În articolele anterioare, am discutat deja despre ce este IdM, cum să înțelegem dacă organizația dumneavoastră are nevoie de un astfel de sistem, ce probleme rezolvă și cum să justificăm bugetul de implementare în fața conducerii. Astăzi vom vorbi despre etapele importante pe care organizația trebuie să le parcurgă pentru a atinge un nivel adecvat de maturitate înainte de implementarea sistemului IdM. Deoarece IdM este destinat să automatizeze procesele, automatizarea haosului este imposibilă.
Până când o companie crește până la dimensiunile unei mari întreprinderi și acumulează o mulțime de diferite sisteme de afaceri, de obicei nu se gândește la managementul accesului. Prin urmare, procesele de obținere a drepturilor și de control al autorităților nu sunt structurate și sunt greu de analizat. Angajații depun cereri pentru acces cum doresc, procesul de aprobat nu este formalizat, iar uneori acesta nu există deloc. Este imposibil să se înțeleagă rapid ce acces are un angajat, cine le-a aprobat și pe ce bază.
Având în vedere că procesul de automatizare a accesului implică două părți principale – datele de personal și datele sistemelor informaționale cu care urmează să se realizeze integrarea, să analizăm pașii necesari pentru ca implementarea IdM să decurgă fără probleme și să nu provoace respingere:
- Analiza proceselor de personal și optimizarea întreținerii bazei de date a angajaților în sistemele de resurse umane.
- Analiza datelor despre utilizatori și drepturi, precum și actualizarea metodelor de gestionare a accesului în sistemele țintă care urmează să fie conectate la IdM.
- Activități organizaționale și implicarea personalului în procesul de pregătire pentru implementarea IdM.
Date de personal
Sursa datelor de personal în organizație poate fi una sau mai multe. De exemplu, organizația poate avea o rețea de filiale destul de extinsă, iar în fiecare filială poate fi utilizată propria bază de date de personal.
În primul rând, este necesar să înțelegem ce date principale despre angajați sunt stocate în sistemul de contabilitate a personalului, ce evenimente sunt înregistrate și să evaluăm completitudinea și structura acestora.
Adesea, nu toate evenimentele de personal sunt înregistrate în sursa de personal (și și mai frecvent acestea sunt înregistrate intempestiv și nu foarte corect). Iată câteva exemple tipice:
- nu se înregistrează concediile, categoriile acestora și termenii (concedii obișnuite sau de lungă durată);
- nu se înregistrează ocuparea parțială: de exemplu, în timpul unei concediu prelungit pentru îngrijirea copilului, un angajat poate lucra simultan cu normă parțială;
- statutul efectiv al candidatului sau angajatului s-a schimbat deja (angajare / transfer / concediere), iar ordinul pentru acest eveniment întârzie;
- angajatul este transferat într-o nouă funcție prin concediere, iar în sistemul de resurse umane nu se înregistrează informații că aceasta este o concediere tehnică.
De asemenea, merită acordată atenție evaluării calității datelor, deoarece erorile și inexactitățile provenite dintr-o sursă de încredere, cum sunt sistemele de contabilitate a personalului, pot duce în continuare la costuri mari și numeroase probleme la implementarea IdM. De exemplu, angajații departamentului de resurse umane adesea introduc funcțiile angajaților în sistemul de resurse umane în formate diferite: litere mari și mici, abrevieri, număr diferit de spații etc. Ca rezultat, aceeași funcție poate fi înregistrată în sistemul de resurse umane în următoarele variații:
- Manager senior
- manager senior
- m. senior
- m. senior…
Adesea întâlnim și diferențe în scrierea numelui și prenumelui:
- Șmelëva Natalia Ghenadieva,
- Șmelëva Natalia Ghenadieva…
Pentru a continua automatizarea, un astfel de amestec este inacceptabil, mai ales dacă aceste atribute sunt un semn cheie de identificare, adică datele despre angajat și atribuțiile sale în sisteme sunt corelate exact după nume și prenume.
