Negli articoli precedenti abbiamo già discusso cosa sia l'IdM, come capire se il vostro organizzazione abbia bisogno di un sistema del genere, quali problemi risolve e come giustificare il budget di implementazione davanti alla direzione. Oggi parleremo delle fasi importanti che l'organizzazione deve affrontare per raggiungere un adeguato livello di maturità prima di implementare il sistema IdM. Infatti, l'IdM è concepito per automatizzare i processi, e non è possibile automatizzare il caos.
Fino al momento in cui l'azienda cresce fino a diventare un grande ente e accumula un gran numero di vari sistemi aziendali, di solito non si preoccupa della gestione degli accessi. Pertanto, i processi per ottenere i diritti e controllare le autorizzazioni non sono strutturati e sono difficili da analizzare. I dipendenti richiedono accesso come meglio credono, il processo di approvazione non è formalizzato, e a volte non esiste affatto. È impossibile capire rapidamente quali accessi ha un dipendente, chi li ha approvati e su quale base.
Dato che il processo di automazione degli accessi coinvolge due parti principali: i dati del personale e i dati dei sistemi informativi con i quali è necessario effettuare integrazioni, esaminiamo i passi necessari affinché l'implementazione dell'IdM avvenga senza intoppi e non generi resistenza:
- Analisi dei processi legati al personale e ottimizzazione della gestione del database dei dipendenti nei sistemi HR.
- Analisi dei dati sugli utenti e dei diritti, oltre all'aggiornamento delle modalità di gestione degli accessi nei sistemi target che si prevede di collegare all'IdM.
- Attività organizzative e coinvolgimento del personale nel processo di preparazione all'implementazione dell'IdM.
Dati del personale
La fonte dei dati del personale in un'organizzazione può essere unica o plurima. Ad esempio, un'organizzazione potrebbe avere una rete di filiali piuttosto ampia, e in ciascuna filiale potrebbe essere utilizzato un proprio database dei dipendenti.
Prima di tutto, è necessario capire quali sono i dati principali sui dipendenti conservati nel sistema di registrazione del personale, quali eventi vengono registrati e valutarne la completezza e la struttura.
Spesso non tutti gli eventi legati al personale vengono annotati nella fonte di dati HR (e ancora più frequentemente vengono annotati in ritardo e non del tutto correttamente). Ecco alcuni esempi tipici:
- non vengono registrate le ferie, le loro categorie e scadenze (ferie annuali o prolungate);
- non viene registrato il lavoro part-time: ad esempio, durante un congedo prolungato per maternità, un dipendente può lavorare contemporaneamente a tempo parziale;
- lo stato effettivo del candidato o del dipendente è già cambiato (assunzione / trasferimento / licenziamento), mentre l'ordine su questo evento viene emesso con un ritardo;
- il dipendente viene trasferito a una nuova posizione organizzativa tramite licenziamento, ma nel sistema delle risorse umane non viene registrata l'informazione che si tratta di un licenziamento tecnico.
È importante prestare particolare attenzione alla valutazione della qualità dei dati, poiché eventuali errori e imprecisioni provenienti da una fonte affidabile, come i sistemi di contabilità delle risorse umane, possono successivamente risultare molto costosi e causare numerosi problemi durante l'implementazione di IdM. Ad esempio, i dipendenti dei servizi delle risorse umane spesso inseriscono le posizioni dei lavoratori nel sistema in formati diversi: lettere maiuscole e minuscole, abbreviazioni, diversi spazi e simili. Di conseguenza, la stessa posizione può essere registrata nel sistema con le seguenti varianti:
- Senior Manager
- senior manager
- st. manager
- st. manager...
Non è raro imbattersi in differenze nella scrittura di nomi e cognomi:
- Shmeleva Natalia Gennad'evna,
- Shmeleva Natalia Gennad'ievna...
Per una futura automazione, questo accozzaglia è inaccettabile, soprattutto se questi attributi sono un segno distintivo chiave di identificazione, cioè i dati del dipendente e le sue autorizzazioni nei sistemi vengono confrontati proprio tramite nome e cognome.
Inoltre, non bisogna dimenticare la possibile presenza in azienda di omonimi e omonimi completi. Se nell'organizzazione ci sono mille dipendenti, tali coincidenze potrebbero essere poche, ma se ci sono 50.000, questo potrebbe diventare un ostacolo critico per il corretto funzionamento del sistema IdM.
