Zarządzanie tożsamością i uprawnieniami

Wielkość: px

Rozpocząć pokaz od strony:

Download "Zarządzanie tożsamością i uprawnieniami"

Kamila Sowa
6 lat temu
Przeglądów:

1 Zarządzanie tożsamością i uprawnieniami Spotkanie otwarte IIA Polska 18 kwietnia 2012

2 Zarządzanie tożsamością? Identity Management (IdM) zarządzanie tożsamością Identity and Access Management (IdAM, IAM) zarządzanie tożsamością i uprawnieniami - Identity and Access Governance (IAG) Całość procesów i narzędzi służących do zarządzania dostępem użytkowników - pracowników, - partnerów biznesowych, - aplikacji/komputerów do chronionych zasobów/aktywów informacyjnych - aplikacji, - narzędzi informatycznych, - stron internetowych, - danych w tym single sign-on (SSO) 1

3 Elementy systemu zarządzania tożsamością Ludzie i organizacja Organizacja i nadzór nad zarządzaniem dostępami do zasobów IT Polityki i standardy Regulacje określające ogólne zasady związane z bezpieczeństwem w organizacji Procesy i procedury Sposób nadawania/zmiany/odbierania uprawnień do zasobów Narzędzia i technologia Wspomaganie i automatyzacja procesów zarządzania uprawnieniami Metryki i monitorowanie Mechanizmy pozwalające na sprawdzanie/ocenę, monitorowanie i raportowanie w obszarze zarządzania tożsamością 2

4 Niezablokowane konta i nadmierne uprawnienia Nieefektywne procesy zamykania kont/odbierania uprawnień - nieformalna komunikacja - tylko okresowa komunikacja - poprawność i kompletność - uprawnienia kumulowane w trakcie pracy - opóźnienia Praktyka nadawania uprawnień takich jak XYZ Brak wsparcia firmowych zasad rozdzielności obowiązków Pracochłonne i podatne na błędy utrzymywanie zestawień uprawnień Trudne technicznie ustalenie faktycznych uprawnień Często pogorszenie sytuacji po redukcji zatrudnienia 3

5 Konta i uprawnienia nieuzasadnione Konta założone/uprawnienia nadane niezgodnie z zasadami - zaszłość historyczna (zaniedbanie) - wdrożenie (dostawcy, konta testowe, key users ) - przekroczenie uprawnień przez administratora (niedbałość/fraud) Wysokie ryzyko - potencjalnie niezauważony i niekontrolowany dostęp do zasobów - kradzież danych, oszustwa lub gorzej 4

6 Użytkownicy uprzywilejowani i konta techniczne Arystokracja wśród kont użytkowników - konta wbudowane (generyczne) - czynności administracyjne (także zarządzanie uprawnieniami) - dostęp do szerokiego zakresu/wszystkich danych - uprawnienia, z którymi systemy wykonują zadania wsadowe (import danych, zamknięcie okresu, księgowania automatyczne) Wysokie ryzyko - praktyka współdzielenia haseł pomiędzy wieloma użytkownikami - notowanie haseł (bezpiecznie lub nie) - trudne śledzenie aktywności, monitoring wykorzystania - niemożliwe/niebezpieczne nałożenie niektórych wymagań na hasła 5

7 Recertyfikacja Proces przeglądu kont użytkowników i ich uprawnień w (wybranych) systemach oraz usuwania na tej podstawie nieprawidłowości Zebranie informacji o uprawnieniach z systemów (przez IT) Podział na zestawienia właściwe dla poszczególnych menedżerów Czytelność zestawień dla menedżerów, definicja ról Czasochłonność rzetelnej weryfikacji (podpis ) Tworzenie wniosków o zmiany i implementacja zmian w systemach - kompletność, poprawność, weryfikacja Niski poziom automatyzacji (XLS, papier) Frustracja 6

8 Narzędzia informatyczne do IdM/IAG: recertyfikacja Repozytorium danych o tożsamościach i uprawnieniach - ludzie i systemy informatyczne - organizacje o skomplikowanej strukturze Automatyzacja zbierania informacji o uprawieniach z systemów Prezentacja aktualnego stanu uprawnień - agregacja per tożsamość, menedżer Workflow recertyfikacji Automatyzacja - wygodny interfejs użytkownika - zastąpienie żmudnej pracy - redukcja błędów 7

