Common pitfalls in IAM-projects (Finnish)

1. IdM-hankkeen läpivieminen
organisaatiossa
Kim Westerlund, Nixu
TTY/TLT-3600 Seminaari 14.1.2010,
Tietojenkäsittelyn turvallisuus
Jan-15-10 © Nixu 2009

2. Kim Westerlund Verkot & Tietoturva –konferenssissa 2006:
(Ajatuksia lainattu Mark Dixonilta)

3. IdM-projektin vaiheet
Suunnittele & valmistele
2010
Esiselvitys Kilpailuttaminen
PoC
-projekti
I. järjestelmä
2011
Loput
esivalitut
järjestelmät
2012

4. Holistinen IdM-ratkaisu on elefantti
Työntekijät Opiskelijat UFOt
• Periaa$eet • Periaa$eet • Periaa$eet
hallinta
Ratkaisu
• Tekniikka • Tekniikka • Tekniikka
Pääsyn‐
• Palvelut • Palvelut • Palvelut
• Prosessit • Prosessit • Prosessit
• Rajapinnat • Rajapinnat • Rajapinnat
• Periaa$eet • Periaa$eet • Periaa$eet
Ratkaisu
• Tekniikka • Tekniikka • Tekniikka
Käy$äjä‐
hallinta
• Palvelut • Palvelut • Palvelut
• Prosessit • Prosessit • Prosessit
• Rajapinnat • Rajapinnat • Rajapinnat
• Periaa$eet • Periaa$eet • Periaa$eet
• Tekniikka • Tekniikka • Tekniikka
Käy$äjä‐
Ratkaisu
2edot
• Palvelut • Palvelut • Palvelut
SSO SSO SSO

5. Elefantti tulee paloitella (esimerkki):
Aloitetaan keskittymällä opintojen aloitu, keskeytys ja
päätösprosesseihin. Käyttäjättiedot viedään automaattisesti
pariin valittuun käyttäjätietovarastoon.
Jan-15-10 © Nixu 2009

6. IdM-hankkeen strateginen peruste
Operatiivinen Tietoturva
tehokkuus
Kustannukset Riskit
Hankkeilla on usein vankka strateginen peruste,
mutta näinä aikoina tämä ei yksin riitä.
Mitkä ovat hankkeen nopeasti realisoituvat
hyödyt?

7. Miten prosessit ja kohdejärjestelmät
tulee valita?
 Aikainen liiketoimintahyöty
 Merki2ävä vaikutus kustannuksiin
 Korkea riskinhallinnallinen hyöty
 Suuri todiste2ava hyöty
 Otollinen tai helppo kohdeyleisö
 Krii<sen massan tarpeellisuus
Operatiivinen Tietoturva
tehokkuus
Kustannukset Riskit
Jan-15-10 © Nixu 2009

8. Mietittäväksi ennen projektin aloittamista – IdM-
projektin valmiustarkistus
 Näiden kysymysten selvittäminen ei saa olla liian
kivuliasta;
 Mitä haluat saavuttaa IdM-hankkeellasi ja miksi?
 Mitä kaikkia prosesseja IdM koskettaa?
 Onko tiedoilla ja tietojärjestelmillä omistaja ja onko se
tiedossa?
 Onko meillä aikaa IdM-hankkeelle?
 Onko kaikki oleelliset tahot mukana?
 Ymmärrämmekö miten IdM-palvelu vaikuttaa
tietoarkkitehtuuriimme?
 Onko meillä varaa hankkeen (lisenssikustannukset
voivat olla vain 30% hankkeen investoinnista)
 Miten varmistetaan että oma henkilöstä kykenee
ohjaamaan ulkoisen toimittajan työtä?
 Onko meillä johdon tuki?
 Vaikuttaako johdon tuki prosessimuutosten läpivientiin?
Jan-15-10 © Nixu 2009

