V prejšnjih člankih smo že obravnavali, kaj je IdM, kako razumeti, ali vaši organizaciji taka sistem potrebuje, katere naloge rešuje ter kako utemeljiti proračun za uvedbo pred vodstvom. Danes se bomo pogovarjali o pomembnih fazah, ki jih mora organizacija prehoditi, da doseže ustrezno raven zrelosti pred uvedbo sistema IdM. IdM je namenjen avtomatizaciji procesov, avtomatizirati pa je nemogoče kaos.
Dokler podjetje ne doseže velikosti velikega podjetja in ne kopiči mase različnih poslovnih sistemov, ponavadi ne razmišlja o upravljanju dostopa. Zato so procesi pridobivanja pravic in nadzora pooblastil slabo strukturirani in težko analizabilni. Zaposleni oddajajo zahteve za dostop, kot jim paše, proces odobritve pa ni formaliziran, včasih ga preprosto ni. Težko je hitro razumeti, kakšne dostope ima zaposlen, kdo jih je odobril in na podlagi česa.
Glede na to, da proces avtomatizacije dostopa zajema dva glavna vidika – kadrovske podatke in podatke informacijskih sistemov, s katerimi je treba izvesti integracijo, si poglejmo korake, potrebne za to, da uvedba IdM poteka gladko in ne povzroči občutka zavrnitve:
- Analiza kadrovskih procesov in optimizacija vzdrževanja BDP zaposlenih v kadrovskih sistemih.
- Analiza podatkov o uporabnikih in pravicah ter posodabljanje načinov upravljanja dostopa v ciljnih sistemih, ki jih nameravamo povezati z IdM.
- Organizacijski ukrepi in vključevanje osebja v proces priprav na uvedbo IdM.
Kadrovski podatki
Vir kadrovskih podatkov v organizaciji je lahko en sam ali pa več. Na primer, organizacija ima lahko široko mrežo podružnic, kjer se v vsaki uporablja lasten kadrovski sistem.
Najprej je potrebno razumeti, kateri osnovni podatki o zaposlenih se hranijo v sistemu kadrovske evidence, katere dogodke beležimo ter oceniti njihovo celovitost in strukturo.
Pogosto se zgodi, da vsi kadrovski dogodki niso zabeleženi v kadrovskem viru (še pogosteje pa se zabeležijo nepravočasno in ne povsem pravilno). Tukaj je nekaj tipičnih primerov:
- ne beležijo se dopusti, njihovi kategorije in roki (letni ali dolgi);
- Del delimi prozračno prozračno zasedenost: na primer, med dolgim porodniškim dopustom lahko zaposleni hkrati dela za polovični delovni čas;
- Dejanski status kandidata ali zaposlenega se je že spremenil (sprejem/transfer/odhod), medtem ko naročilo o tem dogodku pride z zamudo;
- Zaposlenega premeščajo na novo delovno mesto preko odhoda, pri čemer v kadrovski sistem ne zabeležijo informacij, da gre za tehnični odhod.
Poleg tega je treba posebno pozornost posvetiti oceni kakovosti podatkov, saj lahko morebitne napake in netočnosti, pridobljene iz zaupanja vrednega vira, kot so sistemi kadrovske evidence, v prihodnosti prinesejo visoke stroške in povzročijo številne težave pri uvajanju IdM. Na primer, zaposleni v kadrovskih službah pogosto vnašajo delovna mesta zaposlenih v kadrovski sistem v različnih formatih: velike in male črke, okrajšave, različno število presledkov in podobno. Rezultat tega je, da ima isto delovno mesto lahko zabeleženo v kadrovskem sistemu v naslednjih variantah:
- Višji menedžer
- višji menedžer
- v. menedžer
- v. menedžer…
Pogosto se srečujemo tudi z razlikami v pisanju imen in priimkov:
- Šmeleva Natalija Genadievna,
- Šmeleva Natalija Genadievna…
Za nadaljnjo avtomatizacijo takšna zmeda ni sprejemljiva, še zlasti če so ti atributi ključni za identifikacijo, torej se podatki o zaposlenem in njegovih pooblastilih v sistemih ujemajo prav po imenu in priimku.
