V predchádzajúcich článkoch sme už preberali, čo je to IdM, ako zistiť, či vaša organizácia potrebuje takýto systém, aké úlohy rieši a ako obhájiť rozpočet na implementáciu pred vedením. Dnes sa budeme zaoberať dôležitými krokmi, ktoré musí sama organizácia absolvovať, aby dosiahla požadovanú úroveň zrelosti pred implementáciou systému IdM. Napokon, IdM má za cieľ automatizovať procesy, a automatizovať chaos nemožno.
Až do momentu, keď sa spoločnosť rozrastie na veľké podnikanie a nahromadí si množstvo rôznych podnikových systémov, zvyčajne sa nezaoberá riadením prístupu. Preto sú procesy získavania práv a kontroly oprávnení v nej nestruktúrované a ťažko analyzovateľné. Zamestnanci si vybavujú prístupy, ako sa im chce, proces schvaľovania nie je formálny a niekedy ani neexistuje. Nemožno rýchlo zistiť, aké prístupy má zamestnanec, kto ich schválil a na akom základe.
Vzhľadom na to, že proces automatizácie prístupu zasahuje do dvoch hlavných strán – personálnych údajov a údajov informačných systémov, s ktorými bude potrebné vykonať integráciu, si prejdeme kroky potrebné na to, aby implementácia IdM prebehla hladko a nevyvolala odmietnutie:
- Analýza personálnych procesov a optimalizácia správy databázy zamestnancov v personálnych systémoch.
- Analýza údajov o používateľoch a právach, ako aj aktualizácia spôsobov riadenia prístupu v cieľových systémoch, ktoré sa plánujú pripojiť k IdM.
- Organizačné aktivity a zapojenie personálu do procesu prípravy na implementáciu IdM.
Personálne údaje
Zdroj personálnych údajov v organizácii môže byť jeden alebo viacero. Napríklad organizácia môže mať dosť širokú sieť pobočiek, a v každej pobočke môže byť použitá vlastná databáza zamestnancov.
Predovšetkým je potrebné pochopiť, aké základné údaje o zamestnancoch sú uchovávané v systéme personálneho účtovníctva, aké udalosti sú zaznamenávané, a posúdiť ich úplnosť a štruktúru.
Často sa stáva, že nie všetky personálne udalosti sú zaznamenávané v personálnom zdroji (a ešte častejšie sú zaznamenávané oneskorene a nie úplne správne). Tu je niekoľko typických príkladov:
- Nerozlišujú sa dovolenky, ich kategórie a lehota (riadne alebo dlhé);
- nefixuje sa čiastočná zamestnanosť: napríklad počas dlhodobej dovolenky na starostlivosť o dieťa môže zamestnanec súčasne pracovať na čiastočný úväzok;
- skutočný stav kandidáta alebo zamestnanca sa už zmenil (prijatie/premiestnenie/odvolanie), ale príkaz o tejto udalosti vychádza oneskorene;
- zamestnanca premiestňujú na novú pracovnú pozíciu prostredníctvom odvolania, pričom v personálnom systéme nie sú zaznamenané informácie o tom, že ide o technické odvolanie.
Rovnako treba venovať osobitnú pozornosť hodnoteniu kvality údajov, keďže akékoľvek chyby a nepresnosti získané z dôveryhodného zdroja, ktorým sú systémy personálneho evidovania, môžu v budúcnosti stáť veľa a spôsobiť množstvo problémov pri implementácii IdM. Napríklad zamestnanci personálnych služieb často zakladajú pozície pracovníkov v personálnom systéme v rôznych formátoch: veľké a malé písmená, skratky, rôzne množstvo medzier a podobne. Výsledkom môže byť, že tá istá pozícia môže byť v personálnom systéme zapísaná v nasledujúcich variáciách:
- Vedúci manažér
- vedúci manažér
- v.manažér
- v. manažér…
Často sa stretávame aj s rozdielmi v písaní FIO:
- ŠmelЁva Natália Genadievna,
- ŠmelEva Natália Genadievna…
Pre ďalšiu automatizáciu je taký mix neprijateľný, tým skôr, ak sú tieto atribúty kľúčovým znakom identifikácie, to znamená, že údaje o zamestnancovi a jeho právomociach v systémoch sa porovnávajú práve podľa FIO.
Okrem toho netreba zabúdať na možné existencie v spoločnosti menovcov a plných dvojníkov. Ak je v organizácii tisíc zamestnancov, takýchto zhôd môže byť málo, ale ak 50 tisíc, môže to byť kritickou prekážkou pre správnu funkciu IdM systému.
