Idm система что это

С развитием технологий автоматизации бизнеса, а также ростом киберугроз стало понятно, что IDM должен не только оптимизировать деятельность ИТ, но и соответствовать актуальным вызовам информационной безопасности. В связи с этим IDM/IAM-решения были развиты до IGA (Identity Governance & Administration) путем внедрения таких механизмов, как:

контроль конфликтных полномочий или, иначе, контроль SOD-конфликтов (Segregation of Duties) — под конфликтными полномочиями понимаются права доступа, которые не могут находиться у некоторых двух ролей одновременно;
оценка рисков — системы научились осуществлять подсчет рисков для каждой роли, права и ресурса (например, значение риска, связанного с доступом к информации с высоким грифом конфиденциальности, будет, соответственно, больше, чем у аналогичного права доступа к информации с более низким грифом);
ведение логов предоставления доступа к информационным ресурсам.

Для того, чтобы внедрить IDM, необходимо провести большой комплекс работ, который часто остается за рамками планирования при подобных закупках:

Роль IDM в современной информационной инфраструктуре

Системные администраторы загружены рутинной работой по созданию, изменению и блокированию учетных записей. По мере роста организации увеличиваются затраты на администрирование, возникают риски информационной безопасности, такие как кража или искажение информации. Из-за разрозненности данных аудита расследование инцидентов информационной безопасности занимает до нескольких недель, при этом половину из них расследовать так и не удается. Кроме того, становится практически невозможно отслеживать «бесхозные» учетные записи и записи с избыточными привилегиями в информационных системах. Решение этих и других проблем входит в круг задач систем класса Identity Manager (IDM).

Функции IDM

Рассмотрим основные функции IDM-системы. Она позволяет управлять учетными записями подключенных информационных систем через свой графический интерфейс и автоматизировать это управление.

В IDM можно автоматизировать бизнес-логику управления доступом в соответствии с правилами компании. Например, система может автоматически выбирать сервер электронной почты на основании региона пользователя при создании почтового ящика, генерировать имена учетных записей по заданным правилам транслитерации, заполнять атрибуты организационной принадлежности для системы учета затрат и т.д. IDM позволяет отслеживать никому не принадлежащие учетные записи и учетные записи с избыточными полномочиями. Как правило, IDM подключается к системе кадрового учета. Это позволяет автоматизировать такие процессы, как прием на работу, увольнение, уход в отпуск. Помимо операций по управлению доступом, IDM позволяет автоматизировать соответствующие процессы согласования. Дополнительными механизмами автоматизации в IDM являются ролевая модель управления доступом и интерфейс самообслуживания. Ролевая модель позволяет автоматически назначать типовые права доступа на основании данных сотрудника, например, его должности и подразделения. С помощью интерфейса самообслуживания сотрудники могут самостоятельно запрашивать себе права доступа в информационных системах, восстанавливать или менять пароли своих учетных записей. Все действия, которые осуществляются в системе IDM, записываются в журналы, и на основании этих данных можно строить отчеты.

Особенности внедрения IDM

Создание системы централизованного управления учетными записями и правами доступа является чем-то средним между заказной разработкой и использованием «коробочного» продукта. В процессе внедрения мы адаптируем IDM под потребности организации: настраиваем процессы управления доступом, разрабатываем адаптеры к информационным системам и модули расширения. Как показывает практика, для внедрения IDM важно, чтобы в организации были формализованы бизнес-процессы управления доступом и налажен процесс кадрового учета. Если процессы не выстроены или нуждаются в пересмотре, то нередко внедрению IDM предшествует этап консалтинга. На этом этапе наши специалисты проводят анализ существующих бизнес-процессов и информационных систем и предлагают методики оптимизации процессов управления доступом, основываясь на лучших отраслевых практиках.

Первоочередной задачей при внедрении системы является подключение кадрового источника. Это осуществляется с помощью адаптера либо, в случае его отсутствия или технических ограничений, посредством промежуточного представления. В качестве последнего используется представление в базе данных кадровой системы либо выгрузка в текстовый файл. Взаимодействие IDM с ИС осуществляется посредством адаптеров. Для систем российского производства и систем собственной разработки, как правило, адаптеры разрабатываются в рамках проекта. За несколько лет мы разработали адаптеры ко многим системам российского производства, включая кадровые системы и АБС. Если непосредственное подключение IDM к информационной системе невозможно, управление учетными записями остается в зоне ответственности администратора, а заявки на осуществление конкретных действий формируются и назначаются в IDM. Это позволяет вести учет прав доступа в IDM и придерживаться единых бизнес-процессов.