Riassumendo quanto sopra, giungiamo alla conclusione: il formato di ingresso dei dati nel database delle risorse umane dell'organizzazione deve essere standardizzato. I parametri di inserimento di nome e cognome, posizioni e reparti devono essere chiaramente definiti. L'opzione ottimale è quando il personale delle risorse umane non inserisce i dati manualmente, ma li seleziona da un catalogo predefinito della struttura dei reparti e delle posizioni utilizzando la funzione "select" disponibile nel database delle risorse umane.
Per evitare ulteriori errori nella sincronizzazione e non dover correggere manualmente le discrepanze nei rapporti, il modo più preferibile per identificare i dipendenti è l'introduzione di un ID per ogni lavoratore dell'organizzazione. Tale identificatore sarà assegnato a ogni nuovo lavoratore e apparirà sia nel sistema delle risorse umane sia nei sistemi informativi dell'organizzazione come attributo obbligatorio del profilo. Non importa se composto da numeri o lettere, l'importante è che sia unico per ogni lavoratore (ad esempio, molti utilizzano il numero di matricola). In seguito, l'introduzione di questo attributo faciliterà notevolmente il collegamento dei dati del dipendente nella fonte delle risorse umane con i suoi profili e diritti nei sistemi informativi.
Quindi, tutti i passaggi e i meccanismi di registrazione delle risorse umane dovranno essere analizzati e messi in ordine. È possibile che alcuni processi debbano essere modificati o rivisti. È un lavoro noioso e meticoloso, ma necessario, altrimenti l'assenza di dati chiari e strutturati sugli eventi delle risorse umane porterà a errori durante la loro elaborazione automatica. Nel peggiore dei casi, i processi non strutturati non potranno essere automaticamente gestiti.
Sistemi target
Nella fase successiva, è necessario chiarire quante informazioni vogliamo integrare nella struttura di IdM, quali dati sugli utenti e sui loro diritti sono memorizzati in questi sistemi e come gestirli.
In molte organizzazioni c'è l'idea che una volta installato l'IdM, configurati i connettori ai sistemi target, tutto funzioni con un colpo di bacchetta magica, senza ulteriori sforzi da parte nostra. Purtroppo non è così. Nelle aziende, il paesaggio dei sistemi informativi si sviluppa e aumenta gradualmente. In ciascuno di questi sistemi può essere adottato un approccio diverso per la concessione dei diritti di accesso, ovvero possono essere configurate interfacce diverse per la gestione degli accessi. In alcuni casi, la gestione avviene tramite API (application programming interface), in altri tramite basi di dati con procedure memorizzate, in alcuni casi le interfacce di interazione possono anche mancare del tutto. È bene essere pronti a rivedere molti dei processi esistenti per la gestione degli account e dei diritti nei sistemi dell'organizzazione: modificare il formato dei dati, sviluppare in anticipo le interfacce di interazione e allocare risorse per questi lavori.
Modello di ruolo
Con il concetto di modello di ruolo probabilmente ci si imbatte già nella fase di selezione del fornitore di soluzioni IdM, poiché è uno dei concetti chiave nell'ambito della gestione dei diritti di accesso. In questo modello, la concessione dell'accesso ai dati avviene tramite il ruolo. Un ruolo è un insieme di diritti minimi necessari affinché un dipendente in una determinata posizione possa svolgere i propri compiti funzionali.
La gestione degli accessi basata su ruolo presenta una serie di vantaggi indiscutibili:
- facilità ed efficienza nell'assegnazione degli stessi diritti a un gran numero di dipendenti;
- possibilità di modificare rapidamente l'accesso ai dipendenti che posseggono lo stesso insieme di diritti;
- eliminazione della ridondanza dei diritti e separazione delle responsabilità incompatibili per gli utenti.
La matrice dei ruoli viene prima costruita separatamente in ciascuno dei sistemi dell'organizzazione e poi scalata a tutto il paesaggio IT, dove dai ruoli di ciascun sistema si formano ruoli aziendali globali. Ad esempio, il ruolo aziendale "Contabile" includerà diversi ruoli distinti per ciascuno dei sistemi informativi utilizzati nella contabilità dell'azienda.
