Negli articoli precedenti abbiamo già discusso cos'è l'IdM, come capire se la vostra organizzazione ha bisogno di un sistema del genere, quali problemi risolve e come giustificare il budget di implementazione davanti alla direzione. Oggi parleremo delle fasi importanti che un'organizzazione deve affrontare per raggiungere il giusto livello di maturità prima di implementare un sistema IdM. Infatti, l'IdM è progettata per automatizzare i processi, e automatizzare un caos è impossibile.
Fino al momento in cui un'azienda raggiunge le dimensioni di una grande impresa e accumula una serie di diversi sistemi aziendali, di solito non si preoccupa della gestione degli accessi. Pertanto, i processi per richiedere diritti e controllare le autorizzazioni non sono strutturati e sono difficili da analizzare. I dipendenti presentano richieste di accesso come meglio credono, il processo di approvazione non è formalizzato e talvolta non esiste affatto. È impossibile capire rapidamente quali accessi ha un dipendente, chi li ha approvati e sulla base di quale razionale.
Considerando che il processo di automazione dell'accesso coinvolge due aspetti principali – i dati del personale e quelli dei sistemi informativi con cui verrà effettuata l'integrazione, esaminiamo i passi necessari affinché l'implementazione dell'IdM avvenga senza intoppi e senza generare resistenza.
- Analisi dei processi legati al personale e ottimizzazione della gestione del database dei dipendenti nei sistemi HR.
- Analisi dei dati sugli utenti e dei diritti, nonché aggiornamento delle modalità di gestione degli accessi nei sistemi target previsti per il collegamento all'IdM.
- Attività organizzative e coinvolgimento del personale nella preparazione all'implementazione dell'IdM.
Dati del personale
La fonte dei dati del personale all'interno di un'organizzazione può essere unica o plurima. Ad esempio, un'organizzazione può avere una vasta rete di filiali, e in ogni filiale potrebbe essere utilizzata una propria base dati per il personale.
È fondamentale comprendere quali dati fondamentali sui dipendenti sono conservati nel sistema di gestione del personale, quali eventi vengono registrati e valutare la loro completezza e struttura.
Spesso accade che non tutti gli eventi lavorativi vengano registrati nel sistema delle risorse umane (e ancor più spesso vengono registrati in modo intempestivo e non del tutto corretto). Ecco alcuni esempi tipici:
- non vengono registrate le ferie, le loro categorie e le scadenze (ferie ordinarie o prolungate);
- non viene registrato il lavoro part-time: ad esempio, durante un lungo congedo per maternità, un dipendente può lavorare contemporaneamente a tempo parziale;
- lo stato effettivo del candidato o del dipendente è già cambiato (assunzione / trasferimento / licenziamento), ma il decreto su questo evento viene emesso con ritardo;
- il dipendente viene trasferito a una nuova posizione lavorativa tramite licenziamento, ma nel sistema delle risorse umane non viene registrata l'informazione che si tratta di un licenziamento tecnico.
È importante prestare attenzione alla valutazione della qualità dei dati, poiché eventuali errori e imprecisioni provenienti da fonti affidabili, come i sistemi di gestione del personale, possono risultare costosi e causare numerosi problemi durante l'implementazione dell'IdM. Ad esempio, i dipendenti degli uffici del personale spesso registrano le posizioni lavorative nel sistema in formati diversi: lettere maiuscole e minuscole, abbreviazioni, variazioni nel numero di spazi e così via. Di conseguenza, la stessa posizione può essere registrata nel sistema con le seguenti variazioni:
- Senior Manager
- senior manager
- sr.manager
- sr. manager…
Si incontrano frequentemente anche differenze nella scrittura dei nomi e cognomi:
- Shmelëva Natalia Genna d'evna,
- Shmelëva Natalia Gennad'evna…
Per ulteriori automazioni, tale confusione è inaccettabile, soprattutto se questi attributi rappresentano un criterio chiave di identificazione, ossia i dati sul dipendente e le sue autorità nei sistemi vengono confrontati proprio attraverso nome e cognome.
Inoltre, non si deve dimenticare la possibile presenza in azienda di omonimi e omonimi completi. Se ci sono mille dipendenti nell'organizzazione, tali coincidenze possono essere poche, ma se sono cinquantamila, questo può diventare un ostacolo critico per il corretto funzionamento dei sistemi IdM.
