Identity Access Management Traditionel tilgang til Identity & Access Governance-projekter, udfordringer og muligheder Alex Sinvani ais@dubex.dk Dubex A/S
Formålet Opbygge en god konceptuel baggrund for senere diskusioner Overblik over udfordringer og muligheder indenfor området identity and access governance Introducere terminologien Kort belyse en mulig fremtidig retning
Eksplosion af ID er Antal Digitale identiteter Firmaet (B2E) Business Automation Partnere (B2B) Kunder (B2C) Mobility Internet Client Server Mainframe Tid Før 1980 erne 1980 erne 1990 erne 2000 erne
Hvad er Identity & Access Management? Er det autentificering? Er det tilladelsesgivning? Er det provisionering? Er det password management? Er det single sign-on? Er det revision og compliance overholdelse? Er det password synkronisering? Er det muligt nogensinde at virkelig opnå det? Alle ovenstående!!
Hvad er Identity & Access Management? Privileged Accounts Authorization
Den uforbundne virkelighed Enterprise Directory HR Systemmer Web Apps Lotus Notes Apps CRM ERP Egenudviklet Identitets kaos Behov for mange brugere og systemer for at udføre ens arbejde Adskillige repositories for identitets informationer; Flere bruger IDer, flere passwords Decentraliseret management, ad hoc data deling Egenudviklet
Multi Context Verden Kundetilfredshed & kunde-nærhed Omkostning, konkurrenceevne rækkevidte, personificering Dine KUNDER Dine LEVERANDØRER Din VIRKSOMHED og dine MEDARBEJDERE Collaboration Outsourcing Hurtigere forretningscyklus; Proces automation Værdikæde Dine REMOTE og VIRTUELLE MEDARBEJDERE M&A Mobil/global arbejdsstyrke Fleksibel/temp arbejdsstyrke Dine PARTNERE
Udfordringer per område IT Administrator Udvikler Slutbruger Sikkerhed/ Compliance Forretningsejer For mange user stores og account admin forespørgsler Usikre sync scripts Redundant kode i hver applikation Omskrivning af kode alt for ofte For mange passwords Ventetid for app tilgang og resourcer For mange orphaned accounts Begrænet auditerings muligheder For dyrt at nå ud til nye partnere og kanaler Behov for kontrol
Kan man ikke bare ignorer problemet? I dag anvender den gennemsnitlige bruger ca. 13-17 minutter per dag på at logge på En typisk bruger vedligeholder mellem 12-18 identiteter Antallet af phishing og pharming sider voksede med over 1800% over det sidste år Virksomhedens IT-drift håndtere i gennemsnit 73 applikationer og 46 leverandører, ofte med individuelle directories og identiteter Revisionen bliver hårdere og strammere ifm. overholdelse af compliance og auditering Inaktive konti og identiteter fører til sikkerhedsproblemer Kilder: Microsoft s internal research and Anti-phishing Working Group
Idéen omkring et Identity Metasystem IKKE et Identity Management System Aftale omkring metadata og protokoller Baseret på åbne standarder Supporteret af flere teknologier og platforme Efterlever (Microsoft s) Laws of Identity Men dette er ikke en Identity Access Governance løsning!
Husker I denne? Enterprise Directory HR Systemmer Web Apps Lotus Notes Apps CRM ERP Egenudviklet Egenudviklet
Identity Federation Identity Management System Identitets Helhed & Integration HR Systemmer Web Apps Enterprise Identity Privileged Account Management Lotus Notes Apps CRM ERP Access Management Enterprise Single Sign- On Egenudviklet Egenudviklet
IAM Fordele Fordele i dag (Taktisk) Spar penge og opnå en forbedret driftsmæssig effektivitet Fordele ved at komme videre (Strategisk) Ny måde at arbejde på Forbedret tid til at levere applikationer og services Hurtigere time to market Markant forbedret sikkerhed Regulaltiv Compliance og Auditering Tættere leverandør, kunde, partner og medarbejder relationer
Komponenter af IAM Administration User Management Password Management Privileged Account Management Workflow Delegation Segregation of Duties Access Management Authentication Authorization Audit Identity Management Account Provisioning Account Deprovisioning Synchronisation
Den organisatoriske udfordring Mennesker Compliant: Teknik Processer Governance KPI Top Forretningsprocesser KPI Ledelse Services KPI Mellemledelse Systemer KPI Drift medarbejdere Infrastruktur
IAM livscyklus Implementering Fortolkning af output Design af løsning Output Teknologisk løsning Ændringer ift. processer og org. Kravspec oversættelse af forretnings krav til teknik Validering af findings Risk ift. org/proces/tekn
Fleksibilitet og/eller kontrol?
Tak for opmærksomheden Alex Sinvani ais@dubex.dk