Wartośćrozwiązań Identity&Access Governance dla sektora bankowego

Transkrypt

1 Wartośćrozwiązań Identity&Access Governance dla sektora bankowego

2 Podstawowe pytania Czy wieszkto ma dzisiaj dostęp do zasobów w Twojej organizacji? Czy te dostępy sąwłaściwe? Czy potrafiszto udowodnić? 2

3 Ciągła zewnętrzna presja spełniania kolejnych Regulacji Sarbanes-Oxley (SOX) BASEL II Solvency II ISO27001 HIPAA GLBA PCI FISMA Canada s PIPEDA J-SOX Japan PIP EU DPD NERC Integralność informacji Zapewnienie rzetelnych informacji finansowych Ocena adekwatności kontroli wewnętrznej Ochrona prywatności Ustanowienie administracyjnych, fizycznych i technicznych zabezpieczeń chroniących dane Zapobieganie nadużyciom Aktywna ochrona danych o klientach Ochrona infrastruktury Ochrona urządzeń IT, niezbędnych do wiarygodności systemów krytycznych Zarządzanie ryzykiem Skupienie na kontroli wewnętrznej w oparciu o ryzyko biznesowe Obniżenie ryzyka operacyjnego 3

4 Adresowane obszary Rekomendacji D Kontrola dostępu Mechanizmy kontroli dostępu logicznego Mechanizmy kontroli dostępu fizycznego Bezpieczeństwo dostępu do danych Weryfikacja zgodności z obowiązującymi regułami Identyfikacja i szacowanie ryzyka w zakresie bezpieczeństwa dostępów Klasyfikacja informacji i systemów informatycznych Określenie wag ryzyka 4

5 IdentityManagement czy Identity& Access Governance? As a security and risk leader, if you only have one dollar to spend on identity management, spend it on Identity Access Governance Andras Cser, Forrester August

6 Główne cele Zarządzania Tożsamością Zmiana priorytetów dla IdM Dzisiaj IdM to nie tylko kwestia technologii to potrzeba biznesu Potrzeby napędzane są przez biznes, audyt lub ryzyko Biznes oczekuje aktywnego udziału w procesach zarządzania cyklem życia tożsamości Szeroka widoczność systemów jest wymagana do spełnienia wymogów bezpieczeństwa i zgodności z regulacjami Głębszy wgląd w szerszy zestaw udostępnianych aplikacji Biznesowa interpretacja uprawnień IT Ewolucja od ręcznego wykrywania do prewencyjnego zarządzania ryzykiem Potrzeba zdolności do identyfikacji istniejących problemów jak również zapobieganie powstawaniu nowych 6

7 Właściwe podejście do Zarządzania Tożsamością Zapewnienie widocznej wartości zarówno dla biznesu jak i IT oraz sprzyjającej współpracy między nimi. SailPoint jest pionierem takiego podejścia do IAM. Potrzeby Biznesowe Wygodny dostęp do aplikacji Dostęp z dowolnego urządzenia Przyjazne procesy IAM Produktywność nowych użytkowników Niskie obciążenie przez reguły compliance Potrzeby IT/Security Widoczność i kontrola dostępów Zredukowane ryzyko bezpieczeństwa i Compliance Zwinność w zmieniającym się IT Ograniczanie kosztów 7

8 Główne cele dla systemów do Zarządzania Tożsamością SailPoint IdentityIQ Funkcjonalności biznesowe Certyfikacja dostępów Analizy i raportowanie Polityki bezpieczeństwa Modelowanie ról i ryzyka Wnioski o dostępy Workflow Automatyczny Cykl życia Automatyzacja zmian Provisioning Broker Rodzaje integracji Integracja Provisioningu Zlecenia dla Admina Automatyczne konektory Manualne zadania: Service Desk, Obecny Provisioning Samoobsługa i Helpdesk Workflow 8

9 Metody integracji z heterogenicznymi środowiskami IAG Krok 4 Automatyzacja Provisioning Uruchomienie automatycznego Provisioning u do systemów docelowych Czas wdrożenia Krok 2 Krok 3 Wdrożenie procesów biznesowych Budowa podstawy do badania kontroli zgodności Wnioski o dostępy, usługi selfservice np.password management i inne procesy biznesowe Definicja i implementacja modelu zgodności oraz kontroli (role, polityki bezpieczeństwa, ryzyko) Krok 1 Szybka weryfikacja bieżącej zgodności Zrozumienie aktualnego stanu dostępów i określenie linii bazowej Ilość zintegrowanych systemów IdM 9

10 Wszyscy pracownicy sąidentyczni bez kontroli ryzyka 10

11 Zarządzanie Ryzykiem Model ryzyka pomaga identyfikować i eliminować ryzyko w przyznawanych dostępach Dynamiczny wzrost ryzyka dla niepotwierdzonych dostępów Dynamiczne obniżenie ryzyka dla zaakceptowanych dostępów Szybkie korzyści Szybka budowa Repozytorium - wykorzystanie istniejącej infrastruktury IdM Szybka integracja z nowymi systemami Pełny Provisioning może być włączony od zaraz Osiągnięcie Compliance z minimalnym angażowaniem biznesu Inteligentne wnioskowanie o właściwe dostępy Koncentracja na biznesie 11