Riassumendo quanto esposto, possiamo concludere che il formato di immissione dei dati nel database del personale dell'organizzazione deve essere standardizzato. I parametri di immissione di nome e cognome, cariche e reparti devono essere chiaramente definiti. La soluzione ottimale è quando il personale delle risorse umane non inserisce i dati manualmente, ma li seleziona da un elenco pre-creato della struttura dei reparti e delle cariche tramite la funzione «select» disponibile nel database del personale.
Per evitare ulteriori errori nella sincronizzazione e non dover correggere manualmente le discrepanze nei report, il modo più preferibile per identificare i dipendenti è l'introduzione di un ID. per ogni dipendente dell'organizzazione. Questo identificatore verrà assegnato a ciascun nuovo dipendente e sarà presente sia nel sistema delle risorse umane che nei sistemi informativi dell'organizzazione come attributo obbligatorio dell'account. Non importa se composto da numeri o lettere: l'importante è che sia unico per ogni dipendente (ad esempio, molti utilizzano il numero identificativo del dipendente). In futuro, l'introduzione di questo attributo faciliterà notevolmente il collegamento dei dati sul dipendente nella fonte delle risorse umane con i suoi account e autorizzazioni nei sistemi informativi.
Quindi, tutti i passaggi e i meccanismi della gestione dei dipendenti dovranno essere analizzati e messi a punto. È possibile che alcuni processi debbano essere modificati o perfezionati. Si tratta di un lavoro noioso e meticoloso, ma necessario, altrimenti l'assenza di dati chiari e strutturati sugli eventi di personale porterà a errori durante l'elaborazione automatica. Nel peggiore dei casi, i processi non strutturati non potranno essere automatizzati affatto.
Sistemi target
Nella fase successiva, dobbiamo capire quante informazioni vogliamo integrare nella struttura IdM, quali dati sugli utenti e i loro diritti sono memorizzati in questi sistemi e come gestirli.
In molte organizzazioni, c'è la convinzione che installeremo IdM, configureremo i connettori con i sistemi target e, con un colpo di bacchetta magica, tutto funzionerà senza sforzi aggiuntivi da parte nostra. Purtroppo, non funziona così. Nei gruppi, il panorama dei sistemi informativi si sviluppa e aumenta gradualmente. Ogni sistema può avere un approccio diverso nella fornitura dei diritti di accesso, ovvero configurare diverse interfacce per la gestione degli accessi. In alcuni casi, la gestione avviene tramite API (application programming interface), in altri tramite un database con procedure memorizzate, e in altri ancora le interfacce di interazione possono anche mancare del tutto. È importante essere pronti a rivedere molti processi esistenti nella gestione degli account e dei diritti nei sistemi dell'organizzazione: modificare il formato dei dati, preparare in anticipo le interfacce di interazione e dedicare risorse a questi lavori.
Modello di ruoli
Con il concetto di modello di ruolo, ti imbatterai probabilmente già nella fase di scelta del fornitore di soluzioni IdM, poiché è uno dei concetti chiave nel campo della gestione dei diritti di accesso. In questo modello, l'accesso ai dati è fornito tramite ruolo. Un ruolo è un insieme di diritti minimi necessari affinché un dipendente in una posizione specifica possa svolgere le sue funzioni.
La gestione dei diritti di accesso basata sui ruoli presenta numerosi vantaggi incontestabili:
- semplicità ed efficienza nell'assegnare diritti identici a un gran numero di dipendenti;
- modifiche rapide ai diritti di accesso per i dipendenti che condividono lo stesso set di permessi;
- eliminazione della ridondanza dei diritti e delimitazione dei poteri incompatibili per gli utenti.
La matrice dei ruoli viene inizialmente costruita separatamente in ciascun sistema dell'organizzazione e poi scalata sull'intero paesaggio IT, dove i ruoli di ciascun sistema vengono utilizzati per formare ruoli aziendali globali. Ad esempio, il ruolo aziendale 'Contabile' includerà diversi ruoli distinti per ciascun sistema informativo utilizzato nella contabilità dell'azienda.
