Řízení identit (Identity Management)

Identity management, IdM (česky Řízení identit, používá se obvykle anglický pojem) je oblast procesů, které se zabývají tím, jak člověku vytvořit uživatele, jako ho identifikovat a jak mu přidělit či odebrat správné oprávnění. Správně fungující identity management procesy a systémy pomáhají zvýšit bezpečnost informací a snížit riziko toho, že se někdo dostane k informacím, ke kterým by neměl.

identity management se zabývá identitou člověka (konkrétně digitální identitou nebo uživatelem) a údaji o tom, kam nebo co daný člověk může a co nebo kam nesmí. Ve firmách, kde většinou platí, že člověk = zaměstnanec je identity management nedílnou součástí procesů personalistiky i správy IT. Netýká samozřejmě ale jen lidí v zaměstnaneckém poměru, týká se jakéhokoliv člověka, například externisty, kontraktora nebo zákazníka, kterému někde potřebujeme přidělit oprávnění.

Identity management zahrnuje tato témata a procesy:

• správa celého životního cyklu uživatelů (řízení oprávnění)
  • přidělení oprávnění (jak uživatel oprávnění získá)
  • změna oprávnění
  • odebrání oprávnění (jak a jaká oprávnění odebrat, případně jak úplně vymazat uživatele)
• řízením přístupu k informačním systémům (aplikacím), k počítačům nebo jinému majetku
• ochrana identity (pomocí autentizace, protokolů, hesel, šifrování, digitálních certifikátů, atd)

Jak vypadá identity management v praxi?

Identity management je v praxi součástí procesů personalistiky, a to zejména nástupu a odchodu lidí z firmy nebo týmu. Je přirozeně také součástí procesů správy zaměstnance v průběhu jeho pracovního poměru pro firmu.

• Při nástupu pracovníka do firmy (nebo třeba při nástupu nového člena týmu - nemusí se to týkat jen zaměstnance) je třeba definovat, co bude moci dělat, kam smí a kam nesmí.
• V průběhu jeho práce se může rozsah jeho oprávnění měnit. Je tedy třeba mít nastavené procesy změny a to tak, aby informace doputovala od osoby oprávněné o změně rozhodnout (typicky manažer) až k osobě, která mění nastavení v systému (obvykle nějaký systémový administrátor)

Rozsáhlé podnikové informační systémy, které se skládají z mnoha různých aplikací musí řešit identity management napříč všemi dotčenými aplikacemi. K tomu pak slouží speciální aplikace pro řízení identit, které buď takovou informaci uchovávají nebo dokonce uživatele v ostatních aplikacích řídí (zakládají, mažou, atd)

Taková

Kdo identity management potřebuje?

Potřebuje ho každá firma nebo tým, kde je více než jeden člověk. V malých týmech je to často o domluvě a přidělování oprávnění (například ke sdíleným složkám nebo dokumentům na cloudovém úložišti) je velmi jednoduché.

S rostoucím počtem lidí a případně jejich fluktuací se celé téma zesložiťuje. Když je v týmu více než deset lidí, již potřebujete mít o oprávnění lidí nějaké informace. Zhruba nad 50 lidí už je to těžko uřiditelné bez nějakého nástroje nebo důkladné a řízené evidence. Potřebujete mít:

• pravidla řízení přístupu - přidělování, odebírání a změny (kdo přiděluje oprávnění k čemu, kde je informace o tom vedena)
• zavedení pravidel do firemních procesů
• nějakou pomůcku - nástroj nebo alespoň evidenci o skutečnosti a o změnách (pozor například na GDPR, která bude vyžadovat mít tento proces pod kontrolou, pokud pracujete s osobními daty občanů Evropské unie)

Ve firmách musí řízení identit přímo navazovat na pracovní náplně a kompetence pracovníků. Abyste totiž mohli říci kdo kam smí a kdo kam nesmí, mělo by to být v souladu s jeho pracovní náplní.

Co znamení identity managementu do firmy?

Při zavádění nebo zlepšování řízení identit ve firmě počítejte zhruba s těmito kroky:

• analýzu procesů, pracovních pozic, pracovních náplní,
• analýza aplikací a dat které ve firmě máte (a případně dalších informací nebo aktiv v hmotné podobě)
• analýza přístupových práv uživatelů v jednotlivých aplikacích
• analýza uživatelů a procesů jejich vytváření, změn a mazání
• určení klíčového zdroje informací o lidech (obvykle personální systém)
• určení klíčového zdroje informací o kompetencích, oprávnění a pravomocích lidí (personální systém, pracovní náplně nebo kompetenční systém)
• rozdělení informací a aplikací dle závažnosti a citlivosti uchovávaných informací
• analýza souladu s legislativou (kde a co vyžadují legislativní požadavky)
• návrh na řízení identit
  
  • návrh způsobu vytváření a přidělování oprávnění - na úrovni lidí, jejich pracovního zařazení, pracovních rolí atd.
  • návrh procesů přidělování, změn a odebírání uživatelů
  • návrh automatizace procesů (tam, kde to dává smysl)
  • návrh procesů kontroly a auditu