Prístupy vo financiách,
ktoré máte pod kontrolou.

Pri každom prístupe má byť jasné, na akú prácu slúži

Prístup do finančnej aplikácie môže znamenať možnosť zobraziť výkaz, meniť údaje dodávateľa alebo schvaľovať transakcie. Každé z týchto oprávnení prináša inú zodpovednosť. Pri schvaľovaní musí byť tento rozdiel jasný. Zároveň treba uchovať podklady, z ktorých bude aj neskôr zrejmé, prečo človek daný prístup dostal.

V easyIGA zamestnanci žiadajú o prístupy do aplikácií vašej organizácie a manažéri ich schvaľujú a kontrolujú. Technickým základom je midPoint. Používatelia pracujú so zrozumiteľnými žiadosťami, zatiaľ čo špecialisti nastavujú roly a prepojenia, podľa ktorých sa menia oprávnenia v jednotlivých systémoch.

Banka, poisťovňa či iná finančná organizácia by mala začať konkrétnou úlohou. Vyberte aplikáciu a oprávnenie, ktoré jej vlastník potrebuje kontrolovať. Určte, kto ho smie schváliť, aké pravidlo sa naň vzťahuje a čo má potvrdiť úspešnú zmenu. Takto môžete riešenie posúdiť na postupe, ktorý si viete aj vyskúšať.

Človek zodpovedný za finančné výkazníctvo má vedieť posúdiť prístup k výkazom bez toho, aby rozumel každej skupine v adresári. easyIGA prepája jeho rozhodnutie s postupom nastaveným v midPointe. Nasledujúce príklady ukazujú cestu od žiadosti cez schválenie a zmenu v aplikácii až po neskoršiu kontrolu: kto sa zapája, za čo zodpovedá a aké záznamy po ňom zostávajú.

Sledujte spracovanie žiadosti vo finančnom tíme

Predstavte si fiktívneho zamestnanca, ktorý nastupuje do tímu finančného výkazníctva. Potrebuje aplikáciu na prípravu prehľadov, nie oprávnenie schvaľovať platby. Samotný technický názov skupiny nemusí zamestnancovi ani manažérovi tento rozdiel vysvetliť.

Najprv treba zrozumiteľne opísať, na čo prístup slúži. Zamestnanec si ho vyberie v katalógu easyIGA; pri implementácii sa tento popis prepojí s príslušnou rolou. Vaša organizácia určí, o ktoré roly možno požiadať a kto ich smie schvaľovať.

Schvaľovateľ si pozrie žiadosť a výsledky kontroly nastavených pravidiel. Má rozumieť tomu, čo povoľuje, bez potreby spravovať midPoint. Schvaľovať možno aj cez Microsoft Teams. Na ukážke si nechajte predviesť podporovaný postup a údaje, ktoré sa pri ňom zaznamenávajú vo verzii navrhovanej pre vás.

Po schválení vykoná midPoint nastavenú zmenu a easyIGA zobrazí zaznamenaný výsledok. Schválenie ešte nemusí znamenať, že používateľ prístup dostal. Dokončeniu môže zabrániť nedostupná aplikácia, neúplné údaje o používateľovi alebo chyba prepojenia.

Počas ukážky nechajte zamestnanca a manažéra opísať postup vlastnými slovami. Vie zamestnanec povedať, o čo žiada? Rozumie manažér tomu, čo schvaľuje? Dokáže správca zistiť, prečo sa zmena nedokončila? Tieto odpovede povedia o použiteľnosti viac než všeobecné tvrdenie, že ovládanie je jednoduché.

Určte, ktoré právomoci sa nesmú spájať

Oddelenie povinností rieši kombinácie prístupov, ktoré podľa vašej organizácie nemá mať jedna osoba súčasne. Príkladom je správa údajov o príjemcovi platby a schvaľovanie platby tomuto príjemcovi. Konkrétne pravidlo závisí od aplikácií a nastavených opatrení; webová stránka ho nemôže predpísať univerzálne.

easyIGA pri schvaľovaní zobrazuje konflikty, ktoré midPoint vyhodnotí podľa nastavených pravidiel vzájomne nezlučiteľných rolí. Manažér tak vidí známy konflikt ešte pred rozhodnutím. Nemusí si pritom pamätať pravidlo z iného dokumentu ani ho dodatočne hľadať.