Negli ultimi tempi si considera "best practice" creare un modello di ruolo già nella fase di sviluppo di applicazioni, database e sistemi operativi. Allo stesso tempo, non sono rare le situazioni in cui le funzioni nel sistema non sono configurate o addirittura assenti. In tal caso, l'amministratore di quel sistema deve inserire i dati dell'account in diversi file, librerie e directory per fornire le necessarie autorizzazioni. Utilizzare ruoli predefiniti consente di concedere privilegi per tutta una serie di operazioni nel sistema con dati complessi.
Le funzioni all'interno di un sistema informativo sono generalmente assegnate in base alle posizioni e ai reparti della struttura organizzativa, ma possono essere create anche per specifici processi aziendali. Ad esempio, in un'organizzazione finanziaria, diversi membri del reparto dei pagamenti ricoprono la stessa posizione di operatore. Tuttavia, all'interno del reparto c'è anche una suddivisione in base a processi specifici, a seconda delle differenti tipologie di operazioni (esterne o interne, in diverse valute, per vari segmenti dell'organizzazione). Affinché ciascuna delle aree di business di un reparto possa accedere al sistema informativo secondo le necessità specifiche, è necessario abilitare i diritti in ruoli funzionali distinti. Questo consentirà di fornire un insieme di poteri minimo e sufficiente, evitando diritti eccessivi per ciascuna delle aree di attività.
Inoltre, per grandi sistemi con centinaia di ruoli, migliaia di utenti e milioni di permessi, è buona pratica utilizzare un'architettura gerarchica dei ruoli e l'ereditarietà dei privilegi. Ad esempio, il ruolo genitore Amministratore erediterà i privilegi dei ruoli secondari: Utente e Lettore, poiché l'Amministratore può fare tutto ciò che può fare l'Utente e il Lettore, con l'aggiunta di ulteriori diritti amministrativi. Utilizzando una gerarchia, non è necessario ripetere gli stessi diritti in più ruoli all'interno dello stesso modulo o sistema.
Nella prima fase è possibile creare ruoli nei sistemi dove il numero possibile di combinazioni di diritti non è molto grande e, di conseguenza, è facile gestire un numero ridotto di ruoli. Questi potrebbero essere diritti standard necessari a tutti i dipendenti dell'azienda, in sistemi pubblici come il catalogo Active Directory (AD), i sistemi di posta elettronica, il Service Manager e simili. Successivamente, le matrici di ruolo create per i sistemi informatici potranno essere incluse nel modello di ruolo generale, unendo questi in ruoli business.
Adottando questo approccio, in futuro sarà facile automatizzare l'intero processo di concessione dei diritti di accesso basato sui ruoli creati nella prima fase durante l'implementazione del sistema IdM.
N.B. Non bisogna cercare di includere immediatamente il maggior numero possibile di sistemi nell'integrazione. I sistemi con architetture e strutture di gestione dei diritti di accesso più complesse è meglio collegarli al sistema IdM in modo semi-automatico nella prima fase. In altre parole, implementare la generazione automatica della richiesta di accesso basata su eventi del personale, che verrà inviata all'amministratore per l'elaborazione, il quale configurerà i diritti manualmente.
Dopo aver completato con successo la prima fase, è possibile estendere le funzionalità del sistema a nuovi processi aziendali ampliati, realizzare un'automazione completa e scalare con l'integrazione di ulteriori sistemi informativi.
In altre parole, per prepararsi all'implementazione dell'IdM, è necessario valutare la prontezza dei sistemi informatici per il nuovo processo e, se non esistono tali interfacce, perfezionare in anticipo le interfacce esterne per la gestione degli account e dei diritti degli utenti. È inoltre importante affrontare la questione della creazione progressiva dei ruoli nei sistemi informatici per una gestione completa degli accessi.
Attività organizzative
Non bisogna sottovalutare neanche gli aspetti organizzativi. In alcuni casi, possono svolgere un ruolo cruciale, poiché l'efficacia della collaborazione tra i reparti spesso determina il successo del progetto nel suo insieme. Pertanto, di solito consigliamo di formare un team all'interno dell'organizzazione, composto da tutti i reparti coinvolti. Poiché per le persone ciò rappresenta un carico aggiuntivo, cercate di spiegare in anticipo a tutti i partecipanti il proprio ruolo e l'importanza nella struttura di interazione. Se riuscite a 'vendere' l'idea dell'IdM ai colleghi in questa fase, sarà possibile evitare molte difficoltà in seguito.
