Whitepaper. IT Quality A/S. IAM Beskrivelse

Transkript

1 Whitepaper IT Quality A/S IAM Beskrivelse

2 IAM Identity og Access Management Projektmodel Fleksible løsninger IDM Identity Manager IDM forenkler og automatiserer Giver øjeblikkelig adgang til ressourcer på tværs af virksomheden Enklere adgangskontrol Garanterer sikkerhed og Compliance De umiddelbare fordele Access Manager Standardbaseret web Single Sign-On Føderation (FIM - Federated Identity Management) Audit Sentinel Automatiseret styring af sikkerhed ROI De mulige gevinster Brugerstyring Proceskontrol Sikkerhed Compliance - Revision Om IT Quality Virksomhedsbeskrivelse Organisationen Bilag 1 - Referenceoversigt Offentlige virksomheder Foreninger og organisationer Private virksomheder Bilag 2 Historie fra det virkelige liv Faaborg-Midtfyn Kommune - vision og fakta Formål IT-vision Løsning Identity Vault - Metadirectoriet Workflow Udtalelse fra Faaborg-Midtfyn Kommune De fremtidige projekter Bilag 3 - IAM Foranalyse Formålet Beskrivelse af foranalysens elementer Projektopstartsmøde Scope Findings Case: [IAM Beskrivelse] Page no. 2 of 24

3 9.2.4 Designdokument Projektplan Case: [IAM Beskrivelse] Page no. 3 of 24

4 Formålet med IT Quality Whitepaper - Brugerstyring og Adgangskontrol er, at beskrive hvordan Identity og Acces Management (IAM) kan optimere forretningsmæssige muligheder og vise, hvordan man kan gribe implementeringen af teknologierne an. IT Quality er en af Danmarks førende firmaer inden for IAM og har mange års erfaring med løsninger til brugerstyring i både den private og offentlige sektor. Med denne erfaring har vi udarbejdet dette dokument. IAM IDENTITY OG ACCESS MANAGEMENT Ved at anvende IAM sikrer man stabilitet og driftsikkerhed inden for oprettelse og nedlæggelse af brugere, tildeling af rettigheder, logning af aktivitet, fysisk systemadgang, overholdelse af sikkerhedsstandarder m.v. IT Quality har valgt at arbejde med Novells produktportefølje, når det gælder brugerstyring og sikker applikationsadgang. Samarbejdet betyder, at vi har erfaring og indgående kendskab med løsninger, der går tilbage til de tidligste versioner af softwaren. Behovet for en sikker og velfungerende systemplatform til brug for Government2Citizen-løsninger (G2C) har aldrig været større. Den software vi bruger i dag, rummer et meget stort potentiale. Softwaren er et meget fleksibelt og veludviklet rammeværk for udviklingen af interne processer og arbejdsgange. IAM er - i vores forståelse - ikke blot applikationer, men udviklingsmiljøer for brugerstyring og sikker adgang. Miljøerne giver en udstrakt grad af automatisering og håndhæver konventioner og standarder på en sikker, dokumenterbar og rationel måde. 1.1 Projektmodel Vi anvender vores egen Prince2-baserede projektmodel i IAM-projekter. Projektmodellen har vist sig at være særdeles effektiv, idet denne type projekter kræver både stram styring og præcis fastlæggelse af mål, delmål og succeskriterier (se bilag 3). Princippet bag vores projektmodel er, at vi arbejder med en model med overskuelige etaper og opnåelige mål. Visionerne er langsigtede, samtidig med at konkrete delresultater viser sig løbende på kortsigt. Vores udgangspunkt er, at kunden er mester i sin egen forretning. Det betyder, at vi ved hjælp af professionel sparring og løbende dialog skaber muligheden for en løsning, der skaber den maksimale forretningsmæssige værdi. Det første element i et IAM-projekt er foranalysen, som er grundlaget for et velgennemført projekt. På baggrund af kundens ønsker og forventninger udarbejder vi foranalysens formål, som skal fastlægge og konkretisere projektets indhold samt afstemme forventningerne til projektets realisering og økonomi. Efter endt foranalyse er målet, at kunden har et konkret gennemarbejdet beslutningsgrundlag til at iværksætte projektets første fase. 1.2 Fleksible løsninger Vi samarbejder med en række aktører, der tilbyder funktionalitet ud over det, der umiddelbart er indeholdt i standardsystemerne. Det gør vi på baggrund af de særlige udfordringer, der knytter sig til brugerstyring. Digital signatur Den digitale signatur kan ofte være vanskelig at styre på medarbejderniveau. Vi tilbyder en løsning, der gør det muligt at kontrollere anvendelsen af signaturen. Det betyder, at man ikke risikerer, at den "ligger og flyder" på forskellige Pc ere, men udelukkende er til rådighed, når den person, der har signaturen, bruger den. På den måde mindsker virksomheden risikoen for at signaturen kompromitteres. Løsningen kan integreres med yderligere services, så udstedelse, fornyelse og sletning kan ske i en sikker og automatiseret proces. Hermed kan signaturen anvendes til yderligere sikring af systemadgang for f.eks. politikere eller hjemmearbejdspladser. HÅNDTERING AF ELEVIDENTITETER Case: [IAM Beskrivelse] Page no. 4 of 24

