Выбор и внедрение IdM/IGA-системы

Многие компании, особенно крупные, стремятся автоматизировать управление учетными записями и правами доступа, при этом заботясь об информационной безопасности. Чтобы достичь целей, можно пойти по пути внедрения IGA-системы (Identity Governance and Administration) — решения, которое позволит минимизировать риски, связанные с избыточными правами и компрометацией УЗ. Также с помощью системы можно оптимизировать и снизить затраты на управление доступом, навести порядок в корпоративных информационных системах. Чтобы оценить все эти преимущества, необходимо правильно интегрировать решение в ИТ-инфраструктуру. В статье рассказываем, как происходит внедрение IGA, что нужно учесть.

IGA-система: что это, чем она помогает организациям

IGA-система — решение, которое позволит обеспечить соблюдение внутренних регламентов в части доступа к объектам корпоративных информационных систем. Оно интегрируется с кадровой базой (или несколькими кадровыми источниками), откуда получает актуальные сведения о сотрудниках и их текущих полномочиях и информационными системами (ИС) компании, в которых требуется автоматизированное управление доступом.

Основные задачи системы:

• Управление полным жизненным циклом (от создания до момента блокировки) всех учетных записей в ИС компании.
• Выявление и контроль SOD-конфликтов — ситуаций, когда работник получает права доступа, несовместимые с точки зрения информационной безопасности.
• Управление доступом с опорой на ролевой подход, предполагающий создание ролей пользователей с готовыми наборами полномочий и назначение их сотрудникам с одинаковыми обязанностями.
• Оптимизация работы с заявками на назначение дополнительных полномочий для работы в корпоративных ИС, управление маршрутами согласования.
• Автоматизированная оценка рисков для прав доступа и учетных записей, которым назначаются эти права. IGA-система позволит определить, насколько рискованно присваивать те или иные полномочия.
• Хранение сведений обо всех назначениях прав доступа (постоянных и временных), формирование подробных отчетов для службы ИБ и руководителей подразделений.
• Обеспечение соблюдения требований парольной политики, управление паролями от корпоративных аккаунтов.

Внедрение IGA-решения также оптимизирует процессы сертификации и ресертификации, аттестации доступа. Система поможет проверить релевантность полномочий, которые были назначены до ее использования и тех, что присваиваются при смене определенных условий, например, при переформировании подразделений или переходе сотрудников на другие должности. Благодаря IGA-решению процессы валидации прав доступа осуществляются без отклонений от внутренних регламентов.

Результаты внедрения IGA-системы Solar inRights

Solar inRights — современная IGA-система, которая будет полезна руководству компании, ИТ- и ИБ-службам:

• Преимущества для бизнес-подразделения: сокращение трудозатрат персонала, сохранение контроля над доступом к информационным ресурсам при интеграции новых систем и сервисов, быстрая адаптация процессов назначения полномочий при изменениях организационной структуры компании.
• Преимущества для ИБ: снижение количества инцидентов, возникающих из-за неправильного назначения полномочий, контроль соблюдения внутренних регламентов и законодательных требований, полное понимание текущей картины доступа.
• Преимущества для ИТ: автоматизация процессов управления доступом, единое решение вместо лоскутной автоматизации, облегченное проведение аудита за счет предоставления всех необходимых данных.

Как правильно подготовиться к внедрению IGA-системы

Чтобы интеграция решения была безболезненной для бизнес-процессов, компания должна предпринять следующие шаги:

• Проанализировать все источники кадровых данных. Особенно это касается организации с филиальной сетью, где у каждого подразделения своя кадровая база. Необходимо установить, какая информация о сотрудниках хранится в системах кадрового учета, являются ли эти данные полными и актуальными. Важно проверить, чтобы были зафиксированы все изменения в организационной структуре, переводы по должности, увольнения (в том числе и технические, когда сотрудника увольняют с одной должности и принимают на другую), отпуска.
• Оценить готовность ИС к внедрению IGA, проанализировать текущие способы и процессы назначения прав доступа в системах, которые будут подключены к IGA-решению. Также необходимо получить полное представление о текущих полномочиях сотрудников в этих ИС.
• Провести организационные мероприятия для персонала, который будет задействован в подготовке к внедрению IGA-решения. Необходимо донести основные принципы работы системы и объяснить, как она работает, чем будет полезна.

Резюмируем — при подготовке к внедрению следует привести в порядок механизмы кадрового учета, стандартизировать формат занесения сведений в кадровые базы. Это необходимо, чтобы IGA-система получала полную и корректную информацию об обязанностях сотрудников, актуальных полномочиях. Также следует оценить используемые механизмы назначения прав доступа в корпоративных ИС и подготовить техническое задание на IGA-решение.

 

Как в целом происходит внедрение IGA

Первый и очень важный этап внедрения — разработка технического задания и определение основных процессов, которые необходимо автоматизировать с помощью IGA-системы. Нужно обязательно учесть и исправить все расхождения между регламентной документацией и фактическим положением дел.

Следующие этапы:

1. Выбор нескольких систем, которые будут первыми подключены к IGA-решению.
2. Разработка ролевых моделей управления доступом в ИС, построение ролевой матрицы отдельно в каждой системе. После внедрения IGA-платформы можно будет масштабировать матрицу на весь ИТ-ландшафт. 
3. Разработка интерфейсов взаимодействия с ИС для эффективного управления доступом.
4. Интеграция IGA-системы с кадровыми источниками.
5. Настройка процессов согласования полномочий. 
6. Создание группы контроля, куда войдут представители бизнес-подразделения, ИБ и ИТ-отделов.

Все эти работы должны выполняться так, чтобы основные бизнес-процессы не останавливались. Для этого нужно заранее подготовить необходимые ресурсы.

Внедрение — непростой и долгий процесс, в котором будут задействованы представители многих подразделений организации. Если на каком-то этапе возникают сложности, лучше привлекать сторонних консультантов.