Prístupy pod kontrolou
aj pri prevádzke základných služieb.

Aj pri základných službách určte, kto za prístupy zodpovedá

Dodávky elektriny, plynu a vody zabezpečujú ľudia v kanceláriách, v teréne aj v externých servisných tímoch. Ich prístupy musia zodpovedať aktuálnej práci. Keď dodávateľ dokončí údržbu alebo zamestnanec prejde do iného tímu, zodpovedný človek musí posúdiť aj zostávajúce oprávnenia.

V easyIGA zamestnanci a manažéri zrozumiteľne žiadajú o prístupy, schvaľujú ich a kontrolujú. midPoint v pozadí spravuje identity a vykonáva nastavené zmeny. Technické nastavenia a integrácie zostávajú špecialistom; ostatní používatelia sa môžu sústrediť na rozhodovanie.

Začnite jedným postupom s jasným rozsahom. Vyberte aplikáciu a jej vlastníka, určte používateľov a dohodnite potvrdenie úspešnej zmeny. Všeobecný zámer zlepšiť správu identít tak premeníte na úlohu, ktorú možno vyskúšať a vyhodnotiť.

Vedúci terénneho tímu vie vysvetliť pridelenú prácu a vlastník aplikácie prístupy, ktoré sú na ňu potrebné. easyIGA im poskytuje spoločný postup žiadania a kontroly prístupov prepojený s midPointom. Nasledujúce ilustračné scenáre ukazujú zmeny pracovného zaradenia a úloh externistov. Sústreďujú sa na aplikačné oprávnenia a súvisiace podklady ako na jednu časť širších prevádzkových postupov zabezpečujúcich chod základnej služby.

Začnite aplikáciami, ktoré podporujú prevádzku

Popri prevádzkových technológiách sa používajú systémy na plánovanie údržby, rozdeľovanie práce a správu dokumentácie. Pred pripojením treba rozlíšiť ich účel a zodpovednosti. Existujúce rozhranie na správu účtov samo osebe neznamená, že sú automatické zmeny vhodné aj pre daný prevádzkový systém.

Najprv vyberte aplikáciu, pri ktorej rozumiete rolám aj postupu zmien. Vhodné môže byť plánovanie údržby, ak vlastník vie vysvetliť rozdiel medzi bežným používaním a správou. Výber musí vychádzať z posúdenia vašej organizácie, nie zo všeobecného predpokladu o odvetví.

Spíšte požadované operácie: načítanie účtov, zmenu roly či zablokovanie prístupu. Pri každej overte hlásenie chýb a potvrdenie dokončenia. Prepojenie, ktoré poskytuje zoznam používateľov, nemusí umožňovať zmenu všetkých oprávnení.

easyIGA zobrazuje podporované žiadosti a kontroly v zrozumiteľnom prostredí. midPoint vykonáva nastavené zmeny v aplikáciách. Implementačný tím musí potvrdiť podporovaný rozsah a otestovať ho na skutočnej verzii každého systému.

Ak je potrebný ručný krok, musí zostať zreteľne označený. Určte jeho vykonávateľa a požadované potvrdenie. Organizácia má vedieť, čo prebieha automaticky, čo robí človek a aký záznam prepája rozhodnutie so stavom v aplikácii.

Prepojte prácu v teréne s potrebnými prístupmi

Predstavte si zamestnanca, ktorý prechádza medzi regionálnymi tímami údržby. Nové zaradenie môže vyžadovať iné pracovné príkazy alebo záznamy. Niektoré pôvodné oprávnenia môžu dočasne zostať na odovzdanie práce, iné majú skončiť. Samotný údaj o aktívnom účte túto zmenu nevysvetľuje.

Určte rozhodujúci zdroj údajov o zaradení. Personálny systém môže potvrdzovať pracovný pomer a iný systém príslušnosť k prevádzkovému tímu. Dohodnite ich použitie aj zodpovednosť za rozpory. Systém nemá medzi protichodnými údajmi vyberať bez dohodnutého pravidla.