5 Der er en løsning til håndtering af elev-identiteter med udgangspunkt i UNI-C's UNI-Login tilgængelig. Denne løsning gør det muligt at automatisere skolernes oprettelse af eleverne, flytte elever mellem skoler og fjerne inaktive elever fra det directory, hvor eleverne er oprettet i skolens IT-system. SYNKRONISERING AF DATA FRA CPR-REGISTRET Vi har også udviklet en snitflade, der tillader synkronisering af data fra CPR-registret. På den måde kan det offentlige anvende løsningen til brugerstyring, som fundament for tjenester både til borgere og medarbejdere. De sikrer herved at de grundlæggende brugerinformationer er opdaterede. Løsningen til brugerstyring kan i dag integreres med en bred vifte af software fra forskellige leverandører. Det er yderst sjældent, at en given løsning ikke kan integreres, og for de offentlige kunder er der ingen teknisk begrænsning, mere en politisk udfordring med de systemer som er hosted af KMD. Et eksempel på sammenhængen med de snitflader, som et IAM-projekt hos IT Quality kan omfatte. 2.1 IDM forenkler og automatiserer 2 IDM IDENTITY MANAGER IDM tager hånd om de tidskrævende manuelle processer og store udgifter, når virksomheden skal klargøre adgang til ressourcer på tværs af systemer, programmer og enheder. IDM forenkler identitetsstyringen, når brugernes adgangsbehov ændres ved for eksempel Nyansættelser Kundetilgang Partnerskaber Case: [IAM Beskrivelse] Page no. 5 of 24

6 Ændrede jobfunktioner Opsigelser IDMautomatiserer brugerkontrol og styring af adgangskoder gennem hele brugerens livscyklus. Nye brugere får adgang til systemerne med det samme, med rigtige adgangsrettigheder på tværs i systemerne og derved tildelt én brugeraccount med ét password. Som en ikke uvæsentlig sidegivenst sikrer Identity Manger desuden at brugerdata (navne, adresser, etc.) er ens på tværs af alle systemer, således at Nicolai Bech-Larsen f.eks. ikke hedder Nikolaj B. Larsen ét sted og Nicolaj Bek Larsen ét tredje. Med IDM kan virksomheden styre udgifterne til brugeradministration undgå komplekse manuelle processer garantere sikkerheden sikre compliance i hele virksomheden levere de korrekte ressourcer, så brugerne kan udføre deres arbejde. 2.2 Giver øjeblikkelig adgang til ressourcer på tværs af virksomheden Med IDM kan nye brugere med det samme få adgang til vigtige forretningsressourcer i virksomheden. I stedet for en netværksadministrator kan virksomhedens ledelse og de enkelte afdelinger altså selv styre deres egne brugeres adgangsbehov. Når virksomheden opretter en ny brugerkonto i HR-databasen (eller en kunde eller partner i deres tilhørende program), genereres alle brugerkonti ifølge virksomhedens forretningsbestemmelser automatisk og alle nødvendige godkendelsesprocedurer automatiseres. 2.3 Enklere adgangskontrol Med IDM kan virksomheden synkronisere en brugers adgangskoder og oprette en enkelt adgangskode til alle systemerne. Brugere kan, hvis de glemmer adgangskoden, få hjælp eller selv ændre adgangskoden via selvbetjeningsfaciliteter. Brugere kan også styre deres adgangskoder ved hjælp af de oprindelige værktøjer, når de skal ændre adgangskoder i systemer som f.eks. Microsoft Windows. Selvbetjeningsfunktionerne til styring af adgangskoder i IDM reducerer antallet af helpdesk-opkald og øger sikkerheden og produktiviteten hos brugerne. Med IDM kan virksomheden sørge for, at de adgangskoder, brugerne angiver, er sikre. Virksomheden kan oprette og gennemtvinge strenge adgangskoderegler for hele systemet. 2.4 Garanterer sikkerhed og Compliance Tidligere ansatte er en kendt sikkerhedsrisiko for enhver virksomhed, men IDM fjerner dette problem. I samme øjeblik en ansats status ændres til fratrådt i HR-databasen eller i en anden autoritativ kilde, ophæves ressourceadgangen automatisk. Virksomhedens fortrolige ressourcer forbliver dermed sikre. IDM fjerner de sædvanlige anmærkninger, som revisionen er kendt for at give omkring manglende sikkerhed på brugerstyring. Det optimerer også det reelle licensbillede, da ikke-eksisterende brugere bliver fjernet fra evt. dyrt software, som virksomheden betaler licens for. Med Identity Manger er det tillige muligt at sikre sig mod dobbelt-roller, f.eks. at den samme medarbejder har adgang både til at anmode om og godkende udbetaling af midler. 2.5 De umiddelbare fordele Med IDM kan virksomheden: Øge effektiviteten Sikre overholdelse af branchebestemmelser Reducere omkostninger til administration og helpdesk Reducere sikkerhedsrisici Opbygge produktive forretningsforbindelser Case: [IAM Beskrivelse] Page no. 6 of 24