9 Architektura referencyjna - recertyfikacja W pełni zautomatyzowane raportowanie dla potrzeb zgodności i monitoringu Cykliczna recertyfikacja Dane o uprawnieniach (per użytkownik - nie per system) App 1 Raporty z wyjątkami App 2 Dane o uprawnieniach w centralnym repozytorium Baza uprawnień Raportowanie App 3 Struktura organizacyjna Dyrektor App 4 Baza tożsamości Menadżer 1 Menadźer 2 Pracownik 1 Pracownik 2 Pracownik 3 Pracownik 1 Pracownik 2 Wnioski o usunięcie/zmianę uprawnień przetworzone przez Administratorów Bezpieczeństwa Recertyfikacja przeprowadzana przez bezpośrednich przełożonych 8

10 Procesy IdM a IT Postrzegany właściciel procesów IdM: IT (bezpieczeństwo, audyt) Procesy zdefiniowane wielowariantowo, istotny element ludzki Biznes widzi procesy niejednolite i nieefektywne - niski poziom satysfakcji klienta wewnętrznego - poziomy usług? ITIL? Six sigma? SOx? compliance? Proces biznesowy wspierany przez Zasoby Nadanie nowego dostępu Tymczasowy dostęp dla zewnętrznych konsultantów Przegląd uprawnień Zatwierdzenie uprawnień/roli Reakcja na naruszenie polityki Sytuacje nadzwyczajne Portal Help Desk Nadawanie dostępu Wnioski papierowe Pracownicy IT 9

11 Narzędzia informatyczne do IdM/IAG: automatyzacja Workflow nadawania uprawnień - do helpdesku (reczny provisioning) - do systemu (automatyczny provisioning) Automatyzacja - wygodny interfejs użytkownika - zastąpienie żmudnej pracy - redukcja błędów i konieczności weryfikacji poprawności 10

12 Architektura referencyjna automatyzacja W pełni zautomatyzowane raportowanie dla potrzeb zgodności i monitoringu Cykliczna recertyfikacja Dane o uprawnieniach (per użytkownik - nie per system) Stary system 1 Raporty z wyjątkami Stary system 2 Dane o uprawnieniach w centralnym repozytorium Baza uprawnień Raportowanie App 3 Definiowanie ról Struktura organizacyjna Dyrektor App 4 Automatyzowane nadawanie uprawnień Struktura nadawania uprawnień Nadawanie uprawnień na podstawie ról Baza tożsamości Menadżer 1 Menadźer 2 Pracownik 1 Pracownik 2 Pracownik 3 Pracownik 1 Pracownik 2 Nadawanie uprawnień przez Administratorów Nadawanie uprawnień w starych systemach Recertyfikacja przeprowadzana przez bezpośrednich przełożonych 11

13 Narzędzia informatyczne do IdM/IAG: optymalizacja uprawnień Wspomaganie analizy/budowy ról - różne poziomy techniczne systemowe organizacyjne - prezentacja i interfejs użytkownika - role mining Wspomaganie zapewnienia rozdzielności obowiązków w systemach - projektowanie ról - nadawanie uprawnień - recertyfikacja 12

14 Dziękuję za uwagę Dane kontaktowe Jeremi Gryka, Starszy Menedżer PricewaterhouseCoopers Sp. z o. o. tel.: kom.: jeremi.gryka@pl.pwc.com 2012 PricewaterhouseCoopers. All rights reserved. PricewaterhouseCoopers refers to the network of member firms of PricewaterhouseCoopers International Limited, each of which is a separate and independent legal entity. *connectedthinking is a trademark of PricewaterhouseCoopers.

Podobne dokumenty

Projekt nowego rozporządzenia w sprawie wystawiania oraz przesyłania faktur w formie elektronicznej przygotowany przez PricewaterhouseCoopers

Projekt nowego rozporządzenia w sprawie wystawiania oraz przesyłania faktur w formie elektronicznej przygotowany przez Charakterystyka proponowanych zmian usunięcie głównych, dotychczasowych barier hamujących