Životný cyklus a vykonávanie zmien v midPointe prepájajú zdrojové udalosti s rolami a cieľovými systémami. easyIGA pridáva prostredie pre žiadosti a kontroly podporovaného procesu. Jeho kvalita závisí od modelu rolí, ktorý zodpovedá skutočnej práci.

V pilote ukážte oprávnenia pred presunom aj po ňom. Odoberané prístupy kontrolujte rovnako dôsledne ako novo pridelené. Ak je dočasná výnimka odôvodnená, určte zodpovednú osobu a spôsob jej opätovného posúdenia.

Otestujte aj oneskorenú aktualizáciu údajov. Zamestnanec aj vlastník prístupu musia vedieť, ako dosiahnuť opravu. Prehľadné rozhranie pomáha pri práci, ale správne zaradenie nemožno určiť bez spoľahlivého zdroja a jeho zodpovedného správcu.

Externým servisným tímom určte aktuálneho garanta

Zmluva s dodávateľom môže trvať roky, zatiaľ čo pracovníci a ich úlohy sa menia. Zaradenie dodávateľa do schváleného zoznamu preto nestačí na pridelenie prístupov. Každá identita musí mať jasný pracovný účel a interného garanta.

Začnite so schváleným zdrojom informácií o externých pracovníkoch. Určte garanta a aplikácie potrebné na danú úlohu. Organizácia by mala vedieť, kto je oprávnený schváliť prístup a kto rozhodne, či je to potrebné aj pri zmene práce.

Katalóg easyIGA opisuje prístupy zrozumiteľným jazykom. Nastavené pravidlá určujú schvaľovací postup a špecialisti prepájajú schválenú rolu s oprávneniami v cieľových systémoch. Jasný opis pomáha garantovi rozhodnúť sa bez znalosti technických názvov skupín v adresári.

Pri hodnotení otestujte predĺženie spolupráce aj zmenu zaradenia. Externista môže zostať u rovnakého dodávateľa a pritom prejsť na inú lokalitu alebo službu. Potrebné oprávnenia sa môžu zmeniť, hoci obchodný vzťah pokračuje. Túto situáciu overte osobitne.

Počítajte s neprítomným garantom aj nesprávnym údajom o nadriadenom. Taký prípad treba označiť a prideliť na opravu. Chýbajúce údaje neoprávňujú systém vymyslieť schvaľovateľa ani považovať prístup za povolený.

Pri prevádzkových technológiách určte hranice integrácie

Riadenie identít pomáha udržiavať zodpovednosť za aplikačné prístupy. Pri prevádzkových technológiách však treba osobitne posúdiť bezpečnosť a dostupnosť. Vlastník zariadenia určí, ktoré rozhrania možno pripojiť a akým pravidlám budú zmeny podliehať.

V návrhu zobrazte rozhodujúce zdroje údajov, platformu na správu identít a pripojené aplikácie. Jasne označte aj systémy mimo rozsahu. Takýto prehľad pomôže viac než schéma naznačujúca, že jeden produkt automaticky riadi všetky zariadenia.

Pri citlivom systéme posúďte dôsledky zmeny účtu, spôsob testovania a oprávneného schvaľovateľa. Dodržte interné pravidlá prevádzkových zmien a obnovy. Táto stránka nepotvrdzuje priamu podporu každého riadiaceho systému alebo zariadenia.

easyIGA pomáha ľuďom porozumieť rozhodnutiu a midPoint vykonáva operácie podporované nastavenou integráciou. Ani jedno však nepotvrdzuje vhodnosť zmeny pre fyzický proces riadený daným zariadením. To musí posúdiť príslušný odborník vo vašej organizácii.

Pri prevzatí zaznamenajte systémy, verzie, overené operácie aj zostávajúce ručné úlohy. Ak prvá fáza pokrýva iba podporné aplikácie, výslovne to uveďte. Z výsledkov tejto fázy nemožno vyvodzovať podporu prevádzkových systémov, ktoré sa netestovali.