7 Automatisere komplekse klargøringsprocesser for at give øjeblikkelig adgang til ressourcer Tildele ressourcer til brugere baseret på roller og regler Synkronisere adgangskoder og oprette en enkelt adgangskode til alle systemer Give brugere mulighed for at hente og nulstille deres egne adgangskoder ved hjælp af webbaserede selvbetjeningsfaciliteter Oprette og gennemtvinge stærke adgangskoderegler i hele systemet Definere rollebaseret styring Modtage rapporter, hvis der gives uautoriseret adgang Reducere udgifter og kompleksitet Oprette logfiler over identitetsstyringsaktiviteter FUNKTIONSLAG Domino/Notes: , P-Sag, PS-org og ProFile ESDH Design Novell Identity Manager Windows 2003 Server /AD ANVENDELSE Ekstern bruger Workflow Brugerfunktioner / selvbetjening Portal Novell Audit Identity Vault IdM Engine Bruger directory IdM Driver IHlp Web-systemer: odense.dk borger.dk virk.dk sundhed.dk skat.dk... APPLIKATIONSLAG SAS APOS SAS Datawarehouse KMD OPUS/LOS Identity Provider Service Provider SAML Identity Provider SAML Identity Consumer Identity Server Access Gateway Service Provider J2EE J2EE J2EE Java-systemer SSLVPN Partner web-system: borger.dk, virk.dk, skat.dk (miljoeportal.dk)... Novell Access Manager Billedet giver et overblik over et muligt IDM funktionslag på en tilfældig sammensat kundecase. Case: [IAM Beskrivelse] Page no. 7 of 24

8 3 ACCESS MANAGER Access Manager skaber øget tillid i forretningsforhold. For at virksomheden kan være konkurrencedygtig, skal medarbejdere, kunder og partnere have adgang til virksomheden hvor som helst og når som helst. Access Manager løser dette problem ved at maksimere adgangen uden at give køb på sikkerhed og kontrol. Det giver højere og nemmere sikkerhedsfunktioner, der reducerer risici og fremmer mere fleksible kundeog partnerforhold. Access Manager tilbyder en ny måde at kontrollere adgangen til webbaserede og traditionelle forretningsprogrammer på. Det gør det nemmere og mere sikkert at dele værdier online. Pålidelige brugere får sikker godkendelse og adgang til portaler, webbaseret indhold og forretningsprogrammer. IT-administratorer får centraliseret og regelbaseret administration, så de kan give rettigheder til godkendelse og adgang til webbaserede miljøer og forretningsprogrammer. Derudover understøtter Access Manager en lang række platforme og directory services. Programmet er så fleksibelt, at det kan bruges i selv de mest komplekse IT-miljøer med produkter fra flere leverandører. Acces Manager giver IT-personalet de nødvendige værktøjer, så de let kan oprette sikker og problemfri adgang til webbaserede og serverbaserede programmer. Adgang defineres på basis af brugerens rolle i forbindelse med en virksomhed. 3.1 Standardbaseret web Single Sign-On Adgangskoder kan udgøre en stor sikkerhedsrisiko, især når folk er nødt til at huske flere forskellige koder for at kunne udføre deres arbejde. Access Manager tilbyder web Single Sign-On, så medarbejdere og partnere kun skal logge på én gang og huske en enkelt kode for at få adgang til alle virksomhedens webbaserede programmer. 3.2 Føderation (FIM - Federated Identity Management) Med Access Manager kan virksomhedens programmer gøres FIM-klar, uden at indholdet skal ændres eller yderligere software skal installeres på webserveren. På den måde kan medarbejderne straks oprette en FIMløsning på tværs af firewallen. Videnskabsministeriet anbefaler alle offentlige at benytte SAML-2 standarden som netop er en åben for udveksling af data på tværs af organisationer. (Illustration - Access Manager - Systemarkitektur) Case: [IAM Beskrivelse] Page no. 8 of 24

