Имплементација ИдМ-а. Припрема за имплементацију од стране купца

У претходним чланцима смо већ разматрали шта је ИдМ, како разумети да ли је вашој организацији потребан такав систем, које задатке решава и како менаџменту оправдати буџет за имплементацију. Данас ћемо говорити о важним фазама кроз које сама организација мора проћи да би достигла одговарајући ниво зрелости пре имплементације ИдМ система. На крају крајева, ИдМ је дизајниран да аутоматизује процесе, а хаос је немогуће аутоматизовати.

Све док компанија не нарасте до величине великог предузећа и акумулира много различитих пословних система, обично не размишља о контроли приступа. Дакле, процеси стицања права и контролних овлашћења у њему нису структурирани и тешко их је анализирати. Запослени попуњавају пријаве за приступ како желе, процес одобравања такође није формализован, а понекад једноставно не постоји. Немогуће је брзо утврдити које приступе запослени има, ко их је одобрио и по ком основу.

С обзиром на то да процес аутоматизације приступа утиче на два главна аспекта – податке о особљу и податке о информационим системима, са којима треба да се изврши интеграција, размотрићемо кораке неопходне како бисмо осигурали да имплементација ИдМ-а иде глатко и да не изазива одбијање:

1. Анализа кадровских процеса и оптимизација одржавања базе података запослених у кадровским системима.
2. Анализа података о корисницима и правима, као и ажурирање метода контроле приступа у циљним системима који се планирају за повезивање на ИдМ.
3. Организационе мере и укључивање особља у процес припреме за имплементацију ИдМ-а.

Подаци о особљу

Може постојати један извор података о особљу у организацији, или их може бити неколико. На пример, организација може имати прилично широку мрежу филијала, а свака филијала може користити сопствену базу особља.

Пре свега, потребно је разумети који се основни подаци о запосленима чувају у систему кадровске евиденције, који догађаји се евидентирају и проценити њихову комплетност и структуру.

Често се дешава да се сви кадровски догађаји не забележе у кадровском извору (а још чешће се бележе невремено и не сасвим тачно). Ево неколико типичних примера:

• одмори, њихове категорије и термини (редовни или дуги) нису фиксни;
• рад са непуним радним временом се не евидентира: на пример, док је на дужем родитељском одсуству, запослени може истовремено да ради са скраћеним радним временом;
• стварни статус кандидата или запосленог је већ промењен (примање/премештај/отпуштање), а налог о овом догађају се издаје са закашњењем;
• запослени се отпуштањем премешта на ново радно место са пуним радним временом, а кадровски систем не евидентира податак да је реч о техничком отказу.

Такође, вреди обратити посебну пажњу на процену квалитета података, јер све грешке и нетачности добијене од поузданог извора, а то су системи кадровске евиденције, могу бити скупи у будућности и изазвати многе проблеме при примени ИдМ-а. На пример, кадровски службеници често уносе позиције запослених у кадровском систему у различитим форматима: велика и мала слова, скраћенице, различит број размака и слично. Као резултат тога, иста позиција се може фиксирати у кадровском систему у следећим варијацијама:

• Старији менаџер
• старији менаџер
• старији менаџер
• Уметност. менаџер…

Често се морате суочити са разликама у писању пуног имена:

• Шмелева Наталија Генадијевна,
• Шмељева Наталија Генадијевна…

За даљу аутоматизацију оваква збрка је неприхватљива, посебно ако су ови атрибути кључни знак идентификације, односно подаци о запосленом и његовим овлашћењима у системима упоређују се управо пуним именом.

Поред тога, не треба заборавити на могуће присуство имењака и пуних имењака у компанији. Ако организација има хиљаду запослених, можда ће бити мало таквих случајности, а ако их има 50 хиљада, онда то може постати критична препрека за исправан рад ИдМ система.

Сумирајући све горе наведено, закључујемо: формат за унос података у кадровску базу организације треба да буде стандардизован. Параметри за унос пуног имена, положаја и одељења морају бити јасно дефинисани. Најбоља опција је када кадровски радник не уноси податке ручно, већ их бира из унапред креираног именика структуре одељења и радних места користећи функцију „одабери“ која је доступна у кадровској бази података.

Да бисте избегли даље грешке у синхронизацији и да не би ручно поправљали неслагања у извештајима, најпожељнији начин за идентификацију запослених је уношење личне карте за сваког запосленог у организацији. Такав идентификатор ће бити додељен сваком новом запосленом и појавиће се иу кадровском систему иу информационим системима организације као обавезан атрибут налога. Није битно да ли се састоји од бројева или слова, главна ствар је да је јединствена за сваког запосленог (на пример, многи користе број особља запосленог). Увођење овог атрибута ће у будућности у великој мери олакшати повезивање података о запосленом у кадровском извору са његовим рачунима и овлашћењима у информационим системима.