Zhrňujúc všetko vyššie uvedené, robíme záver: formát zadávania údajov do personálnej databázy organizácie by mal byť štandardizovaný. Parametre zadávania FIO, pozícií a oddelení by mali byť presne definované. Optimálna varianta je, keď personálny pracovník nezadáva údaje ručne, ale vyberá ich z predpripraveného adresára štruktúry oddelení a pozícií pomocou funkcie „select“, ktorá je k dispozícii v personálnej databáze.
Aby sa predišlo ďalším chybám v synchronizácii a zabránilo sa ručnému opravovaniu nezrovnalostí v správach, najpreferovanejším spôsobom identifikácie zamestnancov je zavedenie ID pre každého pracovníka organizácie. Takýto identifikátor bude pridelený každému novému zamestnancovi a bude sa vyskytovať ako v personálnom systéme, tak aj v informačných systémoch organizácie ako povinný atribút účtu. Nezáleží na tom, či obsahuje číslice alebo písmená — dôležité je, aby bol pre každého zamestnanca jedinečný (napríklad mnohí používajú pracovné číslo zamestnanca). V budúcnosti zavedenie tohto atribútu výrazne uľahčí prepojenie údajov o zamestnancovi v personálnom zdroji s jeho účtami a oprávneniami v informačných systémoch.
Takže všetky kroky a mechanizmy personálneho účtovania je potrebné analyzovať a usporiadať. Je celkom možné, že niektoré procesy bude potrebné zmeniť alebo doplniť. Je to zdĺhavá a precízna práca, ale je nevyhnutná, inak by absencia jasných a štruktúrovaných údajov o personálnych udalostiach viedla k chybám pri ich automatickom spracovaní. V najhoršom prípade nebude možné nestruktúrované procesy vôbec automatizovať.
Cieľové systémy
V ďalšom kroku je potrebné zistiť, koľko informačných systémov chceme integrovať do štruktúry IdM, aké údaje o používateľoch a ich právach sú uložené v týchto systémoch a ako nimi spravovať.
V mnohých organizáciách prevláda názor, že ak nainštalujeme IdM, nastavíme konektory k cieľovým systémom a jedným mávnutím čarovného prútika všetko začne fungovať bez dodatočných námahov z našej strany. Tak to, žiaľ, nefunguje. V spoločnostiach sa krajina informačných systémov postupne vyvíja a rozširuje. V každom z týchto systémov môže byť zavedený odlišný prístup k poskytovaniu práv prístupu, to znamená, že sú nastavené rôzne rozhrania na správu prístupu. Niekde sa správa vykonáva cez API (application programming interface), niekde cez databázu pomocou uložených procedúr, a niekde môžu byť rozhrania na interakciu úplne chýbajúce. Je dôležité byť pripravený na to, že bude potrebné prehodnotiť mnohé existujúce procesy správy účtov a práv v systémoch organizácie: zmeniť formát dát, vopred upraviť rozhrania interakcie a vyčleniť zdroje na tieto práce.
Rolová model
S pojmom rolovej modely sa pravdepodobne stretnete už v štádiu výberu dodávateľa IdM riešenia, pretože je to jeden z kľúčových konceptov v oblasti správy práv prístupu. V tejto modely je poskytovanie prístupu k údajom realizované prostredníctvom rolí. Rola je súhrn prístupov, ktoré sú minimálne potrebné na to, aby zamestnanec na určitej pozícii mohol vykonávať svoje funkčné povinnosti.
Rolové riadenie prístupu má niekoľko nepopierateľných výhod:
- jednoduchosť a efektívnosť priraďovania rovnakých práv veľkému počtu zamestnancov;
- operatívna zmena prístupu zamestnancov, ktorí majú rovnakú sadu práv;
- vylúčenie nadbytočnosti práv a rozdeľovanie nezlučiteľných oprávnení pre používateľov.
Rolová matica sa najprv vytvára samostatne v každom z systémov organizácie, a potom sa škáluje na celý IT krajinu, kde z rolí každého systému vznikajú globálne obchodné role. Napríklad obchodná rola „Účtovník“ bude zahŕňať niekoľko samostatných rolí v každom z informačných systémov používaných v účtovníctve podniku.