Poleg tega ne smemo pozabiti na morebitno prisotnost v podjetju sorodnikov in popolnih imenskih dvojnikov. Če v organizaciji dela tisoč zaposlenih, jaz, takih primerov morda ne bo veliko, če pa 50 tisoč, to lahko postane kritična ovira za pravilno delovanje sistema IdM.
Na podlagi vsega zgoraj navedenega sklepamo: format vnosa podatkov v kadrovsko bazo organizacije mora biti standardiziran. Parametri vnosa imen in priimkov, delovnih mest in oddelkov morajo biti jasno določeni. Optimalna izbira je, ko kadrovski delavec ne vnaša podatkov ročno, ampak jih izbere iz vnaprej ustvarjenega imenika strukture oddelkov in delovnih mest s pomočjo funkcije „select“, ki je na voljo v kadrovski bazi.
Da bi se izbegle dalje greške u sinhronizaciji i izbeglo ručno ispravljanje razlika u izveštajima, najpoželjniji način identifikacije zaposlenih je uvođenje ID za svakog zaposlenog u organizaciji. Ovaj identifikator će se dodeliti svakom novom zaposlenom i biće prisutan kako u kadrovskoj sistemu, tako i u informacionim sistemima organizacije kao obavezan atribut korisničkog naloga. Nije važno da li se sastoji od brojeva ili slova, — najvažnije je da bude jedinstven za svakog zaposlenog (na primer, mnogi koriste broj zaposlenog). U budućnosti, uvođenje ovog atributa značajno će olakšati povezivanje podataka o zaposlenom u kadrovskom izvoru sa njegovim nalozima i privilegijama u informacionim sistemima.
Dakle, sve korake i mehanizme kadrovskog evidentiranja treba analizirati i u njima uspostaviti red. Moguće je da će neki procesi morati da se promene ili dorade. To je iscrpljujući i mukotrpan posao, ali je neophodan, inače će odsustvo jasnih i strukturiranih podataka o kadrovskim događajima dovesti do grešaka pri njihovom automatskom obrađivanju. U najgorem slučaju, neuređeni procesi neće moći da se automatizuju.
Ciljane sisteme
Na sledećem koraku treba da se razjasni koliko informacionih sistema želimo da integrišemo u strukturu IdM, koje podatke o korisnicima i njihovim pravima čuvamo u ovim sistemima i kako njima upravljati.
V mnogih organizacijah obstaja mnenje, da bomo namestili IdM, konfigurirali povezave k ciljnim sistemom in ob enem zamahu čarobne palice bo vse delovalo brez dodatnih naporov z naše strani. Tako, žal, ne gre. V podjetjih se krajina informacijskih sistemov postopoma razvija in povečuje. V vsakem od sistemov je lahko organiziran različen pristop k dodeljevanju pravic dostopa, torej so nastavljeni različni vmesniki za upravljanje dostopa. Nekje se upravljanje odvija preko API (programskega vmesnika aplikacij), nekje preko baze podatkov s pomočjo shranjenih postopkov, nekje pa so vmesniki interakcije sploh lahko odsotni. Treba se je pripraviti na to, da bo potrebno preglejati mnoge obstoječe procese upravljanja računov in pravic v sistemih organizacije: spremeniti format podatkov, predhodno prilagoditi vmesnike interakcije in nameniti vire za te naloge.
Vloga modela
S pojmom vloge modela se boste najverjetneje srečali že pri izbiri dobavitelja IdM-rešitve, saj je to eden ključnih pojmov na področju upravljanja pravic dostopa. V tem modelu se dodeljevanje dostopa do podatkov vrši preko vloge. Vloga je skupek dostopov, ki je minimalno potreben za to, da lahko zaposleni na določenem delovnem mestu opravlja svoje funkcionalne naloge.
Upravljanje dostopa na podlagi vlog ima vrsto neizpodbitnih prednosti:
- preprosto in učinkovito dodeljevanje istih pravic velikemu številu zaposlenih;
- takojšnje spreminjanje dostopa zaposlenih, ki imajo enak nabor pravic;
- izključitev odvečnosti pravic in razmejevanje nezdružljivih pooblastil za uporabnike.
Matrika vlog se sprva izgradi ločeno v vsakem od sistemov organizacije, nato pa se razširi na celotno IT krajino, kjer se iz vlog vsakega sistema oblikujejo globalne poslovne vloge. Na primer, poslovna vloga »Računovodja« bo vključevala več ločenih vlog iz vsakega od informacijskih sistemov, ki se uporabljajo v računovodstvu podjetja.
