Vo verejných službách musí byť jasné,
kto má aké prístupy.

Určte zodpovednosť za prístupy vo verejných službách

Úrady a verejné organizácie môžu zdieľať infraštruktúru, no za jednotlivé úlohy zodpovedajú rôzne tímy. Centrálne IT spravuje adresár, personálne oddelenie vedie údaje o zamestnancoch a vlastník aplikácie rozhoduje o prístupoch. Riadenie prístupov tieto úlohy prepája, aby bolo aj neskôr zrejmé, kto o čom rozhodol.

V easyIGA ľudia žiadajú o prístupy do pracovných aplikácií, schvaľujú ich a pravidelne kontrolujú. Technickým základom je midPoint. Používatelia vidia zrozumiteľné žiadosti a dostupné podklady; špecialisti naďalej spravujú zdroje údajov, pravidlá a integrácie.

Na začiatku si ujasnite zodpovednosti. Kto spravuje údaje o zamestnancovi? Kto smie schváliť požadovaný prístup? Ktorý systém potvrdí vykonanie zmeny? Jasné odpovede uľahčia prácu zamestnancom a organizácii umožnia kontrolovať celý postup.

Pre vedúceho oddelenia je proces užitočný vtedy, keď žiadosť pomenuje známu službu a jasne ukáže jeho zodpovednosť. Pracovnú potrebu môže posúdiť bez spravovania midPointu. easyIGA ponúka zrozumiteľné žiadosti a kontroly prístupov k pracovným aplikáciám, zatiaľ čo midPoint vykonáva nastavené zmeny. Nasledujúce ilustračné scenáre sledujú presuny pracovníkov, zdieľané služby a prístupy dodávateľov medzi ľuďmi zodpovednými za rozhodnutia.

Začnite so službou a jej zodpovedným vlastníkom

Namiesto dlhého zoznamu aplikácií začnite jednou službou s jasným vlastníkom a opakujúcimi sa žiadosťami o prístup. Môže ísť o evidenciu spisov, interný register alebo spoločnú administratívnu službu. Na konkrétnom príklade sa jednoduchšie dohodnú pravidlá aj očakávaný výsledok.

Prístup opíšte slovami, ktoré jeho vlastník a používatelia poznajú. Zamestnanec musí rozumieť rozdielu medzi prezeraním spisu a správou celej aplikácie. Oprávnenie môže technicky zabezpečovať skupina v adresári, jej názov však zvyčajne nevysvetľuje, čo vedúci schvaľuje.

Zamestnanec si prístup vyberá v prehľadnom katalógu easyIGA. Nastavenie v pozadí určuje príslušnú rolu aj postup schvaľovania. Pri implementácii a neskorších zmenách aplikácie treba udržiavať popis v súlade s tým, čo oprávnenie skutočne umožňuje.

Vlastník služby určí, kto smie o jednotlivé roly žiadať a kto ich schvaľuje. Priamy nadriadený nemusí byť zároveň oprávnený rozhodovať o citlivom prístupe. V procese preto výslovne určte právomoci oboch.

Pri prvej ukážke použite bežnú žiadosť. Nech zamestnanec vysvetlí, čo si vybral, a schvaľovateľ, prečo rozhodol. Potom overte výsledok v aplikácii. Posúdite tak zrozumiteľnosť celého postupu aj jeho technické dokončenie, nielen vzhľad katalógu.

Riešte presuny zamestnancov bez hromadenia starých oprávnení

Zamestnanec môže prejsť do iného oddelenia alebo dočasne pomáhať pri inej agende. Potrebuje nové prístupy, ale časť pôvodných už nemá mať. Zmena zaradenia preto vyžaduje aj kontrolu oprávnení, nestačí upraviť údaj v účte.

midPoint zabezpečuje nastavený životný cyklus identít a vykonávanie zmien. Implementačný tím určí, ako zmeny rozhodujúceho zdroja ovplyvnia roly v pripojených systémoch. easyIGA nad midPointom poskytuje prostredie pre žiadosti a kontroly prístupov.

