Implementering av IdM. Förberedelse för implementering från beställarens sida.

I tidigare artiklar har vi redan diskuterat vad IdM är, hur man avgör om en sådan system är nödvändig för din organisation, vilka uppgifter den löser och hur man kan motivera budgeten för implementering inför ledningen. Idag kommer vi att tala om viktiga steg som organisationen måste gå igenom för att nå en adekvat mognadsnivå innan IdM-systemet implementeras. Eftersom IdM syftar till att automatisera processer är det omöjligt att automatisera kaos.

Innan företaget växer till en stor organisation och samlar på sig en mängd olika affärssystem, tänker de vanligtvis inte på åtkomsthantering. Därför är processerna för att erhålla rättigheter och kontrollera befogenheter ofta oorganiserade och svåra att analysera. Anställda lämnar in förfrågningar om åtkomst på sitt eget sätt, godkännandeprocessen är inte heller formaliserad, och ibland existerar den helt enkelt inte. Det är omöjligt att snabbt förstå vilka åtkomster en anställd har, vem som godkänt dem och på vilken grund.

Med tanke på att processen för automatisering av åtkomst berör två huvudsakliga sidor - personaldata och data från informationssystem som behöver integreras, låt oss titta på de steg som är nödvändiga för att implementeringen av IdM ska gå smidigt och inte orsaka avvisande:

1. Analys av personalprocesser och optimering av stöd för databaser över anställda i personalsystem.
2. Analys av användardata och rättigheter samt aktualisering av metoder för åtkomsthantering i de målsystem som planeras att kopplas till IdM.
3. Organisatoriska åtgärder och involvering av personalen i förberedelserna för implementeringen av IdM.

Personaldatan

Källan för personaldata i organisationen kan vara en eller flera. Till exempel kan organisationen ha ett omfattande filialnätverk, och i varje filial kan en egen personalbas användas.

Först och främst är det nödvändigt att förstå vilka grundläggande data om anställda som lagras i personalsystemet, vilka händelser som registreras, samt att bedöma deras fullständighet och struktur.

Ofta registreras inte alla personalhändelser i personalinformationen (och ännu oftare registreras de inte i tid och inte helt korrekt). Här är några typiska exempel:

• semester, deras kategorier och perioder (årliga eller längre) registreras inte;
• Delvis sysselsättningsgrad registreras inte: till exempel, medan anställda är på lång ledighet för att ta hand om barn, kan de samtidigt arbeta deltid;
• Den faktiska statusen för kandidaten eller anställda har redan ändrats (anställning/överflyttning/avskedande), medan ordern om denna händelse kommer med fördröjning;
• En anställd överförs till en ny tjänst genom avskedande, men informationen om detta tekniska avskedande registreras inte i personalsystemet.

Det är också viktigt att uppmärksamma kvaliteten på data, eftersom eventuella fel och oegentligheter, som erhålls från en pålitlig källa, vilken är personalsystem, kan blir dyra och orsaka många problem vid implementeringen av IdM. Till exempel har personalavdelningar ofta olika format för att registrera anställdas tjänster i personalsystem: versaler och gemener, förkortningar, olika antal mellanslag och så vidare. Som ett resultat kan samma tjänst registreras i personalsystemet i följande variationer:

• Senior Manager
• senior manager
• st. manager
• st. manager…

Det uppstår ofta skillnader i skrivsätt av namn:

• Shmeleva Natalia Gennadyevna,
• Shmeleva Natalia Gennadievna…

För vidare automatisering är en sådan röra oacceptabel, särskilt om dessa attribut är viktiga identifieringskännetecken, det vill säga att uppgifterna om anställda och deras befogenheter i systemen matchas just baserat på namn.

Dessutom bör man inte glömma möjligheten av namnlikhet inom företaget. Om det finns tusen anställda kan sådana överensstämmelser vara få, men om det finns 50 000 kan det bli ett kritiskt hinder för korrekt funktion av IdM-systemet.

Sammanfattningsvis drar vi slutsatsen: datainmatningsformatet i organisationens personalsystem bör standardiseras. Parametrarna för att mata in namn, tjänster och avdelningar bör vara tydligt definierade. Den optimala lösningen är när personaladministratören inte matar in data manuellt utan väljer dem från ett förutbestämt register över avdelnings- och tjänstestrukturer med hjälp av funktionen 'select' i personalsystemet.

För att undvika ytterligare fel vid synkronisering och slippa manuellt korrigera skillnader i rapporterna, är det mest föredragna sättet att identifiera anställda att införa ett ID för varje anställd inom organisationen. Denna identifierare kommer att tilldelas varje nyanställd och figurerar både i personalsystemet och i organisationens informationssystem som en obligatorisk attribut för kontot. Oavsett om den består av siffror eller bokstäver, är det viktigaste att den är unik för varje anställd (till exempel använder många anställningsnummer). I framtiden kommer införandet av denna attribut att underlätta kopplingen av data om en anställd i personalavdelningen med deras konton och behörigheter i informationssystemen.

