IdM의 구현. 고객의 구현 준비

이전 기사에서 우리는 이미 IdM이 무엇인지, 조직에 그러한 시스템이 필요한지 이해하는 방법, 해결하는 작업 및 구현 예산을 경영진에게 정당화하는 방법을 고려했습니다. 오늘은 IdM 시스템을 구현하기 전에 적절한 수준의 성숙도에 도달하기 위해 조직 자체가 거쳐야 하는 중요한 단계에 대해 이야기하겠습니다. 결국 IdM은 프로세스를 자동화하도록 설계되었으며 혼돈을 자동화하는 것은 불가능합니다.

회사가 대기업 규모로 성장하고 다양한 비즈니스 시스템을 많이 축적하는 순간까지는 일반적으로 액세스 제어에 대해 생각하지 않습니다. 따라서 그 안에서 권리와 지배력을 획득하는 과정이 구조화되지 않고 분석하기 어렵다. 직원은 원하는 대로 액세스 신청서를 작성하고 승인 프로세스도 공식화되지 않았으며 때로는 존재하지 않는 경우도 있습니다. 직원이 어떤 액세스 권한을 가지고 있는지, 누가 어떤 근거로 승인했는지 신속하게 파악하는 것은 불가능합니다.

액세스 자동화 프로세스가 통합이 수행되는 인사 데이터 및 정보 시스템 데이터의 두 가지 주요 측면에 영향을 미친다는 점을 고려하여 IdM 구현이 원활하게 진행되고 거부가 발생하지 않도록 하는 데 필요한 단계를 고려할 것입니다.

1. 인사 프로세스 분석 및 인사 시스템의 직원 데이터베이스 유지 관리 최적화.
2. 사용자 및 권한에 대한 데이터 분석 및 IdM에 연결할 대상 시스템의 액세스 제어 방법 업데이트.
3. IdM 구현 준비 과정에서 직원의 조직적 조치 및 참여.

인사 데이터

조직에는 개인 데이터 소스가 하나일 수도 있고 여러 개가 있을 수도 있습니다. 예를 들어, 조직에는 상당히 광범위한 지사 네트워크가 있을 수 있으며 각 지사는 자체 인력 기반을 사용할 수 있습니다.

먼저 인사기록시스템에 직원에 대한 기본 데이터가 무엇인지, 어떤 사건이 기록되는지 파악하고 그 완전성과 구조를 평가할 필요가 있다.

모든 인사 이벤트가 인사 소스에 기록되지 않는 경우가 종종 있습니다 (더 자주 시간이 지남에 따라 정확하게 기록되지 않음). 다음은 몇 가지 일반적인 예입니다.

• 휴가, 범주 및 기간(정규 또는 장기)이 고정되어 있지 않습니다.
• 시간제 고용은 기록되지 않습니다. 예를 들어 장기 육아 휴직 중에 직원은 동시에 시간제로 일할 수 있습니다.
• 후보자 또는 직원의 실제 상태가 이미 변경(고용/이동/해고)되었으며 이 이벤트에 대한 명령이 지연되어 발행됩니다.
• 직원은 해고를 통해 새로운 정규직으로 이동하는 반면 인사 시스템은 이것이 기술 해고라는 정보를 기록하지 않습니다.

또한 개인 기록 시스템인 신뢰할 수 있는 출처에서 받은 오류 및 부정확성은 향후 비용이 많이 들고 IdM을 구현할 때 많은 문제를 일으킬 수 있으므로 데이터 품질 평가에 특별한 주의를 기울일 가치가 있습니다. 예를 들어, 인사 담당관은 대문자와 소문자, 약어, 다른 수의 공백 등 다양한 형식으로 인사 시스템에 직원 직책을 입력하는 경우가 많습니다. 결과적으로 인사 시스템에서 다음과 같은 변형으로 동일한 위치를 고정할 수 있습니다.

• 수석 관리자
• 고위 관리자
• 고위 관리자
• 미술. 관리자…

종종 전체 이름 철자의 차이를 처리해야 합니다.

• Shmeleva Natalia Gennadievna,
• 쉬멜레바 나탈리아 겐나디에브나…

추가 자동화를 위해 이러한 혼란은 특히 이러한 속성이 식별의 주요 신호인 경우, 즉 시스템에서 직원 및 그의 권한에 대한 데이터가 전체 이름으로 정확하게 비교되는 경우 허용되지 않습니다.

또한 회사에 이름을 딴 이름과 전체 이름이 존재할 가능성을 잊어서는 안됩니다. 조직에 직원이 천 명인 경우 이러한 우연의 일치가 거의 없을 수 있으며 50 명인 경우 IdM 시스템의 올바른 작동에 중요한 장애물이 될 수 있습니다.