Pri presune spíšte prístupy pred zmenou aj po nej. Určte, ktoré zamestnanec dostane, ktoré mu z opodstatneného dôvodu zostanú a ktoré sa odoberú. Zohľadnite aj dočasný prístup počas odovzdávania práce. Dôvod výnimky musí byť dohľadateľný, aby nezávisel od pamäti účastníkov.

Postup predveďte na fiktívnych osobách. Ukážte zmenu v zdroji údajov, príslušné rozhodnutia a výsledky v aplikáciách. Pridanie nového oprávnenia nepotvrdzuje odobratie starého. Overte oboje a označte každý výsledok, ktorý sa zatiaľ nepodarilo potvrdiť.

Organizácia potrebuje aj postup na opravu oneskorených alebo nepresných zdrojových údajov. Ak je v nich uvedený nesprávny nadriadený, žiadosť môže dostať nesprávna osoba. Určte, ktorý tím údaj opraví a ako bude proces prístupu fungovať dovtedy. Zrozumiteľné rozhranie pomáha ľuďom pochopiť úlohu, nenahrádza však zodpovednosť za údaje.

Pri zdieľaných službách zachovajte kompetencie jednotlivých organizácií

Spoločná infraštruktúra môže znížiť opakovanú prácu, ale nepresúva všetky rozhodnutia na centrálne IT. Tú istú službu môže používať viac organizácií s rôznymi vlastníkmi a dôvodmi prístupu. Nastavenie musí ich zodpovednosti zachovať.

Rozlíšte spoločné údaje a údaje platné iba pre konkrétnu organizáciu. Jeden človek môže mať jeden záznam identity a viac organizačných zaradení. Pred použitím týchto vzťahov pri prideľovaní prístupov sa dohodnite, čo každý z nich znamená.

Pri skúšaní vyberte rolu vhodnú pre jedno oddelenie, ktorá nemá byť automaticky dostupná inému. Nechajte si predviesť, kto žiadosť uvidí a kto ju smie schváliť. Overujte konkrétnu navrhovanú verziu easyIGA; všeobecná podpora viacerých organizácií ešte nepotvrdzuje splnenie vašich pravidiel.

Špecialisti nech ukážu, ako roly a oprávnenia v midPointe vymedzujú dohodnutý rozsah. Schvaľovateľ ho má rozpoznať zo zrozumiteľného popisu žiadosti. Potrebujete overiť správnosť technického nastavenia aj to, či mu používatelia rozumejú.

Počítajte aj s reorganizáciou. Zlúčenie oddelení môže zmeniť zodpovednosti, hoci aplikácia zostáva rovnaká. Určte, kto aktualizuje popisy rolí a schvaľovateľov a ako sa zmeny otestujú. Údaje o organizácii treba priebežne udržiavať; jednorazové prevzatie organizačnej štruktúry nestačí.

Za prístupy externistov musí zodpovedať niekto z organizácie

Dodávateľ môže zabezpečovať podporu či projektových pracovníkov, nemá však sám rozhodovať o ich prístupe do systémov úradu. Organizácia potrebuje interného garanta, ktorý pozná ich úlohy a vie odôvodniť požadované oprávnenia.

Určte spoľahlivý zdroj údajov o externistoch. Každého človeka prepojte s dodávateľom a interným garantom a zabezpečte jeho jednoznačné rozlíšenie. Ak pravidlá vyžadujú osobnú zodpovednosť, spoločné prihlasovacie meno nenahrádza evidenciu jednotlivých používateľov.

V easyIGA oprávnení ľudia žiadajú o prístup a rozhodujú o ňom podľa nastavených pravidiel. Odkaz na zmluvu môže vysvetliť dôvod žiadosti, ale sám osebe neoprávňuje na prístup do všetkých systémov, s ktorými dodávateľ pracuje.