Majte prehľad o nedokončených zmenách

Manažér môže žiadosť schváliť počas odstávky aplikácie. Odobratie oprávnenia môže zlyhať, ak systém operáciu odmietne. Používatelia preto musia vidieť rozdiel medzi schváleným rozhodnutím a dokončenou technickou zmenou.

easyIGA rozlišuje overený výsledok, čakanie, zlyhanie a neznámy stav. Manažéri aj správcovia tak môžu hovoriť o rovnakom výsledku. Spôsob jeho potvrdenia závisí od aplikácie a integrácie, preto ho overte pre každý systém v dohodnutom rozsahu.

V pilote vyskúšajte aj nedostupnú aplikáciu. Sledujte stav počas výpadku a záznam po obnovení služby. Odpojený systém nemožno označiť za aktualizovaný len preto, že sa v centrálnom systéme uložilo rozhodnutie.

Určte, kto rieši nedokončené operácie. IAM tím môže preveriť integráciu a aplikačný tím odstrániť problém v cieľovom systéme. Žiadateľ má vidieť priebeh riešenia a zodpovedný kontrolujúci prehľad zmien, ktoré ešte nie sú potvrdené.

Aj vo výkazoch rozlišujte schválenia a potvrdené zmeny. Ide o rozdielne kroky. Oddelené počty pomôžu odhaliť zostávajúcu prácu a presnejšie vysvetliť, čo sa stalo, než spoločné označenie „dokončené“ pri každej schválenej žiadosti.

Overujte, či prístupy ešte zodpovedajú práci človeka

Pravidelná kontrola umožňuje zodpovednej osobe prehodnotiť oprávnenia, ktoré boli vhodné v minulosti. Pracovník mohol zmeniť región alebo dokončiť program údržby. Samotné trvanie pracovného pomeru neodôvodňuje každú pôvodnú aplikačnú rolu.

easyIGA zobrazuje kontrolované prístupy s dostupným kontextom. Posledné použitie, osoba, ktorá prístup udelila, a jeho schvaľovateľ závisia od zdrojových záznamov a histórie zachytenej produktom. Každý údaj posudzujte samostatne a chýbajúce podklady jasne označte.

Pri žiadostiach podaných cez easyIGA sa zaznamenáva žiadateľ aj zachytené schvaľovacie kroky. Prístupy pridelené mimo easyIGA sú označené osobitne podľa údajov, ktoré zaznamenal midPoint. V starších záznamoch môže chýbať schvaľovateľ alebo autor pridelenia; chýbajúce údaje sú jasne označené.

Do príkladu kontroly zahrňte súčasného zamestnanca s rolou z predchádzajúceho pracoviska. Nech zodpovedný vlastník vysvetlí, či ju ešte potrebuje. Pridajte záznam s neúplnou históriou a dohodnite postup preverenia. Niektoré oprávnenia sa používajú zriedka: chýbajúca nedávna aktivita je podkladom na rozhodnutie, nie automatickým dôvodom na odobratie.

Keď kontrolujúci rozhodne o odobratí, sledujte aj výsledok v aplikácii. Zodpovedný človek musí odlíšiť uložené rozhodnutie od skutočne vykonanej zmeny. Pravidelná kontrola tak pomáha udržiavať oprávnenia v súlade s aktuálnou prácou.

Zodpovednosť za servisný účet sa nekončí jeho vytvorením

Aplikačné rozhranie môže závisieť od účtu vytvoreného človekom, ktorý už z organizácie odišiel. Účel účtu môže byť stále opodstatnený. Proces riadenia má určiť súčasného vlastníka služby a oprávnenia potrebné na jej fungovanie.