Дакле, све кораке и механизме кадровске евиденције треба анализирати и довести у ред. Могуће је да ће неки процеси морати да се промене или побољшају. Ово је досадан и мукотрпан посао, али је неопходан, јер ће у супротном недостатак јасних и структурираних података о кадровским догађајима довести до грешака у њиховој аутоматској обради. У најгорем случају, неструктурирани процеси се уопште не могу аутоматизовати.

Таргет Системс

У следећој фази треба да схватимо колико информационих система желимо да интегришемо у ИдМ структуру, који подаци о корисницима и њиховим правима се чувају у тим системима и како њима управљати.

У многим организацијама постоји мишљење да ћемо инсталирати ИдМ, конфигурисати конекторе на циљне системе и уз махање чаробног штапића све ће функционисати, без додатних напора са наше стране. Дакле, авај, то се не дешава. У компанијама, пејзаж информационих система се постепено развија и расте. У сваком од система може се организовати другачији приступ давању права приступа, односно конфигуришу се различити интерфејси за контролу приступа. Негде се управљање одвија преко АПИ-ја (интерфејса за програмирање апликације), негде преко базе података користећи ускладиштене процедуре, негде можда уопште не постоје интерфејси за интеракцију. Требало би да будете спремни на чињеницу да ћете морати да ревидирате многе постојеће процесе за управљање налозима и правима у системима организације: промените формат података, унапред финализујете интерфејсе за интеракцију и доделите ресурсе за ове радове.

узор

Са концептом узора ћете се вероватно сусрести у фази избора провајдера ИдМ решења, јер је то један од кључних концепата у области управљања правима приступа. У овом моделу, приступ подацима се одобрава кроз улогу. Улога је скуп приступа који су минимално неопходни да би запослени на одређеној позицији могао да обавља своје функционалне дужности.

Контрола приступа заснована на улогама има низ неоспорних предности:

• једноставно и ефикасно уступање истих права великом броју запослених;
• брза промена приступа за запослене са истим скупом права;
• искључивање редундантности права и диференцијације неспојивих овлашћења за кориснике.

Матрица улога се прво гради засебно у сваком систему организације, а затим се скалира на читав ИТ пејзаж, где се глобалне пословне улоге формирају од улога сваког система. На пример, пословна улога „Рачуновођа“ ће укључивати неколико одвојених улога за сваки од информационих система који се користе у рачуноводственом одељењу предузећа.

Недавно се сматра „најбољом праксом“ креирање узора чак иу фази развоја апликација, база података и оперативних система. Истовремено, нису ретке ситуације када улоге нису конфигурисане у систему или једноставно не постоје. У овом случају, администратор овог система мора да унесе податке о налогу у неколико различитих датотека, библиотека и директоријума који дају потребне дозволе. Коришћење унапред дефинисаних улога омогућава вам да дате привилегије за обављање читавог низа операција у систему са сложеним сложеним подацима.

Улоге у информационом систему се по правилу распоређују на радна места и одељења према кадровској структури, али се могу креирати и за одређене пословне процесе. На пример, у финансијској институцији неколико запослених у одељењу за насеља заузимају исту позицију - оператера. Али унутар одељења постоји и дистрибуција на засебне процесе, према различитим врстама операција (екстерне или интерне, у различитим валутама, са различитим сегментима организације). Да би се сваком од пословних области једног одељења омогућио приступ информационом систему према потребним специфичностима, неопходно је уврстити права у засебне функционалне улоге. Ово ће обезбедити минималан довољан скуп дозвола, не укључујући сувишна права, за сваку од области активности.

Такође, за велике системе са стотинама улога, хиљадама корисника и милионима дозвола, добра је пракса да се користи хијерархија улога и наслеђивање привилегија. На пример, родитељска улога Администратор ће наследити привилегије подређених улога: Корисник и Читач, пошто администратор може да ради све што корисник и Читач могу, плус имаће додатна административна права. Користећи хијерархију, нема потребе да се поново специфицирају иста права у неколико улога истог модула или система.

У првој фази можете креирати улоге у оним системима где могући број комбинација права није велики и, као резултат, лако је управљати малим бројем улога. То могу бити типична права која захтевају сви запослени у компанији на јавне системе као што су Ацтиве Дирецтори (АД), системи поште, Сервице Манагер и слично. Затим се креиране матрице улога за информационе системе могу укључити у укупни модел узора, комбинујући их у пословне улоге.

Користећи овај приступ, у будућности, приликом имплементације ИдМ система, биће лако аутоматизовати цео процес давања права приступа на основу креираних улога прве фазе.

