Настройка IGA-системы

Решение по управлению доступом IGA (Identity Governance & Administration), например, такое, как наша система Solar inRights управляет учётными записями пользователей и обеспечивает правильный, санкционированный доступ к ресурсам организации. Единая централизованная система помогает исполнять утверждённые в компании политики и процедуры по управлению доступом к ресурсам: кто может получить доступ, к какому ресурсу, в каком объёме, на какой срок и т.п. Является ли этот доступ легитимным или следует считать его нарушением правил. С ростом компании, с увеличением количества сотрудников до нескольких десятков тысяч, масштабируется и система по управлению доступом.

IGA система Solar inRights автоматизирует и упрощает следующие процессы:

• выдача базовых прав доступа для определённых должностей и подразделений,

• оформление и согласование заявок на предоставление дополнительных полномочий

• управление жизненным циклом учётных записей

• сертификация и ресертификация доступа

• подготовка отчётности

IGA-система обнаруживает все изменения в правах доступа, происходящие в конечных системах и позволяет настроить средства реагирования на такие изменения/нарушения. Также такое решения не оставит без внимания возникающие конфликты полномочий, т.н. Sod-конфликты (от англ. Segregation of Duties).

Всё это позволяет снижать риски информационной безопасности и повышать эффективность работы компании.

Инженеры и разработчики решения Solar inRights на протяжении существования нашего ПО стремились сделать решение удобным, простым и дружелюбным в настройке и эксплуатации. И по сей день они продолжают работу в этом направлении.

После окончания инженерных работ по внедрению системы: разработки и подключения коннекторов, проведения интеграционного тестирования, загрузке, обработке и связыванию первоначальных данных, проведения испытаний и соответствующих доработок, нужно переходить к настройке бизнес-процессов.

Как правило, первоначальная настройка бизнес-процессов проводится совместно с участием внутренних сотрудников и команды внедрения. Проводится необходимое обучение. И целью является то, что в дальнейшем команда заказчика, эксплуатирующая данную систему, могла сама, без особого труда и внутренних инженерных работ настраивать различные режимы работы системы, которые будут соответствовать политикам, утвержденным в компании. А главное будет возможность быстро и эффективно менять настройки системы, в соответствии с быстро меняющимися сценариями бизнес-процессов организации.

В зависимости от целей, которые заложены в проект внедрения системы по автоматизации процессов управления доступом можно настраивать следующие бизнес-процессы:

• настройка сценариев предоставления прав новым сотрудникам, с учётом ограничения доступа к конфиденциальным ресурсам (требующим дополнительного утверждения/валидации)

• настройка сценариев проведения изменений в правах доступа, в связи с изменением должности работника

• настройка блокировки учётных записей и аннулирования прав доступа, когда это становится неактуальным

• создание и изменение ролевой модели доступа

• создание и поддержание в актуальном состоянии маршрутов согласования

• оперативная корректировка базовых наборов прав

• создание и изменение каталогов ролей

• создание и ведение матрицы конфликтующих полномочий (SoD) и настройка сценариев реагирования на возникающие конфликты

• настройка сценариев реагирования на нарушения и отклонения

• настройка соблюдения сроков SLA по рассмотрению/согласованию заявок, своевременная эскалация, либо другие заданные сценарии

• настройка любых уведомлений по проведённым изменениям в системе

• настройка режима контроля автоматических операций и разные сценарии при нарушении пороговых значений

• добавление новых информационных систем и отключение неактуальных

• возможность внесения изменений в орг. структуру, экспортированную из кадрового источника, когда требуется обеспечить управление не только по организационной, но и по функциональной модели

• настройка параметров плановой ресертификации прав доступа

• настройка получения консолидированной отчётности по параметрам, хранящимся в системе

• настройка парольной политики

• и другое

Возьмём, к примеру, настройку маршрутов согласования. Как пользователь системы, наделённый такими правами (руководитель или администратор), сможет быстро в графическом конструкторе решить эту задачу? Посмотрим на шаги, которые должен сделать пользователь, при настройке этого процесса:

1. В разделе «Маршруты согласования» пользователь нажимает кнопку "+Добавить маршрут" и открывается Форма "Новый маршрут"

2. Пользователь указывает название и описание для маршрута.

3. Пользователь выбирает типы заявки, для которых будет применяться маршрут.

4. Пользователь добавляет условия применения маршрута: например, если выбрана для запроса соответствующая роль и открывается Форма выбора ролей из каталога

5. Пользователь выбирает роли из списка и нажимает "Готово" и данные отображаются в блоке "Условия применения".

6. Пользователь нажимает "Добавить шаг", появляется блок ввода параметров шага.

7. Пользователь указывает название шага, например, Согласование у руководителя.

8. Пользователь выбирает согласующего: выбирает значение селектора "Руководитель бенефициара" и выбранный тип согласующего отобразился в параметрах шага.
   Аналогично добавляется необходимо количество шагов согласования. Также по каждому шагу можно настроить тайм-аут (для исполнения SLA), по истечении которого настроить сценарий реагирования (эскалация, авто-согласование или др.)

9. Пользователь нажимает кнопку "Сохранить" на форме.

10. Выполняется создание нового маршрута в системе и Новый маршрут отображается в списке маршрутов.

Рынок решений по управлению доступом продолжает развиваться и большинство поставщиков предлагают довольно зрелые решения для выполнения основных функций управления и контроля.

Но мы рекомендуем вам, уважаемые читатели, чтобы то решение, на котором вы остановите свой выбор было легко настраиваемым, чтобы оно включало готовые рабочие процессы для большинства сценариев, с которыми сталкивается ваша компания и которые вам могут понадобиться. Необходимо, чтобы платформа обладала гибкостью, встроенной в решение, и не нужно было бы переписывать программный код, для реализации каких-либо политик и процедур, например, по созданию и сопровождению ролевой модели, по настройке тех же маршрутов согласования или по предотвращению SoD-конфликтов.

Также важным преимуществом работы IGA-системы должна быть эффективность. Поэтому стоит избегать решений, в настройке которых может разобраться только «продвинутый» ИТ-специалист. Например, имеет смысл разрешать ответственным бизнес-руководителям подключать вручную новых пользователей, которые работают по договору подряда в интересах определённого подразделения на временный период. Т.е. развитое решение IGA должно обладать функциями делегирования полномочий и делегирования администрирования, при этом сохраняя полный контроль над событиями и записывая, и сохраняя всю историю происходящего.