Så alla steg och mekanismer för personalhantering måste analyseras och ordnas. Det är möjligt att några processer behöver ändras eller förbättras. Det är ett tråkigt och noggrant arbete, men det är nödvändigt, annars kan bristen på tydliga och strukturerade data om personalhändelser leda till fel vid deras automatiska behandling. I värsta fall kommer ostrukturerade processer att vara helt omöjliga att automatisera.

Målsystem

I nästa steg behöver vi ta reda på hur många informationssystem vi vill integrera i IdM-strukturen, vilken information om användare och deras rättigheter som lagras i dessa system och hur man hanterar dem.

I många organisationer finns det en uppfattning att om vi installerar IdM, konfigurerar anslutningarna till målsystemen, så kommer allt att fungera med ett viftande av en magisk stav, utan ytterligare insatser från vår sida. Så är tyvärr inte fallet. I företag utvecklas och ökar landskapet av informationssystem gradvis. I varje system kan det finnas olika tillvägagångssätt för att ge åtkomsträttigheter, det vill säga olika gränssnitt för åtkomsthantering kan vara konfigurerade. Någonstans sker hantering via API (application programming interface), någon annanstans genom en databas med hjälp av lagrade procedurer, och på vissa ställen kan interaktionsgränssnitt helt saknas. Man bör vara beredd på att det kan bli nödvändigt att se över många befintliga processer för hantering av konton och rättigheter i organisationens system: ändra dataformat, på förhand förbättra interaktionsgränssnitten och avsätta resurser för dessa arbeten.

Rollmodell

Du kommer sannolikt att stöta på begreppet rollmodell redan i valprocessen av IdM-lösningsleverantör, eftersom detta är ett av de centrala begreppen inom hantering av åtkomsträttigheter. I denna modell ges åtkomst till data via en roll. En roll är en samling av rättigheter som minimalt behövs för att en anställd i en viss tjänst ska kunna utföra sina funktionella uppgifter.

Rollbaserad åtkomsthantering har en rad obestridliga fördelar:

• enkla och effektiva tilldelningar av samma rättigheter till ett stort antal anställda;
• snabb ändring av åtkomsten för anställda som har samma uppsättning rättigheter;
• uteslutande av överflödiga rättigheter och avgränsning av oförenliga befogenheter för användare.

Rollmatrisen byggs först upp separat i varje system inom organisationen, och skalan till hela IT-landskapet, där rollerna från varje system formar globala affärsroller. Till exempel kommer affärsrollen "Bokhållare" att inkludera flera separata roller från varje informationssystem som används inom företagets bokföring.

På senare tid anses det vara en "best practice" att redan under utvecklingen av applikationer, databaser och operativsystem skapa en rollmodell. Samtidigt är det inte ovanligt att systemet saknar inställda roller eller inte har några alls. I sådana fall måste systemadministratören mata in kontoinformationen i flera olika filer, bibliotek och kataloger som ger de nödvändiga behörigheterna. Att använda på förhand definierade roller möjliggör att ge behörigheter för en hel uppsättning operationer i systemet med komplexa sammansatta data.

Roller i informationssystem fördelas i regel enligt positioner och avdelningar i organisationsstrukturen, men kan också skapas för specifika affärsprocesser. Till exempel, inom en finansiell organisation har flera anställda inom avdelningen för betalningar samma befattning – operatör. Men inom avdelningen finns även en fördelning av specifika processer, som olika typer av transaktioner (externa eller interna, i olika valutor, med olika segment av organisationen). För att ge var och en av affärsgrenarna på en avdelning åtkomst i informationssystemet med rätt specifik gång krävs det att rättigheter inkluderas i separata funktionella roller. Detta kommer att möjliggöra att ge en minimalt tillräcklig uppsättning befogenheter, utan överflödiga rättigheter, för varje verksamhetsområde.

Dessutom, för stora system med hundratals roller, tusentals användare och miljoner behörigheter är det en god praxis att använda en rollhierarki och arv av privilegier. Till exempel kommer den överordnade rollen Administratör att ärva privilegier från de underordnade rollerna: Användare och Lärare, då Administratören kan göra allt som Användaren och Läraren kan, plus ha ytterligare administrativa rättigheter. Genom att använda en hierarki finns det inget behov av att återge samma rättigheter i flera roller av samma modul eller system.

I det första steget kan roller skapas i de system där det möjliga antalet kombinationer av rättigheter inte är så stort och därmed är det enkelt att hantera ett litet antal roller. Detta kan vara typiska rättigheter som behövs för alla anställda i företaget, i offentliga system såsom Active Directory-katalogen (AD), e-postsystem, Service Manager och liknande. Därefter kan de skapade rollmatriserna för informationssystemen integreras i den övergripande rollmodellen, vilket förenar dem i affärsroller.

Genom att använda denna metod kommer det i framtiden att bli enkelt att automatisera hela processen för att tilldela åtkomsträttigheter baserat på de skapade rollerna i det första steget när IdM-systemet implementeras.

