Käyttöoikeuksien hallinta – pääkäyttäjän opas

Yleiskatsaus

Hallinnointi on keskeinen osa onnistunutta käyttöoikeuksien hallintaa, ja se varmistaa, että data ja tiedot ovat tarkkoja ja voimassa, jotta käyttäjäpersoonat voivat tehdä ja hyväksyä käyttöoikeuspyyntöjä. 

Keskeiset haasteet ja hyödyt 

Käyttöoikeuksien hallinta on haastavaa, koska organisaatioiden on hallittava yhä monimutkaisempia ja hajanaisempia IT-ympäristöjä, joissa on paljon järjestelmiä, rooleja ja identiteettityyppejä, samalla kun näkyvyys siihen, kenellä on pääsy mihinkin ja miksi, puuttuu, ja käytössä on paljolti manuaalisia ja epäyhtenäisiä prosesseja käyttöoikeuksien myöntämiseen, hyväksymiseen ja katselmointiin, elinkaaressa on aukkoja kuten viivästynyt perehdytys ja käytöstä poistaminen, käyttöoikeudet kasautuvat tarpeettomiksi ajan myötä (access creep), ja samaan aikaan on täytettävä tiukat tietoturva-, auditointi- ja vaatimustenmukaisuusvaatimukset estäen samalla riskejä kuten liialliset käyttöoikeudet, tehtävänjaon eriyttämisristiriidat (segregation of duties) ja liiallinen riippuvuus yksittäisten pääkäyttäjien dokumentoimattomasta tietämyksestä.

Käyttöoikeuksien hallinnan käyttöönoton hallinnolliset hyödyt

Kun IGA-ratkaisu otetaan käyttöön, käyttöoikeuksien hallinta siirtyy hajanaisista, manuaalisista ja reaktiivisista prosesseista keskitettyyn, automatisoituun ja käytäntöpohjaiseen lähestymistapaan, joka parantaa näkyvyyttä käyttöoikeuksiin, standardoi roolien määrittämisen, sujuvoittaa elinkaaren hallintaa, mahdollistaa itsepalvelun ja työnkulkupohjaiset hyväksynnät, varmistaa vaatimustenmukaisuuden ja vähentää merkittävästi operatiivista työmäärää samalla kun tietoturva, yhdenmukaisuus ja auditointivalmius paranevat.

• Alhaisemmat operatiiviset kustannukset vähentämällä manuaalista käyttöoikeuksien hallintatyötä
• Pienemmät tietoturvariskit valvotun ja seuratun pääsyn ansiosta
• Parempi vaatimustenmukaisuus ja auditointivalmius, mikä minimoi auditointityön ja -havainnot
• Parempi näkyvyys ja hallinta siihen, kenellä on pääsy mihinkin koko organisaatiossa
• Yhdenmukaiset ja standardoidut prosessit, mikä vähentää virheitä ja tehottomuutta
• Vähemmän riippuvuutta avainhenkilöistä, mikä tekee toiminnasta kestävämpää
• Skaalautuva käyttöoikeuksien hallinta, joka tukee liiketoiminnan kasvua ja muutosta
• Enemmän aikaa IT:lle keskittyä strategiseen työhön toistuvien tehtävien sijaan

Käyttöoikeuksien hallinnan uudistaminen keskeisten käyttötapausten avulla

Jos IGA-ratkaisu otetaan käyttöön ensimmäistä kertaa, suositeltu järjestys käyttötapausten toteuttamiselle ja noudattamiselle eroaa siitä, kun etsitään yksityiskohtaista tietoa tilanteessa, jossa IGA-ratkaisu on ollut käytössä jo jonkin aikaa.

xxx

Käyttäjäpersoonat:

xxx

Käyttötapaus: Sovellusten hallinta

Sovellusten hallinta on keskeinen käyttötapaus käyttöoikeuksien hallinnassa, erityisesti silloin kun loppukäyttäjät ja esimiehet etsivät ja pyytävät käyttöoikeuksia sovellusnimien perusteella. Se varmistaa, että käyttöoikeuspyynnöt ovat intuitiivisia ja että käyttöoikeudet ovat selkeästi yhdistetty oikeisiin sovelluksiin. Tämä myös parantaa läpinäkyvyyttä ja helpottaa auditointia, koska on selvää, mitkä käyttöoikeudet kuuluvat mihinkin sovellukseen.

Olennainen tietokokonaisuus

Sovellusten hallinta ei ole yhtä syvällistä kuin ohjelmistoresurssien hallintaprosesseissa (Software Asset Management); IGA-ratkaisu tarvitsee vain minimimäärän tietoa sovelluksesta, ja käyttöoikeussuhteet muodostetaan entitlement-hallinnan käyttötapauksessa.

Pakolliset tiedot

• Sovelluksen nimi
• Sovellustunnus (Application ID)
• Sovelluksen omistaja
• Ympäristötyyppi (tuotanto, testi, kehitys)
• Tila (käytössä, poistettu käytöstä)

Suositellut tiedot

• Sovelluksen kuvaus
• Muut hyödylliset tiedot, kuten integraatiot, kustannukset, luottamuksellisuus jne. 