În plus, nu trebuie uitat faptul că în companie pot exista oameni cu același nume și persoane omonime. Dacă organizația are o mie de angajați, astfel de coincidențe pot fi puține, dar dacă există 50 de mii, aceasta poate deveni un obstacol critic pentru funcționarea corectă a sistemului IdM.
Rezumând cele de mai sus, ajungem la concluzia că formatul de introducere a datelor în baza de resurse umane a organizației trebuie să fie standardizat. Parametrii de introducere a numelui, funcțiilor și subdiviziunilor trebuie să fie clar definiți. Cea mai bună opțiune este ca angajatul din resurse umane să nu introducă datele manual, ci să le aleagă dintr-un director predefinit al structurii subdiviziunilor și funcțiilor prin funcția «select», disponibilă în baza de resurse umane.
Pentru a evita erori ulterioare în sincronizare și a nu fi nevoit să corectezi manual discrepanțele din rapoarte, cea mai preferată metodă de identificare a angajaților este introducerea unui ID pentru fiecare angajat al organizației. Acest identificator va fi alocat fiecărui nou angajat și va apărea atât în sistemul de resurse umane, cât și în sistemele informaționale ale organizației ca un atribut obligatoriu al contului. Nu contează dacă este format din cifre sau litere - important este să fie unic pentru fiecare angajat (de exemplu, multe organizații folosesc numărul de identificare al angajatului). În continuare, introducerea acestui atribut va facilita semnificativ corelarea datelor despre angajat în sursa de resurse umane cu conturile și drepturile sale în sistemele informaționale.
Astfel, toate pașii și mecanismele de contabilitate a personalului vor trebui analizate și ordonate. Este posibil ca unele procese să necesite modificări sau îmbunătățiri. Aceasta este o muncă obositoare și migăloasă, dar necesară; altfel, absența unor date clare și structurate despre evenimentele de personal va duce la erori în procesarea lor automată. În cel mai rău caz, procesele nestructurate nu vor putea fi automatizate deloc.
Sistemele țintă
În etapa următoare, trebuie să stabilim câte sisteme informaționale dorim să integrăm în structura IdM, ce date despre utilizatori și drepturile acestora sunt stocate în aceste sisteme și cum le vom gestiona.
În multe organizații există părerea că, odată ce vom instala IdM, vom configura conectorii pentru sistemele țintă și, ca printr-o baghetă magică, totul va funcționa fără eforturi suplimentare din partea noastră. Din păcate, nu se întâmplă așa. În companii, peisajul sistemelor informaționale se dezvoltă și se extinde treptat. Fiecare dintre aceste sisteme poate avea o abordare diferită în ceea ce privește acordarea drepturilor de acces, adică pot fi configurate diferite interfețe de gestionare a accesului. În unele locuri, managementul se face prin API (interfața de programare a aplicațiilor), în altele prin baza de date folosind proceduri stocate, în timp ce în unele cazuri, interfețele de interacțiune ar putea să nu existe deloc. Trebuie să fim pregătiți pentru a revizui multe dintre procesele existente de gestionare a conturilor și drepturilor în sistemele organizației: să modificăm formatul datelor, să dezvoltăm anterior interfețele de interacțiune și să alocăm resurse pentru aceste lucrări.
Modelul de rol
Cu conceptul de model de rol te vei confrunta, probabil, încă din etapa de alegere a furnizorului de soluții IdM, deoarece acesta este unul dintre conceptele cheie în domeniul managementului drepturilor de acces. În acest model, acordarea accesului la date se face prin intermediul unui rol. Rolul reprezintă un set de drepturi, minime necesare pentru ca un angajat pe o anumită poziție să își îndeplinească sarcinile funcționale.
Managementul accesului pe bază de rol are o serie de avantaje indiscutabile:
- simplicitate și eficiență în acordarea acelorași drepturi unui număr mare de angajați;
- modificarea rapidă a accesului angajaților care au același set de drepturi;
- excluderea redundanței drepturilor și delimitarea competențelor incompatibile pentru utilizatori.