Ролевая модель управления доступом

Одной из наиболее востребованных функций IDM является ролевая модель управления доступом. По нашему опыту, для ее реализации требуется большая подготовительная работа: классификация типов доступа в информационных ресурсах, формализация матрицы прав доступа в разрезе должностей и подразделений, выделение бизнес-ролей. Иногда количество различных комбинаций прав доступа может приближаться к числу сотрудников и выделить типовые привилегии не представляется возможным. В этом случае требуется предварительно провести инвентаризацию прав доступа в информационных системах и пересмотр привилегий сотрудников. В зависимости от потребностей заказчика эти работы мы выполняем в рамках отдельного проекта, либо в рамках проекта по внедрению IDM параллельно с другими работами. Построение ролевой модели управления доступом – постепенный процесс, который в результате позволяет ввести в компании типизированное управление доступом и повысить его эффективность.

Возможность разработки собственного решения

Как альтернативу покупке IDM некоторые компании рассматривают возможность разработки аналогичной системы собственными силами. Обычно это делается в целях экономии на стоимости лицензий. Рассматривая такой вариант, важно учитывать, что любая разработка всегда дороже покупки типового продукта и целесообразна только в том случае, если требуется действительно уникальное решение. Как правило, это важно для тех аспектов деятельности организации, которые непосредственно связаны с получением прибыли и где требуется реализация конкурентных преимуществ. IDM-системы решают задачи управления учетными записями в информационных системах, которые являются типовыми для большинства организаций. Разработка решения собственными силами имеет много рисков.

Для качественного и своевременного завершения проекта требуется квалифицированная команда и налаженные процессы разработки. Это редко встречается в компаниях, которые не занимаются заказной разработкой программного обеспечения. Кроме того, нужно учитывать затраты на поддержку и развитие продукта и зависимость проекта от конкретных людей. Современные системы IDM обладают богатыми функциональными возможностями, которые позволяют адаптировать продукт под потребности большинства компаний. Но если идти по пути разработки собственного решения, то не лишней в этом случае окажется помощь профессиональных консультантов.

Эффект от внедрения IDM

Системы IDM предоставляют множество преимуществ для представителей ИБ- и IТ-структур и бизнеса. Офицеры безопасности получают возможность контролировать права доступа в информационных системах: в любой момент времени знать, кто, куда, когда и какой доступ имел. С помощью IDM они могут оперативно отслеживать и расследовать инциденты информационной безопасности, связанные с наличием избыточных привилегий, выполнять регламенты разделения ответственности (segregation of duties) и инвентаризации прав доступа пользователей. С точки зрения IТ-подразделений, IDM позволяет значительно ускорить процессы управления доступом, навести порядок в ИС и сократить затраты на администрирование. Для бизнеса это способ повысить эффективность работы сотрудников, снизить издержки, связанные с ожиданием предоставления прав доступа и рисками ИБ, выполнить ряд требований регуляторов – стандарта СТО БР ИББС, PCI DSS и ISO 27001, а также повысить прозрачность процессов управления доступом.

В качестве дополнительного преимущества можно назвать перераспределение ответственности за права доступа сотрудника. Если до внедрения формально за них отвечает руководитель, а фактически – администраторы информационных систем, то после внедрения управление доступом поднимается на бизнес-уровень и ответственность руководителя подкрепляется возможностями контроля и управления. Еще одно преимущество – возможность учета истории работы сотрудника в компании. Если сотрудник увольняется, а через некоторое время опять приходит на работу в компанию, то он использует уже существующий набор учетных данных. Кроме того, IDM можно использовать как справочник сотрудников. Сами сотрудники при использовании функционала самообслуживания получают в доступном виде каталог всех информационных ресурсов компании с возможностью их запроса.

По нашему опыту, срок окупаемости IDM-решения составляет около трех лет. Влияние оказывают такие факторы, как совокупная стоимость администрирования информационных систем, поддержки пользователей, времени простоя сотрудников при ожидании предоставления прав доступа и величина ущерба от утечек конфиденциальной информации из-за наличия избыточных привилегий и т.д.

По мере развития организации у нее рано или поздно возникают те трудности, о которых мы говорили выше. С каждым годом к нам обращается все больше компаний, желающих внедрить IDM, и в этом году мы также прогнозируем значительный рост проектов по этому направлению.

Это позволяет уже сегодня с уверенностью сказать, что IDM-решения – будущее успешных компаний.