Sovellustietojen luominen ja ylläpito

IGA-ratkaisu tukee sovellusten hallintaa kolmella päätavalla:

1. Automatisoitu integraatio olemassa olevista järjestelmistä 
   • Sovelluksia voidaan tuoda esimerkiksi Enterprise Service Management (ESM)-, CMDB- tai Software Asset Management (SAM) -työkaluista natiivien konnektorien avulla. Tämä data voidaan synkronoida automaattisesti aikataulun mukaan, mikä varmistaa, että sovellustiedot pysyvät ajan tasalla.
2. Kertaluonteinen tuonti 
   • Sovellustietoja voidaan tuoda ulkoisista tiedostoista (esim. Excel). Tämä on hyödyllistä alkuasetuksessa tai kun tietoa integroidaan lähteistä, joihin ei ole suoraa järjestelmäyhteyttä. Tietojen ylläpito edellyttää toistuvia tuontikertoja tai manuaalista hallintaa.
3. Manuaalinen hallinta IGA-ratkaisussa
   • Sovelluksia voidaan ylläpitää myös suoraan IGA-järjestelmässä. Tämä edellyttää selkeää prosessia päivitysten hallintaan, kuten uusien sovellusten lisäämiseen tai olemassa olevien käyttöoikeuksien muokkaamiseen, jotta tiedot pysyvät oikeina.

Sovellustietojen poistaminen

Jos sovellus ei ole enää käytössä yrityksessä, suositus on säilyttää siihen liittyvä käyttöoikeusdata niin kauan kuin asiakkaan vaatimukset edellyttävät. 

xxx

Käyttötapaus: Entitlementtien hallinta

Entitlementit IGA (Identity Governance and Administration) -ratkaisussa määritellään kohteiksi, jotka kuvastavat käyttöoikeuksia ja joita voidaan hallita joko automaattisesti tai manuaalisesti. Ne toimivat keskeisenä osana käyttäjän elinkaaren ja käyttöoikeuksien hallintaa IGA-viitekehyksessä.

Entitlementit IGA-ratkaisussa voidaan luoda usealla tavalla: ne voidaan tuoda automaattisesti hakemistoista tai sovelluksista, luoda manuaalisesti IGA-pääkäyttäjien toimesta, tai generoida organisaatiodatan tuonneista. Kun entitlementti on luotu, se voidaan provisioida käyttäjille joko automaattisesti, manuaalisesti pääkäyttäjien toimesta, tai hybridimallilla, jossa osa vaiheista on automatisoitu ja osa vaatii manuaalista toimintaa. 

IGA-pääkäyttäjät voivat hallita entitlementin tietoja, kuten yleisiä tietoja, hyväksyntätasoja ja suhteita organisaatiorakenteisiin, kuten kustannuspaikkoihin tai titteleihin, samalla kun järjestelmä seuraa ja auditoi kaikki muutokset ja käyttöoikeudet vaatimustenmukaisuuden ja tietoturvan varmistamiseksi. 

Lisäksi entitlementtejä voidaan tarjota itsepalveluna, jolloin käyttäjät voivat pyytää tai muokata käyttöoikeuksia tarpeen mukaan. Niiden elinkaari hallitaan kokonaisuudessaan, kattaen luomisen, päivitykset ja poistamisen määriteltyjen prosessien kautta. Kaiken kaikkiaan entitlementit ovat IGA-ratkaisun keskeinen osa, joka mahdollistaa tehokkaan käyttöoikeuksien hallinnan varmistaen samalla asianmukaisen tietoturvan ja vaatimustenmukaisuuden.

Olennainen entitlement-tietokokonaisuus

Mitä enemmän entitlementti sisältää tietoa ja suhteita, sitä syvällisempiä auditointitietoja voidaan tuottaa. 

Pakolliset tiedot

• Tila
• Tekninen nimi (yleensä luetaan hakemistoista tai sovelluksista)
• Selkonimi (näkyy Self-Servicessä ja raporteissa)
• Provisiointityyppi (automaattinen, manuaalinen, yhdistetty)
  • Jos manuaalinen tai yhdistetty, pakollista lisätä vastaanottaja manuaalista pyyntöä varten (tiimi tai sähköpostiosoite) 
• Sovellus

Pakolliset tiedot, kun entitlementti julkaistaan Self-Serviceen

• Kuvaus
• Hyväksyntätaso
  • Jos hyväksyjä 1 tai 2 on valittu, pakollista lisätä hyväksyjän tiedot
• Classic Self-Service -tiedot
  • Julkaisu sisäiseen pyyntökatalogiin, pakollista valita kategoriat 
  • Julkaisu entitlementtien luonti- tai päivityspalveluun, pakollista valita, vaaditaanko muutoksille hyväksyntä
• New Self-Service
  • Julkaisu katalogikohteena
  • Julkaisu lomakekohteena (list view)
• M42 Enterprise Self-Service
  • Julkaisu katalogikohteena
  • Julkaisu lomakekohteena (pudotusvalikko)

Valinnaiset tiedot

• Riskitaso