Di recente, è considerata una «best practice» creare un modello di ruolo già nella fase di sviluppo di applicazioni, database e sistemi operativi. Allo stesso tempo, non sono rare situazioni in cui i ruoli nel sistema non sono configurati o semplicemente non esistono. In tal caso, l'amministratore di questo sistema deve inserire i dati dell'account in diversi file, librerie e directory che forniscono le autorizzazioni necessarie. L'uso di ruoli predefiniti consente di concedere privilegi per un intero complesso di operazioni nel sistema con dati complessi.
I ruoli in un sistema informativo sono generalmente distribuiti in base alle posizioni e ai reparti secondo la struttura organica, ma possono essere creati anche per specifici processi aziendali. Ad esempio, in un'organizzazione finanziaria, diversi dipendenti del dipartimento di elaborazione occupano la stessa posizione: operatore. Ma all'interno del dipartimento c'è anche una suddivisione in processi distinti, in base a diversi tipi di operazioni (esterne o interne, in valute diverse, con diversi segmenti dell'organizzazione). Per fornire a ciascuna delle linee di business di un dipartimento l'accesso al sistema informativo in base a specifiche necessità, è necessario includere i diritti in ruoli funzionali separati. Questo permetterà di fornire un set di poteri minimo necessario, senza includere diritti eccessivi, per ciascuna delle linee di attività.
Inoltre, per sistemi di grandi dimensioni con centinaia di ruoli, migliaia di utenti e milioni di autorizzazioni, è una buona pratica utilizzare gerarchie di ruoli e ereditarietà dei privilegi. Ad esempio, il ruolo genitore Amministratore erediterà i privilegi dei ruoli figli: Utente e Lettore, poiché l'Amministratore può fare tutto ciò che può fare un Utente e un Lettore, in aggiunta ad avere diritti amministrativi supplementari. Con l'uso delle gerarchie, non è necessario ripetere diritti identici in più ruoli di uno stesso modulo o sistema.
Nella prima fase è possibile creare ruoli nei sistemi in cui il numero possibile di combinazioni di diritti non è molto elevato e, di conseguenza, è facile gestire un numero ridotto di ruoli. Questi possono essere diritti standard necessari a tutti i dipendenti dell'azienda, in sistemi pubblicamente accessibili come il catalogo Active Directory (AD), i sistemi di posta elettronica, il Service Manager e simili. Successivamente, le matrici di ruolo create per i sistemi informatici potranno essere integrate nel modello di ruolo generale, unendole in Business Role.
Utilizzando questo approccio, in seguito, durante l'implementazione del sistema IdM, sarà facile automatizzare l'intero processo di concessione dei diritti di accesso basato sui ruoli creati nella prima fase.
N.B. Non è consigliabile cercare di includere il maggior numero possibile di sistemi nell'integrazione fin da subito. I sistemi con architetture e strutture di gestione dei diritti di accesso più complesse dovrebbero essere collegati all'IdM in modo semi-automatico nella prima fase. Ciò significa realizzare, sulla base di eventi di personale, la sola generazione automatica di una richiesta di accesso, che verrà inviata all'amministratore, il quale configurerà manualmente i diritti.
Dopo aver completato con successo la prima fase, sarà possibile estendere le funzionalità del sistema a nuovi processi aziendali avanzati, attuare l'automazione completa e scalare collegando ulteriori sistemi informatici.
In altre parole, per prepararsi all'implementazione di IdM, è necessario valutare la prontezza dei sistemi informatici al nuovo processo e, se mancano, sviluppare in anticipo le interfacce esterne per la gestione degli account e dei diritti degli utenti. È importante anche pianificare la creazione progressiva dei ruoli nei sistemi informatici per una gestione complessiva dell'accesso.
Attività organizzative
Non bisogna trascurare nemmeno gli aspetti organizzativi. In alcuni casi possono giocare un ruolo cruciale, poiché il risultato dell'intero progetto dipende spesso dall'interazione efficace tra i reparti. Per questo motivo, solitamente consigliamo di creare all'interno dell'organizzazione un team di partecipanti al processo, che includa tutti i reparti coinvolti. Poiché per le persone questo rappresenta un onere aggiuntivo, cercate di chiarire in anticipo a tutti i partecipanti al futuro processo il loro ruolo e l'importanza nella struttura di interazione. Se si riesce a “vendere” l'idea di IdM ai colleghi in questa fase, sarà possibile evitare molte complessità in seguito.