9. JHS165: Tietojärjestelmien vaatimusten
määrittely osana järjestelmän hankintaa

10. Vaatimusmäärittelyn työkaluja
1. Käyttäjätarinat
http://en.wikipedia.org/wiki/User_story
2. Käyttötapaukset tärkeistä toiminnallisuuksista
http://en.wikipedia.org/wiki/Use_case
3. Kuvita toiminnallisuus rautalankamalleilla
4. Laadi projektisuunnitelman vaiheet (esim. 3kk)
siten että kunkin vaiheen jälkeen voidaan
näyttää sen tuoma hyöty organisaatiolle
… tarvitset näitä myöhemmin

11. Projektimenetelmät
 Miksi kannattaa ohjata
organisaatio
menetelmälähtöiseen projektiin?
– IAM-projektit ovat usein
haastavampi, kuin kuviteltiin –
noin 2/3 IAM-projekteista
epäonnistuu
 Kustannukset karkaavat
 Aikataulu venyy
 Lopputulokset eivät vastaa
odotuksia
 Menetelmälähtöinen hanke
onnistuu varmemmin – pohjana
kannattaa käyttää yrityksen
omaa
projektinhallintamenetelmistöä
tai kansainvälisiä viitekehyksiä
kuten PRINCE2 ja PMBOK
Jan-15-10 © Nixu 2009

12. Onnistuneen IdM-projektin suunnittelu
ja läpivienti vaatii esiselvitysvaiheen
Esiselvitys
03/13/09 © Nixu 2009

13. Kuinka paljon maksaa jos asialle ei
tehdä mitään…
 Päällekkäisestä työstä aiheutuvat
piilokustannukset
 Työteon tehottomuus kun
käyttövaltuuksia pitää odotella
 Tarkistukset, korjaukset ja auditoinnit
 Muut tietojärjestelmäprojektit joutuvat
keksimään ‘pyörää uudelleen’
 IdM-teknologia itsessään ei generoi hyötyjä
 Teknologia on mukana uusien
toimintaprosessien toteutuksessa

14. IdM-projektimenetelmä
• Optimaalinen IdM-projektimenetelmä keskittyy;
• Ihmisiin ja prosesseihin
• Liiketoimintahyötyjen viestintään,
• Vaatimuksiin ja käyttötapauksiin ja
• Riskienhallintaan
• Hyvin kuvatut lopputuotokset rakentuvat edellisten
vaiheiden tuloksiin
• Alueeseen erikoistuneilla konsulttiyrityksillä voi olla
tuotteistettu menetelmä

15. Vesiputousmalli
Järjestelmätoimittajan tarjous
Vaa>mus‐ Suun‐ Käy2öön‐
Toteutus Testaus Ylläpito
analyysi ni2elu o2o
h2p://en.wikipedia.org/wiki/Big_Design_Up_Front
Vesiputousmallin on arvosteltu olevan huono idea käytännössä.
Epätriviaalin projek>n täydellinen suunni2elu on mahdoton tehdä yhdessä vaiheessa ennen
siirtymistä seuraaviin ja ilman niiden tuomia opetuksia.
Jan-15-10 © Nixu 2009

16. … asiakkaan vastuulla olevat
asiat usein unohtuvat johonkin
Roadmapi Tukimalli Vies>ntä
Roolein
n kehitys louninta
Nyky>lan Prosessien
kartoitus kehitys Muutos‐
Jatkokehitys
Datan hallinta
Kokonais‐ Uusien tehtävien
siivous
arkkitehtu prosessien Roolein toteutus
uri käy2ööno2o hallinta
Jan-15-10 © Nixu 2009

17. Ketterä vesiputousmalli
• Esimerkkiprojek>ssa 9 vaihe2a, kesto
27 kk.
• Kiinteäkestoiset 3 kk vaiheet
tuo2avat tavoi2eiden mukaiset hyödyt
• Vahva projek>ohjaus, joustava
muutoshallinta (moduulit)
• Nixu tukee jatkuvas>
palvelutuotannon kehi2ämistä
• Huomioitu kaikki tekeminen, myös
käy2ööno2o ja prosessien jalkautus
© Nixu 2009