위의 모든 내용을 요약하면 조직의 인사 기반에 데이터를 입력하는 형식을 표준화해야 한다는 결론을 내립니다. 전체 이름, 직위 및 부서를 입력하기 위한 매개변수는 명확하게 정의되어야 합니다. 가장 좋은 방법은 인사 담당자가 수동으로 데이터를 입력하지 않고 인사 데이터베이스에서 사용할 수 있는 "선택" 기능을 사용하여 부서 및 직위 구조의 사전 생성된 디렉토리에서 데이터를 선택하는 것입니다.

동기화에서 추가 오류를 방지하고 보고서의 불일치를 수동으로 수정하지 않으려면 직원을 식별하는 가장 선호되는 방법은 ID를 입력하는 것입니다. 조직의 모든 직원에게. 이러한 식별자는 각 신입 직원에게 할당되며 인사 시스템과 조직의 정보 시스템 모두에 계정의 필수 속성으로 나타납니다. 숫자 또는 문자로 구성되어 있는지 여부는 중요하지 않으며, 가장 중요한 것은 직원마다 고유하다는 것입니다(예: 많은 직원이 직원의 개인 번호를 사용함). 앞으로 이 속성을 도입하면 인사 소스의 직원 데이터를 정보 시스템의 계정 및 권한과 쉽게 연결할 수 있습니다.

따라서 인사 기록의 모든 단계와 메커니즘을 분석하고 정리해야 합니다. 일부 프로세스를 변경하거나 개선해야 할 수도 있습니다. 이것은 지루하고 힘든 작업이지만 필요합니다. 그렇지 않으면 인사 이벤트에 대한 명확하고 구조화 된 데이터가 부족하여 자동 처리 오류가 발생합니다. 최악의 경우 구조화되지 않은 프로세스는 전혀 자동화할 수 없습니다.

대상 시스템

다음 단계에서는 얼마나 많은 정보 시스템을 IdM 구조에 통합하고 싶은지, 이러한 시스템에 저장되는 사용자 및 사용자의 권리에 대한 데이터는 무엇인지, 그리고 이를 관리하는 방법을 파악해야 합니다.

많은 조직에서 IdM을 설치하고 대상 시스템에 대한 커넥터를 구성하며 마술 지팡이의 물결로 추가 노력없이 모든 것이 작동한다는 의견이 있습니다. 아아, 그것은 일어나지 않습니다. 기업에서 정보 시스템 환경은 점진적으로 발전하고 성장합니다. 각 시스템에서 액세스 권한 부여에 대한 서로 다른 접근 방식을 구성할 수 있습니다. 즉, 서로 다른 액세스 제어 인터페이스가 구성됩니다. API(애플리케이션 프로그래밍 인터페이스)를 통해 관리가 발생하는 곳, 저장 프로시저를 사용하는 데이터베이스를 통해 발생하는 곳, 상호 작용 인터페이스가 전혀 없는 곳이 있을 수 있습니다. 조직 시스템에서 계정 및 권한을 관리하기 위해 기존의 많은 프로세스를 수정해야 한다는 사실에 대비해야 합니다. 즉, 데이터 형식을 변경하고, 사전에 상호 작용 인터페이스를 마무리하고, 이러한 작업을 위한 리소스를 할당해야 합니다.

롤모델

액세스 권한 관리 분야의 핵심 개념 중 하나이기 때문에 IdM 솔루션 공급자를 선택하는 단계에서 역할 모델의 개념을 접하게 될 것입니다. 이 모델에서 데이터 액세스는 역할을 통해 부여됩니다. 역할은 특정 위치에 있는 직원이 기능적 의무를 수행할 수 있도록 최소한으로 필요한 액세스 집합입니다.

역할 기반 액세스 제어에는 부인할 수 없는 여러 가지 이점이 있습니다.

• 많은 수의 직원에게 동일한 권리를 간단하고 효율적으로 할당합니다.
• 동일한 권한을 가진 직원의 빠른 액세스 변경;
• 사용자에 대한 중복 권한 배제 및 양립할 수 없는 권한의 차별화.

역할 매트릭스는 먼저 조직의 각 시스템에서 개별적으로 구축된 다음 전체 IT 환경으로 확장되어 각 시스템의 역할에서 글로벌 비즈니스 역할이 형성됩니다. 예를 들어 비즈니스 역할 "회계사"에는 기업의 회계 부서에서 사용되는 각 정보 시스템에 대한 여러 개별 역할이 포함됩니다.

