Prístupy podľa práce
na jednotlivých prevádzkach.

Zosúlaďte prístupy s prácou na jednotlivých prevádzkach

Technik v rafinérii, externista pri údržbe a zamestnanec centrály potrebujú odlišné prístupy. Ich úlohy sa menia podľa projektu, pracoviska či obdobia. Správa prístupov musí tieto zmeny zohľadniť a zachovať prehľad o tom, kto oprávnenia schválil a či sú ešte potrebné.

easyIGA dáva zamestnancom a manažérom zrozumiteľné prostredie na žiadosti, schvaľovanie a kontroly prístupov. Technickým základom je midPoint. Špecialisti naďalej nastavujú zdroje údajov, roly a prepojenia; ľudia z prevádzky rozhodujú o prístupoch, ktorým rozumejú.

Začnite aplikáciou s jasným vlastníkom, napríklad plánovaním údržby alebo správou dokumentácie. Vyberte konkrétnu rolu, človeka oprávneného ju schváliť a výsledok, ktorý chcete overiť. Na takomto príklade zistíte, či postup funguje vo vašom prostredí.

Zodpovedný pracovník prevádzky potrebuje rozumieť tomu, prečo externý špecialista potrebuje prístup do projektovej aplikácie. Správca identít zase potrebuje vedieť, ktorú rolu zmeniť a či cieľový systém operáciu prijal. easyIGA spája oba pohľady pri žiadostiach a kontrolách prístupov. Nasledujúce ilustračné scenáre ukazujú aplikácie používané v prevádzke aj rozhodnutia o zodpovednosti a integráciách na rozhraní podnikového IT a prevádzkových technológií.

Odstávka a údržba preveria životný cyklus prístupov

Pri plánovanej odstávke môžu externisti potrebovať prístup len na určené obdobie. Samotný zoznam pracovníkov však neoprávňuje každého na prístup do všetkých aplikácií. Treba vedieť, kto pracovníka zastrešuje, akú úlohu vykonáva a ktoré oprávnenia na ňu potrebuje.

Údaje o externistoch môžu prichádzať z personálneho systému alebo registra dodávateľov. Dohodnite rozhodujúci zdroj, zodpovedného garanta a spôsob jednoznačného priradenia osoby k účtu. Samotná e-mailová adresa nemusí stačiť na spoľahlivé rozlíšenie ľudí.

Popis roly má vysvetliť, čo prístup umožňuje. Pracovník má vedieť, o čo žiada, a schvaľovateľ, akú zodpovednosť prijíma. Technické prepojenie popisu s oprávneniami nastavujú špecialisti; používatelia nemusia rozlúštiť názvy skupín.

Na konci projektu skontrolujte aj zostávajúce prístupy. Externista môže pokračovať na inej zákazke, takže plošné zrušenie všetkých účtov nemusí byť správne. Rovnako nesprávne je automaticky ponechať všetky oprávnenia. Rozhodnite, čo končí, čo zostáva a čo treba znova schváliť.

V pilote prejdite celú situáciu: prvú žiadosť, zmenu zaradenia, odobratie starého prístupu aj odovzdanie zodpovednosti. Overte pritom bežné prípady aj výnimky, aby bol postup použiteľný pri skutočnej práci.

Zapojte do rozhodovania osobu zodpovednú za prevádzku

Centrálny IT tím môže udržiavať systémy bez toho, aby vedel, prečo dodávateľ potrebuje prístup na konkrétne miesto. Vedúci lokality môže rozumieť práci bez toho, aby poznal technický názov požadovanej roly. Pracovný postup by mal umožniť každej osobe prispieť informáciami, ktoré skutočne vlastní.

Nastavený postup má doručiť žiadosť človeku, ktorý ju môže posúdiť. easyIGA prepája jeho rozhodnutie s technickým vykonaním v midPointe. Pri návrhu určte, ktoré žiadosti posudzuje miestny vedúci, vlastník aplikácie alebo iný zodpovedný človek.

Vyskúšajte aj neprítomnosť schvaľovateľa. Overte zastupovanie a odovzdanie žiadosti podľa dohodnutých pravidiel. Potrebujete vedieť, kto rozhodol a na základe akého oprávnenia; samotné doručenie oznámenia túto zodpovednosť neurčuje.