Spesso, i "proprietari" del progetto di implementazione dell'IdM all'interno delle aziende sono le divisioni di sicurezza informatica o IT, senza considerare l'opinione dei reparti aziendali. Questo è un grosso errore, poiché solo loro sanno come e in quali processi aziendali viene utilizzata ogni risorsa, a chi deve essere concessa l'accesso e a chi no. Pertanto, nella fase di preparazione, è fondamentale chiarire che il proprietario aziendale è responsabile del modello funzionale, sulla base del quale vengono sviluppati i set di diritti (ruoli) degli utenti nel sistema informatico, e per garantire che questi ruoli siano mantenuti aggiornati. Il modello di ruolo non è una matrice statica, che una volta creata può essere data per conclusa. È un "organismo vivente" che deve costantemente cambiare, aggiornarsi e svilupparsi, seguendo le variazioni nella struttura dell'organizzazione e nelle funzioni dei dipendenti. Altrimenti, si presenteranno problemi legati ai ritardi nell'accesso, o si correranno rischi per la sicurezza informatica legati a diritti di accesso eccessivi, il che è ancora peggiore.
Come è noto, «tra sette balie il bambino resta senza occhi», quindi l'azienda deve sviluppare una metodologia che descriva l'architettura del modello di ruoli, l'interazione e le responsabilità dei singoli partecipanti al processo per mantenere il modello aggiornato. Se l'azienda ha molti ambiti di attività commerciale e, di conseguenza, numerosi reparti e divisioni, per ogni ambito (ad esempio, prestiti, operazioni, servizi a distanza, compliance e altri) è necessario designare curatori specifici nell'ambito del processo di gestione dei ruoli di accesso. Attraverso di loro sarà possibile ottenere rapidamente informazioni sulle modifiche nella struttura del reparto e sui diritti di accesso necessari per ciascun ruolo.
È fondamentale ottenere il supporto della direzione dell'organizzazione per affrontare situazioni conflittuali tra le divisioni partecipanti al processo. E i conflitti durante l'implementazione di qualsiasi nuovo processo sono inevitabili, credeteci. Pertanto, è necessario un arbitro che risolva i possibili conflitti di interesse, per non perdere tempo a causa di incomprensioni e sabotaggi.
N.B. Un buon inizio per aumentare la consapevolezza sarà la formazione del personale. Uno studio approfondito del funzionamento del futuro processo e del ruolo di ciascun partecipante consentirà di ridurre al minimo le difficoltà nel passaggio a una nuova soluzione.
Lista di controllo
In sintesi, riepiloghiamo i principali passi da compiere per le organizzazioni che pianificano l'implementazione dell'IdM:
- riordinare i dati del personale;
- introdurre un parametro identificativo unico per ogni dipendente;
- valutare la prontezza dei sistemi informativi per l'implementazione dell'IdM;
- sviluppare interfacce di interazione con i sistemi informativi per la gestione degli accessi, se non esistenti, e allocare risorse per tali attività;
- sviluppare e costruire un modello basato sui ruoli;
- stabilire un processo di gestione del modello basato sui ruoli e includere curatori da ciascun settore aziendale;
- selezionare alcuni sistemi per il collegamento iniziale all'IdM;
- creare un team di progetto efficace;
- ottenere il supporto della direzione dell'azienda;
- formare il personale.
Il processo di preparazione può non essere facile, quindi, se possibile, coinvolgete dei consulenti.
L'implementazione di una soluzione IdM è un passo impegnativo e responsabile; per il suo successo è fondamentale non solo l'impegno di ciascuna parte coinvolta — i dipendenti delle unità aziendali, dei servizi IT e della sicurezza informatica — ma anche la collaborazione dell'intero team. Tuttavia, gli sforzi ripagano: dopo l'implementazione dell'IdM, si riduce il numero di incidenti legati a privilegi eccessivi e diritti non autorizzati nei sistemi informatici; si eliminano i fermi dei dipendenti dovuti all'assenza/alla lunga attesa dei diritti necessari; grazie all'automazione, si riducono i costi di manodopera e si incrementa la produttività dei servizi IT e di sicurezza informatica.
Fonte: habr.com
