Семинар Центра компетенции «Управление идентификационными данными и доступом к информации». Подробнее о мероприятии http://www.croc.ru/action/detail/1639/ Презентация Андрея Заикина, технического менеджера компании КРОК

1. Андрей Заикин,
МЕНДЖЕР ПРОЕКТОВ
ПО ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ
КОМПАНИИ КРОК
ОПЫТ КРОК ПО ВНЕДРЕНИЮ
IAM-СИСТЕМ

2. АРХИТЕКТУРА И ПРИНЦИП
РАБОТЫ РЕШЕНИЯ

3. КОМПОНЕНТЫ IAM-ПРОЕКТА
• Инфраструктурные компоненты IAM
• Интегрируемые системы
• Информационные ресурсы
• Процессы IAM
• Персонал
• Документация

4. ОСОБЕННОСТИ КОМПЛЕКСНЫХ
IAM-ПРОЕКТОВ
• Происходит реинжиниринг процессов, связанных с
управлением идентификацией и доступом
• Необходимо участие архитектора, аналитиков,
инженеров, разработчиков
• Вовлечение множества
подразделений компании-заказчика

5. ОСНОВНЫЕ ЭТАПЫ ПРОЕКТОВ
• Обследование и аудит ИС и процессов
Результат: сформированные требования и концепция
(организационная и техническая часть)
• Проектирование решения, разработка рабочей документации
Результат: создание рабочего проекта
• Построение процессов IAM
Результат: формализованные процессы (регламенты, процедуры)
• Разработка системы
Результат: разработанные коннекторы, логика, интерфейсы
• Развертывание системы, внедрение процессов IAM, обучение
персонала
Результат: внедренное решение, подготовленный персонал

6. ПРОЕКТ ПО ВНЕДРЕНИЮ IAM
НА БАЗЕ ORACLE IAMS + ORACLE ESSO

7. ПРОБЛЕМЫ И ПОТРЕБНОСТИ ЗАКАЗЧИКА
• Большое количество каталогов идентификационных
данных, которые требуется поддерживать в
актуальном состоянии (более 150)
• Длительное время предоставления доступа к
информационным ресурсам (порядка 3-5 дней)
• Особенности архитектуры не позволяют
организовать строгую аутентификацию
в ряде корпоративных приложений
(в том числе не портале)

8. ОСНОВНЫЕ ЭТАПЫ ПРОЕКТА
• Разработанная
IAM –система
• Рабочая документация
Разработка и внедрение
решения
• Технический проект
• Регламенты, процедуры
процессов IAM
• Описание существующих
бизнес-процессов
• Концепция IAM
• Техническое задание
Обследование и аудит
Разработка требований
Разработка концепции
Разработка технических
и организационных
решений

9. РЕЗУЛЬТАТЫ АУДИТА
• Организационная документация по управлению
идентификационными данными и доступом не полная
• Отсутствует актуальный перечень информационных
ресурсов (ИР) и их владельцев
• Отсутствует формальное описание политики доступа к
ИР компании
• Отсутствует аудит прав доступа к ИР и соответствующий
инструментарий
• Невозможно оценить показатели процессов управления
идентификационными данными и доступом для их
развития

10. АНАЛИЗ РИСКОВ
ПО РЕЗУЛЬТАТАМ АУДИТА
Выявленные проблемы Возможные негативные последствия
Полномочия пользователей больше
необходимого
Утечка конфиденциальных данных
Полномочия пользователей меньше
необходимого
Снижение продуктивности сотрудников
Сложно получить достоверную картину
прав доступа при аудите
Несоответствие требованиям
регуляторов и аудиторов
Многократное дублирование
идентификационных данных в ИС
Высокая стоимость владения, большие
затраты на администрирование
Множественные методы
аутентификации в приложениях
Потеря/хищение идентификационных
данных

11. ТЕХНИЧЕСКОЕ РЕШЕНИЕ IAM
ПУИД
ПУД
ПОА
MS Exchange
OeBS (users)
ServiceDesk
Портал
СЭД
OeBS (HR)
PKI
Биллинг 2
MS AD
Интегрированные информационные системы
Биллинг 1
Биллинг 3

12. ОРГАНИЗАЦИОННОЕ РЕШЕНИЕ IAM

13. Планирование
Реализация и
эксплуатация
Мониторинг
и анализ
Поддержка и
улучшение
РЕКОМЕНДАЦИИ
ПО ПОСТРОЕНИЮ ПРОЦЕССОВ IAM

14. Сотрудник
ДолжностьБизнес-роль
Ежедневные обязанности
IT-Role
Набор ролей в приложениях
IAMобеспечиваетсвязьбизнесаиИТ
Приложения / ресурсы
Базовая
функциональная
роль
Роль в системе
Специфичные права
и ресурсы в системе
Ролив
IAM
Ролив
организации
Роль в системе
Специфичные права
и ресурсы в системе
Роль в системе
Специфичные права
и ресурсы в системе
IT-Role
Набор ролей в приложениях
Ролив
ИС
РОЛЕВАЯ МОДЕЛЬ УПРАВЛЕНИЯ
ДОСТУПОМ

15. IAM-ИНТЕРФЕЙС
Система IAM +
Корпоративный портал

16. ПОЛУЧЕННЫЕ ПРЕИМУЩЕСТВА
• Сокращение времени предоставления доступа к ИР
повышение продуктивности работы сотрудников
• Автоматизация процессов управления
идентификационными данными и доступом
снижение расходов на администрирование
• Реализация ряда организационных
и технических мер ИБ
повышение общего уровня ИБ
организации

17. РЕКОМЕНДАЦИИ ПО РЕАЛИЗАЦИИ
IAM-ПРОЕКТОВ
• Поддержка со стороны руководства
• Формирование единой проектной команды
• Включение в проектную команду сотрудников отдела
кадров, ИТ, ИБ
• Привлечение отдела кадров на ранних этапах
• Создание «Центра развития IAM»
• Разбиение внедрения на фазы (очереди)
• Тщательный подход к выбору
и проработке решения

18. СПАСИБО ЗА ВНИМАНИЕ!
Андрей Заикин,
МЕНEДЖЕР ПРОЕКТОВ
ПО ИНФОРМАЦИОННОЙ
БЕЗОПАСНОСТИ КОМПАНИИ КРОК
ТЕЛ. (495) 974-2274 ДОБ.6424
E-MAIL: azaikin@croc.ru