V poslednej dobe sa považuje za „best practice“ už v štádiu vývoja aplikácií, databáz a operačných systémov vytvárať rolovú model. Zároveň nie sú zriedkavé situácie, keď v systéme nie sú role nastavené alebo jednoducho neexistujú. V takom prípade musí administrátor tohto systému vložiť údaje používateľského účtu do niekoľkých rôznych súborov, knižníc a adresárov, ktoré poskytujú potrebné oprávnenia. Použitie vopred definovaných rolí však umožňuje poskytovať privilégia na vykonanie celého komplexu operácií v systéme so zloženými údajmi.
Roly v informačnom systéme sa zvyčajne rozdeľujú pre pozície a oddelenia podľa organizačnej štruktúry, ale môžu byť vytvorené aj pre konkrétne obchodné procesy. Napríklad, vo finančnej organizácii niekoľko zaměstnancov oddelenia výpočtov zastáva rovnakú pozíciu – operátor. Ale vnútri oddelenia existuje aj rozdelenie na jednotlivé procesy, podľa rôznych typov operácií (externé alebo interné, v rôznych menách, s rôznymi segmentmi organizácie). Aby každému z obchodných smerov jedného oddelenia bol poskytnutý prístup v informačnom systéme podľa potrebnej špecifikácie, je potrebné zahrnúť práva do samostatných funkčných rolí. To umožní poskytnúť minimálne dostatočný súbor práv, ktorý nezahŕňa nadbytočné práva pre každú z oblastí činnosti.
Okrem toho, pre veľké systémy so stovkami rolí, tisíckami používateľov a miliónmi oprávnení, je dobrou praxou používať hierarchiu rolí a dedičstvo privilégií. Napríklad, rodičovská rola Administrátor bude dediť privilégiá dcérskych rolí: Používateľa a Čitateľa, pretože Administrátor môže robiť všetko, čo Používateľ a Čitateľ, plus bude mať ďalšie administrátorské práva. Pri použití hierarchie nie je potrebné opakovane uvádzať rovnaké práva v niekoľkých rolách jedného modulu alebo systému.
V prvej fáze je možné vytvoriť role v tých systémoch, kde je možné množstvo kombinácií opráv nie veľmi veľké a, ako následok, nie je ťažké zvládnuť malé množstvo rolí. Môžu to byť typové oprávnenia, ktoré sú potrebné všetkým zamestnancom spoločnosti, v verejných systémoch, ako je katalóg Active Directory (AD), poštové systémy, Service Manager a podobné. Následne bude možné zahrnúť vytvorené rolové matice pre informačné systémy do celkového rolového modelu, ktoré ich spojí do obchodných rolí.
Použitím takéhoto prístupu bude následne pri zavádzaní IdM systému jednoduché automatizovať celý proces poskytovania prístupových práv na základe vytvorených rolí prvej fázy.
N.B. Nehodí sa snažiť sa okamžite zahrnúť do integrácie čo najviac systémov. Systémy s komplikovanejšou architektúrou a štruktúrou správy prístupu je lepšie na prvej fáze pripojiť k IdM v poloaautomatickom režime. To znamená implementáciu na základe personálnych udalostí len automatického vytvorenia žiadosti o prístup, ktorá sa dostane na vykonanie administrátorovi, ktorý manuálne nastaví oprávnenia.
Po úspešnom prechode prvej fázy je možné rozšíriť funkčnosť systému na nové rozšírené obchodné procesy, realizovať plnú automatizáciu a škálovateľnosť pripojením ďalších informačných systémov.
Inými slovami, aby sme sa pripravili na zavedenie IdM, je potrebné posúdiť pripravenosť informačných systémov na nový proces a vopred upraviť externé rozhrania interakcie na správu účtov a oprávnení používateľov, ak v systéme takéto rozhrania chýbajú. Rovnako by sa mal detailne prepracovať plán postupného vytvárania rolí v informačných systémoch na komplexné riadenie prístupu.
Organizačné opatrenia
Nesmieme zabúdať ani na organizačné momenty. V niektorých prípadoch môžu zohrávať rozhodujúcu úlohu, pretože efektívna spolupráca medzi oddeleniami často určuje výsledok celého projektu. Preto zvyčajne odporúčame vytvoriť v organizácii tím účastníkov procesu, do ktorého budú zapojené všetky zúčastnené oddelenia. Keďže ide o dodatočnú záťaž pre ľudí, snažte sa vopred vysvetliť všetkým účastníkom budúceho procesu ich rolu a význam v štruktúre spolupráce. Ak sa „predá“ kolegom myšlienka IdM v tomto štádiu, možno sa vyhnúť mnohým problémom v budúcnosti.