V zadnjem času je postalo priporočeno, da se že v fazi razvoja aplikacij, baz podatkov in operacijskih sistemov oblikuje model vlog. Hkrati pa niso redki primeri, ko v sistemu vloge niso nastavljene ali pa jih preprosto ni. V tem primeru mora skrbnik sistema vpisati podatke uporabniških računov v več različnih datotek, knjižnic in imenikov, ki zagotavljajo potrebna dovoljenja. Uporaba vnaprej določenih vlog pa omogoča dodeljevanje privilegijev za izvajanje celotnega niza operacij v sistemu s kompleksnimi sestavljenimi podatki.
Vloge v informacijskem sistemu so običajno razdeljene glede na delovna mesta in oddelke v skladu z organizacijsko strukturo, lahko pa so ustvarjene tudi za specifične poslovne procese. Na primer, v finančni organizaciji več zaposlenih v oddelku za obračun zaseda isto delovno mesto – operater. V oddelku pa obstaja tudi razdelitev na posamezne procese, glede na različne vrste operacij (zunanje ali notranje, v različnih valutah, z različnimi segmenti organizacije). Da bi vsakemu od poslovnih smernic enega oddelka omogočili dostop do informacijskega sistema z ustrezno specifiko, je potrebno vključiti pravice v posamezne funkcionalne vloge. To bo omogočilo dodelitev minimalnega nabora pooblastil, ki ne vključuje odvečnih pravic, za vsak od smernic delovanja.
Poleg tega je za velike sisteme s stotimi vlogami, tisočimi uporabniki in milijoni dovoljenj dobra praksa uporaba hierarhije vlog in dedovanja privilegijev. Na primer, nadrejena vloga Administrator bo podedovala privilegije podrejenih vlog: Uporabnika in Bralca, saj lahko Administrator izvaja vse enako, kar Uporabnik in Bralec, poleg tega pa bo imel dodatna skrbniška pravica. Z uporabo hierarhije ni potrebno večkrat natančno navajati enakih pravic v več vlogah enega modula ali sistema.
V prvem koraku je mogoče ustvariti vloge v tistih sistemih, kjer število kombinacij pravic ni zelo veliko in posledično ni težko upravljati z manjšim številom vlog. To so lahko standardne pravice, potrebne vsem zaposlenim v podjetju, v javno dostopnih sistemih, kot so katalog Active Directory (AD), poštni sistemi, Service Manager in podobni. Nato je mogoče ustvarjene vloge matrice vključiti v skupni model vlog, tako da jih združimo v poslovne vloge.
Z uporabo tega pristopa bo pri uvedbi sistema IdM v prihodnosti enostavno avtomatizirati celoten postopek dodeljevanja pravic dostopa na podlagi ustvarjenih vlog prvega koraka.
N.B. Ne poskušajte takoj vključiti čim več sistemov v integracijo. Sistemi z bolj kompleksno arhitekturo in strukturo upravljanja pravic dostopa se v prvem koraku bolje povežejo v IdM polavtomatizirano. To pomeni, da se na podlagi kadrovskih dogodkov samo avtomatsko oblikuje zahteva za dostop, ki bo poslana administratorju, ta pa bo pravice nastavil ročno.
Po uspešno opravljenem prvem koraku je mogoče razširiti funkcionalnost sistema na nove razširjene poslovne procese, izvesti popolno avtomatizacijo in масштабный подключение dodatnih informacijskih sistemov.
Z drugimi besedami, da se pripravite na uvedbo IdM, je treba oceniti pripravljenost informacijskih sistemov na nove procese in vnaprej izboljšati zunanje vmesnike za upravljanje računov in pravic uporabnikov, če takšni vmesniki v sistemu manjkajo. Prav tako je potrebno obravnavati vprašanje postopnega ustvarjanja vlog v informacijskih sistemih za celovito upravljanje dostopa.
Organizacijske aktivnosti
Ne smete zanemariti ni organizacione aspekte. U nekim slučajevima, oni mogu imati odlučujuću ulogu, jer efikasan dijalog između sektora često određuje ishod celog projekta. Zbog toga obično savetujemo da se u organizaciji formira tim učesnika u procesu, koji će uključivati sve uključene sektore. Pošto je to dodatni teret za ljude, pokušajte unapred da objasnite svim učesnicima budućeg procesa njihovu ulogu i značaj u strukturi interakcije. Ako uspete da „prodate“ kolegama ideju IdM u ovoj fazi, možete izbeći mnoge komplikacije kasnije.