12 Pomiar ryzyka pozwala klasyfikowaćzagrożenia Minimalna kontrola Standardowa kontrola Wysoka kontrola 12

13 Mechanizmy kontrolne Certyfikacja dostępów Jak udowodnić poprawność aktualnych dostępów? Quarterly Access Certifications Czy to jedyna skuteczna metoda? 13

14 SailPoint ComplianceManager Certyfikacja dostępów 14

15 Modelowanie ról (1) 1) Top Down Analiza populacji i automatyczne wykrywanie Groupy Robocze / Reguły przypisywania / Role Biznesowe 15

16 Modelowanie ról (2) 2) Bottom Up Wzorce uprawnień, Grupowanie i Analiza, Korelacja Definiowanie uprawnień, Profilowanie Technicznych Ról IT 16

17 Zarządzanie rolami Definicja roli wymaga certyfikacji! Czy definicja ról podlega przeglądowi w Twojej organizacji? Na co aktualnie pozwalają zdefiniowane role? Czy zmiana definicji roli podlega akceptacji? Rola jest jak pudełko. Czy zaglądasz do niego by upewnić się co jest w środku? 17

18 Elastyczne raporty Wiele gotowych szablonów Możliwość zmiany danych i ich układu Indywidualna konfiguracja Zaawansowane możliwości Opcjonalne podpisy Kontrola zakresu danych Wsparcie dla zewnętrznych narzędzi raportowych Możliwość bezpośredniego dostępu do danych w repozytorium, zamiast kopii bazy Udokumentowany model danych Możliwość użycia zewnętrznych narzędzi raportowych 18

19 Proces wnioskowania o dostępy Zunifikowany przebieg procesu wnioskowania o dostępy w organizacji Wniosek o dostęp Weryfikacja Polityki dostępu Akceptacje Realizacja wniosku Broker SailPoint Provisionin g 3 rd Party Provisionin g Help Desk Uniwersalność, kontrola reguł, bezpieczeństwo, elastyczność integracji z systemami 19

20 Zunifikowany model IdentityAccess Governance Spójne polityki i kontrola w całym zakresie usług IAM pozwala obniżyć ryzyko niebezpieczeństwa i Compliance Jeden Model Ról Jeden Model Polityk Jedno Repozytorium tożsamości Jeden Model ryzyka Jeden Silnik Workflow 20

21 Co oznacza dzisiaj IAM Suite? Mniej komponentów, to mniej problemów. SailPoint IAM Suite IAM Pseudo Suites 1 Interfejs użytkownika Różne interfejsy użytkownika Zintegrowana aplikacja Wiele osobnych aplikacji Pojedyncze Repozytorium 1x Platforma systemowa 1x Platforma sprzętowa Zdublowane Repozytoria 3x Platforma systemowa 3X Platforma sprzętowa 21

22 Funkcjonalności systemu SailPoint IdentityIQ Compliance Management Policy Model Resource Connectors SailPoint IAM Solutions Access Request & Provisioning Password Management Single Sign-On Unified Governance Platform Role Model Provisioning Integration Identity Warehouse Risk Model Provisioning Broker Open Connectivity Foundation Service Desk Integration Identity Analytics Workflow Security & Activity Spójne i przyjazne dla użytkownika biznesowego interfejsy do zarządzania Wspólny model zarządzania wykorzystany we wszystkich procesach biznesowych tożsamości Wiele metod realizacji zmian w zintegrowanych zasobach IT Cloud SaaS 22

23 SailPoint Access Management Solution dlacloud, WebiMobile Identity Provider (IdP) Jedno rozwiązanie dla cloud Federated SSO, BYOA SSO i wewnętrznego Web SSO Cloud Internal Kontrola governance dla wewnętrznych aplikacji Strong Authentication End User Sign-On Reverse Proxy Zarządzanie sesjami Web SSO w pełni zintegrowane z Provisioningiem i IAG 23

24 SailPoint AccessIQ zintegrowane mobilne SSO Aplikacje webowe Aplikacje mobilne Federated SSO + bezpieczne hasło Autentykacja oparta na Politykach Federated SSO ( SAML ) OAuth SDK SSO dla dedykowanych aplikacji Dostępne na Android i ios 24

25 Sprawdzona metodologia szybkiego wdrożenia SailPoint Kluczowe korzyści Szybkie wdrożenie i osiągnięcie korzyści biznesowych Zmniejszenie złożoności wdrożenia Szerszy zasięg integrowanych systemów Konsekwentne stosowanie polityk Zarządzanie operacyjne Określenie bieżącego stanu Kto posiada dostępy? Czy te dostępy są właściwe? Szybka integracja przez konektory Governance Certyfikacja potwierdza poprawność bieżących dostępów Definicja Pożądanego modelu Modelowanie ról Definicja polityk dostępu Konfiguracja modelu ryzyka Określenie modelu zarządzania (polityki, role, ryzyko). Definicja bazy do detekcyjnej i proaktywnej kontroli zgodności polityk bezpieczeństwa Automatyzacja cyklu życia tożsamości Implementacja last-mile Udostępnienie samodzielnego wnioskowania Usprawnienie operacji IT przez automatyzację procesu zmiany dla tożsamości 25

26 Rozwiązania CompFort Meridian siłątwojego biznesu