최근에는 애플리케이션, 데이터베이스, 운영체제를 개발하는 단계에서도 역할 모델을 만드는 것이 '베스트 프랙티스'로 꼽힌다. 동시에 역할이 시스템에 구성되어 있지 않거나 단순히 존재하지 않는 상황은 드문 일이 아닙니다. 이 경우 이 시스템의 관리자는 필요한 권한을 제공하는 여러 파일, 라이브러리 및 디렉토리에 계정 데이터를 입력해야 합니다. 미리 정의된 역할을 사용하면 복잡한 복합 데이터가 있는 시스템에서 전체 범위의 작업을 수행할 수 있는 권한을 부여할 수 있습니다.

일반적으로 정보 시스템의 역할은 직원 구조에 따라 직위 및 부서에 대해 분배되지만 특정 비즈니스 프로세스에 대해 생성될 수도 있습니다. 예를 들어, 금융 기관에서는 결제 부서의 여러 직원이 동일한 위치인 운영자를 차지합니다. 그러나 부서 내에는 다양한 유형의 작업(외부 또는 내부, 다른 통화, 조직의 다른 세그먼트 포함)에 따라 별도의 프로세스로 배포됩니다. 한 부서의 각 업무 영역에 필요한 세부 사항에 따라 정보 시스템에 대한 액세스 권한을 제공하려면 별도의 기능 역할에 권한을 포함해야 합니다. 이렇게 하면 각 활동 영역에 대해 중복 권한을 포함하지 않고 최소한의 충분한 권한 집합이 제공됩니다.

또한 수백 개의 역할, 수천 명의 사용자 및 수백만 개의 권한이 있는 대규모 시스템의 경우 역할 계층 및 권한 상속을 사용하는 것이 좋습니다. 예를 들어 상위 역할인 관리자는 하위 역할인 사용자 및 독자의 권한을 상속받습니다. 관리자는 사용자 및 독자가 할 수 있는 모든 작업을 수행할 수 있고 추가 관리 권한도 갖기 때문입니다. 계층 구조를 사용하면 동일한 모듈 또는 시스템의 여러 역할에서 동일한 권한을 다시 지정할 필요가 없습니다.

첫 번째 단계에서는 가능한 권한 조합 수가 그다지 많지 않은 시스템에서 역할을 생성할 수 있으므로 적은 수의 역할을 쉽게 관리할 수 있습니다. 이는 AD(Active Directory), 메일 시스템, 서비스 관리자 등과 같은 공용 시스템에 대해 모든 회사 직원에게 필요한 일반적인 권한일 수 있습니다. 그런 다음 정보 시스템에 대해 생성된 역할 매트릭스를 비즈니스 역할로 결합하여 전체 역할 모델에 포함할 수 있습니다.

이 접근 방식을 사용하면 향후 IdM 시스템을 구현할 때 XNUMX단계에서 생성된 역할을 기반으로 액세스 권한을 부여하는 전체 프로세스를 쉽게 자동화할 수 있습니다.

NB 가능한 한 많은 시스템을 통합에 즉시 포함하려고 시도해서는 안 됩니다. 보다 복잡한 아키텍처 및 액세스 권한 관리 구조를 가진 시스템은 첫 번째 단계에서 반자동 모드로 IdM에 가장 잘 연결됩니다. 즉, 인사 이벤트를 기반으로 실행을 위해 관리자에게 전송될 액세스 요청의 자동 생성만 구현하고 권한을 수동으로 설정합니다.

첫 번째 단계를 성공적으로 통과한 후 시스템의 기능을 새로운 고급 비즈니스 프로세스로 확장하여 추가 정보 시스템의 연결을 통해 전체 자동화 및 확장을 구현하는 것이 가능합니다.

즉, IdM 구현을 준비하기 위해서는 새로운 프로세스에 대한 정보 시스템의 준비 상태를 평가하고 사용자 계정 및 권한 관리를 위한 외부 인터페이스를 사용할 수 없는 경우 사전에 개선해야 합니다. 시스템. 통합 접근통제를 위한 정보시스템 역할의 단계적 생성 문제도 해결해야 한다.

조직 행사

조직 문제를 무시해서는 안 됩니다. 어떤 경우에는 전체 프로젝트의 결과가 종종 부서 간의 효과적인 상호 작용에 달려 있기 때문에 결정적인 역할을 할 수 있습니다. 이를 위해 일반적으로 관련된 모든 부서를 포함하는 조직의 프로세스 참여자 팀을 만드는 것이 좋습니다. 이것은 사람들에게 추가적인 부담이므로 향후 프로세스의 모든 참가자에게 상호 작용 구조에서 역할과 중요성을 미리 설명하십시오. 이 단계에서 IdM의 아이디어를 동료들에게 "판매"하면 앞으로 많은 어려움을 피할 수 있습니다.