9 4 AUDIT SENTINEL 4.1 Automatiseret styring af sikkerhed At styre et blandet IT-sikkerhedsmiljø er ikke en let opgave. For at give et klart billede af organisationens tilstand med hensyn til sikkerhed og compliance skal følgende samkøres og analyseres, fordi de producerer store mænger af data: Værktøjer: servere databaser programmer firewalls routere switches Systemer til identitets- og adgangsstyring opdagelse/forebyggelse af indtrængen (IDS/IPS) Sentinel kan identificere sikkerhedshændelser fra alle kilder i virksomhedens miljø i realtid, så virksomheden kan reagere hurtigt. Sentinel erstatter arbejdstunge manuelle processer med automatiseret, kontinuerlig overvågning af ITkontroller og sikkerheds- og compliancehændelser. Virksomheden kan også dokumentere og formalisere processen til sporing, eskalering og reaktion på hændelser og regelbrud. Sentinel gør det muligt at reagere hurtigt, finde en effektiv løsning på hændelserne og beviser for revisorerne, at virksomhedens IT-kontroller virker, som de skal. Sentinel kan generere rapporter, der viser alle detaljer i forbindelse med en netværkshændelse, f.eks. hvem der har og hvornår der er godkendt adgang til en bestemt ressource. Det gør det lettere at overvåge, om reglerne overholdes. I forbindelse med en intern undersøgelse eller ekstern revision leverer Sentinel de rapporter, der er brug for, for at overholde amerikansk lovgivning (Sarbanes-Oxley og HIPAA), EU s lovgivning om beskyttelse af personoplysninger og andre krav fra myndigheder. Case: [IAM Beskrivelse] Page no. 9 of 24

10 5 ROI DE MULIGE GEVINSTER Behovet for, at der etableres et rammeværk for styring og kontrol af identiteter og rettigheder, har aldrig været større. Det skyldes: at en gennemsnitlig virksomhed formentligt ændrer på mere end 15 procent af alle IT-brugere pr. år. Enten fordi brugerne skifter funktion eller udskiftes med nye medarbejdere. en tendens, hvor der i stigende grad introduceres værktøjer som ITIL eller LEAN, som skal sikre effektivitet og ensartethed i forretningsprocesserne. Case: [IAM Beskrivelse] Page no. 10 of 24

11 at retningslinjerne i DS-484 forlanger, at kravene til IT-sikkerhedsorganisationens processer og opgaver i langt højere grad end tidligere skal dokumenteres, revideres og underlægges løbende kontrol.. IAM adskiller sig fra andre traditionelle IT-systemer ved at have potentiale til at påvirke en lang række, hvis ikke alle, forretningsvæsentlige IT- og støttesystemer. Derfor påvirker IAM omkostninger og rationaler på en række forskellige områder Brugerstyring Gevinsterne ved brugerstyring retter sig primært mod den simple anvendelse af IDM til provisionering og deprovisionering af brugere på tværs af IT-systemer. Eksempel: Når en bruger oprettes i det primære IT-system, f.eks. lønsystem, kan de indtastede data genbruges til at oprette brugeren i en række andre IT-systemer. Det kan f.eks. være postsystemer, intranet, forretningssystemer, telefonisystemer og adgangskontrolsystemer. Det gode ved IDM er, at manuelle processer bortfalder, fejlmuligheder afskæres og konsistens sikres. De medarbejdere, der er ansvarlige for at udføre funktionerne manuelt, vil opleve fordelene ved IDM, men den enkelte medarbejder vil også mærke fordelene ved, at der f.eks. ikke laves fejloprettelser Hvis en bruger ikke har adgang til et system, som denne forventer at have adgang til, kan dette medføre et anseeligt tidsforbrug til både at konstatere og anerkende fejlen, kontakte den der skal rette fejlen, foretage den konkrete rettelse og efterfølgende kontrollere at fejlen rent faktisk er rettet. Når en virksomhed ønsker at beregne den mulige besparelse kan den bruge en model, der tager udgangspunkt i antallet af medarbejdere og systemer, hvortil der skal gives adgang, tidsomkostninger og fejlstatistikker. Organisationer med stor rotation af medarbejdere vil i denne sammenhæng formentlig generere større gevinster end mere statiske organisationer. Den enkelte virksomhed har naturligvis opgaven at udarbejde den konkrete business case. Eksempel: 500 nye medarbejdere pr. år eller flytninger, der medfører ændringer i autorisationer eller systemadgang 20 IT-systemer, hvortil der kræves brugeroprettelse eller systemer, hvor der skal tildeles individuelle rettigheder 20 procent fejl i oprettelser eller forsinkede oprettelser, der fordrer handling 120 minutter pr. fejlrettelse, hvilket omfatter den tid, der bruges på hele processen, fra fejlen konstateres til rettelsen er bekræftet. Herudover kommer tabt arbejdstid for den berørte medarbejder. 300 kr. pr. time inklusive følgeomkostninger. 500x20 = oprettelser/ændringer fejl eller mangler x 120 minutter pr. rettelse = 4000 timer. Mulig besparelse pr. år kr. Case: [IAM Beskrivelse] Page no. 11 of 24