Prístup do aplikácie nie je povolením vykonávať fyzickú prácu na zariadení. Povolenia na prácu, bezpečnostné školenia a ďalšie prevádzkové podmienky sa riadia vlastnými postupmi. Pri návrhu jasne odlíšte digitálne oprávnenie od týchto požiadaviek.

Ak pri pracovníkovi chýba garant alebo iný potrebný údaj, určte, kto ho doplní. Systém nemá chýbajúce schválenie obísť. Výnimka musí byť viditeľná a zodpovedný tím musí vedieť, ako ju vyriešiť.

Počítajte s nedostupnými systémami v prevádzkových postupoch

Niektoré prostredia nedokážu zabezpečiť nepretržité pripojenie ku každému relevantnému systému. Dokonca aj normálne pripojený cieľ môže byť počas údržby nedostupný. Centrálne rozhodnutie o identite nedokazuje, že izolovaný cieľový systém už zmenu prijala a uplatnila.

easyIGA rozlišuje overený výsledok, čakanie, zlyhanie a neznámy stav. Schválená žiadosť preto neznamená automaticky hotovú zmenu. Správca potrebuje vidieť, ktoré prípady ešte vyžadujú zásah alebo potvrdenie z aplikácie.

Ak sa odobratie prístupu nedokončilo, zodpovedný tím musí rozhodnúť o ďalšom postupe. Podľa rizika môže byť potrebný ručný zásah alebo iné opatrenie. Záznam má odlíšiť rozhodnutie prístup odobrať od potvrdenia, že bol skutočne odobratý.

Otestujte aj nedostupnú aplikáciu. Dohodnite, ako sa operácia zopakuje, ako sa zabráni neželanému zdvojeniu a čo následne potvrdí správny výsledok. Prerušené spojenie nesmie viesť k tomu, že neistý stav bude vyzerať ako úspech.

Rovnaké rozlíšenie zachovajte aj vo výstupoch. Ak všetky schválené odobratia vykážete ako dokončené, skryjete nedokončenú prácu. Prehľad otvorených operácií pomáha vlastníkom prevádzok a aplikácií určiť ďalší postup. Schválenie sa tak nezamení za dôkaz aktuálneho stavu účtu.

Pred integráciou určte hranice medzi IT a OT

Prevádzkové technológie riadia fyzické zariadenia a procesy. Zmena prístupu tu môže mať dôsledky, ktoré pri kancelárskej aplikácii nevznikajú. Rozsah integrácie preto musí vychádzať z požiadaviek vlastníka zariadenia a bezpečnostných pravidiel prevádzky.

Vlastník zariadenia musí posúdiť vplyv zmeny, schváliť testovanie a určiť postup návratu do pôvodného stavu. Pred zavedením integrácie si dohodnite, ktoré operácie sú povolené a v akom prostredí ich možno bezpečne overiť.

Prvú fázu môžete obmedziť na firemné aplikácie podporujúce prevádzku. Plánovanie údržby, dokumenty alebo spolupráca s dodávateľmi môžu mať jasných vlastníkov bez priameho riadenia výrobných zariadení. Rozsah má vychádzať z posúdenia organizácie, nie zo všeobecnej schémy odvetvia.

midPoint zabezpečuje technické prepojenie a easyIGA pomáha ľuďom rozhodovať o prístupoch. Tieto úlohy nenahrádzajú bezpečnostné opatrenia pre prevádzkové technológie. Pripojenie systému samo osebe nepotvrdzuje bezpečnosť celej prevádzky.

Do podmienok prevzatia zapíšte podporované operácie aj obmedzenia. Logá aplikácií ani všeobecný zoznam konektorov nenahrádzajú overenie konkrétneho rozhrania, verzie a spôsobu použitia.

Skontrolujte prístup podľa projektu a zodpovednosti

Ukončenie konkrétnej zákazky nemusí znamenať koniec spolupráce s dodávateľom. Pri kontrole rozlíšte oprávnenia viazané na skončenú úlohu od prístupov potrebných na ďalšiu prácu. Nové zaradenie má mať jasne určeného zodpovedného človeka.

easyIGA zobrazuje kontrolovaný prístup s dostupnými podkladmi. Posledné použitie, osoba, ktorá prístup udelila, a jeho schvaľovateľ závisia od pripojených zdrojov a zaznamenanej histórie. Posudzovateľ má vedieť, ktoré údaje sú známe a ktoré chýbajú.

