System IdM i IAM – co to takiego

Systemy zarządzania tożsamością nazywane są w skrócie IdM (ang. idenity management) lub IGA (ang. identity governance and administration). Łączą w sobie funkcje zarządzania elektronicznymi tożsamościami oraz nadzoru nad dostępami użytkowników, zapewniając właściwy zestaw uprawnień każdemu z nich. Z kolei systemy IAM (ang. identity and access management) łączą w sobie funkcje zarządzania elektronicznymi tożsamościami oraz kontroli dostępu poszczególnych osób do zasobów organizacji, w skład których wchodzą systemy IdM / IGA, Access Management oraz zarządzanie tożsamością uprzywilejowaną.

Pobierz

...i dowiedz się więcej na temat zarządzania tożsamością i korzyści, jakie daje to rozwiązanie

– Zarządzanie tożsamością to proces pozwalający administrować kontami, uprawnieniami, ale też rolami oraz osobami i ich dostępem do zasobów informacyjnych przedsiębiorstwa. Podkreślam, że to proces, a nie jednorazowe wdrożenie. Każda organizacja żyje, zmieniają się pełnione w niej role, a zatem system kontroli nad dostępami też musi być stale nadzorowany i aktualizowany – mówi Dariusz Kupiec, Dyrektor ds. Wdrożeń w Cloudware Polska.

W dużych organizacjach działa zwykle kilkadziesiąt systemów głównych i kilkadziesiąt pobocznych, z których korzystają pracownicy. Każda z osób loguje się do wielu różnych narzędzi, do których dostęp (pełen lub częściowy) zależy od przypisanej jej roli. – Taki rozrost sprawia, że w pewnej chwili po prostu ciężko jest tym wszystkim zarządzać i dochodzi do bardzo groźnych dla organizacji błędów. Żeby całość ustrukturyzować i uporządkować, żeby mieć pełną świadomość tego, kto ma do czego dostęp, stosuje się więc system zarządzania tożsamością – tłumaczy ekspert Cloudware Polska.

Jednym z poważniejszych zagrożeń, wynikających ze złego zarządzania tożsamością lub jego braku są kolizje uprawnień. To sytuacje, w których jedna osoba ma takie możliwości działania, które zdecydowanie powinny być rozdzielone, jak np. zlecanie i autoryzowanie przelewów.

– To typowa kolizja umożliwiająca fraud w organizacjach. Znane są głośne przypadki brytyjskiego i francuskiego banku, które straciły ogromne sumy właśnie dlatego, że ich pracownicy posiedli dostępy i uprawnienia, których absolutnie nie należy łączyć. Z tego rodzaju błędów biorą się też sytuacje, w których np. pracownik banku udziela kredytu osobie, której nie powinien. Jak to możliwe? Otóż wystarczy, że zmieniając stanowiska albo zastępując innego pracownika będącego na urlopie, posiądzie jakieś nowe uprawnienia, nie tracąc poprzednich – tłumaczy Dariusz Kupiec.

Innym problemem są audyty, zarówno wewnętrzne jak i zewnętrzne. Audytorzy chcą wiedzieć, czy pracownicy posiadają właściwe uprawnienia adekwatne do pełnionych funkcji. Pytanie kierowane jest do działu bezpieczeństwa, a ten musi posiłkować się informacjami od właścicieli aplikacji, którzy są w stanie powiedzieć, jakie ktoś ma uprawnienia, ale nie mają wiedzy o tym, czy są to uprawnienia właściwe. Z kolei skierowanie pytania do managerów kończy się najczęściej odpowiedzią, że np. nie są „na tyle techniczni, by określić poprawność posiadanych uprawnień”.

Na końcu warto zaznaczyć problem gromadzenia uprawnień. Pracownicy awansując czy zmieniając pełnione funkcje potrzebują nowych dostępów, by móc pełnić swoje obowiązki. Brak skutecznego systemu nadzoru powoduje sytuacje, w których pracownicy posiadają uprawnienia, których już nie potrzebują, co z kolei stwarza zagrożenie nadużyć (jest możliwość ich wykorzystania, bo cały czas są aktywne).

Tego typu niebezpieczne błędy pojawiają się szczególnie w firmach, w których jest duża fluktuacja pracowników. Zjawisko przybrało też na sile w dobie pandemii, kiedy firmy z dnia na dzień musiały uruchomić zdalny model pracy albo stanęły przed wyzwaniami w postaci ciągłych braków kadrowych i konieczności czasowego zastępowania kolejnych zatrudnionych.

Zobacz również

Podstawowe błędy w systemie IdM

Ustalając schemat ról w organizacji, można zdefiniować dowolne połączenia albo wykluczenia uprawnień tak, aby uniknąć sytuacji...