Управление учетными записями и доступом

Как правило, множество используемых на предприятии информационных систем (ИС) имеют собственные средства идентификации пользователей и управления их правами. Даже, если ИС использует в качестве хранилища учетных данных внешние LDAP-совместимые каталоги или службы Microsoft AD, в подавляющем большинстве случаев, управление доступом пользователей осуществляется на уровне самих целевых ИС. Такая архитектура вынуждает администрировать учетные записи и роли для каждой из систем отдельно, что трудоемко и всегда приводит к наличию ошибок и возникновению уязвимостей, снижению общего уровня информационной безопасности (ИБ). Так, количество успешных атак на корпоративные ИС повышается в 4-6 раз именно несовершенством процессов, связанных с управлением пользователями и их правами.

Наиболее типичные проблемы, возникающие при децентрализации систем идентификации, аутентификации и авторизации:

• Необходимость вручную распространять данные о пользователях и их правах во все целевые ИС, что трудоемко и финансово затратно.
• Невозможность сопоставить роли и права пользователей в ряде информационных систем из-за различий в алгоритмах их распределения, что вызывает предоставление избыточных или недостаточных прав отдельных пользователям.
• Существенная задержка и ошибки при обновлении учетных данных и прав пользователей из-за человеческого фактора и плохого взаимодействия с кадровыми службами:
  — При появлении новых сотрудников требуется время на заведение их данных во все целевые ИС.
  — При изменении должностных полномочий или функциональных обязанностей требуется перенастройка прав, что часто происходит долго и с ошибками.
  — При увольнении сотрудников требуется удаление их учетных записей, что часто не выполняется.
• Использование большего количества пользовательских лицензий на ПО, чем то необходимо, из-за наличия «мертвых душ» в ИС, что вызывает лишние затраты.

Весь комплекс этих задач решается внедрением централизованной системы управления учетными записями и доступом пользователей (Identity Management System – IDM).

Функциональность такого решения довольно широка и включает в себя следующие возможности:

1. Организация единого хранилища учетных данных пользователей.
2. Автоматизация и формализация всего комплекса процессов управления учетными данными и правами.
3. Упрощение и автоматизация разработки ролевых моделей, их унификация для всех ИС.
4. Прямая поставка данных об изменениях статусов сотрудников из кадровой системы, автоматизация внесения соответствующих изменений на уровне учетных данных.
5. Автоматизация процессов распространения прав и ролей пользователей во все целевые ИС.
6. Расширение возможностей по «тонкой настройке» прав и ролей, формирования групп пользователей.
7. Автоматизация аудита и контроля соответствия прав и ролей политикам безопасности.
8. Формализация и упрощение выявления избыточности или недостаточности прав.
9. Гибкость и простота механизмов согласования прав.
10. Расширение возможностей по типам аутентификации: пароль, биометрия, ключи и смарт-карты, многофакторная аутентификация и пр.
11. Автоматизация управления аутентифицирующими данными, включая возможности самообслуживания при смене паролей.
12. Возможность применения службы единого входа (SSO) для однократной аутентификации во многих ИС.
13. Гибкость и хорошая масштабируемость при подключении новых ИС.
14. Возможность получения консолидированной отчетности в разрезе пользователей, прав и ролей.
15. Формализация процессов управления пользователями и доступом с назначением и разграничением мер ответственности и функциональных обязанностей.
16. Возможность осуществления контроля за администраторами при управлении пользователями и их правами.

Внедрение решения позволяет существенно повысить уровень ИБ путем усиления контроля, централизации и автоматизации управления пользователями, ролями и правами на основе понятных формализованных бизнес-процессов, актуальных кадровых данных и широкого круга связанных критериев. Параллельно достигается существенное сокращение затрат на сопровождение и обслуживание процессов управления пользователями, техническую поддержку, лицензионное обеспечение. Существенно ускоряются все связанные бизнес-процессы и повышается качество обслуживания пользователей со стороны ИТ-служб.