Često su „vlasnici“ projekta implementacije IdM u kompaniji sektori informacione bezbednosti ili IT, dok se mišljenje poslovnih sektora zanemaruje. To je velika greška, jer samo oni znaju na koji način i u kojim poslovnim procesima se koristi svaki resurs, kome treba omogućiti pristup, a kome ne. Zbog toga je u fazi pripreme važno naglasiti da poslovni vlasnik odgovara za funkcionalni model, na osnovu kojeg se razvijaju setovi prava (uloga) korisnika u informacionom sistemu, kao i za to da se te uloge održavaju ažurnim. Model uloga nije statična matrica koju ste jednom izgradili i na kojoj možete da se zadržite. To je „živi organizam“ koji mora da se stalno menja, ažurira i razvija, prateći promene u strukturi organizacije i funkcionalnosti zaposlenih. U suprotnom, ili će nastati problemi vezani za kašnjenja u pružanju pristupa, ili će se pojaviti rizici informacione bezbednosti povezani sa prekomernim pravima pristupa, što je još gore.
Kot je znano, "pri sedmih negovalkah otrok ostane brez očesa", mora podjetje razviti metodologijo, ki opisuje arhitekturo vloge, interakcijo in odgovornost posameznih udeležencev v procesu za ohranjanje njenega aktualnega stanja. Če ima podjetje veliko področij poslovanja in s tem številne oddelke in službe, je potrebno za vsako področje (na primer, kreditiranje, operativno delo, daljinske storitve, skladnost in druge) v okviru procesa upravljanja vlog določiti posamezne kuratorje. Preko njih bo mogoče hitro prejemati informacije o spremembah v strukturi oddelka in dostopnih pravicah, potrebnih za vsako vlogo.
Zagotovo je treba pridobiti podporo vodstva organizacije za reševanje konfliktnih situacij med oddelki - udeleženci procesa. Konflikti pri uvajanju novega procesa so neizogibni, verjemite našim izkušnjam. Zato potrebujemo arbitra, ki bo reševal morebitne konflikte interesov, da ne izgubljamo časa zaradi nesporazumov in sabotiranja.
N.B. Dober začetek za povečanje ravni osveščenosti bo usposabljanje osebja. Podrobno razumevanje delovanja prihodnjega procesa, vloge vsakega udeleženca v njem, bo omogočilo zmanjšanje težav pri prehodu na novo rešitev.
Seznam nalog
Za zaključek povzemamo glavne korake, ki jih mora organizacija sprejeti, če načrtuje uvedbo IdM:
- urediti osebne podatke;
- uvedeti edinstven identifikacijski parameter za vsakega zaposlenega;
- oceniti pripravljenost informacijskih sistemov za uvedbo IdM;
- razviti vmesnike za interakcijo z informacijskimi sistemi za upravljanje dostopa, če ti ne obstajajo, in nameniti sredstva za ta dela;
- razviti in zgraditi model vlog;
- uskladiti proces upravljanja modela vlog in vključiti kuratorje iz vsakega poslovnega področja;
- izbrati več sistemov za prvotno povezavo z IdM;
- ustvariti učinkovito projektno ekipo;
- pridobiti podporo vodstva podjetja;
- usposobiti osebje.
Postopek priprave je lahko zahteven, zato, če je mogoče, privabite svetovalce.
Implementacija IdM rešitve je zahtevna in odgovorna naloga, pri čemer so za uspešno izvedbo pomembni tako napori vsakega posameznika - zaposlenih v poslovnih enotah, IT in varnostnih službah, kot tudi sodelovanje celotne ekipe. A trud se splača: po implementaciji IdM v podjetju se zmanjša število incidentov, povezanih s pretiranimi pooblastili in nepooblaščenimi pravicami v informacijskih sistemih; prenehajo zastoji zaposlenih zaradi pomanjkanja/dolgotrajnega čakanja na potrebne pravice; z avtomatizacijo se zmanjšajo delovni stroški in poveča produktivnost IT in varnostnih služb.
Izvor: habr.com