Matricea de roluri este mai întâi construită separat în fiecare dintre sistemele organizației, apoi se extinde pe întreg peisajul IT, unde din rolurile fiecărui sistem se formează rolurile globale de afaceri. De exemplu, rolul de afaceri „Contabil” va include mai multe roluri separate din fiecare dintre sistemele informaționale utilizate în contabilitatea organizației.
Recent trends suggest that it is considered 'best practice' to create a role model during the application, database, and operating system development stages. However, there are often situations where roles in the system are not configured or simply do not exist. In such cases, the administrator of this system must enter the account data into several different files, libraries, and directories that provide the necessary permissions. Using predefined roles allows privileges to be granted for a whole range of operations within the system involving complex composite data.
Roles in an information system are generally distributed based on positions and departments according to the organizational structure, but they can also be created for specific business processes. For example, in a financial organization, several employees in the settlement department hold the same position — operator. However, within the department, there is also a distribution among separate processes for different types of operations (external or internal, in different currencies, with various segments of the organization). To provide each business direction of a department with access in the information system according to its specific needs, it is essential to include rights in separate functional roles. This allows for granting a minimally sufficient set of powers without including excessive rights for each area of activity.
Moreover, for large systems with hundreds of roles, thousands of users, and millions of permissions, a good practice is to use role hierarchies and privilege inheritance. For instance, the parent role of Administrator will inherit the privileges of the child roles: User and Reader, since the Administrator can perform all the actions a User and Reader can, plus have additional administrative rights. With a hierarchy, there is no need to repeatedly specify the same rights across multiple roles within the same module or system.
În prima etapă, se pot crea roluri în acele sisteme unde numărul combinatiilor de drepturi nu este foarte mare, făcând astfel gestionarea unui număr mic de roluri relativ simplă. Acestea pot include drepturi tipice necesare tuturor angajaților companiei, în sisteme precum catalogul Active Directory (AD), sistemele de e-mail, Service Manager și altele similare. Apoi, matricele de roluri create pentru sistemele informaționale pot fi incluse în modelul general de roluri, fiind consolidate în roluri de business.
Folosind o astfel de abordare, ulterior, la implementarea sistemului IdM, va fi ușor să se automatizeze întregul proces de acordare a drepturilor de acces pe baza rolurilor create în prima etapă.
N.B. Nu trebuie să încercați să integrați cât mai multe sisteme în același timp. Sistemele cu o arhitectură și o structură de gestionare a drepturilor de acces mai complexe ar trebui conectate la IdM în mod semi-automat în prima etapă. Adică, pe baza evenimentelor de resurse umane, să se realizeze doar formarea automată a unei cereri de acces, care va fi trimisă spre executare administratorului, iar acesta își va configura manual drepturile.
După ce prima etapă a fost finalizată cu succes, se poate extinde funcționalitatea sistemului la noi procese de business, realizând automatizarea completă și scalarea prin conectarea unor sisteme informaționale suplimentare.
Cu alte cuvinte, pentru a vă pregăti pentru implementarea IdM, trebuie să evaluați pregătirea sistemelor informaționale pentru noul proces și să refaceti din timp interfețele externe de interacțiune pentru gestionarea conturilor și a drepturilor utilizatorilor, dacă astfel de interfețe lipsesc din sistem. De asemenea, ar trebui să elaborați un plan pentru crearea etapizată a rolurilor în sistemele informaționale pentru o gestionare complexă a accesului.
Activități organizatorice
Nu trebuie să ignorăm aspectele organizatorice. În unele cazuri, acestea pot juca un rol decisiv, deoarece rezultatul întregului proiect depinde adesea de o interacțiune eficientă între departamente. De aceea, de obicei sfătuim să formăm în organizație o echipă de participanți la proces, care să includă toate departamentele implicate. Fiindcă aceasta este o sarcină suplimentară pentru oameni, încercați din timp să le explicați tuturor participanților rolul și importanța lor în structura de interacțiune. Dacă reușiți să „vindeți” colegilor ideia IdM în acest stadiu, se pot evita multe dificultăți ulterioare.