Опубликовано: Журнал "Information Security/ Информационная безопасность" #3, 2011

Внедрение IdM. Часть 1: что такое IdM и какая функциональность к нему относится

…Всё началось с отдела маркетинга. Эти милые люди подумали и решили, что нам (специалистам пресейла и сервисов) следует написать некоторое количество статей «на разные интересные темы». Темы они, как водится, придумали сами, исходя из видящихся им «потребностей рынка». (При этом, если взглянуть на них с нашего ракурса, темы были, мягко говоря, «не очень»…)

Нашей команде, отвечающей за развитие системы управления доступом и учётными записями пользователей Solar inRights, пришла в голову идея миссионерства (как бы громко это ни звучало): если уж писать обращение «к граду и миру», то пусть оно будет полезным инструментом для принятия взвешенных решений. Поэтому решено составить целостный цикл материалов, который поможет чётко осознать, какие действия и процедуры сопровождают внедрение IdM-решения.

Постараемся избегать непонятной терминологии и всё пояснять. Если что-то будет непонятно или вызовет вопросы, всегда можете задавать их в комментариях. Мы открыты и для ваших предложений — каким аспектам уделить особое внимание.

На начальном этапе мы видим следующее разбиение по темам:

Что такое IdM?
Как определить, что стоит задумываться о внедрении IdM?
Мы поняли, что IdM нужен – что дальше?
О финансах…
Мы заключили договор. С чего начнётся работа?
Подготовка к внедрению.
Работы в процессе собственно внедрения (несколько дней из жизни инженера внедрения).
Перевод системы «в продуктив» и сопутствующие процедуры.
«Мы строили, строили и наконец построили…». Что дальше?

Итак, ближе к делу!

Часть 1. Что такое IdM?

Разговор об IdM стоит начать с пояснения, что же такое управление учётными записями и правами пользователей и что такое управление доступом.

Давайте разбираться. В первую очередь стоит понять, откуда пошло название класса IdM-решений. Это сокращение от «Identity Management», т.е. «управление учётными данными». Обратимся к Википедии (да, именно к ней, это же первая ссылка в Гугле):

«Управление учётными данными (англ. Identity management, сокр. IdM, иногда IDM) — комплекс подходов, практик, технологий и специальных программных средств для управления учётными данными пользователей, системами контроля и управления доступом (СКУД) с целью повышения безопасности и производительности информационных систем при одновременном снижении затрат, оптимизации времени простоя и сокращения количества повторяющихся задач». (Источник).

Это – выдержка из статьи на русском языке, которая, впрочем, этим абзацем и ограничивается, если не считать ссылок на статьи об идентификации, аутентификации, авторизации и контроле доступа. Определение не настолько плохо, как можно было бы ожидать. На что стоит обратить внимание в приведённом отрывке? Специально выделю для акцента курсивом:

«Управление учётными данными (англ. Identity management, сокр. IdM, иногда IDM) — комплекс подходов, практик, технологий и специальных программных средств для управления учётными данными пользователей, системами контроля и управления доступом (СКУД), с целью повышения безопасности и производительности информационных систем при одновременном снижении затрат, оптимизации времени простоя и сокращения количества повторяющихся задач.»

Т.е. мы видим, что суть управления учётными данными и доступом не сводится просто к какой-то одной системе, которая будет своеобразной кнопкой «сделать, чтобы было хорошо». Это целый комплекс, включающий:

определение целей вышеуказанной деятельности,
конкретизацию подхода к достижению выбранных целей и решению поставленных задач,
выстраивание процессов и процедур,
распределение ролей в бизнес-структуре,
выбор решения, которое будет осуществлять управление учётными данными и правами пользователей,
а также, уже ближе к завершению – собственно процесс внедрения IdM-решения.

Что именно включает в себя управление учётными данными?
Какие процедуры и процессы относятся к этой деятельности?

Вспоминается притча о трёх слепых, пытающихся описать слона: один из них подошёл к слону сзади, ощупал хвост и сказал, что слон похож на верёвку; второй подошёл спереди, ощупал хобот и сказал, что слон похож на змею; третий же подошёл сбоку, ощупал ногу и сообщил, что слон напоминает столб или колонну. Суть в том, что каждый в отдельности имел неполные сведения и потому не мог осознать слона как целое, до этого со слоном не сталкиваясь и не имея понятия о том, что он такое.