N.B. Det är viktigt att inte försöka inkludera så många system som möjligt i integrationen direkt. System med mer komplex arkitektur och struktur för åtkomstkontroll bör kopplas till IdM i ett halvautomatiskt läge i det första steget. Det innebär att endast automatiskt generera en begäran om åtkomst baserat på personalhändelser, som skickas till administratören för att inrätta rättigheterna manuellt.

Efter att det första steget har slutförts kan systemets funktionalitet spridas till nya utökade affärsprocesser, genomföra fullständig automatisering och skala upp genom att koppla in ytterligare informationssystem.

Med andra ord, för att förbereda inför implementeringen av IdM, bör man utvärdera informationssystemens beredskap för den nya processen och i förväg utveckla externa gränssnitt för att hantera konton och användarrättigheter, om sådana gränssnitt saknas i systemet. Man bör också arbeta med frågan om stegvis skapande av roller i informationssystem för att möjliggöra en integrerad hantering av åtkomst.

Organisatoriska åtgärder

Det är viktigt att inte bortse från organisatoriska aspekter. I vissa fall kan de spela en avgörande roll, eftersom effektiv interaktion mellan avdelningarna ofta påverkar hela projektets resultat. För detta rekommenderar vi vanligtvis att skapa ett team av processdeltagare inom organisationen, som inkluderar alla involverade avdelningar. Eftersom detta är en extra belastning för personer, försök att på förhand förklara för alla deltagare deras roll och betydelse i interaktionsstrukturen. Om man kan 'pumpa' kollegorna med idén om IdM i detta skede kan man undvika många svårigheter senare.

Ofta är det avdelningar för informationssäkerhet eller IT som fungerar som 'ägare' av IdM-implementeringsprojektet i företaget, medan affärsavdelningarnas åsikter inte beaktas. Detta är ett stort misstag, eftersom endast de vet hur och i vilka affärsprocesser varje resurs används, samt vem som ska ha tillgång till den och vem som inte ska ha det. Därför är det viktigt att tydligt ange att affärsägarna ansvarar för den funktionella modellen, utifrån vilken användarbehörighetsuppsättningar (roller) i informationssystemet utarbetas, samt att dessa roller hålls aktuella. Rollmodellen är inte en statisk matris som man kan upprätta en gång och sedan glömma. Det är en 'levande organism' som ständigt måste förändras, uppdateras och utvecklas i takt med förändringar i organisationsstrukturen och personalens funktioner. Annars kan det börja uppstå problem som rör fördröjningar i att ge åtkomst, eller så kommer det att finnas informationssäkerhetsrisker kopplade till överflödiga åtkomsträttigheter, vilket är ännu värre.

Som bekant, "ett barn utan öga med sju barnskötare", därför bör företaget utveckla en metodik som beskriver arkitekturen för rollmodellen, interaktionen och ansvaret för specifika deltagare i processen för att hålla den uppdaterad. Om företaget har många affärsområden och därmed många avdelningar och departement, bör specifika kuratorer utses för varje område (t.ex. utlåning, operationsarbete, distanstjänster, compliance och andra) inom ramen för processen för rollhantering av åtkomst.

Det är absolut nödvändigt att få ledningens stöd för att lösa konfliktsituationer mellan deltagande avdelningar i processen. Konflikter vid implementeringen av vilken ny process som helst är oundvikliga, lita på vår erfarenhet. Därför behövs en skiljedomare som kan lösa potentiella intressekonflikter, så att vi inte förlorar tid på grund av missförstånd och sabotage.

N.B. Ett bra initiativ för att öka medvetenheten skulle vara att utbilda personalen. En grundlig genomgång av hur den framtida processen kommer att fungera och vilken roll varje deltagare har i den kommer att minimera övergångens svårigheter till den nya lösningen.

Checklista

Sammanfattningsvis summerar vi de viktigaste stegen som organisationen bör ta för att planera implementering av IdM:

• städa upp i personaldata;
• införa en unik identifieringsparameter för varje anställd;
• bedöma informationssystemens beredskap för att implementera IdM;
• utveckla gränssnitt för interaktion med informationssystemen för åtkomsthantering, om de saknas, och avsätta resurser för dessa arbeten;
• utveckla och bygga rollmodellen;
• etablera processen för hantering av rollmodellen och inkludera kuratorer från varje affärsområde;
• välja ut några system för den initiala anslutningen till IdM;
• skapa ett effektivt projektteam;
• få stöd från ledningen;
• utbilda personalen.

Förberedelseprocessen kan vara allt annat än enkel, så om det finns möjlighet, engagera konsulter.

Implementering av ett IdM-lösning är ett komplext och ansvarsfullt steg, och för en framgångsrik genomförande är det viktigt att både varje parts insatser – anställda från affärsenheterna, IT och säkerhetstjänster – samt interaktionen inom hela teamet fungerar väl tillsammans. Men insatserna lönar sig: efter implementeringen av IdM minskar antalet incidenter relaterade till överdrivna befogenheter och obehöriga rättigheter i informationssystem; korta ned personalens stillestånd på grund av brist på/lång väntetid för nödvändiga rättigheter; genom automatisering minskar arbetsinsatsen och arbetsproduktiviteten för IT- och säkerhetstjänster ökar.

Källa: habr.com