12 5.1.2 Proceskontrol Skridtet fra simpel brugeroprettelse til egentlig proceskontrol kan være meget stor. De fleste virksomheder har ikke en sammenhængende beskrivelse, der omfatter alle aspekter ved brugeroprettelse, og det kan være en stor opgave at centralisere uden et støttesystem. Proceskontrol knytter sig i første omgang til at anlægge et nyt perspektiv på det, vi kalder brugerens systemmæssige livscyklus: Ansættelse, flytning/omplacering og ophør/afskedigelse. Praksis på området viser typisk, at processen rummer en udpræget mulighed for at begå fejl. Fejlene kan både være operationelle, kommunikative og følger af ændringer, der ikke er registrerede. Samtidig hviler processen ofte på enkelte medarbejdere og er dermed sårbar overfor fravær, sygdom og lignende. Ved processen automatiseres, struktureres og sikres en ensartet håndtering af opgaven, så selve processen er kendt, anerkendt og kan underlægges en reel chance-proces (ift. ITIL - DS-484). Processen kan gennemføres uden, at specifikke medarbejdere er til stede eller har nogen former for systemkendskab. Samtidigt vil en sådan model opfylde de samlede dokumentationskrav, der gælder for tildeling, ændring eller fjernelse af rettigheder til de omfattede IT-systemer. Herudover tilbyder IDM proceskontrol for generelle forretningsprocesser, som rummer vidtgående perspektiver på længere sigt. Ved ansættelse af medarbejdere vil der ofte være delprocesser, der ikke umiddelbart er IT-relaterede. Det kan være bestilling af skrivebord, telefon og andet udstyr samt udlevering af personalehåndbøger m.v. Ved at anvende IDM-provisioneringsmodulet kan disse processer systematiseres, og ved at bruge workflows sikres det, at alle opgaver uddelegeres til rette vedkommende og løses inden for den aftalte tidsramme. Fordelene ved denne del af IDM gælder ikke kun IT-området. Den helt overordnede gevinst i alle sammenhænge er, at opgaver beskrives, standardiseres og gennemføres i henhold til en konkret målsætning. Resultatet er, at tidsforbruget til gennemførelsen af opgaven reduceres, antallet af fejl minimeres, ventetiden for medarbejderen, der skal bruge en ressource, reduceres eller fjernes, og det kan dokumenteres i hvilket omfang, der leves op til målsætningerne. En beregning af effekterne kunne tage udgangspunkt i, hvor lang tid der går, fra en given nyansat medarbejder møder op, til personen har alle de nødvendige ressourcer (fysiske ting, brugerkonti, rettigheder osv.) for at kunne udføre sig arbejde. Hvis antagelsen er, at der går fem dage indenfor den første måned med at vente på ressourcer, er den økonomiske gevinst for en virksomhed med 500 nyansatte pr. år mere end tre millioner kroner Sikkerhed Sikkerhedsaspektet handler i første fase om risikostyring, som der har været fokus på i mange år Midlertidig tildeling af systemadgang er en udfordring for alle virksomheder og en risikofaktor, der skal tages alvorligt. Risikoen er, at uautoriserede medarbejdere kan anvende systemet samt manglende procedurer omkring fratagelse af autorisation. Derfor er risikostyringens formål at sikre, at adgangen til ITsystemer tildeles på kendte og anerkendte beskrevne kriterier. Erfaringer viser, at en medarbejders anciennitet i en virksomhed ofte modsvarer antallet af systemer og funktioner, den enkelte har adgang til. I praksis er årsagen, at der ofte er ensidig fokus på tildeling af rettigheder, mens der er begrænset fokus på fratagelse af rettigheder. Dette gælder både medarbejdere, der skifter stilling, men i høj grad også for medarbejdere, der fratræder deres stilling. Udfordringen aktualiseres yderligere af, at en række IT-systemer, herunder ESDH-systemer, ofte ikke tillader, at en medarbejder helt fjernes fra systemet, men blot inaktiveres, idet sporbarheden ellers går tabt i systemet. IAM leverer i denne sammenhæng en dokumenteret og struktureret model for tildelingen af adgang til forretningssystemer, samt fratagelse af disse rettigheder. Workflows sikrer, at autorisationen leveres af de personer, der har det operationelle ansvar for de forretningssystemer, der gives adgang til. Gennem en rollebaseret autorisationsmodel kan forretningssystemer sikres, så systembrugere udelukkende har den nødvendige systemadgang. En beregning af fordelene på dette område er vanskelig, idet der ikke foreligger nogen tilgængelige tal, der beskriver omkostningerne ved fejl eller misbrug forårsaget af uautoriseret systemadgang. Case: [IAM Beskrivelse] Page no. 12 of 24