Kontrolujúci môže poznať potrebu prístupu k projektovej dokumentácii, ale nemusí vedieť posúdiť technický servisný účet. Kontroly preto prideľujte ľuďom, ktorí rozumejú príslušnej aplikácii a vedia niesť zodpovednosť za rozhodnutie.

Na ukážke použite prípady s úplnou aj chýbajúcou históriou. Overte, čo kontrolujúci skutočne vidí a ako postupuje pri nejasnosti. Ukážkový prípad sám osebe nepotvrdzuje automatické rozpoznanie všetkých podobných situácií.

Pri žiadostiach podaných cez easyIGA sa zaznamenáva žiadateľ aj zachytené schvaľovacie kroky. Prístupy pridelené mimo easyIGA sú označené osobitne podľa údajov, ktoré zaznamenal midPoint. V starších záznamoch môže chýbať schvaľovateľ alebo autor pridelenia; chýbajúce údaje sú jasne označené.

Pri každom servisnom účte určte zodpovedný tím

Servisný účet môže zostať aktívny aj po odchode človeka, ktorý ho vytvoril. Potrebuje preto vlastnú zodpovednú osobu alebo tím, zdokumentovaný účel a pravidelnú kontrolu. Odchod zamestnanca nesmie automaticky prerušiť dôležitú službu ani ponechať účet bez zodpovednosti.

Určte zodpovedný tím a človeka, ktorý môže schváliť zmeny. Zaznamenajte účel účtu, systém, v ktorom sa používa, a závislé služby. Tieto údaje umožnia pri kontrole posúdiť, či je účet ešte potrebný.

Prepojenie účtu s identitou pomáha udržiavať prehľad, samo však neurčuje zodpovednosť za jeho používanie. Dohodnite, kto schvaľuje oprávnenia, kto rieši chyby a kto rozhodne o zrušení účtu.

Pred odobratím oprávnenia si overte, ktoré služby ho používajú a čo by prestalo fungovať. Podklady ku kontrole majú pomôcť urobiť odôvodnené rozhodnutie, nie viesť k automatickému ponechaniu všetkých technických účtov.

Stránka o účtoch bez vlastníka a strojových identitách poskytuje viac kontextu. Pred pridaním do rozsahu nákupu overte pracovný postup a pokrytie integrácie aktuálneho vydania. Jasný proces vlastníctva je užitočný aj vtedy, keď si niektoré dôkazy vyžadujú vyšetrovanie, za predpokladu, že je viditeľná neistota.

Stavajte na midPointe s jasne rozdelenou zodpovednosťou

midPoint je open source platforma na správu a riadenie identít. Spracúva zdrojové údaje, roly a zmeny v pripojených systémoch podľa nastavených pravidiel. easyIGA využíva tieto možnosti a sprístupňuje bežné úlohy zamestnancom a manažérom.

Prínos easyIGA si overte na konkrétnom postupe. Nechajte manažéra posúdiť žiadosť a správcu dohľadať jej výsledok. Porovnajte, koľko vysvetľovania a ručnej práce treba oproti vášmu dnešnému riešeniu.

Katalóg konektorov Pri výbere konektora overte verziu aplikácie, spôsob overovania prístupu a podporované operácie. Dostupný konektor nemusí bez ďalšieho nastavenia pokrývať každé oprávnenie, ktoré chcete spravovať.

Za prepojenie údajov, nastavenie pravidiel a riešenie technických chýb naďalej zodpovedajú špecialisti. Jednoduchšie ovládanie pre manažérov túto prácu neruší; umožňuje im rozhodovať bez potreby zasahovať do technických nastavení.

Spoločnosť Evolveum na stránke o rope a plyne poskytuje odvetvový kontext pre midPoint. Spojte ho s ukážkou easyIGA vo vybranej prevádzkovej aplikácii. Garant posúdi opis prístupu, vlastník aplikácie príslušnú zodpovednosť a tím správy identít overí, ako nastavená zmena dorazí do cieľa. Každý tak má jasnú úlohu pri prevzatí navrhovaného procesu.

Vyberte podklady, ktoré prevádzka dokáže využiť

Pri audite po zmene pracovného zaradenia potrebujete zistiť, aký prístup človek mal, kto rozhodol o zmene a či sa vykonala. Ak sa tieto údaje nezaznamenávajú priebežne, tím ich musí spätne skladať z rôznych zdrojov.

