Identity & Provisioning Management

Transkript

1

2 Management Summary In der heutigen heterogenen IT- Infrastruktur von Unternehmen ist die anspruchvollste Herausforderung das Management von Daten, Accounts und Zugriffsberechtigungen von Mitarbeitern. Das Institut für System-Management präsentiert mit dem Produkt ein Identity und Provisioning Management System zur zentralen Userverwaltung. Wer darf was, wo, wann und wer hat das erlaubt. Das ist die bedeutende Frage bei der Absicherung unternehmenskritischer Anwendungen. Um Userdaten zu pflegen, ist ein sehr hoher Aufwand notwendig. Durch ein ausgefeiltes Rollenkonzept werden durch kosten- und zeitintensive Arbeitsschritte der Administratoren bei der Verwaltung der Authentisierung und der Autorisierung von Mitarbeitern vermieden. Weiterhin werden Funktionalitäten wie Single Sign-On, Workflowprozesse oder Provisioning unternehmensweit bereitgestellt. Die Vorteile des bi-cube Systems sind offensichtlich: - Optimierung der Organisationsabläufe in der Berechtigungsverwaltung - Aufwandsminimierung bei der Routinearbeit der Administratoren - saubere und transparente Verwaltung der Kompetenzen (Basel II, SOX, interne Revision) - durch ein ausgefeiltes Rollenkonzept können funktionsbezogene Kompetenzen vergeben werden - Berücksichtigung auch temporärer Abwesenheiten - Vermeidung von Berechtigungs-"Leichen" in den Subsystemen - zentrale Definition der Rollen bzw. Kompetenzprofile - dezentrale Zuordnung der Kompetenzen zu den Usern - deutlich erhöhtes Security Niveau Wirtschaftliche Effekte durch verringerten Administrationsaufwand - Reduzierung der Helpdesk Kosten - Hohe Integrationsfähigkeit - Verringerung der Administrationskosten - Revisionssicherheit durch konsistente Haltung der Userdaten - Erzielung eines schnellen Return On Investment (ROI)

3 Identity & Provisioning Management ist ein Produkt zur umfassenden Verwaltung von Mitarbeiteridentitäten in einer heterogenen Organisationsstruktur. Es enthält als Kern ein Zentrales Identity Management in einer weitgehend konfigurierbaren Form. Dies bedeutet, dass der Anwender auch später z.b. User-Attribute hinzufügen kann, die er zum Zeitpunkt der Implementierung der Lösung noch nicht kennt bzw. nicht kennen kann. Über flexible Schnittstellen auf unterschiedlichem Integrationsniveau kann über Connectoren von anderen Systemen mit Daten versorgt werden (z.b. SAP-HR, Paisy) und selbst andere Systeme mit Berechtigungs- bzw. User- Daten versorgen.

4 Funktionalität Die modulare bi-cube -Architektur, bestehend aus einer intelligenten Middleware mit Schnittstellen unterschiedlicher Systemintegrationen und einem leistungsfähigen Administrationstool, ermöglicht die einfache und flexible Einführung in bestehende Systemlandschaften. Durch diese hohe Integrationsfähigkeit von bi-cube wird ein unkompliziertes Zusammenspiel von vorhandenen Plattformen, Messaging Systemen, Human Resources, Anwendungen und Web- Portalen ermöglicht. Durch etablierte Systeme wie z.b. MQ-Series wird eine weitgehende Automatisierung der Konsolidierungsprozesse über die unterschiedlichsten Plattformen hinweg erreicht. bi-cube importiert Personaldaten aus vorhandenen Datensystemen wie SAP oder Paisy mit Hilfe von Input Connectoren. Eine im System enthaltene Dubletten-Kontrolle garantiert die Eindeutigkeit der U- ser. Durch Output Connectoren wiederum werden in Zielsystemen wie z.b. ADS oder Notes Benutzer angelegt und deren Berechtigungen verwaltet. bi-cube ermöglicht auch die Verwaltung der User, die nicht in den definierten Input-Schnittstellen enthalten sind, wie z.b. Externe, System- oder Schulungsuser. bi-cube gestattet die Online- Berechtigungsverwaltung für andere Systeme (Access Controls) und ermöglicht durch das bi-cube Single Sign-On eine einfache und sichere Anmeldung für Zielsysteme.

5 Architektur Die speziell entworfene bi-cube Architektur bietet ein hohes Maß an Flexibilität verbunden mit leistungsstarken Funktionen für die Verwaltung und das entfernte Management des rollenorientierten Kompetenz-Systems, während die Belastung der Administratoren auf ein Minimum reduziert werden kann. Unterteilt wird bi-cube in eine Drei-Ebenen-Architektur. Dabei werden in der ersten Ebene die Grundlagen für das System modelliert. Die zweite Ebene von bi- Cube dient als Organisationsplattform zur Pflege aller User- und Berechtigungsdaten. Die dritte Ebene ist eine Webkomponente, mit der Standort-unabhängig Zugang zum System gewährleistet wird. Eine standardisierte API ermöglicht den Applikations- unabhängigen Zugang durch andere Systeme. Das interne Logik-System wird durch das Zusammenspiel von Logikprozessoren und dem Logical Message Passing (LMP) realisiert. Dadurch können verschiedenste Verknüpfungen zu Subsystemen ausgewertet und verarbeitet werden. Das LMP garantiert dabei die korrekte Verarbeitung der systeminternen Messages in einem so genannten Nachrichtenraum. So werden User- und Berechtigungsdaten in die Subsysteme verteilt oder sekundäre Informationen bei Zutreffen bestimmter Regeln generiert. Der LMP-Kern stellt ein deutliches Alleinstellungsmerkmal gegenüber anderen Systemen mit analoger Orientierung dar. Durch die zentralisierte Management- und Logikfunktionen kann bi- Cube IPM von einem einzigen Standort aus so konfiguriert werden, dass es die Kompetenzen aller User eines Unternehmens für alle Plattformen steuert.

