�ݺ�ߣ

Editor's Notes

• #2: �ݺ�ߣ Presentasjon av foredragsholder. Ronny Robinsson-stavem Seniorrådgiver Rådgivingsavdelingen, Informasjonssikkerhet og risikostyring Steria AS
• #3: �ݺ�ߣ Det er ikke bare nyttig å kunne kontrollere og styre hvilken tilgang brukerne skal ha i dine systemer - det er nå mer enn noen gang forretningskritisk! Det blir stadig større press på effektivitet, sikkerhet og regulatorisk etterlevelse (compliance), og IAM blir mer og mer nødvendig. Frykten for å innføre IAM kan være stor siden det påvirker hjertet av linjeorganisasjonen og IT ledere. Det er ikke overraskende at IAM prosjekter har rykte på seg for å være komplekse og kostbare, og det kan også være vanskelig å oppnå de målsetningene man ønsker. Men med ved å gjøre de riktige tingene i riktig rekkefølge vil IAM prosjekter gi betydelige fordeler, inkludert reduserte kostnader, forbedret sikkerhet, bedre compliance og økt produktivitet og brukeropplevelse. I denne presentasjonen skal jeg gi en oversikt over hva IAM er og hva som er beste praksis for en vellykket innføring av IAM. Alle organisasjoner er avhengig av en effektiv Identity and Access Management løsning for å beskytte viktig informasjon og utvikle smidige og effektiv prosesser.��
• #4: Det første steget mot en vellykket innføring av IAM er å forstå det grunnleggende av IAM, som svært ofte blir missforstått. Selv om det potensielt kan bli komplekst, så er selve essensen av IAM forholdsvis rett fram. Nemlig å avgjøre hvem dine brukere er, hvem som skal ha tilgang til hvilke applikasjoner og ressurser (også hvem som ikke skal ha det) i henhold til forretningsregler. Noen bedrifter tenker ofte på digital identiteter som sikkerhet og pålitelighet i stedet for identitet og muligheter. Dette er ikke sås tor forskjell på slik man tenkte i gamle dager da man hadde murer og vollgraver rundt byene. Vakter var plassert ut ved portene og stoppet alle på vei ut og på vei inn for å få avklart hva som var hensikten med visitten. På samme tid var markedene i disse byene. Man kan jo selv tenke seg hvilket kaos det var for kjøpmennene å frakte varene sin in og ut. Disse murene var jo en begrensing for salget, men den gangen var man jo happy med at det var slik. Vi kan jo sammenligne mange av dagens bedrifter som de innmurede byene fra den gang, der man sitter bak brannmurer og prøver å beskytte seg mot angrep. Det man i realiteten gjør er å begrense muligheter og smidighet. Nå er det jo heldigvis ikke mulig å sammenligne ny og gammel tid helt på denne måten. Men det er nå slik at mye av aktiviteten angående digitale identiteter er forretningsfokusert. Press på å være konkurransedyktig samtidig som man må holde kostnader nede, tvinger bedrifter til å integrere sine forretningsprosesser og IT i stor skala. Jeg liker å si at Identity & Access Management er ”Security as a business enabler”. �ݺ�ߣ
• #5: Siden IAM betyr forskjellige ting avhengig av hvem man snakker med er det ofte vanskelig å se helheten. Spørsmålet er hvordan skal man spise hele elefanten? Svaret er bit for bit. Siden IAM består av så mange forskjellige komponenter og teknologier kan de være på sin plass å komme opp med noen definisjoner for å etablere en plattform som kan gi en felles forståelse av hva dette handler om. �ݺ�ߣ
• #6: �ݺ�ߣ ITIL versjon 3 innførte en ny prosess, Access Management. Denne dekker også identitetsforvaltning, men definisjonen av Access Management gjør det fort vanskelig og komplekst å forstå. Det er andre og bedre definisjoner som beskriver dett mer forståelig.