Užitočný auditný záznam spája žiadosť, rozhodnutie a výsledok v aplikácii. Ak niektorý údaj chýba, má to byť zrejmé. Chýbajúce potvrdenie nemožno nahradiť predpokladom, že schválená operácia prebehla úspešne.

Pri ukážke porovnajte export so záznamom v systéme. Overte identitu, oprávnenie, čas, rozhodnutie aj výsledok. Dohodnite, ktoré polia potrebujete pre audit a z akých zdrojov sa napĺňajú.

Určte dobu uchovávania záznamov a pravidlá prístupu k nim. Auditné podklady môžu obsahovať osobné aj prevádzkovo citlivé údaje. Ich dostupnosť má zodpovedať účelu použitia a pravidlám vašej organizácie.

NIS2 zahŕňa politiky kontroly prístupu v rámci svojich požiadaviek na riadenie rizík kybernetickej bezpečnosti. Uplatniteľnosť a príslušné vnútroštátne pravidlá si vyžadujú posúdenie zo strany organizácie. Pozrite si oficiálny text NIS2. Pracovný postup identity podporuje definovanú časť riadiaceho prostredia; sám osebe nezabezpečuje širšiu regulačnú zhodu ani odolnosť lokality.

Porovnajte celkový rozsah dodávky

Za softvérovú licenciu midPointu sa neplatí. Niektoré funkcie midPointu, napríklad simulácie, klastrovanie pre vysokú dostupnosť alebo iná databáza ako PostgreSQL, vyžadujú predplatné od spoločnosti Evolveum. Zabezpečíme vám ho a zahrnieme do cenovej ponuky. Cena easyIGA vychádza z ročného predplatného podľa počtu spravovaných identít. Nasadenie sa dohodne podľa rozsahu. Pred rozhodnutím si vyžiadajte aktuálnu ponuku s funkciami, podporou a podmienkami, ktoré potrebujete.

Do rozsahu zahrňte prostredia, pracoviská a všetky skupiny identít vrátane externistov. Ujasnite si aj započítavanie servisných a neaktívnych účtov. Počet zamestnancov nemusí zodpovedať počtu identít, ktoré bude riešenie spravovať.

Započítajte prípravu údajov, úpravu katalógu rolí a migráciu zo súčasného riešenia. Kvalita týchto podkladov ovplyvňuje priebeh nasadenia aj neskoršiu prácu používateľov. Samotné pripojenie aplikácie celý proces nedokončí.

Do prevádzkových nákladov patria aktualizácie, správa integrácií, podpora používateľov a riešenie výnimiek. Porovnávajte preto celkový rozsah služby, nielen cenu predplatného. Prípadnú úsporu odhadujte z vlastných údajov o práci tímu.

Použite cenový model a kalkulačku nákladov s vlastnými údajmi. Zmerajte súčasný čas práce a porovnajte ho s pilotným overením rovnakého procesu. Hypoteticky ušetrený čas nepovažujte za zaručené zníženie výdavkov. Dôveryhodné ekonomické posúdenie rozlišuje predpoklady a namerané výsledky.

Pred rozšírením nasadenia overte pripravenosť prevádzky

Pilot začnite s obmedzeným rozsahom a jasnými podmienkami prevzatia. Vyberte aplikáciu, vlastníka a niekoľko typických situácií. Vopred si určte, čo musí fungovať, kto výsledky posúdi a ktoré nedostatky zabránia rozšíreniu.

Samotný výber hostingu nezaručuje bezpečnosť ani súlad s predpismi. Dohodnite správu služby, aktualizácie, obnovu a prístup k údajom. Prevádzkové podmienky musia zodpovedať vašim požiadavkám.

Otestujte úspešný priebeh aj chyby: chýbajúce údaje, neprítomného schvaľovateľa, nedostupnú aplikáciu a neúplné potvrdenie. Tím musí vedieť, čo používateľ uvidí a kto zabezpečí nápravu.

Riešenie rozširujte až po overení dohodnutých výsledkov a prevádzkových postupov. Pred ďalšou aplikáciou si potvrďte vlastníka, podporované operácie a požadované podklady. Každé nové prepojenie prináša vlastné požiadavky.

Dohodnite si ukážku produktu s necitlivým príkladom z vlastnej praxe. Diskusia sa potom môže zamerať na rozhodnutie o prístupe, príslušné systémy a dôkazy potrebné na prechod z atraktívneho rozhrania na operačný proces.