Špecialisti naďalej určujú, ktorých rolí sa pravidlá týkajú, a udržiavajú ich nastavenie. Treba pritom rozlišovať dostupné a plánované funkcie. Vyhodnotenie nastavených konfliktov a ich zobrazenie pri rozhodovaní je dostupné. Tvorba pravidiel a simulácie priamo v easyIGA sú plánované; do objednaného rozsahu ich zahrňte až po potvrdení dostupnosti konkrétnej verzie.

Pravidlo otestujte aj vtedy, keď sa rovnaké oprávnenie dá získať viacerými spôsobmi. Používateľ ho môže zdediť z roly alebo získať členstvom v skupine. Nastavenie musí zohľadniť aj tieto možnosti. Úspešná ukážka s jedinou rolou nepotvrdzuje, že sú pokryté všetky kombinácie oprávnení.

Určte tiež, kto zodpovedá za zmeny pravidiel. Po úprave platobného procesu sa môže zmeniť aj význam existujúcich rolí. Zaznamenajte vlastníka procesu, špecialistu zodpovedného za nastavenie a test očakávaného výsledku. Produkt zobrazí výsledok kontroly nastaveného pravidla; organizácia musí posúdiť, či pravidlo zodpovedá jej skutočným potrebám.

Pri kontrole dajte ľuďom potrebné informácie

Pri pravidelnej kontrole manažér alebo vlastník aplikácie posudzuje, či sú prístupy stále potrebné. Samotné dokončenie kontroly ešte neznamená, že rozhodnutia boli podložené. Kontrolujúci potrebuje vedieť, čo oprávnenie umožňuje, komu patrí a čo je známe o jeho histórii.

easyIGA zobrazuje dostupný kontext vedľa kontrolovaného prístupu. Polia „Posledné použitie“, „Kto prístup udelil“ a „Kto ho schválil“ závisia od pripojených systémov a zaznamenanej histórie. Každé odpovedá na inú otázku. Nedávna aktivita sama osebe neodôvodňuje oprávnenie a dnešný manažér nemusí byť jeho pôvodným schvaľovateľom.

Pri žiadostiach podaných cez easyIGA sa zaznamenáva žiadateľ aj zachytené schvaľovacie kroky. Prístupy pridelené mimo easyIGA sú označené osobitne podľa údajov, ktoré zaznamenal midPoint. V starších záznamoch môže chýbať schvaľovateľ alebo autor pridelenia; chýbajúce údaje sú jasne označené.

Pri skúšaní zahrňte prístup udelený bežným postupom aj prístup s neúplnou históriou. Nechajte kontrolujúceho vysvetliť, čo dokáže z každého záznamu zistiť. Ak podklady nestačia, dohodnite postup preverenia. Chýbajúce informácie nemajú viesť k automatickému schváleniu.

Po rozhodnutí o odobratí prístupu overte aj výsledok v aplikácii. Záznamy pre audit musia odlíšiť rozhodnutie kontrolujúceho od skutočného odobratia oprávnenia. Ak sa na výsledok čaká alebo nie je známy, zodpovedný človek musí vedieť, kto prípad sleduje a ako ho dorieši.

Otestujte presun zamestnanca aj dočasný prístup

Pri prechode do iného finančného tímu môžu zamestnancovi zostať oprávnenia z pôvodnej pozície. Ak iba pridávate nové prístupy a staré nekontrolujete, postupne sa hromadia oprávnenia, ktorých opodstatnenie sa ťažko vysvetľuje.

midPoint zabezpečuje životný cyklus identít a vykonávanie zmien prístupov. Špecialisti konfigurujú rozhodujúce zdroje a pravidlá prepájajúce zmeny identity s cieľovými systémami. easyIGA pridáva prostredie na žiadosti a kontroly. Výsledok závisí od kvality údajov a rozsahu integrácií.

