Nadradený pojem:
Podradené pojmy:
Manažment prístupov a oprávnení (Kap. 4.3.6)
Popis
Údaje o identitách
Údaje o identitách sú údaje popisujúce fyzické osoby ale aj osoby právnické, organizácie, predmety a objekty. Údaje o identitách sú veľmi rôznorodé, siahajú od jednoznačných identifikátorov, cez mená a adresy až po profily správania.
Údaje o identitách predstavujú kritický prvok v každom informačnom systéme:
− V prvom rade ide o údaje, ktoré sa používajú ako prístupové účty do informačného systému. Tieto údaje sú používané na autentifikáciu používateľov informačných systémov, na autorizáciu ich operácií, pre účely auditu a pre podobné bezpečnostné účely.
− V druhom rade ide o informácie ktoré samotný informačný systém spracúva. Údaje o identitách sú v tomto prípade uložené v informačných systémoch ako bežné záznamy. Aj v tomto prípade však platí, že údaje musia byť presné, správne a aktuálne. Toto obzvlášť platí v prostrediach štátnej a verejnej správy, kde podstatná časť agendy sa týka občanov.
Údaje o identite občanov sú pre správnu činnosť systémov kritické. Informačné systémy verejnej správy musia zabezpečovať prístup úradníkov k údajom o občanoch, ale na druhej strane rovnako chrániť tieto údaje pred neoprávnených prístupom – a to najmä pred neoprávneným prístupom z vnútra organizácií štátnej správy. Bezpečnostné analýzy konzistentne označujú interné hrozby ako najvážnejšie. Najväčšou hrozbou pre ochranu údajov o identite občana nie je teda útočník (hacker). Najväčšou hrozbou je úradník, ktorý zneužije prístup k údajom ktorý by nemal mať.
Problematika údajov o identitách sa teda dá rozdeliť na dve oblasti:
− Konzistencia údajov. Zabezpečenie, aby údaje boli správne, úplné a aktuálne.
− Ochrana prístupu k údajom. Striktné riadenie prístupových práv.
Systémy na správu identít a prístupov
Obe tieto oblasti sú v moderných integrovaných informačných riešeniach riešené pomocou systémov na správu identít a prístupov (Identity and Access Management, IAM).
Jednou z úloh systémov riadenia identít a prístupov je poskytnúť používateľovi ilúziu, že namiesto interakcie s množstvom rôznych aplikácií interaguje s uceleným informačným systémom. Cieľom IAM je zjednotiť vlastnosti týkajúce sa správy identít: zjednotenie používateľských profilov, správy prístupových práv, autentifikácie, správy autorizačných údajov, správy hesiel a podobne.
Situácia je ale komplikovaná heterogenitou aplikácií ako aj ich rôznym stupňom vyspelosti a adaptability. Dôležitým aspektom je aj ekonomická realizovateľnosť: IAM riešenie nesmie byť drahšie ako benefity ktoré prináša. Z tohto dôvodu je zriedkakedy možné zásadne meniť existujúce aplikácie aby sa prispôsobili IAM riešeniu. Musí to byť práve IAM riešenie ktoré musí byť efektívne prispôsobiteľné na existujúce aplikačné prostredie.
IAM systém sa preto architektonicky skladá z niekoľkých kľúčových prvkov ktoré možno prispôsobovať a kombinovať:
− Úložisko údajov o identitách (identity repository), väčšinou realizované adresárovou službou.
− Autentifikačný systém, ktorý môže obsahovať aj mechanizmus jednotného prihlásenia (Single SignOn, SSO).
− Systém správy identít (identity management) a dozoru nad identitami (identity governance).
Tieto prvky sa v riešení navzájom dopĺňajú a spolu tvoria ucelený IAM systém.
Úložisko údajov o identitách
Ako už samotný názov hovorí, úložisko údajov o identitách (identity repository) slúži na ukladanie údajov o osobách, používateľoch, používateľských účtoch a podobných údajov priamo či nepriamo sa vzťahujúcich k osobám. Okrem toho obsahuje aj údaje vzťahujúce sa na riadenie prístupových práv: skupiny, role, privilégiá, organizačnú štruktúru a podobne.