С IdM похожая история – слишком много различных функций и возможностей, чтобы осознать системно всю полноту. Иногда возникают совсем неожиданные темы, о которых до начала работы с решением никто и не задумывался. Профессионалам ИБ и ИТ важно понимать не только техническую составляющую управления доступом и учётными данными, но и то, каковы потребности в отношении связанных с IdM процессов в каждой конкретной компании. Стоит учитывать, что с каждым годом инфраструктурный ландшафт усложняется, и прежде эффективные методы управления доступом и учётными данными (ручное управление группами доступа, службами каталога, попытки вести ролевые модели на бумаге, профили пользователей и т.д.) оказываются уже не способными соответствовать потребностям бизнеса. Потому со временем они будут заменены современными средствами управления идентификацией, аутентификацией, авторизацией (совокупно – управления доступом) и системами аудита.

Когда начинаем говорить о внедрении какого-то IdM-решения, представители компаний часто с удивлением открывают для себя, что ещё до запуска собственно процесса внедрения нужно во всей полноте понимать:

Какие кадровые процессы есть в компании.
Кто и как принимает решение о том, куда каждый из пользователей должен иметь доступ.
Какие есть роли.
Какие сервисы должны быть доступны каждому из пользователей.
Как синхронизировать обновление данных в различных бизнес-системах.
Какие процедуры должны применяться.
Какой аудит должен осуществляться в системе и т.д.

Административный (политики и процедуры, контроль и обучение персонала).
Физический (обеспечение безопасности периметра, разделение рабочих зон, резервирование данных).
Технический (разграничение логического и физического доступа к системам, пересмотр сетевой архитектуры, безопасность данных, аудит).

Общаясь с коллегами, которые уже пережили внедрение IdM-решения, я пыталась выяснить, а что же нового в связи с внедрением и освоением IdM приходилось делать ИТ- и ИБ-специалистам компаний-заказчиков. В ходе бесед выяснилось, что им пришлось пересмотреть подходы к управлению доступом, внести изменения в существующие бизнес-процессы, в ряде информационных систем произошли изменения и т.д.

Всё указанное привожу здесь не для того, чтобы отбить у кого-либо желание связываться с внедрением IdM-решений, а для того, чтобы каждому приблизительно стал понятен фронт работ, и чтобы не было обманутых ожиданий типа: «А мы-то думали, что с внедрением IdM сразу можно расслабиться…».

Внедрение IdM – это история не о том, как инженеры интегратора развернули выбранное вами решение, и «всё сразу стало хорошо».

Это история о том, как в процессе трансформации и роста зрелости сервисов ИТ и ИБ создаётся целая система управления доступом с понятными всем участникам процесса целями и задачами, учётными записями и правами пользователей, которая включает в себя перечень процессов и процедур, физических, технических и административных мер, а также само IdM-решение или IGA-платформу.

О том, как взвешенно и грамотно подойти к созданию такой системы, мы будем рассказывать в серии статей максимально подробно.

IdM/IGA-система: что это такое, как работает и зачем нужно

IdM (Identity Management) или IGA (Identity Governance&Administration) решение обеспечивает централизованное управление правами доступа и учетными записями пользователей в различных информационных системах /приложениях, используемых компанией для работы. С его помощью:

Снижается нагрузка на системных администраторов. Работа с учетными записями (создание новых, временная блокировка, изменение прав доступа, удаление) занимает немалую часть времени сисадмина. Чем больше в компании решений, в которых есть учетные записи, тем больше временные затраты. Организовав централизованное управление ими через IdM, вы существенно снизите загрузку системного администратора.

Минимизируются риски информационной безопасности. Автоматизированное централизованное управление правами доступа со своевременными оповещениями существенно уменьшает вероятность возникновения инцидентов информационной безопасности, связанных с избыточными правами доступа.

Снижаются административные издержки на предоставление / изменение прав доступа. На это уходит меньше времени, уменьшается количество сопутствующих бумажных документов и обращений в службу поддержки.

Создается информационная база, повышающая эффективность расследования инцидентов в области информационной безопасности (далее — ИБ). Офицеры ИБ могут контролировать права доступа и получать информации о том, кто какими полномочиями обладал в конкретный момент времени.

Уменьшаются затраты на поддержку IT-инфраструктур. Вы сможете контролировать количество активных учетных записей и своевременно отключать неактивные, чтобы не платить за них (при использовании модели оплаты за каждую «учетку»).

Кроме того, Identity Management позволит компании выполнить ряд требований и рекомендаций руководящих документов / регуляторов. Например, таких как БР ИББС, PCI DSS или ISO 27001.