Vyskúšajte predĺženie spolupráce aj zmenu garanta. Externista môže pokračovať na projekte, kým jeho pôvodný garant prejde na inú pozíciu. Pri prístupe musí zostať jasné, kto zaň zodpovedá a kto ho bude pri ďalšej kontrole posudzovať.

Na konci zákazky overte odobratie prístupu priamo vo výsledku z aplikácie. Oznámenie dodávateľa o odchode ani schválenie zrušenia ešte nepotvrdzujú dokončenie. Určte, kto prípad sleduje a aký záznam potvrdí, že prístup skončil.

Kontrolujte prístupy podľa dostupných záznamov

Pri kontrole môže byť potrebné vysvetliť, prečo mal človek prístup v konkrétnom období. Dnešný zoznam oprávnení na to nestačí. Potrebujete aj súvisiace rozhodnutie a dostupnú históriu.

easyIGA zobrazuje prístupy na kontrolu s kontextom z pripojených zdrojov a zaznamenaných schválení. Posledné použitie, osoba, ktorá prístup udelila, a jeho schvaľovateľ môžu pomôcť pri rozhodovaní, no každý údaj má vlastný význam. Vlastník účtu nie je automaticky pôvodným udeľovateľom ani schvaľovateľom prístupu.

Pri žiadostiach podaných cez easyIGA sa zaznamenáva žiadateľ aj zachytené schvaľovacie kroky. Prístupy pridelené mimo easyIGA sú označené osobitne podľa údajov, ktoré zaznamenal midPoint. V starších záznamoch môže chýbať schvaľovateľ alebo autor pridelenia; chýbajúce údaje sú jasne označené.

Na ukážke porovnajte úplný záznam s prípadom, ktorému história chýba. Nech kontrolujúci vysvetlí, čo z každého vie vyvodiť. Niektoré oprávnenia sa používajú len občas: neprítomnosť nedávnej aktivity má viesť k posúdeniu potreby, nie k automatickému záveru, že prístup treba zrušiť.

Dohodnite postup pri nejasnostiach. Vlastník aplikácie môže potrebovať preveriť oprávnenie alebo získať nové rozhodnutie. Ak sa rozhodne prístup odobrať, sledujte aj výsledok zmeny. Kontrola tak vedie k reálnej úprave prístupov, nie iba k vyplnenému formuláru.

Odlišujte schválenie od vykonanej zmeny

Manažér môže schváliť žiadosť aj vtedy, keď aplikácia nie je dostupná alebo zmenu blokuje chyba nastavenia. Ak používateľ vidí iba schválenie, ľahko nadobudne dojem, že prístup už funguje. Stav musí odrážať aj technický výsledok.

easyIGA rozlišuje overený výsledok, čakanie, zlyhanie a neznámy stav. Zamestnanec aj správca tak vedia, či sa zmena dokončila. Možnosť overenia závisí od pripojeného systému a údajov, ktoré poskytuje.

Určte, kto rieši nedokončené zmeny. Žiadateľ musí vidieť, že na prístup ešte čaká. Správca potrebuje dohľadať dotknuté prepojenie a vlastník služby musí vedieť, komu odovzdať prípad, ktorý bráni práci.

V pilote skúste nedostupnú aplikáciu a následné obnovenie spojenia. Sledujte stav žiadosti aj konečný výsledok. Možnosť zopakovať operáciu nestačí: treba overiť, čo sa dokončilo a čo ešte vyžaduje zásah.

Rovnaký rozdiel zachovajte aj vo výkazoch. Počet schválení nie je počtom potvrdených zmien v aplikáciách. Samostatný prehľad nevyriešených prípadov pomôže tímu sústrediť sa na zostávajúcu prácu.