НБ Не би требало да покушавате да одмах укључите што више система у интеграцију. Системи са сложенијом архитектуром и структуром управљања правима приступа најбоље се повезују на ИдМ у полуаутоматском режиму у првој фази. Односно, на основу кадровских догађаја имплементирати само аутоматско генерисање захтева за приступ, који ће бити послат администратору на извршење, а он ће ручно подесити права.

Након успешног проласка прве фазе, могуће је проширити функционалност система на нове напредне пословне процесе, спровести пуну аутоматизацију и скалирање уз повезивање додатних информационих система.

Другим речима, да би се припремили за имплементацију ИдМ-а, потребно је проценити спремност информационих система за нови процес и унапред дорадити екстерне интерфејсе за управљање корисничким налозима и правима, уколико такви интерфејси нису доступни у систем. Такође је потребно разрадити питање фазног креирања улога у информационим системима за интегрисану контролу приступа.

Организациони догађаји

Не треба занемарити организациона питања. У неким случајевима, они могу играти одлучујућу улогу, јер резултат целог пројекта често зависи од ефективне интеракције између одељења. Да бисмо то урадили, обично саветујемо стварање тима учесника процеса у организацији, који ће укључивати сва укључена одељења. Пошто је ово додатно оптерећење за људе, покушајте да унапред објасните свим учесницима будућег процеса њихову улогу и значај у структури интеракције. Ако у овој фази "продате" идеју о ИдМ-у колегама, можете избећи многе потешкоће у будућности.

Често су „власници” пројекта имплементације ИдМ-а у компанији одељења за безбедност информација или ИТ, а мишљење пословних одељења се не узима у обзир. То је велика грешка, јер само они знају како и у којим пословним процесима се користи сваки ресурс, коме треба дати приступ, а коме не. Стога је у фази припреме важно назначити да је власник предузећа одговоран за функционални модел, на основу којег се развијају скупови права (улога) корисника у информационом систему, као и како би се осигурало да се ове улоге ажурирају. Узор није статична матрица која је једном изграђена и на томе се можете смирити. Ово је „живи организам“ који се мора стално мењати, ажурирати и развијати пратећи промене у структури организације и функционалности запослених. У супротном, или ће постојати проблеми повезани са кашњењем у одобравању приступа, или ће постојати ризици за безбедност информација повезаних са претераним правима приступа, што је још горе.

Као што знате, „седам дадиља има дете без ока“, па би компанија требало да развије методологију која описује архитектуру узора, интеракцију и одговорност појединих учесника у процесу за његово ажурирање. Ако компанија има много области пословања и, сходно томе, много одељења и одељења, онда за сваку област (на пример, позајмице, операције, услуге на даљину, усклађеност и друго), као део процеса контроле приступа заснованог на улогама, потребно је именовати посебне кустосе. Преко њих ће бити могуће брзо добити информације о променама у структури јединице и правима приступа која су потребна за сваку улогу.

За решавање конфликтних ситуација између одељења – учесника у процесу, неопходно је ангажовати подршку менаџмента организације. А сукоби у спровођењу сваког новог процеса су неизбежни, верујте нашем искуству. Дакле, потребан је арбитар који ће решавати евентуалне сукобе интереса како се не би губило време због нечијих неспоразума и саботаже.

НБ Обука особља је добар почетак за подизање свести. Детаљно проучавање функционисања будућег процеса, улоге сваког учесника у њему ће минимизирати потешкоће преласка на ново решење.

Контролна листа

Укратко, ево главних корака које организација која планира да имплементира ИдМ треба да предузме:

• довести ствари у ред у кадровским подацима;
• унесите јединствени идентификациони параметар за сваког запосленог;
• процени спремност информационих система за имплементацију ИдМ-а;
• развијају интерфејсе за интеракцију са информационим системима за контролу приступа, уколико нису доступни, и издвајају ресурсе за ове радове;
• развити и изградити узор;
• изградити модел управљања процесом и укључити кустосе из сваке пословне области;
• изаберите неколико система за почетно повезивање на ИдМ;
• створити ефикасан пројектни тим;
• добити подршку менаџмента компаније;
• обучити особље.

Процес припреме може бити тежак, па ако је могуће, укључите консултанте.

Имплементација ИдМ решења није лак и одговоран корак, а за његову успешну имплементацију потребни су како напори сваке стране појединачно – запослених у пословним јединицама, ИТ и служби безбедности информација, тако и интеракција целог тима у целини. важно. Али труд је вредан тога: након имплементације ИдМ-а у компанији, смањује се број инцидената повезаних са прекомерним овлашћењима и неовлашћеним правима у информационим системима; нестају застоји запослених због недостатка/дугог чекања неопходних права; услед аутоматизације смањују се трошкови рада и повећава продуктивност рада ИТ и услуга информационе безбедности.

Извор: ввв.хабр.цом