• #7: �ݺ�ߣ Gartner og Burton Group er godt kjent som seriøse analyseselskaper, og som dessuten har jobbet med identitets- og tilgangskontroll i mange år. Deres definisjoner om hva Identity & Access Management er brukes ofte i presentasjoner og forklaring av emnet. Andre definisjoner baserer seg i større grad på noen av disse. IAM fokuserer altså på prosessene, underliggende infrastruktur og systemer, for å opprette, administrere, og bruke digitale identiteter, samt håndhevelsen av sikkerhetsrelaterte forretnings-policyer.
• #8: Hvilke prosesser har vi når det gjelder å håndtere identiteter til brukerne? Livssyklusen for brukeradministrasjon er prosesser for å opprette og slette brukerne, håndtering av brukerkonti og endringer av bemyndigelser (entitlements), og sporing og verifisering av etterlevelse av policy’er. Ny bruker Opprette brukerid Utstede identifikasjon Tildele tilganger Integrate identity creation and business processes Broad directory, database & system connectivity Provision other types of resources Endringer av brukerkonti Forfremmelser Overføringer Nye arbeidsoppgaver Endringer av tilganger Continuous monitoring for identity changes Intelligent handling of re-orgs & renames Streamline privilege changes & requests Slette bruker Slette/Fryse brukerkonto Slette/Fryse bemyndigelser Auditable, automated deletion of identities Rapid entitlement & privilege revocation Ongoing management of retired accounts Password admin Sterke passord Glemt passord Passord Reset Empower end-users to help themselves Automate requests for new entitlements Tools to reduce the burden on the Helpdesk Rapporortering Compliance Audit Security Secure collection of audit events Identity lifecycle reporting Automate identity “time-to-live” Brukerstøtte Tapt identifikasjon Password Reset Nye berettigelser Reduce the # of calls for forgotten passwords Change passwords across systems from one tool Tools to reduce the burden on the Helpdesk
• #9: Tradisjonelt så har har de eneste brukerne som har hatt tilgang til informasjon i en virksomhet vært egne ansatte og medarbeidere, konsulenter og vikarer. Men dette miljøet endrer seg konstant. Nye forretningsmodeller, nye måter å jobbe mer effektivt med samarbeidspartnere, nye tjenester for kunder, nye kommunikasjonskanaler, nye verdikjeder med leverandører etc har trigget kravene for ulike type brukere, som kunder, Leverandører og samarbeidspartnere til å få tilgang til din applikasjoner og informasjon i din virksomhet. Så informasjon i organisasjonen er ikke lenger bare aksessert inneform brannmurene, men også ekponert gjennom ekstranet, portaler for kundetjenester, leverandørportaler etc til brukere som organisasjonen tidligere ikke trengte å håndtere. Dette fører jo til en del nye spørsmål og bekymringer: Hva er kostnaden forbundet med å håndtere den, etterhvert, økende antall ulike brukere? Hvilken risiko er forbundet med å åpne opp virksomhetens infrastruktur og informasjon til eksterne parter? Hvordan håndhever vi en uniform tilgangspolicy for alle de ulike ressursene virksomheten har? Hvordan kan vi tilby en fullstendig revisjon og rapportering rundt tilgangser i et slik scenario? Spesielt med tanke på stadig større press og krav om reguleringer og lover man må forholde seg til. Dette forsyner oss med noen interessante problemstillinger for å styre hver brukers tilgang til virksomhetens ressurser. [Klikk] Før vi i det hele tatt tildeler brukere tilgang til informasjon og ressurser må vi: Avgjøre hvem den brukeren faktisk er, og bestemme oss for hvordan vi ønsker de skal bevise det. Avgjøre hvilket tilgangsnivå man skal tildele brukeren, og til hvilke systemer avhengig av deres profil Håndheve virksomhetens policy’er på tvers av de ulike applikasjonene og deres respektive tilgangskanaler Avgjøre hva som er brukerens relasjon og kontekst for tilgang. F.eks. Kan en ansatt også være en kunde, en kunde kan være en partner etc. Disse kravene burde ikke være nyheter i dag, fordi det er slik vi håndhever tilgangskontroll i dag.