Technické nastavenia midPointu zostávajú pod vašou kontrolou

midPoint je open source platforma na správu a riadenie identít s verejnou dokumentáciou. Poskytuje základné mechanizmy pre nakonfigurované údaje o identite, roly a prideľovanie prístupov. easyIGA pridáva používateľské prostredie používané pre požiadavky, rozhodnutia a kontroly.

Toto rozdelenie úloh je dôležité pri existujúcom midPointe aj pri novom nasadení. Porovnávajte rovnaké aplikácie a postupy. Sledujte, čo sa zjednoduší ľuďom, ktorí rozhodujú, a čo naďalej zabezpečujú technickí špecialisti.

Pri technickom hodnotení preverte operácie v cieľových systémoch, zdrojové údaje a model rolí. Katalóg konektorov midPointu je východiskovým bodom, ale nezabezpečuje kompatibilitu s každou verziou alebo štruktúrou povolení aplikácie verejného sektora.

Pri starších systémoch venujte osobitnú pozornosť rozhraniam. Účty sa môžu meniť iným spôsobom, než akým systém poskytuje prehľad oprávnení. Zaznamenajte hranice integrácie a zostávajúce ručné úlohy. Známe obmedzenie sa dá zohľadniť; nepotvrdený predpoklad môže spôsobiť neúspech pri preberaní.

Spoločnosť Evolveum na stránke o verejnom sektore opisuje využitie midPointu vo verejnej správe. Pri ukážke easyIGA si vyberte konkrétnu pracovnú aplikáciu. Vedúci oddelenia posúdi žiadosť, tím zdieľaných služieb overí technický výsledok a zodpovedný kontrolujúci preskúma podklady. Takto si každý overí svoju časť práce.

Rozhodnite, kde budú údaje uložené

easyIGA sa štandardne prevádzkuje na vašej infraštruktúre v jurisdikcii, ktorú si zvolíte. Ak vhodné prostredie nemáte, na požiadanie je dostupná prevádzka v EÚ zabezpečovaná naším tímom.

Miesto prevádzky samo osebe nevyrieši správu údajov. Určte, ktoré osobné údaje proces potrebuje, kto ich uvidí a ako dlho sa budú uchovávať. Do systému nepreberajte všetky dostupné polia len preto, že ich zdroj ponúka. Každý údaj má mať jasný účel.

Pri obstarávaní a bezpečnostnom posúdení preverujte aj prevádzku: správcu služby, aktualizácie a podmienky podpory. Pri službe prevádzkovanej dodávateľom si vyžiadajte konkrétnu zmluvu. Úroveň služby ani pravidlá spracúvania údajov nemožno odvodiť iba z miesta hostingu.

Pri vlastnej prevádzke určte správcu a započítajte prácu interného tímu. Zálohovanie, skúšky obnovy a údržba konektorov patria k bežnej prevádzke. Dohodnite aj kontrolu zmien nastavenia skôr, než ovplyvnia používateľské prístupy.

Tieto otázky nevyžadujú zložitý verejný prísľub. Vyžadujú si konkrétny návrh na nasadenie s pripojenými zodpovednosťami. Použite stránku o nasadení a bezpečnostné informácie na prípravu diskusie a zaznamenajte podklady požadované schvaľovacím procesom vašej organizácie.

Pri obstarávaní porovnávajte rovnaký rozsah

Za softvérovú licenciu midPointu sa neplatí. Niektoré funkcie midPointu, napríklad simulácie, klastrovanie pre vysokú dostupnosť alebo iná databáza ako PostgreSQL, vyžadujú predplatné od spoločnosti Evolveum. Zabezpečíme vám ho a zahrnieme do cenovej ponuky. easyIGA je platená nadstavba s ročným predplatným podľa počtu spravovaných identít a nasadením v dohodnutom rozsahu. Aktuálne ceny a funkcie zahrnuté v zmluve si potvrďte písomne.