Как и в каких системах организуется централизованное управление учетными записями с помощью IdM/IGA

Решение класса Identity Management или Identity Governance&Administration может управлять учетными записями в различных информационных системах и программах. Например, наша IdM/IGA Solar inRights совместима с:

C популярными системами и инфраструктурами, в том числе построенными на базе SAP и 1C.

Со всеми широко используемыми СУБД. Прямой доступ к БД обеспечивается посредствам хранимых процедур, запросов и других инструментов.

Программами для электронного документооборота, CRM, ERP, почтовыми системами, организации кадрового учета и другими решениями с собственным API и без.

При отсутствии API интеграция с целевой системой возможна посредствам выгрузок в файл (например, Solar inRights поддерживает выгрузку excel, csv или xml).

Возможности современных IdM-решений позволяют создавать учетные записи в целевых ИС / программах, следить за их использованием и информировать системного администратора (специалиста по ИБ) о неактивных или неперсонализированных, изменять привилегии, назначать владельцев, производить временную и постоянную блокировку, в т.ч. с сохранением «учетки» в базе с возможностью дальнейшего восстановления. Построение ролевой модели, выявление отклонений и нарушений в правах, предотвращение критических сочетаний прав – все эти функции решений класса IdM/IGA позволяют существенно снижать риски возникновения инцидентов информационной безопасности за счёт проактивного подхода.

Работа IdM/IGA в комплексе с другими системами обеспечения информационной безопасности

IdM, как правило, не используются отдельно. Это — эффективные составляющие системы информационной безопасности компании, которые могут интегрироваться с другими решениями.

При интеграции IGA со СКУД вы сможете усилить защиту целевой системы и исключить, например, такие ситуации, как несанкционированное использование чужих учетных записей, в отсутствии владельца. Реализуется это относительно просто: пока сотрудник не вошел в охраняемый СКУД периметр, его «учетка» остается заблокированной и войти в нее не получится.

Интегрировав Identity Management или Identity Governance&Administration систему с SIEM, вы обеспечите защиту от несанкционированного добавления или изменения учетных записей. Злоумышленник может попытаться сделать это в обход Service Desk, совершив необходимые манипуляции прямо в целевой системе. IdM выявляет такие события и формирует оповещения для SIEM-системы. Это значительно ускоряет процесс выявления подобных инцидентов. Ведь без Identity Governance&Administration-решения в SIEM поступают только логи, которые еще нужно обработать, на что уходит время (а его при действиях злоумышленников может и не быть).

Кроме того, современные решения класса IdM/IGA могут интегрироваться и с другими элементами ИБ. Например, с ITSM, инфраструктурами открытых ключей (PKI), решениями, использующими SSO (технологию единого входа).

Взаимодействие с целевыми информационными системами (CRM, ERP, кадровыми и так далее) и другими элементами, обеспечивающими информационную безопасность компании, организуется посредствам коннекторов. Это — специальные программные компоненты, которые включаются в IdM «из коробки». В зависимости от того, с чем взаимодействует решение, коннекторы могут использовать API целевой системы, запросы, хранимые процедуры, выгрузки в файл и другие средства. Если у вас в компании используется какой-то специфический программный продукт, для которого нет коннектора «из коробки», это не проблема. Например, мы в Solar inRights кастомизируем предлагаемое решение под нужды заказчика и при необходимости дорабатываем уже имеющиеся коннекторы или, в течение пары недель, создаем их с нуля под конкретный продукт. Все обсуждаемо. Поддержка стандарта Identity Connector Framework (ICF) без необходимости использования дополнительных адаптеров существенно облегчает процесс разработки коннектора и снижает сроки и ресурсы для интеграции с системой.

Кому стоит подумать об использовании IdM/IGA

Такое решение необходимо далеко не любой компании. Подумать о его внедрении есть смысл если:

системным администраторам и другим специалистам приходится обрабатывать большие потоки заявок на предоставление доступа, создание и изменение учетных записей в разных системах;

есть предпосылки к возникновению инцидентов, связанных с чрезмерным доступом и избыточными правами, или наоборот — с недостаточными полномочиями;

при большой текучке кадров и активной ротации сотрудников;

при использовании в компании большого количества различных IT-решений с возможностями управления правами доступа.

IGA можно рассматривать еще и как средство «усиления» используемых в организации решений для обеспечения информационной безопасности, для наведения порядка в процессах управления доступом и повышения прозрачности этих процессов. В зависимости от специфики компании могут быть и другие предпосылки к внедрению такой системы.

Idm система что это