Vyberte typický servisný účet a zaznamenajte jeho účel aj osobu oprávnenú schváliť zmenu. Súvisiaci zamestnanecký záznam nemusí určovať správneho vlastníka. Platnosť účtu môže závisieť od služby, ktorú zabezpečuje, nie od pracovného pomeru jeho pôvodného tvorcu.

Pri hodnotení easyIGA si pozrite podporovaný postup pre daný typ účtu. Overte, ktoré atribúty poskytuje zdrojový systém a o čom musí rozhodnúť organizácia. Samotný zoznam nájdených účtov ešte nepotvrdzuje ich vlastníkov ani bezpečný spôsob nápravy.

Vyskúšajte zmenu zodpovedného tímu. Niekedy treba iba odovzdať správu účtu a zachovať službu, inokedy účet po skončení jeho účelu zrušiť. Vlastník aplikácie musí poznať dôsledky a mať podklady na rozhodnutie.

Stránka o účtoch bez vlastníka a strojových identitách je východiskom diskusie. Uchovávanie prihlasovacích údajov, privilegované relácie a overovanie strojových identít môžu vyžadovať ďalšie opatrenia. Riadenie identít má objasňovať zodpovednosť bez tvrdenia, že nahrádza všetky technické bezpečnostné funkcie súvisiace s účtom.

Riadenie prístupov je len časť požiadaviek NIS2 a CER

NIS2 zahŕňa pravidlá riadenia prístupov do riadenia kybernetických rizík. CER rieši širšiu odolnosť kritických subjektov vrátane personálnych a prístupových postupov. Ich pôsobnosť treba posúdiť podľa situácie organizácie a príslušných vnútroštátnych predpisov. Oficiálne znenia NIS2 a CER sú východiskom posúdenia.

Pri hodnotení produktu preveďte príslušnú požiadavku na konkrétnu otázku o riadení prístupov. Kto schvaľuje rolu? Ktorý zdroj dokladá vzťah človeka k organizácii? Ktorý záznam ukazuje rozhodnutie a výsledok? Produkt posudzujte podľa tejto jasne určenej úlohy.

Zohľadnite aj širší program odolnosti. Riadenie identít v aplikáciách samo nezabezpečuje fyzickú ochranu pracoviska, kontinuitu prevádzky ani pripravenosť na núdzové situácie. V nastavenom rozsahu môže poskytnúť záznamy a rozhodovacie postupy, tie však tvoria iba časť povinností organizácie.

Pred pilotom dohodnite požadované podklady. Osoba zodpovedná za opatrenie môže potrebovať vzorku so žiadosťou, dostupnou históriou schvaľovania a výsledkom v cieľovom systéme. Overte export a jeho polia v navrhovanej verzii. Aj uchovávanie podkladov a prístup k nim potrebujú prevádzkové pravidlá.

Takto možno regulačné požiadavky posudzovať konkrétne bez sľubovania certifikácie. Zistíte, ktorú časť podkladov poskytuje nakonfigurovaný postup a čo musia doložiť iné systémy alebo procesy. Zodpovedná osoba môže toto posúdenie overiť a zdokumentovať.

Pri nasadení midPointu počítajte aj s prácou špecialistov

midPoint je open source platforma na správu a riadenie identít. Podľa nastavenia pracuje s údajmi, rolami a zmenami v aplikáciách. easyIGA nad ňou poskytuje prehľadné prostredie na žiadosti a kontroly prístupov.

Ak už používate midPoint, overte easyIGA na existujúcej aplikačnej role. Manažér vyskúša podporovanú úlohu a IAM tím vysvetlí zostávajúce technické nastavenia. V oboch riešeniach porovnajte rovnaký rozsah aj rovnakú výnimku.

Pri novom projekte najprv určte model rolí a smerodajné zdroje údajov. Katalóg konektorov pomáha identifikovať potenciálne možnosti integrácie, ale cieľová kompatibilita musí byť potvrdená pre skutočné verzie a operácie. Známy názov aplikácie nie je úplná špecifikácia integrácie.