13 Et delområde, der berøres af sikkerhedsaspektet, er softwarelicensering. Størstedelen af de forretningssystemer, der anvendes, vil være omfattet af en licensmodel, hvor antallet af brugere er afgørende for systemets pris. Hvis brugere ikke nedlægges eller autorisationer ikke fjernes, vil der være en skjult omkostning, der belyses, når systemet udsættes for en såkaldt Audit. Softwareproducenterne har i stigende grad fokus på dette område, og det er ikke ualmindeligt, at der er udsving på 10 procent mellem det antal licenser, der anvendes og det, der rent faktisk er behov for Compliance - Revision Alle virksomheder er underlagt en række eksterne krav og retningsliner for den praksis, der handler om ITsikkerhed. For private virksomheder kan kravene være defineret af ejerskabet og de derpå følgende krav til regnskabsaflæggelse mv. Revisionen dokumenterer ofte, at kravene er opfyldt. Mere omfattende krav kan være defineret af ISO, SOX eller andre standarder. For det offentlige gælder tilsvarende krav eller retningslinjer. Staten og kommunerne har indført DS-484, både fordi det er en god standard, der sætter systematik i sikkerhedsarbejdet, og fordi kravene fra DS-484 i stigende omfang vil ramme kommunerne i takt med, at fællesoffentlige datasamarbejder vokser i omfang og betydning. Skal en organisation leve op til kravene i DS-484, kræver det en systematisk tilgang til IT-ledelse, styring, risikovurdering og en bevidstgørelse af roller og ansvarsfordeling. DS-484 fokuserer på at skabe standardisering af processer indenfor: Fortrolighed Integritet Tilgængelighed Alle kommunens sikkerhedsforanstaltninger skal tage stilling til disse faktorer. En implementering af DS-484 sikrer, at alle de nødvendige vurderinger bliver foretaget. Fortrolighed skal sikre, at data kun kan gives til de personer, der har legitim interesse i oplysningerne. Integritet skal sikre, at de data kommunen anvender, er relevante, præcise og opdaterede. Samtidig skal integritet sikre, hvilken kvalitet data skal have og hvem der er ansvarlig for opdatering og indberetning. Tilgængelighed skal sikre, at de relevante personer altid har adgang til relevante data. Det handler blandt andet om: den tekniske drift af systemer at systemer og data er tilgængelige for borgere og medarbejdere at der ikke er tekniske nedbrud at den fysiske tilgængelighed til systemer og data er sikret at systemer og data er beskyttede mod ødelæggelse, tyveri og lignende En afgørende forudsætning for implementering af DS-484 er, at der etableres en struktur i sikkerhedsarbejdet. Formålet med strukturen er at planlægge, implementere, overvåge og følge op på dette arbejde alt sammen i en tilbagevendende cyklus. Det er i dette dokument ikke muligt at præsentere en detaljeret beskrivelse af kravene i DS-484 eller andre standarder for IT-Governance. For at koble Identity og Access Management til de områder, hvor det er relevant, findes her en liste over de hovedområder, der er omfattet af DS-484: Risikovurdering og håndtering: En risikovurdering tager udgangspunkt i organisationens forretningsmæssige forhold, trusselsbillede, sårbarhed og konsekvenserne, hvis et uheld skulle ske. Overordnede retningslinjer: IT-sikkerhedspolitikken er det centrale styringsredskab for lederen af ITsikkerhed. Som det første skal en sikkerhedspolitik for IT formuleres og godkendes af ITsikkerhedsudvalget. Case: [IAM Beskrivelse] Page no. 13 of 24

14 Organisering af informationssikkerhed: IT-sikkerhed skal styres og hele tiden evalueres af lederen af IT-sikkerhed, IT-sikkerhedsudvalget og ledelsen i organisationen. Størstedelen af IT-sikkerhed består i organisation, kun en mindre del er teknik. Styring af informationsrelaterede aktiver: I en organisation skal der udpeges en ansvarlig for hver informationsaktiv og de kritiske IT-funktioner. Der skal være et princip for klassificering af informationer, håndtering, accepteret brug og mærkning. Medarbejdersikkerhed: Det er vigtigt, at medarbejderne kender og bruger de administrative procedurer, som skal sikre virksomheden mod menneskelige fejl og uhensigtsmæssig adfærd. Fysisk sikkerhed: Vurdér, om institutionen er tilstrækkeligt sikret mod eksterne trusler med alarmer, adgangskontrol, beskyttelse af udstyr m.m. Styring af netværk og drift: I en DS-484-kontekst handler styring af netværk og drift om samarbejde med eksterne parter, drift af afviklingsprocedurer, ændringshåndtering, eksterne serviceleverandører, styring af driftsmiljøet, programmer, der volder skade, sikkerhedskopiering, netværkssikkerhed, datamedier, informationsudveksling og elektroniske forretningsydelser m.m. Adgangsstyring: Adgangsstyring handler bl.a. om krav til adgangskontrol og adgangsadministration, mobilt udstyr og fjernarbejdsplads. Anskaffelse, udvikling og vedligeholdelse: Viden om, hvordan man køber, udvikler og vedligeholder informationsbehandlingssystemer. Hvis DS-484 overholdes, skal der blandt andet være styr på anskaffelse og afskaffelse. Styring af sikkerhedshændelser: Sikkerhedshændelser skal styres og rapporteres, og svagheder skal håndteres. Beredskabsstyring: Rådgivning, planlægning, afprøvning og vedligeholdelse af beredskab. Et beredskab, der ikke er vedligeholdt, er ikke noget beredskab. Implementeringen af DS-484 handler om organisation, proces og dokumentation. Hvor stor en omkostning, der er forbundet med den samlede implementering, er et vanskeligt spørgsmål at besvare. Sikkert er det, at en række IT-støttesystemer skal implementeres, hvis virksomheden vil sikre, at den lever op til intentionerne i standarden. Der er generel konsensus omkring, at en rollebaseret autorisationsmodel bidrager til at løse en lang række af de udfordringer, DS-484 byder på. Det betragtes som et nødvendigt styringselement, idet det er vanskeligt at forestille sig, at en individualiseret autorisationsmodel lader sig dokumentere og kontrollere. Identity og Access Management kan i forhold til DS-484 blandt andet bidrage med: En central rollebaseret autorisationsmodel Dokumenteret og processtyret provisionering og deprovisionering af brugere og systemrettigheder Fastlæggelse af data-autoritative kilder Specifikation og konkretisering af systemejere Fastlæggelse af ansvarsfordeling for tildeling af rettigheder Konkretisering/automatisering af procedurer og arbejdsgange Systematik og ensartethed i den samlede sikkerhedspraksis Sporbarhed og dokumentation på samtlige omfattede systemer - både når det gælder styring af systemrettigheder og sammenhænge til andre systemer. Det samlede rationale på dette område er umiddelbart svært at vurdere, da omkostningerne forbundet med compliance sjældent er kendt. Identity og Access Management kan bidrage til at løse en række af de systemiske udfordringer, der gør sig gældende, men kan, udover dette afgrænsede område, også bruges mange andre steder. 6.1 Virksomhedsbeskrivelse 6 OM IT QUALITY Case: [IAM Beskrivelse] Page no. 14 of 24