• #10: Som nevt tidligere så er det en del problemer med dagens praksis med identitetsforvaltning og tilgangskontroll Sikkerhet og risiko Kun 60% av brukernes tilganger blir fjernet når en bruker slutter. Orphan accounts øker risikoen for sikkerhetsbrudd med 23 %. 1 81% av sikkerhetsbrudd utføres av egne ansatte. 2 Svakheter ved insidesikkerhet koster 250K per hendelse. 3 Revisjon og compliance Kun 50% reviderer tilgangsrettigheter regelmessig. Opp mot 60% av tilgangsprofiler er ikke gyldige. 80% i bransjer der det er stor turn-over 4 Lovgivning (HIPAA, Basel II, Sarbanes-Oxley etc.) gjør revisjoner påbudt Effektivitet og produktivitet 15-25% av tilganger/forsyninger må gjøres på nytt grunnet feil. 5 27% av selskaper bruker med enn 5 dager på å opprette/fjerne brukerkonti. 5 11% av interne brukere tilkaller brukerstøtte månedlig med problemer relatert til tilganger; 7% for problemer relatert til brukerprofil 1 Kostnader 40-60% av henvendelser til brukerstøtte er grunnet glemte passord. 1 15% årlige endringer på brukerprofiler forbruker 29% av totale IT ressurser 1 Selskaper med 12 applikasjoner kan spare $3.5M and realisere 295% ROI over en 3 års periode. 6 �ݺ�ߣ
• #11: Når IAM implementeres ordentlig vil løsningene la deg svare på følgende spørsmål: Hvem har tilgang og hvordan autentiserer de seg for å få tilgang? Hvordan styrer vi oppretting og fjerning av identiteter, og deres roller? Hva trenger de tilgang til, og hvordan, og hvem har godkjent den tilgangen?
• #13: �ݺ�ߣ
• #14: Et IAM-prosjekt har svært liten mulighet for å lykkes hvis det utelukkende fokuseres på teknologi. Erfaringsmessig bør 80 prosent av fokus være på organisasjon og prosesser, og kun 20 prosent på teknologi. Innføring av IAM er en kompleks oppgave som trenger strategisk planlegging for å lykkes. Ofte blir IAM implementert helt eller delvis uten at det har blitt foretatt skikkelige analyser. Ikke sjelden har implementeringen vært basert på krav og ønsker fra kun deler av organisasjonen. Resultatet er at det ikke finnes noen helhetlig infrastruktur som kan håndtere identitetsforvaltningen. Dette kan føre til sikkerhetsutfordringer, og begrenser etter hvert utviklingsmulighetene i it-infrastrukturen, systemene og forretningsprosessene. �ݺ�ߣ
• #15: Hvilke drivere har vi for IAM? There are five main business drivers for an IAM solution — some more applicable for one aspect of the solution than another. Smidig organisasjon: The organizational structure for security administration activities must match that of the enterprise at large — some are centralized, others are decentralized and others are pushing self-service for both internal and external users. The IAM solution must be capable of handling all models. Kostnadskontroll: With the growing volume of users, current staffing volume cannot accommodate the enterprise’s needs. In an economic downturn, enterprises are looking for cost-cutting measures. In addition, user information can be leveraged in many business processes that provide a consistent and more secure access control infrastructure. Effektiv drift: Achieving an access request turnaround time of 24 hours or less is only doable via automation. Risikostyring og sikkerhet: The ability to prove the security of the enterprise’s access control infrastructure is an important requirement for maintaining customers, as well as obtaining them. In addition, easing the electronic data processing (EDP) audit process is of prime concern to many enterprises. Etterlevelse/Compliance: Financial services, healthcare, pharmaceuticals and the energy industries require the establishment of a secure access control infrastructure. Sarbanes-Oxley is causing all U.S. public companies to address their internal control infrastructure — of which information security is a part. �ݺ�ߣ
• #16: �ݺ�ߣ