Práca špecialistov zahŕňa údržbu mapovania aj testovanie zmien pravidiel. Zrozumiteľné používateľské rozhranie tieto povinnosti neodstraňuje. Ostatným účastníkom však umožňuje rozhodovať bez správy midPointu.

Spoločnosť Evolveum na stránke o energetike a verejných službách opisuje využitie midPointu v tomto odvetví. Pri ukážke easyIGA použite aplikáciu, ktorú poznajú manažér aj IAM tím. Najprv predveďte rozhodnutie, potom spoločne overte zaznamenaný výsledok. Zistíte, čo sa používateľom zjednodušilo a aká technická práca zostáva potrebná.

Dohodnite sa na prevádzkovom modeli a komerčnom rozsahu

Štandardne sa easyIGA prevádzkuje na vlastnej infraštruktúre. Organizáciám bez vhodného prostredia je na požiadanie k dispozícii nasadenie v EÚ prevádzkované naším tímom. Voľba závisí od skutočných prevádzkových požiadaviek organizácie a požiadaviek na údaje.

Určte správcu služby po nasadení aj zodpovednosť za monitoring, aktualizácie a obnovu. Požadovanú dostupnosť podpory a ciele obnovy si dohodnite výslovne. Všeobecný popis produktu nenahrádza zmluvný záväzok o úrovni služby.

Za softvérovú licenciu midPointu sa neplatí; easyIGA je komerčný produkt. Niektoré funkcie midPointu, napríklad simulácie, klastrovanie pre vysokú dostupnosť alebo iná databáza ako PostgreSQL, vyžadujú predplatné od spoločnosti Evolveum. Zabezpečíme vám ho a zahrnieme do cenovej ponuky. Zverejnený model počíta s ročným predplatným za spravovanú identitu a nasadením v dohodnutom rozsahu. Aktuálnu cenu a funkcie si potvrďte podľa skutočného počtu zamestnancov, externistov a servisných účtov.

Ponuka má uvádzať aplikácie a operácie zahrnuté v dodávke, rozsah migrácie, prípravu údajov a podmienky prevzatia. Rôzne pracoviská môžu potrebovať odlišnú integráciu, aj keď používajú podobné názvy rolí.

Použite Ceny a informácie o nasadení na porovnanie podľa skutočného rozsahu. Zahrňte internú prevádzkovú prácu a náklady na prechod. Zlepšenie odmerajte v pilotnom projekte, neprenášajte nepodložené univerzálne úspory na celú organizáciu.

Vyberte prvý postup s overiteľným výsledkom

Vyberte jednu podpornú aplikáciu s jasným vlastníkom. Určte rolu a zdroj údajov o používateľovi. Prvú ukážku pripravte s fiktívnymi osobami, aby ste nemuseli sprístupniť skutočné personálne ani prevádzkové údaje.

Vyskúšajte bežnú žiadosť, zmenu zodpovednej osoby, nedostupnú aplikáciu aj neúplnú históriu. Každý prípad musí mať vopred určený správny výsledok. Spolu preveria rozhodovanie, technické vykonanie aj postup pri chýbajúcich informáciách.

Nech používatelia vysvetlia, čo prístup umožňuje, a správcovia predvedú riešenie výnimky. Zaznamenajte presnú verziu a nastavenie. Výslovne odlíšte funkcie, ktoré zostávajú plánované alebo sú mimo dohodnutého rozsahu.

Po prvej fáze má byť jasné, ktoré aplikácie a operácie sú overené a čo treba pred rozšírením posúdiť samostatne. Jeden fungujúci konektor nepotvrdzuje kompatibilitu so všetkými systémami a jeden úspešný test nie je zárukou dostupnosti služby.

Dohodnite si 30-minútovú ukážku s naším tímom. Pripravte si otázku o prístupoch pracovníkov vo vašej organizácii. Na jej príklade posúdime, ako easyIGA a midPoint zapadajú do existujúcich zodpovedností vášho tímu.