15 IT Quality er et konsulenthus med ca. 40 ansatte fordelt på hovedkontoret i Brøndby og regionalkontoret i Jylland. IT Quality blev stiftet i slutningen af 1998 af erfarne IT-folk med mange års branchekendskab. IT Quality er flere gange blevet belønnet med priser bl.a. i 2007 som Novell Best Solution Provider i EMEA (Europe, Middle East and Africa) og i 2005, hvor firmaet blev kåret som IT-Gazellevirksomhed af dagbladet Børsen. I dag er virksomheden førende indenfor Mixed Source med både Open Source og proprietære produkter fra bl.a. Microsoft, Novell og Citrix. IT Quality er en visionær virksomhed, der lægger stor vægt på medarbejdernes udvikling og uddannelse, derfor bruger virksomheden en del ressourcer på at uddanne og certificere medarbejderne. Det er en strategisk målsætning for IT Quality, at den enkelte medarbejder opnår dybe kompetencer indenfor et afgrænset felt, men samtidig formår at udnytte sine kompetente kollegaer i videndeling på projekter. Gennem videndeling, projektgrupper og det høje efteruddannelsesniveau opnås en ægte kompetent og dynamisk virksomhed, der skaber et attraktivt miljø for medarbejdere med spidskompetencer. Se uddrag af en generel referenceliste i bilag 1 og en uddybende kundebeskrivelse i bilag Organisationen Case: [IAM Beskrivelse] Page no. 15 of 24

16 IT Quality er en projektorganisation, der lægger stor vægt på udveksling af viden og kompetencegrupper. Flere medarbejdere er certificerede i ITIL og Prince2. Det sikrer kunden en gennemprøvet og veldokumenteret projekthåndtering med et højt niveau af kvalitetssikring og informationsformidling. Hovedparten af medarbejderne findes i konsulentorganisationen, hvor konsulenterne hele tiden sørger for at være opdaterede gennem løbende efteruddannelse og certificering. Case: [IAM Beskrivelse] Page no. 16 of 24

17 Nedenfor er en liste med uddrag af vores kunde bredde: 7.1 Offentlige virksomheder Faaborg-Midtfyn Kommune Mariagerfjord Kommune Nuuk Kommune (Grønland) Islands skolevæsen Herning Kommune Viborg Kommune Beskæftigelsesministeriet Statens Serum Institut Hvidovre Hospital Skatteministeriet Det Biovidenskabelige Fakultet (KVL) 7 BILAG 1 - REFERENCEOVERSIGT 7.2 Foreninger og organisationer Forbundet Træ-Industri-Byg i Danmark Danmarks Lærerforening Dansk Sygeplejeråd Dansk Funktionærforbund Kost og Ernæringsforbundet Det Grønlandske Hus 7.3 Private virksomheder FIH Erhvervsbank Berlingske IT Scanvægt Marel Food Systems Vest-Wood (som nu hedder Jeld-Wen) Sonion Bravida Missionpharma Berendsen Textil Case: [IAM Beskrivelse] Page no. 17 of 24