Do pilotu zahrňte zmenu pracovného zaradenia. Zapíšte požadované prístupy pred zmenou aj po nej. Rozlíšte oprávnenia na odobratie, oprávnenia, ktoré majú zostať, a výnimky vyžadujúce nové rozhodnutie. Test má overiť všetky skupiny, nielen vytvorenie nového účtu.

Podobne postupujte pri dočasných úlohách. Zastupovanie, projekt či externá spolupráca môžu odôvodniť krátkodobú potrebu prístupu. Ak proces používa dátum ukončenia, ukážte jeho väzbu na príslušné pravidlo aj správanie pri predĺžení. Samotný dátum v HR systéme nedokazuje, že prístup v aplikácii skončí.

Ak v zdrojových údajoch niečo chýba, určte, kto to opraví. Systém nemá doplniť neexistujúceho manažéra ani bez upozornenia obísť schvaľovanie. Jasne označená výnimka umožní tímu opraviť údaje a posúdiť, čo to znamená pre požadovaný prístup.

Posudzujte prístupy v kontexte požiadaviek DORA

DORA sa zaoberá digitálnou prevádzkovou odolnosťou vo finančnom sektore. Článok 9 nariadenia (EÚ) 2022/2554 zahŕňa obmedzenia prístupu a postupy pre správu prístupových práv. IGA môže podporovať oblasť logických prístupov v systéme opatrení organizácie; kúpa produktu nezaručuje súlad.

Požiadavku na kontrolu premeňte na konkrétne otázky. Ktorej aplikácie sa týka? Kto smie schváliť rolu? Čo sa počas schvaľovania zaznamená? Ako overíte zmenu v aplikácii? Odpovede majú umožniť zodpovednému človeku skontrolovať konkrétny prípad.

Riadenie prístupov je len jednou časťou širšej odolnosti organizácie. Nenahrádza plánovanie kontinuity, riadenie incidentov ani posudzovanie rizík dodávateľov. Ukážka produktu môže predviesť rozhodnutie o prístupe a súvisiace záznamy. Sama však nepotvrdzuje splnenie všetkých povinností finančnej inštitúcie.

Ešte pred nastavením výkazov si dohodnite, aké podklady budete potrebovať. Užitočný záznam prepája človeka a oprávnenie s rozhodnutím a výsledkom zmeny, pokiaľ sú tieto údaje dostupné. Určite aj dobu uchovávania, prístup k záznamom a postup pri neúplnej histórii.

Stránka easyIGA o DORA ponúka ďalšie východiská. Právny tím a tím zodpovedný za súlad s predpismi posúdia, ktoré požiadavky sa na vás vzťahujú a ako ich vykladať. Na ukážke potom môžu overiť, či produkt poskytuje potrebné podklady pre zvolený proces.

Rozlišujte úlohy midPointu a easyIGA

midPoint už zabezpečuje správu a riadenie identít. Táto open source platforma pracuje s údajmi o identitách, rolami a zmenami v pripojených systémoch podľa nastavených pravidiel. easyIGA na tomto základe stavia.

Pre finančnú organizáciu s vlastným IAM tímom je toto rozdelenie podstatné. Špecialisti naďalej spravujú midPoint a integrácie. Manažéri a vlastníci aplikácií vybavujú žiadosti a kontroly v prehľadnom prostredí. Pri porovnávaní si overte úlohy každého z nich: jednoduchšie ovládanie neznamená, že technická práca prestala byť potrebná.

Porovnajte súčasný postup v midPointe s easyIGA na rovnakej role a aplikácii. Manažér nech posúdi bežnú žiadosť aj žiadosť so známym konfliktom. Správca nech dohľadá nedokončenú zmenu. Takto uvidíte konkrétny prínos nadstavby bez toho, aby ste midPointu upierali funkcie, ktoré už poskytuje.