• #17: Tilgangskontroll, eller autorisasjon, i sin videste betydning, har eksistert som et konsept så lenge vi mennesker har hatt verdier som det er verdt å beskytte. En de fundamentale konseptene i verden av digitale identiteter er tilgangskontroll. Tilgangskontroll er som nevnt prosessen med å gi visse subjekter tilgang til visse objekter og nekte tilgang til andre objekter. Selv om forestillingen av å gi tilgang er, i mange tilfeller, for grovkornet, er vi nødt til å kontrollere hvilke aktiviteter noen får lov til å utføre på gitte ressurser. Eksempler: Alle medarbeidere skal få tilgang til sin egen email, men ikke andres email. Email administratorer kan få tilgang til alles emailer. Banken gir meg tilgang til min egen bankkonto, men bare på bestemte måter. Jeg kan bare ta ut et max beløp i minibanken. Bankansatte har tilgang kun i visse situasjoner. Tilgangskontroll er først og fremst et spørsmål om policy. Tilgangskontroll teknologi er designet for å automatisk håndheve disse policy’ene. Policyer må være en refleksjon av sikkerhets- og forretningsmål som er satt i sammenheng med andre policyer i organisasjonen. �ݺ�ߣ
• #18: I dagens IT handler som sagt autorisasjon på mange måter om hvilke brukere/medarbeidere kan få tilgang til hvilke systemer og informasjon. Eller sagt på en annen måte; Hvem kan gjøre hva? Fra et forretningsperspektiv har tilgangskontroll potensial til å sørge for optimal deling og utveksling av ressurser, men det har også potensial til å frustrere brukere, pålegge høye administrasjonskostnader, og avsløringer av uautoriserte tilgang til informasjon og misbruk, det være seg tilsiktet eller utilsiktet. Men noe slikt skjer vel ikke hos oss? Hensikt og grunnprinsipper for tilgangsstyring Hver gang en bruker logger på et system håndheves en eller annen form for tilgangsstyring. For å etablere en felles forståelsen av hensikten med tilgangsstyring er det hensiktsmessig å se på risiko forbundet med informasjonssystemer. Risiko relatert til informasjonssikkerhet kan deles opp i følgende tre kategorier: Konfidensialitet . Behovet for å holde informasjon sikkert og privat. Integritet . Konseptet for å beskytte informasjon fra å bli urettmessig forandret eller endret av uautoriserte brukere. Tilgjengelighet . Forestillingen om at informasjon er tilgjengelig til bruk når det er behov for det. �ݺ�ߣ
• #19: Som vist er her så er AIM definitivt ikke bare om teknologi Det handler om omdømme og rykte Det handler om risikovurderinger Det handler om juridisk ansvar Det handler om å beskytte sensitive data Det handler om å håndtere andre virksomheter Det handler om å strømlinje lifssyklusen på brukere Det handler om revisjonsrapportering og regulatorisk compliance Og sist men ikke minst, aller mest om forretningsprosesser. �ݺ�ߣ
• #20: Rollebasert tilgangskontroll (RBAC) baserer seg på tanken at brukere får tildelt rettigheter via hvilken eller hvilke roller de har i virksomheten. Tilgangsstyring basert på roller skal følge noen viktige prinsipper. Alle brukere tilegnes en eller flere roller. Brukere som ikke tilegnes roller skal heller ikke ha tilgang til informasjon eller funksjonalitet Før en bruker kan få en rolle må rollen autentiseres for den brukeren. En bruker kan kun få tilgang til informasjon eller funksjonalitet dersom funksjonaliteten eller informasjonen er autorisert for den gitte autentiserte rollen til den aktuelle brukeren. Rollene skal struktureres i et hierarki for å gjenspeile organisasjonens tjenestevei for ansvar og autoritet. �ݺ�ߣ
• #21: Eksempel Ref IBM
• #22: Rolledesign er prosessene for å finne fram til virksomhetsroller. Tre mulige varianter: Top down Bottom up Hybrid �ݺ�ߣ
• #23: Noen utfordringer med rollearbeid �ݺ�ߣ
• #28: Presentation Title
• #36: Where did the numbers from from for the RON? What is the source?