Spesso i “proprietari” del progetto di implementazione di IdM in azienda sono i reparti di sicurezza informatica o IT, mentre il parere dei reparti aziendali non viene considerato. Questo è un grande errore, poiché solo loro sanno in che modo e in quali processi aziendali viene utilizzata ogni risorsa, a chi deve essere concesso l'accesso e a chi no. Perciò, nella fase di preparazione, è importante chiarire che il proprietario aziendale è responsabile del modello funzionale, sulla base del quale vengono sviluppati i set di diritti (ruoli) per gli utenti nel sistema informativo, e anche del fatto che questi ruoli vengano mantenuti aggiornati. Il modello di ruolo non è una matrice statica che è stata costruita una volta e poi si può stare tranquilli. È un “organismo vivente” che deve costantemente cambiare, aggiornarsi e svilupparsi, seguendo le modifiche della struttura dell'organizzazione e delle funzioni dei dipendenti. Altrimenti, inizieranno a sorgere problemi legati a ritardi nell'accesso, oppure ci saranno rischi per la sicurezza informatica legati a diritti di accesso eccessivi, il che è ancora peggiore.
Come è noto, «con sette balie un bambino è senza occhio», quindi in azienda deve essere sviluppata una metodologia che descriva l'architettura del modello di ruolo, l'interazione e la responsabilità dei partecipanti specifici al processo per mantenerlo aggiornato. Se in azienda ci sono molte direzioni di attività e, di conseguenza, molte divisioni e dipartimenti, per ogni direzione (ad esempio, concessione di prestiti, operazioni, servizi a distanza, compliance e altri) nell'ambito del processo di gestione dei ruoli dell'accesso è necessario nominare curatori separati. Attraverso di loro sarà possibile ricevere rapidamente informazioni sulle modifiche nella struttura della divisione e sui diritti di accesso necessari per ogni ruolo.
È assolutamente necessario ottenere il supporto della direzione dell'organizzazione per risolvere le situazioni di conflitto tra le divisioni partecipanti al processo. E i conflitti nell'implementazione di qualsiasi nuovo processo sono inevitabili, credeteci sulla nostra esperienza. Pertanto, è necessario un arbitro che possa risolvere i possibili conflitti di interesse, per non perdere tempo a causa di incomprensioni e sabotaggi.
N.B. Un buon inizio per aumentare il livello di consapevolezza sarà la formazione del personale. Uno studio approfondito del funzionamento del futuro processo e del ruolo di ciascun partecipante in esso permetterà di ridurre al minimo le difficoltà nel passaggio a una nuova soluzione.
Lista di controllo
In sintesi, riassumiamo i passaggi principali che l'organizzazione dovrebbe seguire per implementare IdM:
- mettere in ordine i dati del personale;
- introdurre un parametro identificativo unico per ogni dipendente;
- valutare la prontezza dei sistemi informatici per l'implementazione di IdM;
- sviluppare interfacce di interazione con i sistemi informatici per la gestione degli accessi, se non esistono, e assegnare risorse per questi lavori;
- sviluppare e costruire un modello di ruolo;
- strutturare il processo di gestione del modello di ruolo e includere in esso curatori da ogni area di business;
- scegliere diversi sistemi per la connessione iniziale a IdM;
- creare un team di progetto efficace;
- ottenere il supporto della direzione dell'azienda;
- formare il personale.
Il processo di preparazione può essere difficile, quindi, se possibile, coinvolgete dei consulenti.
L'implementazione della soluzione IdM è un passo complesso e importante, e per il suo successo è fondamentale sia l'impegno di ciascun membro in modo indipendente – dei dipendenti delle unità di business, dell'IT e dei servizi di sicurezza informatica, sia l'interazione dell'intero team nel suo complesso. Ma gli sforzi valgono la pena: dopo l'implementazione di IdM in azienda, si riduce il numero di incidenti legati a privilegi eccessivi e diritti non autorizzati nei sistemi informativi; scompaiono i fermi dei dipendenti a causa dell'assenza/lunga attesa dei diritti necessari; grazie all'automazione si riducono i costi di lavoro e aumenta la produttività dei servizi IT e di sicurezza informatica.
Fonte: habr.com