종종 회사에서 IdM 구현 프로젝트의 "소유자"는 정보 보안 또는 IT 부서이며 비즈니스 부서의 의견은 고려되지 않습니다. 각 자원이 어떤 비즈니스 프로세스에서 어떻게 어떻게 사용되는지, 누구에게 액세스 권한을 부여해야 하는지, 누구에게 액세스 권한을 주어서는 안 되는지를 그들만이 알고 있기 때문에 이것은 큰 실수입니다. 따라서 준비 단계에서 정보 시스템에서 사용자의 권한(역할) 세트가 개발되는 기능 모델을 담당하는 것이 비즈니스 소유자임을 나타내는 것이 중요합니다. 이러한 역할이 최신 상태로 유지되도록 합니다. 역할 모델은 한 번 구축된 정적 매트릭스가 아니며 이에 진정할 수 있습니다. 이것은 조직 구조와 직원 기능의 변화에 ​​따라 끊임없이 변화, 업데이트 및 개발해야하는 "살아있는 유기체"입니다. 그렇지 않으면 액세스 권한 부여가 지연되는 문제가 발생하거나 과도한 액세스 권한과 관련된 정보 보안 위험이 발생하며 이는 더욱 심각합니다.

아시다시피 "XNUMX 명의 유모에게는 눈이없는 아이가 있습니다", 회사는 역할 모델의 아키텍처, 최신 정보를 유지하기위한 프로세스에서 특정 참가자의 상호 작용 및 책임을 설명하는 방법론을 개발해야합니다. 회사에 많은 비즈니스 활동 영역이 있고 이에 따라 많은 부서와 부서가 있는 경우 각 영역(예: 대출, 운영, 원격 서비스, 규정 준수 등)에 대해 역할 기반 액세스 제어 프로세스의 일부로 별도의 큐레이터를 지정해야 합니다. 이를 통해 유닛 구조 변경 및 각 역할에 필요한 접근 권한에 대한 정보를 빠르게 전달받을 수 있습니다.

프로세스 참여자 인 부서 간의 갈등 상황을 해결하려면 조직 경영진의 지원을 요청하는 것이 필수적입니다. 그리고 새로운 프로세스를 구현하는 과정에서 갈등은 불가피합니다. 우리의 경험을 믿으십시오. 따라서 누군가의 오해와 사보타주로 인해 시간을 낭비하지 않기 위해 가능한 이해 상충을 해결할 중재자가 필요합니다.

NB 직원 교육은 인식을 높이는 좋은 출발점입니다. 미래 프로세스의 기능에 대한 자세한 연구, 각 참가자의 역할은 새로운 솔루션으로 전환하는 어려움을 최소화합니다.

체크리스트

요약하면 IdM 구현을 계획 중인 조직이 취해야 할 주요 단계는 다음과 같습니다.

• 인사 데이터에 물건을 정리하십시오.
• 각 직원에 대한 고유 식별 매개변수를 입력합니다.
• IdM 구현을 위한 정보 시스템의 준비 상태를 평가합니다.
• 액세스 제어를 위해 정보 시스템과의 상호 작용을 위한 인터페이스를 개발하고(사용할 수 없는 경우) 이러한 작업을 위한 리소스를 할당합니다.
• 역할 모델을 개발하고 구축합니다.
• 역할 모델 관리 프로세스를 구축하고 각 비즈니스 영역의 큐레이터를 포함합니다.
• IdM에 대한 초기 연결을 위해 여러 시스템을 선택합니다.
• 효과적인 프로젝트 팀을 구성합니다.
• 회사 경영진의 지원을 요청합니다.
• 기차 직원.

준비 과정이 어려울 수 있으므로 가능하면 컨설턴트를 참여시키십시오.

IdM 솔루션의 구현은 쉽고 책임 있는 단계가 아니며, 성공적인 구현을 위해 각 당사자의 개별적인 노력(사업부 직원, IT 및 정보 보안 서비스, 전체 팀의 상호 작용)이 모두 중요합니다. 중요한. 그러나 노력은 그만한 가치가 있습니다. 회사에서 IdM을 구현한 후 정보 시스템의 과도한 권한 및 무단 권한과 관련된 사건의 수가 줄었습니다. 필요한 권리의 부족/오래 기다림으로 인한 직원의 가동 중지 시간이 사라집니다. 자동화로 인해 인건비가 절감되고 IT 및 정보 보안 서비스의 노동 생산성이 향상됩니다.

출처 : habr.com