Prehľad midPointu a katalóg konektorov poskytujú technické podklady. Overte si presnú verziu aplikácie a podporované operácie so svojím integračným tímom. Konektor môže vyžadovať konfiguráciu alebo rozšírenie pre konkrétne povolenia, ktoré chcete spravovať.

Spoločnosť Evolveum na stránke o finančných službách opisuje použitie základnej platformy midPoint. Pri easyIGA si s vlastníkom aplikácie a tímom správy identít prejdite konkrétny proces. Použite známu rolu vo výkazníctve alebo schvaľovaní, zahrňte nastavený konflikt a sledujte výslednú zmenu. Každý účastník tak môže porovnať navrhovaný spôsob práce so súčasným.

Porovnávajte ceny IGA pri rovnakom rozsahu

Za softvérovú licenciu midPointu sa neplatí. Niektoré funkcie midPointu, napríklad simulácie, klastrovanie pre vysokú dostupnosť alebo iná databáza ako PostgreSQL, vyžadujú predplatné od spoločnosti Evolveum. Zabezpečíme vám ho a zahrnieme do cenovej ponuky. easyIGA je komerčný produkt s ročným predplatným podľa počtu spravovaných identít a nasadením v dohodnutom rozsahu. Pred nákupom si potvrďte ceny jednotlivých úrovní aj funkcie zahrnuté v zmluve.

Pri porovnávaní ponúk začnite tým, ktoré identity sa započítavajú do ceny. Overte zamestnancov, externistov aj servisné účty. Počet technických účtov môže rásť, aj keď sa počet zamestnancov nemení. Pýtajte sa tiež na neaktívne záznamy a budúci rast. Dodávatelia nemusia používať rovnaké pravidlá počítania.

Potom porovnajte funkcie a rozsah dodávky: aplikácie, požadované operácie, prostredia, migráciu a čistenie údajov. Uveďte aj podporu a podmienky prevzatia. Podobné predplatné môže zahŕňať veľmi odlišný objem práce. Jedna ponuka môže pokrývať len základné nastavenie konektora, druhá aj rozsiahlejšiu migráciu.

Náročnosť prevádzky odhadujte podľa vlastných údajov. Zmerajte čas na spracovanie žiadostí, prípravu podkladov ku kontrolám a riešenie výnimiek. Aktívnu prácu odlíšte od čakania na rozhodnutie. Obe zlepšenia môžu byť užitočné, ale nemožno ich započítať ako tú istú finančnú úsporu.

Ceny a kalkulačka pomáhajú pripraviť diskusiu o konkrétnom rozsahu. Negarantujú univerzálne úspory ani nenahrádzajú písomnú ponuku. Do porovnania zahrňte podmienky prechodu a obnovenia zmluvy. Popri nákladoch posudzujte aj skutočne predvedený proces.

Pri starších aplikáciách overte možnosti aj obmedzenia integrácie

Finančné organizácie často používajú staršie aplikácie spolu s novšími cloudovými službami. Pri návrhu si ujasnite, čo prístup v každom systéme predstavuje: rolu v aplikácii, skupinu v adresári alebo kombináciu oprávnení na konkrétnu pracovnú úlohu.

Spíšte si operácie, ktoré potrebujete. Čítanie účtov neznamená možnosť meniť oprávnenia a vytvorenie účtu nepotvrdzuje možnosť ho deaktivovať. Overte, ako prepojenie hlási chyby a aké údaje poskytne na potvrdenie úspešnej zmeny.

Implementácia musí počítať aj so zmenami vykonanými mimo bežného schvaľovania. Zosúladenie údajov môže porovnať evidovaný stav s aplikáciou, ale závery závisia od dostupných údajov a nastavených pravidiel. Ak objavíte účet bez histórie, nemožno mu dodatočne priradiť vymysleného schvaľovateľa.