Adesea, „proprietarii” proiectului de implementare IdM în companie sunt departamentele de securitate informațională sau IT, iar opinia departamentelor de afaceri nu este avută în vedere. Aceasta este o mare greșeală, deoarece numai aceștia știu în ce mod și în care procese de afaceri este utilizat fiecare resursă, cui trebuie să îi fie acordat accesul și cui nu. De aceea, în etapa de pregătire, este important să se sublinieze că exact proprietarul de afaceri este responsabil pentru modelul funcțional pe baza căruia sunt dezvoltate seturile de drepturi (roluri) ale utilizatorilor în sistemul informațional, precum și pentru a se asigura că aceste roluri sunt menținute actualizate. Modelul pe roluri nu este o matrice statică, pe care o construiești o dată și apoi te poți liniști. Este un „organism viu”, care trebuie să se schimbe, să se actualizeze și să evolueze constant, urmând modificările structurii organizației și funcționalității angajaților. Altfel, fie vor apărea probleme legate de întârzierile în acordarea accesului, fie vor apărea riscuri de securitate informațională legate de drepturi excesive de acces, ceea ce este și mai rău.
După cum se știe, „la cei șapte bone, copilul fără ochi”, prin urmare, compania trebuie să dezvolte o metodologie care să descrie arhitectura modelului de rol, interacțiunea și responsabilitatea participanților specifici în procesul de menținere a acestuia în stare actualizată. Dacă în companie există multe direcții de activitate economică și, în consecință, o multitudine de departamente, atunci pentru fiecare direcție (de exemplu, creditare, operare, servicii la distanță, conformitate etc.) trebuie să fie numiți curatori specifici în cadrul procesului de management al rolurilor de acces. Prin intermediul acestora, se poate obține rapid informații despre schimbările din structura departamentului și drepturile de acces necesare pentru fiecare rol.
Este esențial să obțineți sprijinul conducerii organizației pentru a rezolva situațiile conflictuale între departamentele participante la proces. Conflictele sunt inevitabile în implementarea oricărui nou proces, credeți-ne pe cuvânt. Prin urmare, este necesar un arbitru care să gestioneze conflictele de interese, pentru a nu pierde timp din cauza neînțelegerilor sau sabotorilor.
N.B. O inițiativă bună pentru creșterea nivelului de conștientizare va fi formarea personalului. Studiul detaliat al funcționării viitorului proces și al rolului fiecărui participant va minimiza dificultățile trecerii la noua soluție.
Checklist
În concluzie, să rezumăm pașii principali pe care organizația ar trebui să-i facă in vederea implementării IdM:
- să ordoneze datele de personal;
- să introducă un parametru de identificare unic pentru fiecare angajat;
- să evalueze pregătirea sistemelor informaționale pentru implementarea IdM;
- să dezvolte interfețe de interacțiune cu sistemele informaționale pentru managementul accesului, dacă acestea nu există, și să aloce resurse pentru aceste lucrări;
- să dezvolte și să construiască un model de rol;
- să organizeze procesul de management al modelului de rol și să includă curatori din fiecare direcție de business;
- să aleagă câteva sisteme pentru conectarea inițială la IdM;
- să creeze o echipă de proiect eficientă;
- să obțină sprijinul conducerii companiei;
- să formeze personalul.
Procesul de pregătire poate fi dificil, așa că, dacă este posibil, angajați consultanți.
Implementarea unei soluții IdM este un pas complicat și responsabil, iar pentru o realizare de succes sunt importante atât eforturile fiecărei părți separat – angajații din departamentele de afaceri, IT și servicii de securitate informațională, cât și colaborarea întregii echipe în ansamblul său. Dar eforturile merită: după implementarea IdM în companie, numărul incidentelor legate de privilegii excesive și drepturi neautorizate în sistemele informaționale scade; perioadele de neactivitate a angajaților din cauza lipsei/întârzierii drepturilor necesare dispar; prin automatizare, se reduc costurile de muncă și crește productivitatea serviciilor IT și de securitate informațională.
Sursa: habr.com
