Skab overblik og styring af identiteter og adgangsrettigheder med Identity and Access Management

Identity and Access Management som en del af Zero Trust-tankegangen

Identity and Access Management eller IAM-systemer er et ofte brugt akronym inden for IT-verdenen og handler om de tekniske løsninger, organisatoriske processer og politikker, der er knyttet til at give de rette personer adgang til de rette systemer, applikationer, ressourcer og data. Men hvad dækker IAM egentlig over?

Det tager Jesper Krogh og Jesper Hanno Hansen fat på i denne artikel, som er den tredje artikel i serien om Zero Trust, som er det bagvedliggende koncept, vi benytter, når vi rådgiver, designer og implementerer sikkerhed, identiteter og disses adgange til ressourcer i IT-miljøet.

I vores to første artikler i serien tog vi hul på Zero Trust som afsæt for at skabe en effektiv tilgang til sikkerhed. Du kan læse kan første artikel i serien her ”Zero Trust og pragmatisk sikkerhed

Situationen i dag

Vi ser typisk, at mange konti i virksomheden ligger ubrugte hen, da integrationen mellem diverse HR-systemer og brugerstyringsprocessen måske ikke fungerer optimalt. I den forbindelse ser vi også, at mange system- og servicekonti (ikke personhenførbare konti) er ubrugte og ikke har været benyttet i lang tid, og hvor man af frygt for konsekvenserne ikke får deaktiveret den pågældende konto og slet ikke får skiftet adgangskoden til denne. Dermed efterlader man åbne huller ind til virksomhedens infrastruktur og data – hvor service- og systemkonti ofte kan få adgang til mange systemer.

Men vi ser også aktive konti, som ikke er velbeskrevne, hvor passwordskift aldrig sker, og hvor der ikke er politikker for, hvem der har adgang til hvad, og hvorfor de har adgang. Et ofte benyttet eksempel er, hvad der sker, når brugere flytter afdeling, hvor man aldrig får fjernet rettighederne til den ene afdelings data, når brugeren flytter afdeling.

Kort sagt: Vi oplever dagligt at identitets- og rettighedsstyring er en kompleks disciplin.

Det er en udfordrende øvelse at administrere medarbejderes adgang til de relevante IT-systemer og applikationer, og en opgave som støt vokser med kompleksiteten af det moderne IT-miljø og den hybride arbejdsplads. Derfor oplever vi virksomheder, som går på kompromis og får oprettet nye konti ofte med for høje rettigheder, da disciplinen med at begrænse eller tage rettigheder fra en konto, eller nedlægge efter fratrædelse er kompliceret. Eksempelvis:

• Der tildeles oftest for høje rettigheder til både bruger og service konti, hvor det kan være svært at skabe overblik.
• Der er ikke etableret en fast proces for hygiejnekontrol af konti og rettigheder, endsige beskrevet hvem der skal godkende adgang til de forskellige systemer.
• Findes der brugere, der har en licens tilknyttet, der ikke benyttes?
• Hvem gav en given konti rettigheder til…

Et godt eksempel er denne forespørgsel fra et universitet, som ligesom så mange andre virksomheder har svært ved at få overblik over alle de konti, der findes i deres IT-systemer. Dette kan være personhenførbare, service eller computer konti.

I denne artikel sætter vi fokus på IAM, også kaldet brugeradministration, rettighedstildeling og brugervalidering, og som handler om, at virksomheder skal skabe sig et overblik over, hvilke konti der findes, hvem der benytter og ejer kontoen, samt hvordan og hvorledes der kan tildeles rettigheder til en given konti.

Identity and Access Management er et centralt element i Zero Trust-tankegangen. Fokusset er her at begrænse en brugers adgang til data eller services til ”Need to have” og ikke ”Nice to have”. Adgangene skal derfor være minimale for effektivt at forebygge og begrænse sikkerhedsbrud.

Hvorfor er Identity and Access Management relevant for din virksomhed?

IAM er først og fremmest en disciplin og er i høj grad et spørgsmål om proces, kontinuitet og opfølgning. Der findes IAM-værktøjer, men det er en misforståelse, hvis man tror, at IAM-værktøjer kan håndtere brugeradministration, rettighedstildeling og brugervalidering.

• IAM sikrer at ansatte kan tilgå de værktøjer eller funktioner, der skal til, for at de kan udføre deres job med et minimum af rettigheder.
• IAM er nødvendig for effektivt at kunne oprette, vedligeholde og tildele rettigheder
• IAM er nødvendig for effektivt at kunne nedlægge konti, når disse ikke er nødvendige mere.

Hvordan virker et Identity and Access Management-værktøj?

Lad os indledningsvist dykke ned i, hvad et Identity and Access Management-værktøj egentligt er:

• Et Directory benyttes til at lagre information om brugere og andre objekter og dermed også til at identificere brugere, der logger på systemer og autentikerer og autoriserer brugeren.
• Et IAM-system benyttes til at automatisere processen omkring oprettelse af brugere og objekter og håndterer dermed ofte indholdet i Directoriet.
  • Eksempelvis kan man bruge IAM-systemet til at monitorere HR-systemet og holde øje med oprettelser, ændringer og nedlæggelse af brugere og dermed også automatisk at oprette, ændre eller nedlægge objekter i Active Directory.
  • Et andet brugsmønster på IAM-systemet er at udstille en web-portal til brugerne, hvor disse selv kan bestille ændringer til system adgang eller ændringer i stamdata (nyt telefonnummer mm.), og hvor disse ændringer igen kan være underlagt en godkendelsesproces.
  • Andre brugsscenarier for IAM inkluderer password synkronisering mellem flere systemer, self-service password reset, eller oplåsning af låste konti, fremvisning af Organisationsdiagrammer oma.
• IAM systemet integrerer typisk med mange systemer, som fx HR (Workday, SAP HR m.fl), Directories som AD eller OpenLDAP og lokale konti indenfor Unix/Linux, Oracle m.fl

Skal jeg så bare købe et værktøj?

Identity and Access Management-løsninger er langt fra alene et IT-projekt og et værktøj. Identity Access Management som sikkerhedsdisciplin rammer hele virksomheden, hvorfor det er vigtigt at foretage en analyse af de faktiske behov. Hvem må tilgå hvilke funktioner, systemer, data, fra hvilken enhed, placering eller geografi? Hvornår skal adgangen valideres og med hvilke kriterier?

Vores anbefaling er derfor; få først styr på retningslinjerne og på de organisatoriske processer omkring brugeradministration inden indkøb af et IAM-system.

Se model over procesforløbet her og læs mere neden for om de enkelte processer: