W poprzednich artykułach omawialiśmy, czym jest IdM, jak zrozumieć, czy Twojej organizacji potrzebny jest taki system, jakie zadania on rozwiązuje i jak usprawiedliwić budżet na wdrożenie przed kierownictwem. Dziś porozmawiamy o ważnych etapach, które organizacja musi przejść, aby osiągnąć odpowiedni poziom dojrzałości przed wdrożeniem systemu IdM. W końcu IdM ma na celu automatyzację procesów, a automatyzacja chaosu jest niemożliwa.
Do momentu, gdy firma osiągnie rozmiary dużego przedsiębiorstwa i zgromadzi wiele różnych systemów biznesowych, zazwyczaj nie myśli o zarządzaniu dostępem. Dlatego procesy uzyskiwania uprawnień i kontroli uprawnień są w niej nieustrukturyzowane i trudno je analizować. Pracownicy składają wnioski o dostęp w dowolny sposób, proces zatwierdzania również nie jest sformalizowany, a czasami zwyczajnie go nie ma. Niemożliwe jest szybko ustalić, jakie dostępy ma pracownik, kto je zatwierdził i na jakiej podstawie.
Biorąc pod uwagę, że proces automatyzacji dostępu dotyka dwóch podstawowych stron – danych kadrowych i danych systemów informacyjnych, z którymi trzeba będzie się zintegrować, rozważmy kroki niezbędne do płynnego wdrożenia IdM, które nie wywoła oporu:
- Analiza procesów kadrowych oraz optymalizacja zarządzania bazą danych pracowników w systemach kadrowych.
- Analiza danych o użytkownikach i uprawnieniach, a także aktualizacja metod zarządzania dostępem w docelowych systemach, które planuje się podłączyć do IdM.
- Działania organizacyjne i zaangażowanie personelu w proces przygotowania do wdrożenia IdM.
Dane kadrowe
Źródło danych kadrowych w organizacji może być jedno lub kilka. Na przykład, organizacja może mieć dość szeroką sieć oddziałów, a w każdym z nich może być używana własna baza kadrowa.
Przede wszystkim należy zrozumieć, jakie podstawowe dane o pracownikach są przechowywane w systemie ewidencji kadrowej, jakie wydarzenia są rejestrowane oraz ocenić ich kompletność i struktury.
Często zdarza się, że nie wszystkie zdarzenia kadrowe są odnotowywane w źródle kadrowym (a jeszcze częściej są one notowane nie na czas i nie do końca poprawnie). Oto kilka typowych przykładów:
- nie są rejestrowane urlopy, ich kategorie i terminy (wypoczynkowe lub długoterminowe);
- Nie rejestruje się częściowego zatrudnienia: na przykład podczas długiego urlopu macierzyńskiego pracownik może jednocześnie pracować na niepełny etat;
- Faktyczny status kandydata lub pracownika uległ już zmianie (przyjęcie/przeniesienie/zwolnienie), a rozkaz dotyczący tego zdarzenia jest wydawany z opóźnieniem;
- Pracownik jest przenoszony na nową etatową pozycję poprzez zwolnienie, przy czym w systemie kadrowym nie rejestruje się informacji o tym, że jest to techniczne zwolnienie.
Warto również zwrócić uwagę na ocenę jakości danych, ponieważ wszelkie błędy i niedokładności pochodzące z wiarygodnego źródła, jakim są systemy ewidencji kadrowej, mogą później kosztować i powodować wiele problemów przy wdrażaniu IdM. Na przykład pracownicy działu kadr często wprowadzają stanowiska pracowników do systemu kadrowego w różnych formatach: wielkie i małe litery, skróty, różna liczba spacji i tym podobne. W rezultacie to samo stanowisko może być zarejestrowane w systemie kadrowym w następujących wariantach:
- Starszy menedżer
- starszy menedżer
- st. menedżer
- st. menedżer…
Często spotyka się również różnice w zapisie imion i nazwisk:
- Szmeljewa Natalia Giennadjewna,
- Szmeljewa Natalia Giennadjewna…
Dalsza automatyzacja takiego bałaganu jest nieakceptowalna, tym bardziej jeśli te atrybuty są kluczowym znakiem identyfikacji, to jest dane o pracowniku i jego uprawnieniach w systemach są porównywane właśnie według imienia i nazwiska.
Ponadto nie należy zapominać o możliwej obecności w firmie osób o tych samych nazwiskach i pełnych imionach. Jeśli w organizacji jest tysiąc pracowników, to takich przypadków może być niewiele, ale jeśli pięćdziesiąt tysięcy, może to stać się krytyczną przeszkodą dla prawidłowego działania systemu IdM.
Podsumowując wszystko, co zostało powiedziane, dochodzimy do wniosku: format wprowadzania danych do bazy kadrowej organizacji powinien być ustandaryzowany. Parametry wprowadzania imion i nazwisk, stanowisk oraz działów powinny być ściśle określone. Optymalnym rozwiązaniem jest, gdy pracownik działu kadr nie wprowadza danych ręcznie, lecz wybiera je z wcześniej utworzonego katalogu struktury działów i stanowisk za pomocą funkcji „select” dostępnej w bazie kadrowej.
Aby uniknąć dalszych błędów w synchronizacji i ręcznego korygowania rozbieżności w raportach, najbardziej preferowanym sposobem identyfikacji pracowników jest wprowadzenie ID dla każdego pracownika organizacji. Taki identyfikator będzie przypisywany każdemu nowemu pracownikowi i będzie występował zarówno w systemie kadrowym, jak i w systemach informacyjnych organizacji jako obowiązkowy atrybut konta. Nie ma znaczenia, czy składa się z cyfr, czy liter – ważne, aby dla każdego pracownika był unikalny (na przykład wiele osób używa numeru ewidencyjnego pracownika). Wprowadzenie tego atrybutu znacznie ułatwi później powiązanie danych o pracowniku w źródle kadrowym z jego kontami i uprawnieniami w systemach informacyjnych.
Zatem wszystkie kroki i mechanizmy ewidencji kadrowej należy przeanalizować i uporządkować. Możliwe, że niektóre procesy będzie trzeba zmienić lub dopracować. To żmudna i pracochłonna praca, ale niezbędna, w przeciwnym razie brak jasnych i uporządkowanych danych o wydarzeniach kadrowych doprowadzi do błędów podczas ich automatycznej obróbki. W najgorszym przypadku nieustrukturyzowane procesy będą wręcz niemożliwe do zautomatyzowania.
Systemy docelowe
Na następnym etapie należy zrozumieć, ile systemów informacyjnych chcemy zintegrować w strukturze IdM, jakie dane o użytkownikach i ich prawach są przechowywane w tych systemach oraz jak nimi zarządzać.
Wiele organizacji ma przekonanie, że wystarczy zainstalować IdM, skonfigurować konektory do systemów docelowych i za pomocą magicznej sztuczki wszystko zacznie działać, bez dodatkowych wysiłków z naszej strony. Niestety, tak to nie działa. W firmach krajobraz systemów informacyjnych rozwija się i zwiększa stopniowo. W każdym z systemów może być wprowadzony inny sposób przyznawania uprawnień, co znaczy, że skonfigurowane są różne interfejsy zarządzania dostępem. Gdzieś zarządzanie odbywa się przez API (interfejs programowania aplikacji), gdzie indziej przez bazę danych za pomocą procedur składowanych, a czasami interfejsy współpracy mogą w ogóle nie istnieć. Należy być gotowym na to, że przyjdzie nam zrewidować wiele istniejących procesów zarządzania kontami i uprawnieniami w systemach organizacji: zmienić format danych, wcześniej dostosować interfejsy współpracy i przeznaczyć zasoby na te prace.
Model ról
Z pojęciem modelu ról z pewnością spotkasz się już na etapie wyboru dostawcy rozwiązania IdM, gdyż jest to jedno z kluczowych pojęć w dziedzinie zarządzania uprawnieniami dostępu. W tym modelu przyznawanie dostępu do danych odbywa się poprzez rolę. Rola to zbiór dostępów, minimalnie koniecznych do tego, aby pracownik na określonym stanowisku mógł wykonywać swoje obowiązki.
Zarządzanie dostępem z wykorzystaniem ról ma szereg niezaprzeczalnych zalet:
- łatwość i efektywność przyznawania takich samych uprawnień dużej liczbie pracowników;
- szybka zmiana dostępu pracowników, którzy mają ten sam zestaw uprawnień;
- eliminacja nadmiarowości uprawnień oraz rozdzielanie niespójnych uprawnień dla użytkowników.
Macierz ról jest najpierw budowana osobno w każdym z systemów organizacji, a następnie skalowana na cały krajobraz IT, gdzie z ról każdego systemu tworzone są globalne role biznesowe. Na przykład, rola biznesowa „Księgowy” będzie obejmować kilka oddzielnych ról w każdym z systemów informacyjnych używanych w księgowości przedsiębiorstwa.
Ostatnio uznano, że dobrym zwyczajem jest już na etapie tworzenia aplikacji, baz danych i systemów operacyjnych tworzenie modelu ról. Jednocześnie zdarzają się sytuacje, w których w systemie role nie są skonfigurowane lub po prostu ich nie ma. W takim przypadku administrator tego systemu musi wprowadzić dane konta do kilku różnych plików, bibliotek i katalogów, które zapewniają niezbędne uprawnienia. Użycie wcześniej zdefiniowanych ról pozwala przyznać uprawnienia do przeprowadzania całego zestawu operacji w systemie złożonym z danych.
Role w systemie informacyjnym są zazwyczaj przypisywane do stanowisk i działów w strukturze etatowej, ale mogą być również tworzone dla określonych procesów biznesowych. Na przykład w organizacji finansowej kilku pracowników działu rozliczeń zajmuje to samo stanowisko – operatora. Jednak wewnątrz działu istnieje również podział na poszczególne procesy, według różnych typów operacji (zewnętrzne lub wewnętrzne, w różnych walutach, z różnymi segmentami organizacji). Aby każdemu z obszarów biznesowych jednego działu zapewnić dostęp do systemu informacyjnego zgodnie z potrzebami, należy włączyć uprawnienia do osobnych ról funkcjonalnych. Umożliwi to przyznanie minimalnego wystarczającego zestawu uprawnień, nie obejmującego nadmiarowych praw, dla każdego z obszarów działalności.
Ponadto dla dużych systemów z setkami ról, tysiącami użytkowników i milionami uprawnień dobrą praktyką jest stosowanie hierarchii ról oraz dziedziczenia uprawnień. Na przykład rola nadrzędna Administrator będzie dziedziczyć uprawnienia ról podrzędnych: Użytkownika i Czytelnika, ponieważ Administrator może robić wszystko, co Użytkownik i Czytelnik, a dodatkowo będzie miał dodatkowe prawa administracyjne. Przy zastosowaniu hierarchii nie ma potrzeby ponownego określania tych samych uprawnień w kilku rolach jednego modułu lub systemu.
Na pierwszym etapie można stworzyć role w tych systemach, gdzie możliwa liczba kombinacji uprawnień nie jest zbyt duża i w związku z tym łatwo zarządzać niewielką ilością ról. Mogą to być standardowe uprawnienia, które są niezbędne dla wszystkich pracowników firmy, w ogólnodostępnych systemach, takich jak katalog Active Directory (AD), systemy pocztowe, Service Manager i podobne. Następnie, utworzone matryce ról dla systemów informacyjnych można będzie włączyć do ogólnego modelu ról, łącząc je w Role Biznesowe.
Stosując takie podejście, w przyszłości przy wdrażaniu systemu IdM będzie łatwo zautomatyzować cały proces przyznawania uprawnień na podstawie utworzonych ról pierwszego etapu.
N.B. Nie warto od razu próbować włączyć do integracji jak najwięcej systemów. Systemy o bardziej skomplikowanej architekturze i strukturze zarządzania uprawnieniami lepiej jest podłączać do IdM w trybie półautomatycznym na pierwszym etapie. To znaczy zrealizować na podstawie wydarzeń kadrowych tylko automatyczne formowanie wniosku o dostęp, który trafi do realizacji do administratora, a on ustawi uprawnienia ręcznie.
Po pomyślnym zakończeniu pierwszego etapu można rozszerzyć funkcjonalność systemu na nowe, rozbudowane procesy biznesowe, wdrożyć pełną automatyzację i skalowanie poprzez podłączenie dodatkowych systemów informacyjnych.
Innymi słowy, aby przygotować się do wdrożenia systemu IdM, należy ocenić gotowość systemów informacyjnych do nowego procesu i z wyprzedzeniem dostosować zewnętrzne interfejsy współpracy w zakresie zarządzania kontami i uprawnieniami użytkowników, jeśli takie interfejsy w systemie są nieobecne. Należy również opracować kwestię etapowego tworzenia ról w systemach informacyjnych dla kompleksowego zarządzania dostępem.
Działania organizacyjne
Nie należy lekceważyć kwestii organizacyjnych. W pewnych przypadkach mogą one odgrywać kluczową rolę, ponieważ efektywna współpraca między działami często decyduje o rezultacie całego projektu. Dlatego zazwyczaj doradzamy stworzenie w organizacji zespołu uczestników procesu, w którym będą reprezentowane wszystkie zaangażowane działy. Ponieważ jest to dodatkowe obciążenie dla ludzi, postarajcie się wcześniej wyjaśnić wszystkim uczestnikom przyszłego procesu ich rolę i znaczenie w strukturze współpracy. Jeśli uda się "sprzedać" pomysł IdM kolegom na tym etapie, można uniknąć wielu trudności w przyszłości.