18 8 BILAG 2 HISTORIE FRA DET VIRKELIGE LIV 8.1 Faaborg-Midtfyn Kommune - vision og fakta Faaborg-Midtfyn Kommune skal være en dynamisk og nyskabende arbejdsplads, der formår at imødekomme krav fra den moderne medarbejder. Vi skal være en kommune, der forstår betydningen af kommunikation, og vi skal gøre digitaliseringen til en aktiv medspiller i vores hverdag, der styrker nærheden til borgerne og de ansatte imellem. Areal (i ha): Folketal pr. 1. januar 2006: Ansatte: Elever: Formål Faaborg-Midtfyn Kommune ønskede at få etableret en IDM-webportal, hvor ledere og IT-medarbejdere kunne oprette, ændre, nedlægge samt vedligeholde informationer om deres medarbejdere. I forbindelse med oprettelse og ændringer i organisationen blev medarbejderne oprettet i IT-systemerne og tildelt de nødvendige adgangsrettigheder. Dette skulle ske gennem workflow - i første omgang med godkendelse fra IT Afdelingen. 8.3 IT-vision Det er vigtigt, at fremtidens brugerstyrings- og sikkerhedsløsninger understøtter virksomhedens valg af strategiske systemplatforme uanset om det er Windows, Linux, Unix, eller Mainframes - og applikationsplatforme. Hermed modvirkes også uønskede tætte bindinger til enkelte IT-producenter. Kommunen ønskede også at fjerne de ekstra omkostninger, der kommer under udvikling af webapplikationer og i den generelle drift af brugervedligeholdelse. Det var vigtigt, at løsningen allerede fra begyndelsen kunne håndtere både borgere og medarbejdere. Borgere eller medarbejdere bør kunne logge ind én gang og herefter have adgang til alle de services, som kommunen ønsker at stille til rådighed for vedkommende. 8.4 Løsning Løsningen er valgt for at effektivisere og nedsætte ekspeditionstiden i forbindelse med oprettelse/ændring/ nedlæggelse af medarbejdere. Helt konkret betyder det, at den ansvarlige leder i en institution i forbindelse med ansættelse af en medarbejder, selv kan initiere en brugeroprettelse og ved hjælp af foruddefinerede roller disse er hæftet på stillingsbetegnelsen kan tildele rettigheder til de forskellige systemer. På sigt vil medarbejdere også blive oprettet i lønsystemet (KMD/SAP-løsningen), hvor lønmedarbejderen, der har ansvaret for det pågældende område, bliver adviseret for derefter at kunne færdiggøre oprettelsen i lønsystemet med de mere specifikke lønkoder etc. Når en medarbejder fratræder, sikrer løsningen hurtig inaktivering af password til de forskellige systemer, som medarbejderen har haft adgang til, ved at lederen initierer en nedlæggelsesproces via portalen. Herefter rydder løsningen op i de respektive systemer og medarbejderen mister sine rettigheder. Vi forventer os meget af løsningen, ikke mindst fordi de meget høje sikkerhedskrav bliver opfyldt. Samtidig giver det en følelse af frihed ikke at være afhængig af andre. Case: [IAM Beskrivelse] Page no. 18 of 24

19 8.5 Identity Vault - Metadirectoriet Faaborg-Midtfyn Kommunes løsning indeholder de fire stærke Novell-komponenter: Identity Manager Access Manager Nsure Audit SecureLogin Alle produkterne integrerer med hinanden og kan dele oplysninger på kryds og tværs. FMK MetaDirectory Løsning 430WF IDS1 FMKMETA FMKAUTH Opslag 4 430AGW1 FAABORGMIDTFYN Group 2 Group 3 User User User User 430IDM1 430AUTH1 430META1 Hele designet er bygget omkring MetaDirectory-tankegangen. Løsningen kan skaleres til at håndtere samtlige brugere i Danmark, hvis dette var ønsket. Case: [IAM Beskrivelse] Page no. 19 of 24

20 8.6 Workflow 1) Via webform initierer brugeren en request for brugeroprettelse 2) Workflowet sender notifikation til en gruppe af beslutningstagere. en indeholder relevante informationer fra den initierende bruger 3) En beslutningstager afviser oprettelsen (eller timeout når fem dage er nået) 4) Workflowet notificerer den initierende bruger om afvisningen evt. med en begrundelse 5) En beslutningstager accepterer ønsket om oprettelsen 6) Objektet bliver oprettet 7) Workflowet genererer unikt brugernavn og kopierer relevante oplysninger som adresse 8) Objektet bliver synkroniseret til de relevante applikationer 9) Objektet bliver synkroniseret til de relevante applikationer. 10) Informationer kan sendes tilbage til MetaDirectoryet, hvis man ønsker det 11) Objektet bliver synkroniseret til de relevante applikationer 12) Informationer kan sendes tilbage til MetaDirectoryet, hvis man ønsker det 13) Workflowet notificerer den initierende bruger. Mailen indeholder brugernavn, det fulde navn, og password Case: [IAM Beskrivelse] Page no. 20 of 24