18. Tuotevalinnan vaikeus
Tuotteet per ratkaisualue
Identity Management Web Access Federated Single Sign-
management On
 Oracle Identity Manager
 IBM Tivoli Identity Manager  Sun Access Manager  Almost every access
 Sun Identity Manager  Oracle Access Manager management vendor
 CA Identity Manager  EMC/RSA Access Manger  PingIdentity
 BMC User Administration and  CA Siteminder access  Symlabs
Provisioning manager  OSS: OpenSAML, SourceID,
 SAP NetWeaver Identity  Novell Access Manager SimpleSAML
Management  BMC Access Management
 Novell Identity manager  IBM Tivoli Access Manager
 Omada Identity Manager  Entrust GetAccess
 Microsoft Forefront Identity  Ubisecure Ubilogin
Manager  Fujitsu mPollux
 Propentus Permission  OSS: OpenSSO, JOSSO,
Manager Pubcookie, WebAuth, JASIG
 OSS: Velo, Ganymede CAS

19. Oikean tuotteen valitseminen
 Tuote-evaluointi ja etenkin sen valinta ennen kun
tarpeet ovat tiedossa on tyypillisesti ajanhukkaa.
 Valinta tulee tehdä todellisiin käyttötapauksiin
perustuen, ei tuoteominaisuuksia vertailemalla.
 Mieti tarkkaan kuinka paljon haluat tuotetta
räätälöitävän
– Tekijän tulee tukea räätälöintejään
– Useimmat toiveet ovat mahdollisia toteuttaa mutta
vaativat kalliita räätälöintejä
– Prosessin yksinkertaistaminen on tyypillisesti
halvempaa
Jan-15-10 © Nixu 2009

20. IdM feasibility study (pre-study) deliverables
Deliverable Purpose
Work plan Project plan for pre-study phase
Work shop presentations Executive summary and supporting graphics
Identity management Helps to understand the Identity and Access Management concept and “speak the same
glossary language”.
Business overview with Describes the business as‐is and to‐be situa>on. The business environment with partner and
business flows descrip2on customer network material flows between the unit and other par>es. Explains the roles of par>es in
the process. Volumes of flows are a2ached. Business requirements are linked to the business flows
Requirements Understand and document the key requirements to be covered
• Business requirements (e.g. KPIs, cri>cal func>onalty)
• Process & organisa>on requirements (usability, language, resource reqeuirements)
• Performance requirements (speed, volumes)
• System requirements (integra>on)
• Technical requirements (infrastructure and environments)
• Data requirements
• General project requirements e.g. schedule, resources, other
Main requirements are recorded and priori>zed on the issue site latest when project is approved.
Solu2on architecture/ Descrip>on of in scope modules and components, remaining and replaced systems and required
Solu2on Match integra>on
Ini>al fit/gap list and open issues that need to be clarified
Business case Business case calcula>ng espected costs/benefits from the project
Management material Summarizes findings of feasibility study. Answers the ques>ons: ”why should the project be
implemented?” ”What should be implemented?” How and when and on what terms is it possible? ”
What are the risks and constraints?”. Decision to start project can be made.
© Nixu 2009

21. IdM on kehityspolku, joten muista…
1. Potkaise käyntiin 6. Ymmärrä nykytilan prosessit
oppimisprosessi
7. Tarjoa projektin aikana
2. Hanki ja säilytä johdon tuki vaihtoehtoja
3. Hanki yhteisymmärrys 8. Suunnittele prosessit ja
hyödyistä ajoissa hallintomalli
4. Hallitse ambitioita 9. Käyttöönota puhtaalla datalla
5. Osita, aseta järjestykseen ja
valloita

22. kim.westerlund@nixu.com
040 5123 125

23. Kiitos
Nixu Oy
P.O. Box 39 (Keilaranta 15)
FI-02150 Espoo
Finland
Tel +358 9 478 1011
Jan-15-10 © Nixu 2009