehajt, és ő manuálisan állítja be a jogokat.
Az első lépés sikeres teljesítése után a rendszer funkcionalitása a új, kiterjesztett üzleti folyamatokra terjeszthető ki, lehetővé téve a teljes automatizálást és a skálázást további informatikai rendszerek bevonásával.
Más szavakkal, az IdM bevezetésére való felkészülés során értékelni kell az informatikai rendszerek készségét az új folyamathoz, és előre dolgozni kell a felhasználói fiókok és jogok kezelésére szolgáló külső interfészek kidolgozásán, ha azok hiányoznak a rendszerből. Emellett meg kell dolgozni a szerepek fokozatos létrehozásának kérdésén az informatikai rendszerekben, hogy átfogó hozzáférés-irányítást lehessen megvalósítani.
Szervezeti intézkedések
Nem szabad figyelmen kívül hagyni a szervezeti szempontokat sem. Bizonyos esetekben ezek döntő szerepet játszhatnak, hiszen az osztályok közötti hatékony együttműködés gyakran a projekt eredményétől függ. Ehhez általában azt javasoljuk, hogy a szervezeten belül hozzanak létre egy folyamatban részt vevő csapatot, amelybe minden érintett osztály beletartozik. Mivel ez plusz terhet ró az emberekre, fontos, hogy előre világosan kifejtsük minden résztvevő számára a jövőbeli folyamatban betöltött szerepüket és jelentőségüket az együttműködés struktúrájában. Ha ezen a ponton sikerül „eladni” a kollégáknak az IdM ötletét, számos későbbi nehézséget elkerülhetünk.
Gyakran az IdM bevezetésének „tulajdonosai” a cég információbiztonsági osztályai vagy IT részlegei, miközben az üzleti osztályok véleménye nem kerül figyelembevételre. Ez nagy hiba, hiszen csak ők tudják, hogy mely üzleti folyamatokban és hogyan használják az egyes erőforrásokat, kinek kell hozzáférést adni, és kinek nem. Ezért a felkészülés szakaszában fontos hangsúlyozni, hogy az üzleti tulajdonos felelős a funkcionális modellért, amely alapját képezi a felhasználói jogok (szerepek) készletének, valamint azért, hogy ezek a szerepek naprakészen legyenek tartva. A szerepmintázat nem egy statikus mátrix, amelyet egyszer felépítettek, majd elfelejtenek. Ez egy „élő organizmus”, amely folyamatosan változik, frissül és fejlődik azzal párhuzamosan, ahogyan a szervezet struktúrája és a munkavállalók funkciói módosulnak. Különben vagy késések lépnek fel a hozzáférés biztosításában, vagy információbiztonsági kockázatok merülnek fel, amelyek még rosszabbak.
Mint tudjuk, "het szoptatónak a gyereknek nem lesz szeme", ezért a vállalatnak ki kell dolgoznia egy metodológiát, amely leírja a szerepmódszer architektúráját, a konkrét résztvevők közötti interakciót és felelősséget a folyamat naprakészen tartásáért. Ha a vállalatnak sok üzleti területe és ennek megfelelően számos részlege és osztálya van, akkor minden területen (például hitel, operációs munka, távszolgáltatások, megfelelőség és mások) szükséges kijelölni külön kurátorokat a szerepkörök hozzáférés-menedzsmentje keretében. Rajtuk keresztül gyorsan információt szerezhetünk a részleg struktúrájában és a szükséges hozzáférési jogokban bekövetkező változásokkal kapcsolatban.
Kötelező biztosítani a szervezet vezetésének támogatását a részlegek közötti konfliktushelyzetek kezeléséhez – a folyamat résztvevői között. A bármilyen új folyamat bevezetése során a konfliktusok elkerülhetetlenek, higgye el tapasztalatainknak. Ezért szükség van egy választott bíróra, aki kezelni fogja a potenciális érdekellentéteket, hogy ne veszítsen időt senkinek a félreértései és szabotázsa miatt.
Figyelem. Jó kezdeményezés a személyzet tudatosságának növelésére a képzés. A jövőbeli folyamat működésének, valamint minden résztvevő szerepének részletes tanulmányozása minimalizálja az új megoldásra való áttérés nehézségeit.
Ellenőrző lista
Összefoglalva, az alábbi fő lépéseket kell megtenni a szervezetnek, amely az IdM bevezetését tervezi:
- rendet rakni a személyzeti adatokban;
- bevezetni egyedi azonosító paramétert minden munkatárs számára;
- értékelni az információs rendszerek felkészültségét az IdM bevezetésére;
- kifejleszteni a hozzáférésmenedzsmenthez szükséges interfészeket, ha azok hiányoznak, és forrásokat biztosítani ezekre a feladatokra;
- kidolgozni és felépíteni a szerepkört;
- kiépíteni a szerepkörmenedzsment folyamatát, és belefoglalni a kurátorokat minden üzleti irányból;
- kiválasztani néhány rendszert az IdM kezdeti csatlakoztatására;
- hatékony projektcsapatot létrehozni;
- megnyerni a vállalat vezetésének támogatását;
- képzést nyújtani a személyzetnek.
A felkészülési folyamat nem könnyű, ezért ha lehetséges, vegyenek fel tanácsadókat.
Az IdM-megoldás bevezetése összetett és felelősségteljes lépés, amelynek sikeres végrehajtásához fontos, hogy minden fél - az üzleti területek alkalmazottai, az IT és az IB szolgáltatások - erőfeszítései mellett a csapat egészének együttműködése is érvényesüljön. De az erőfeszítések megérik: az IdM bevezetése után a cégekben csökken az irreálisan magas jogosultságokkal és jogosulatlan hozzáférésekkel kapcsolatos incidensek száma; megszűnnek az alkalmazottak leállásai, amelyek a szükséges jogosultságok hiánya vagy hosszú várakozás miatt merülnek fel; az automatizálás révén csökken a munkaerő-ráfordítás, és nő az IT és IB szolgáltatások teljesítménye.
Forrás: habr.com
