Система IdM: опыт эксплуатации

А.П.: Пришлось преодолевать инерцию части пользователей – есть люди, которые привыкли к «бумажным технологиям» и не хотели от них уходить. Впрочем, подобные проблемы возникают всегда при внедрении новых технологий, и мы к ним были готовы. Мы подготовили для пользователей инструкции и презентации, в которых в кратко и доступно описывается порядок выполнения каждой операции – подготовки запроса на права доступа, отправки, согласования, отзыва. В этом нам помогали сотрудники компании «Инфосистемы Джет». Все эти материалы были опубликованы на корпоративном портале. За полгода мы проблему решили.

Справедливости ради отмечу, что были и другие пользователи – те, которые буквально рвались работать в новой системе, как только узнали о планах ее запуска. И большинство достаточно быстро оценило ее преимущества – скорость и прозрачность прохождения заявок.

Е.Г.: Технические вопросы мы решили на этапе внедрения и тестовой эксплуатации. Другое дело, что в ходе промышленной эксплуатации возникали дополнительные пожелания по функционалу – с нашей стороны либо со стороны бизнес-подразделений. Этот функционал разрабатывался и внедрялся в рамках сопровождения системы. Но это часть стандартного жизненного цикла любой автоматизированной системы.

При интеграции IdM с каждым из бизнес-приложений тоже возникали свои нюансы, иногда требовалось сделать доработки и на стороне IdM, и со стороны приложения. Но, опять же, это нормальный процесс.

А.П.: Исходный продукт у нас кастомизирован процентов на 80. Помимо базового функционала IdM – собственно контроля прав доступа – у нас реализован ряд «надстроек». Одна из них – уже упомянутый пересмотр прав доступа. Он запускается, во-первых, с периодичностью, заданной для конкретного подразделения, во-вторых, на основании информации из кадровой системы. Так мы смогли блокировать доступ на время отпуска сотрудника и пересматривать его права по мере должностных перемещений. Алгоритмы работы системы для тех или иных сценариев гибко настраиваются. В зависимости от того, как изменяется должностная позиция человека или в какое подразделение он переходит, система обеспечивает либо полный отзыв прав, либо инициирует процедуру пересогласования.

Вообще, интеграция IdM с кадровой системой – неоценимая вещь. Коллеги из департамента информационных технологий это тоже оценили. Пока такой интеграции не было, сотрудники ДИТ вручную блокировали учетные записи уволенных сотрудников на основании отчета, который поступал из кадровой службы раз в месяц. Теперь этот процесс выполняется автоматически – быстро и без ошибок.

Еще одна удобная функция – возможность совместить процессы согласования разных категорий доступа. Например, раньше процессы согласования доступа к базе VIP-клиентов и доступа в АБС проходили параллельно. Теперь это делается в рамках одной заявки – достаточно «поставить галочку», и к маршруту заявки добавляются необходимые шаги согласования.

Е.Г.: Нельзя сказать, что процессы работы в смежных системах сильно изменились – они в организации достаточно зрелые. Просто нужно было обеспечить своевременную передачу в IdM нужной информации. В ходе интеграции мы обнаруживали в смежных системах «узкие места» и устраняли их.

Наиболее критична для корректной работы IdM кадровая система – она является для IdM источником данных. Поэтому, например, пришлось провести определенную работу с кадровой службой, чтобы ускорить занесение данных о новых сотрудниках в кадровое приложение. Раньше данные по новому сотруднику заносились в кадровую систему в течение трех дней, теперь это происходит в течение одного дня. IdM-система сразу создает для новичка учетную запись, и он может приступать к работе.

Следующее по значимости приложение после кадрового – Active Directory. Опять же, серьезной перестройки не потребовалось, лишь небольшие изменения, например, на уровне карточки пользователя. Но в результате мы избавили департамент информационных технологий от массы ручного труда по заведению, блокировке/разблокировке учетных записей, созданию почтовых ящиков и пр. У сотрудников появилось больше времени для решения более сложных задач.

Е.Г.: Если вы о сокращении штата, то такая задача не ставилась. Более того, мне вообще не известны случаи, когда внедрение автоматизированной системы вело к сокращению штата специалистов. Другое дело, что меняется характер и результативность их работы.

А.П.: Для нашего подразделения внедрение IdM привело к расширению функций. Прежде мы были вынуждены игнорировать некоторые проблемы просто потому, что не было технической возможности не то что их решить, но даже обнаружить. Система позволила вывести скрытые проблемы на поверхность и начать с ними работать.

Е.Г.: Оценить эффект от внедрения системы безопасности в деньгах всегда сложно. Скорее вы ощутите потери от ее отсутствия, когда случится критичный инцидент.

Но не надо забывать, что помимо финансовых показателей есть еще требования регуляторов и законодательства. Например в Положении Банка России № 382-П содержится много пунктов, связанных с контролем доступа. Их неисполнение может повлечь санкции со стороны ЦБ РФ.

А.П.: Недавний пример: мы подтверждали соответствие процессинга требованиям стандарта PCI DSS. При наличии IdM-системы процесс аудита прошел быстрее и гораздо проще для нас. Если бы мы не смогли продемонстрировать аудиторам работу этой системы, пришлось бы доказывать, что вопросы управления доступом закрываются организационными мерами. А это процесс долгий и ресурсоемкий.

А.П.: Однозначно можно сказать, что без IdM количество инцидентов было бы больше, а их расследование сложнее. Был пример, когда обнаружив мошенническое действие сотрудника, мы довольно быстро докопались до причин – как и почему возникла сама возможность нарушения. Кстати, именно тогда мы и создали «надстройку», позволяющую пересматривать права пользователя при перемещении по должности.

Был случай, когда мы обнаружили ошибочное действие администратора, когда тот присвоил права полному тезке сотрудника из другого филиала. Без IdM ошибка вряд ли была бы замечена.

Если к нам поступает запрос, у кого в определенный период времени были права на те или иные действия, мы можем сразу же дать ответ. А заодно и сообщить, кто и почему эти права согласовал. Прежде поиск такой информации в бумажных документах и таблицах Excel мог занимать полдня, а то и целый день. Теперь – считаные секунды.

Наконец, сотрудники банка понимают, что все их действия в информационных системах четко контролируются. Это само по себе способствует повышению уровня дисциплины и снижению рисков ИБ.

Е.Г.: Повысилась, в том числе, ответственность руководителей за те права, которые они выдают сотрудникам. Сейчас они подписывают свои решения электронной подписью. В соответствии с Федеральным законом № 63-ФЗ мы в своей нормативной документации приравняли логин и пароль к простой электронной подписи, и все сотрудники подписали соглашение о порядке ее использования.

Е.Г.: Прежде всего, нужно понять, насколько четко выстроен в организации процесс управления доступом как таковой. Существует ли документ, который его регламентирует? Нужно убедиться, что налажен кадровый учет, ведение организационной структуры предприятия и что вся информация исправно заносится в кадровое приложение. Стоит обследовать состояние кадровой системы и удостовериться, что существует техническая возможность ее интеграции с IdM.

А.П.: Планируя внедрение системы, имейте в виду, что вам понадобятся тестовые среды не только для самой IdM-системы, но и для сопрягаемых систем. Сразу обратите внимание на производительность и отказоустойчивость системы, чтобы не возникало задержек в обработке заявок, а также учтите возможность дальнейшего расширения. Эти вопросы обязательно надо проработать совместно с интегратором и подразделением информационных технологий.