V pilote vyskúšajte aplikáciu, ktorá poskytuje spoľahlivé potvrdenie, aj systém s obmedzenejším rozhraním. Dohodnite postup správcov pre oba prípady. Ak zostáva ručný krok, určte zodpovedného človeka a požadovaný záznam. Aj čiastočné prepojenie môže pomôcť, pokiaľ sú jeho hranice jasné a systém neoznačuje neistý výsledok za úspech.

Myslite aj na budúcu podporu. Aktualizácia aplikácie môže zmeniť rozhranie či štruktúru oprávnení. Určte, kto bude testovať konektory a udržiavať roly. Túto prácu zahrňte do prevádzkových nákladov už pri výbere riešenia.

Vyberte model nasadenia, ktorý môže váš tím prevádzkovať

easyIGA sa štandardne prevádzkuje na vašej infraštruktúre v jurisdikcii, ktorú si zvolíte. Ak vhodnú infraštruktúru nemáte, na požiadanie je dostupná aj prevádzka v EÚ zabezpečovaná naším tímom.

Miesto prevádzky je len časť rozhodnutia. Určte, kto zabezpečuje aktualizácie, monitoring a obnovu, kto smie službu spravovať a kto má prístup k auditným záznamom. Prevádzková dohoda musí zodpovedať zvolenému prostrediu.

Ak prevádzku zabezpečuje dodávateľ, vyžiadajte si podmienky služby a spracúvania údajov. Označenie „prevádzka v EÚ“ samo osebe neurčuje SLA, subdodávateľov ani záväzky pri obnove. Tieto podmienky musia byť výslovne uvedené v dokumentácii navrhovanej služby.

Pri vlastnej prevádzke započítajte aj prácu interného tímu. Existujúca infraštruktúra neznamená, že nová služba nepotrebuje správcu. Dohodnite kontrolu zmien nastavenia a postup pri zlyhaní integrácie. Rovnako ako schvaľovateľ musí byť jasne určený aj človek zodpovedný za prevádzku.

Použite informácie o nasadení a bezpečnostnú stránku na prípravu týchto otázok. Výsledkom má byť zoznam zodpovedností a podkladov potrebných na prevzatie, nie všeobecné uistenie, že zvolený hosting rieši každé riziko.

Prizvite človeka zodpovedného za kontrolné opatrenia

Pripravte si jednu aplikáciu a niekoľko typických rolí. Na ukážke prejdite bežnú žiadosť, konflikt aj zmenu zaradenia. Začnite fiktívnymi osobami, aby ste nemuseli sprístupniť skutočné údaje o zákazníkoch či zamestnancoch.

Nechajte vlastníka procesu definovať, čomu musí schvaľovateľ rozumieť. Nechajte technický tím určiť, čo môže cieľ potvrdiť. Hodnotenie by malo tieto dva pohľady spájať. Žiadosť, ktorú je ľahké schváliť, ale nemožno ju vysledovať k cieľovému výsledku, ponecháva dôležitú otázku nezodpovedanú.

Zaznamenajte presnú verziu a predvedenú konfiguráciu. Všimnite si, ktoré polia dôkazov boli prítomné a ktoré zostali nedostupné. Plánovaná funkčnosť by sa mala identifikovať samostatne. Vďaka tomu sú zistenia užitočné pri obstarávaní a predchádza sa tomu, aby sa z budúcej položky plánu stala náhodná akceptačná podmienka pre aktuálny produkt.

14+ nasadení midPointu nášho tímu sú skúsenosti s implementáciou, oddelené od prijatia easyIGA. Použite tieto skúsenosti ako dôvod na diskusiu o technickej vhodnosti a potom posúďte produkt prostredníctvom konkrétnej demonštrácie. Z príkladov na tejto stránke nevyplývajú žiadne zákaznícke výsledky ani finančné úspory.

Dohodnite si 30-minútovú ukážku s naším tímom. Prejdeme vaše rozhodnutie o prístupe, príslušné pravidlá a zaznamenaný výsledok. Potom sa dohodneme, či cielené hodnotenie dokáže zodpovedať zostávajúce otázky.