Často sú „majiteľmi“ projektu zavedenia IdM v spoločnosti oddelenia informačnej bezpečnosti alebo IT, pričom názor obchodných oddelení nie je zohľadnený. Je to veľká chyba, pretože práve oni vedia, akým spôsobom a v ktorých obchodných procesoch sa každý zdroj používa, komu je potrebné poskytnúť prístup a komu nie. Preto je v prípravnej fáze dôležité vyznačiť, že biznis-vlastník je zodpovedný za funkčnú modelovú schému, na základe ktorej sú vypracované sady práv (rolí) používateľov v informačnom systéme, ako aj za to, aby tieto roly zostávali aktuálne. Model rolí nie je statická matica, ktorú raz zostavíme a potom s ňou môžeme byť spokojní. Je to „živý organizmus“, ktorý sa musí nepretržite meniť, aktualizovať a rozvíjať v súlade so zmenami štruktúry organizácie a funkcií zamestnancov. Inak sa začnú problémy so oneskorením v poskytovaní prístupu alebo vzniknú riziká informačnej bezpečnosti spojené s nadmernými prístupovými právami, čo je ešte horšie.
Ako je známe, „s mnohými pestúnkami dieťa nemá oči“, preto by v spoločnosti mala byť vypracovaná metodológia, ktorá popisuje architektúru rolovej modelu, interakciu a zodpovednosť konkrétnych účastníkov procesu za udržiavanie jej aktuálnosti. Ak má spoločnosť veľa smerov podnikateľskej činnosti a s tým súvisiace množstvo útvarov a oddelení, tak pre každý smer (napríklad úverovanie, operačnú činnosť, diaľkové služby, compliance a iné) v rámci procesu rolového riadenia prístupu je nevyhnutné určiť samostatných kulátorov. Cez nich je možné rýchlo získať informácie o zmenách v štruktúre oddelenia a prístupoch potrebných pre každú rolu.
Je nevyhnutné získať podporu vedenia organizácie na riešenie konfliktových situácií medzi oddeleniami – účastníkmi procesu. A konflikty pri zavádzaní akéhokoľvek nového procesu sú nevyhnutné, verte našim skúsenostiam. Preto je potrebný rozhodca, ktorý bude riešiť možné konflikty záujmov, aby sme nestrácali čas kvôli nedorozumeniam a sabotážam.
N.B. Dobrou iniciatívou na zvýšenie úrovne informovanosti bude školenie personálu. Podrobné štúdium fungovania budúceho procesu, rola každého účastníka v ňom umožní minimalizovať ťažkosti pri prechode na nové riešenie.
Kontrolný zoznam
Na záver zhrnieme hlavné kroky, ktoré by mala vykonať organizácia plánujúca zavedenie IdM:
- upraviť poriadok v údajoch o zamestnancoch;
- zaviesť jedinečný identifikačný parameter pre každého zamestnanca;
- zhodnotiť pripravenosť informačných systémov na zavedenie IdM;
- vyvinúť rozhrania pre interakciu s informačnými systémami na správu prístupu, ak ešte neexistujú, a vyčleniť zdroje na tieto práce;
- vyvinúť a postaviť rolový model;
- nastaviť proces riadenia rolového modelu a zahrnúť do neho kulátorov z každého obchodného smeru;
- vybrať niekoľko systémov na prvotné pripojenie k IdM;
- vytvoriť efektívny projektový tím;
- získať podporu vedenia spoločnosti;
- školiť personál.
Proces prípravy môže byť náročný, preto, ak je to možné, zapojte konzultantov.
Implementácia IdM riešenia je náročný a zodpovedný krok, a pre jeho úspešnú realizáciu sú dôležité ako úsilie každej strany samostatne – zamestnancov obchodných oddelení, IT a bezpečnostných služieb, tak aj spolupráca celého tímu ako celku. Ale úsilie sa vypláca: po implementácii IdM v spoločnosti klesá počet incidentov súvisiacich s nadbytočnými oprávneniami a neoprávnenými prístupmi v informačných systémoch; miznú prestoje zamestnancov z dôvodu chýbajúcich/dlhého čakania na potrebné práva; vďaka automatizácii sa znižujú pracovné náklady a zvyšuje sa produktivita práce IT a bezpečnostných služieb.
Zdroj: habr.com