Pri verejnom obstarávaní používajte pri všetkých ponukách rovnaký rozsah aplikácií a identít. Zamestnanci, externisti a servisné účty môžu vyžadovať odlišné postupy. Definícia spravovanej identity musí byť jednoznačná aj pre budúci rast.

V ponuke má byť jasné, kto zabezpečuje integráciu a migráciu, ktoré systémy a operácie sú zahrnuté a akú prípravu údajov musí urobiť organizácia. Dohodnite aj spôsob overenia pri prevzatí. Nasadenie zahrnuté v cene neznamená neobmedzenú migráciu ani rovnaký termín bez ohľadu na kvalitu údajov.

Okrem softvéru porovnajte podporu a prevádzku. Organizácia s vlastným tímom midPoint bude prácu rozdeľovať inak než organizácia zavádzajúca novú službu. Tento rozdiel zahrňte do nákladov; nepredpokladajte rovnakú záťaž interného tímu pri každej ponuke.

Ceny uvádzajú aktuálny model a porovnanie s midPointom vysvetľuje rozdelenie zodpovedností. Porovnávajte aktuálne písomné ponuky a vlastné údaje o objeme práce. Rozhodnutie tak môžete podložiť konkrétnym rozsahom a nákladmi namiesto neoverených sľubov o úsporách.

Oddeľte prístupy zamestnancov od služieb pre občanov

Verejný portál môže overovať totožnosť obyvateľov, zatiaľ čo interná aplikácia určuje oprávnenia zamestnancov pri spracovaní podania. Ide o odlišné úlohy. Táto stránka sa venuje prístupom zamestnancov a externistov; netvrdí, že easyIGA poskytuje národnú službu elektronickej identity.

Pri aplikácii na spracovanie podaní nech vlastník služby opíše rolu zamestnanca a údaje, ku ktorým potrebuje prístup. IAM tím potom posúdi jej technické nastavenie. Možnosť občana odoslať formulár nijako neurčuje oprávnenia zamestnanca spravovať službu.

Toto rozlíšenie zachovajte aj pri obstarávaní. Uveďte počet spravovaných identít a požadované operácie, aby ste IGA pre zamestnancov neporovnávali s odlišnou službou overovania zákazníkov. Ak sa systémy prepájajú, zdokumentujte ich rozhranie a samostatne ho otestujte.

Pred rozšírením otestujte pracovný postup verejnej služby

Pilot má overiť konkrétnu úlohu. Vyberte rolu, zodpovedných ľudí a reprezentatívnu aplikáciu. Začnite fiktívnymi údajmi, aby na ukážku nebolo potrebné sprístupniť skutočné osobné údaje ani obsah spisov.

Zahrňte presun medzi tímami aj prípad externistu. Pridajte žiadosť bez určeného zodpovedného vlastníka a operáciu, ktorej výsledok nemožno hneď potvrdiť. Ukáže sa, kde treba spresniť pravidlá, opraviť zdrojové údaje alebo odovzdať úlohu prevádzkovému tímu.

Nech používatelia vysvetlia, čo na obrazovke vidia, a špecialisti predvedú nastavenie aj riešenie výnimky. Zaznamenajte oba výsledky. Technicky správny postup môže byť pre manažéra nezrozumiteľný; prehľadná žiadosť sa zasa nemusí dať vykonať. Pri hodnotení potrebujete odhaliť oboje.

Pri prevzatí zaznamenajte verziu a rozsah, ktorý ste skutočne overili. Plánované funkcie odlíšte od dostupných. Ku každej chýbajúcej informácii či nedokončenému overeniu určte ďalší krok. Pri rozširovaní potom budete vedieť, na čo sa môžete spoľahnúť.

Dohodnite si 30-minútovú ukážku a prejdite si s naším tímom aktuálny postup v easyIGA. Pripravte si rozhodnutie o prístupe, ktoré chcete objasniť. Pomôže určiť používateľské aj technické otázky pre hodnotenie s jasným rozsahom.