6 Screenshots Eine Windows-basierte Benutzeroberfläche macht die Verwaltung des Systems trotz der komplexen Logik zu einem Kinderspiel. bi-cube -GUI zur Systemdefinition und -Konfiguration bi-cube -Userdatenverwaltung im IPM Web Portal

7 Rollenkonzept An zentraler Stelle von bi-cube IPM befindet sich das Rollenkonzept, über das gesteuert wird, welche Accounts und Berechtigungen einem Mitarbeiter zugeordnet werden. Eine Rolle ist im bi-cube Verständnis die Kombination von Kompetenzen verschiedener Subsysteme (z.b. Host, Notes, SAP usw.). Das Rollenprofil des Users ist die Gesamtheit aller Rollen und Berechtigungen. Unabhängig von der fixen Zugehörigkeit zu Organisationseinheiten können User (evtl. befristet) auch OE-übergreifend in Teams zusammengefasst werden und teamabhängig z.b. Funktionen, Kompetenzen, Rollen, Berechtigungen erhalten. Die betriebsorganisatorische Festlegung der Tätigkeiten ist die Grundlage für die Definition der Rollen. Dies erfolgt unabhängig von konkreten Personen und Struktureinheiten innerhalb der Organisation.

8 Prozessmanagement Mit dem integrierten Prozessmanagement werden Änderungen von Identitätsdaten von Mitarbeitern automatisch vorgenommen und Geschäftsprozesse optimiert. Jeder Mitarbeiter soll zur Erledigung der ihm übertragenen Aufgaben erforderliche Berechtigungen zeitnah erhalten. Automatische Antragsverfahren (z.b. Mitarbeiterein- bzw. austritt) stoßen verschiedene Workflow - Prozesse an. So werden bei einem Mitarbeitereintritt über die Referenzierung von Stellen- bzw. Funktionsbezeichnungen zu den Rollen Basisberechtigungen zugeordnet. Zur Bearbeitung von Anträgen steht den Nutzern ein entsprechend funktional gestalteter Web- Client zur Verfügung. Der Antrag durchläuft vor der Berechtigungsvergabe Prüfungen in Bezug auf sachliche und technische Richtigkeit. Die interne Prozesssteuerung zur Verwaltung aller initialisierten Anträge und die Steuerung der Bearbeitung werden durch ein Prozess- Steuerungsmodul übernommen, das den Bearbeiter per Mail über offene Aufträge und den Antragsteller über den Abschluss eines bearbeiteten Vorgangs informiert. Benefits Ablösung des papiergestützten Berechtigungsantragsverfahrens Erfüllung hoher Sicherheitsanforderungen, da Anträge nur durch definierte Berechtigte bearbeitet werden können Kurze Durchlaufzeiten durch Ausschluss von Deadlocks Automatische Beantragung und Webbasierte Bearbeitung von Anträgen Hohe Prozesstransparenz durch vollständige Nachvollziehbarkeit der Antragsbearbeitung Kostenreduzierung durch zeitnahe Bereitstellungen der beantragten Berechtigungen und damit die Vermeidung von Leerlaufzeiten Vollständige Löschung der Berechtigungen von ausgetretenen Mitarbeitern

9 Identity Management & Provisioning Key Benefits Verringerter Administrationsaufwand durch: Optimierung der Organisationsabläufe in der Berechtigungsverwaltung konsistente Haltung der Userdaten und vor allem deren Änderungen in allen Subsystemen zentrale Definition der Rollen bzw. Kompetenzprofile dezentrale Zuordnung der Kompetenzen zu den Usern automatische Zuordnungsprozesse Übernahme der Personaldaten und Useraktualisierungen keine (bzw. deutlich verringerte) Administration in den Subsystemen weniger Aufwand im Help-Desk Revisionssicherheit durch: saubere und transparente Verwaltung der Kompetenzen (Basel II, SOX) funktionsbezogene Kompetenzen durch Rollenkonzept Berücksichtigung auch temporärer Abwesenheiten keine Berechtigungsleichen in den Subsystemen separate Kompetenzen beim Remote-Zugang (z.b. Web to Host) hohe Prozesstransparenz durch vollständige Nachvollziehbarkeit der Antragsbearbeitung

10 ism Institut für System-Management GmbH Oldendorfer Str.12 D Rostock * Germany Tel. +49 (0) Fax: +49 (0) info@secu-sys.de Web : Copyright Institut für System-Management Informationen zu ism Produkten unterliegen dem Änderungsdienst, können aber unabhängig davon in unwesentlichen Punkten von der Funktionalität der aktuellen Versionen im Sinne der Weiterentwicklung der Produkte abweichen. In diesem Dokument genannte Namen von Personen bzw. Unternehmen oder anderen Objekten sind als fiktive Beispiele zu verstehen, soweit es nicht anders ausgewiesen ist. Die Reproduktion oder Übertragung dieses Dokuments zu irgendwelchen Zwecken (auch auszugsweise) ist grundsätzlich nur mit schriftlicher Genehmigung des ism gestattet.