Często "właścicielami" projektu wdrożenia IdM w firmie są działy bezpieczeństwa informacji lub IT, a zdanie działów biznesowych nie jest brane pod uwagę. To duży błąd, ponieważ to tylko oni wiedzą, w jaki sposób i w jakich procesach biznesowych wykorzystywane są poszczególne zasoby, kto powinien mieć do nich dostęp, a kto nie. Dlatego na etapie przygotowań ważne jest, aby zaznaczyć, że to biznesowy właściciel odpowiada za model funkcjonalny, na podstawie którego opracowywane są zestawy uprawnień (ról) użytkowników w systemie informacyjnym, a także za to, aby te role były utrzymywane w aktualnym stanie. Model ról to nie statyczna matryca, którą raz zbudowano i na tym można poprzestać. To "żywy organizm", który musi się stale zmieniać, aktualizować i rozwijać, podążając za zmianami w strukturze organizacji i funkcjach pracowników. W przeciwnym razie mogą pojawić się problemy związane z opóźnieniami w przyznawaniu dostępu lub mogą wystąpić zagrożenia bezpieczeństwa informacji związane z nadmiernymi uprawnieniami dostępu, co jest jeszcze gorsze.
Jak wiadomo, „przy siedmiu nianiach dziecko bez oka”, dlatego w firmie powinna zostać opracowana metodologia, opisująca architekturę modelu ról, interakcje oraz odpowiedzialność konkretnych uczestników procesu za utrzymanie go w aktualnym stanie. Jeśli w firmie istnieje wiele kierunków działalności biznesowej i w związku z tym wiele jednostek organizacyjnych i departamentów, to dla każdego kierunku (np. kredytowania, operacji, usług zdalnych, zgodności itp.) w ramach procesu zarządzania rolami dostępu należy wyznaczyć poszczególnych kuratorów. Dzięki nim będzie można szybko uzyskać informacje o zmianach w strukturze jednostki i prawach dostępu, które są niezbędne dla każdej roli.
Należy koniecznie uzyskać wsparcie kierownictwa organizacji w celu rozwiązania konfliktowych sytuacji między jednostkami – uczestnikami procesu. A konflikty przy wdrażaniu jakiegokolwiek nowego procesu są nieuniknione, uwierzcie naszemu doświadczeniu. Dlatego potrzebny jest arbiter, który rozwiąże ewentualne konflikty interesów, aby nie tracić czasu z powodu niedopowiedzeń i sabotażu.
N.B. Dobrym krokiem w kierunku zwiększenia poziomu świadomości będzie szkolenie personelu. Szczegółowe zapoznanie się z funkcjonowaniem przyszłego procesu oraz rolą każdego uczestnika w nim pozwoli zminimalizować trudności związane z przejściem na nowe rozwiązanie.
Lista kontrolna
Podsumowując, zestawiamy główne kroki, które powinna podjąć organizacja planująca wdrożenie IdM:
- uporządkować dane kadrowe;
- wprowadzić unikalny identyfikator dla każdego pracownika;
- ocenić gotowość systemów informacyjnych do wdrożenia IdM;
- opracować interfejsy współpracy z systemami informacyjnymi w celu zarządzania dostępem, jeśli ich nie ma, i przydzielić zasoby na te prace;
- opracować i zbudować model ról;
- ustalić proces zarządzania modelem ról i włączyć w niego kuratorów z każdego kierunku biznesowego;
- wybrać kilka systemów do początkowego podłączenia do IdM;
- stworzyć efektywny zespół projektowy;
- uzyskać wsparcie kierownictwa firmy;
- przeszkolić personel.
Proces przygotowania może być niełatwy, dlatego, jeśli to możliwe, angażujcie konsultantów.
Wdrożenie systemu IdM to krok niełatwy i odpowiedzialny, a dla pomyślnej realizacji kluczowe są zarówno wysiłki każdej ze stron, jak i współpraca całego zespołu. Ale wysiłki są warte tego: po wdrożeniu IdM w firmie zmniejsza się liczba incydentów związanych z nadmiernymi uprawnieniami i nieautoryzowanymi dostępami w systemach informacyjnych; znikają przestoje pracowników spowodowane brakiem lub długim oczekiwaniem na wymagane uprawnienia; dzięki automatyzacji maleją koszty pracy, a wydajność pracy zespołów IT i bezpieczeństwa informacji wzrasta.
Źródło: habr.com