Architektonicky jednoduchším riešením je centralizované úložisko údajov. V tomto prípade sú údaje uložené len v tomto úložisku a všetky aplikácia sa úložiska na údaje dopytujú v momente keď ich potrebujú. Riešenia založené len na centrálnom úložisku údajov sú však v praxi realizovateľné len pre veľmi jednoduché riešenia.
Pre komplexné riešenie sa využíva distribuované a replikované úložisko. Úložiská údajov sa najčastejšie implementujú pomocou adresárových služieb (directory service) pre výhodné inžinierske vlastnosti týchto systémov pri práci s údajmi o identitách (škálovateľnosť, nenáročnosť na zdroje).
Autentifikačný subsystém
Autentifikačný subsystém zabezpečuje autentifikáciu používateľov, to znamená vyžiadanie a overenie „dôkazu“ o ich identite. Autentifikácia sa vykonáva na prednej strane (front-end) jednotlivých komponentov informačného systému.
Autentifikácia pomocou zjednoteného prihlasovania (SSO)
Zjednotené prihlasovanie (Single Sign-On, SSO) predstavuje riešenie zamerané na zjednodušenie prihlasovania sa používateľov do aplikácií pomocou autentifikačného a autorizačného servera.
Nevyhnutným predpokladom pre vybudovanie autentifikačného servera a SSO infraštruktúry je vytvorenie centrálneho úložisko údajov o identitách. Je dôležité si uvedomiť aj to, že SSO systém nijako nezjednodušuje správu používateľských účtov v aplikáciách, ktoré nepodporujú SSO – účty je aj naďalej potrebné spravovať. Preto je vhodné prepojiť SSO systém s centrálnou správou používateľov (identity management) a spravovať jeho úložisko ako ďalší z koncových systémov.
Správa identít
Systémy na správu identít (identity management) umožňujú centralizovane vytvárať, meniť a rušiť používateľské účty a ich prístupy v rámci organizácie. Ich hlavnou úlohou je zjednodušiť existujúce procesy správy účtov, ktoré sú najčastejšie manuálne, ad-hoc a neriadené a nahradiť ich centralizovaným systémom, ktorý zjednocuje správu účtov a prístupových práv v jednotlivých koncových systémoch do jednotného riešenia.
Databázy používateľských účtov na koncových systémoch sa využívajú aj naďalej, natívne nástroje na správu účtov nie sú technologicky nijako obmedzené. Pre koncový systém je centrálna správa používateľov transparentná.
Jednou z najdôležitejších funkcií riešení pre správu identít je ich schopnosť implementovať organizačné a bezpečnostné politiky. Napríklad riadiť prístup k systémom na základe rolí, implementovať nezlučiteľnosť pracovných funkcií (segregation of duties) a podobne.
Kritickým prvkom pre dlhodobú udržateľnosť riešenia je dohľad nad identitami (identity governance), tiež označované ako podpora pre dohľad, rizikový manažment a zhodu (governance, risk management and compliance, GRC). Tieto schopnosti zabezpečujú, že implementované politiky budú konzistentné a že bude možné ich priebežne prispôsobovať zmenám prostredia, legislatívy a regulácií.
Výber prístupu
V našom koncepte potrebuje vyriešiť najmä manažment prístupu k údajom.
Navrhujeme centrálne riešenie, ktoré umožní:
− Centrálne úložisko údajov o identitách (prepojené s organizačným modelom verejnej správy).
− Centrálnu správu oprávnení prístupu (ktorá umožní implementovať príslušnú biznis logiku). K riešeniu budú mať prístup administrátori na úrovni jednotlivých inštitúcií.
Údaje o identitách sú údaje popisujúce fyzické osoby ale aj osoby právnické, organizácie, predmety a objekty. Údaje o identitách sú veľmi rôznorodé, siahajú od jednoznačných identifikátorov, cez mená a adresy až po profily správania.
Údaje o identitách predstavujú kritický prvok v každom informačnom systéme:
− V prvom rade ide o údaje, ktoré sa používajú ako prístupové účty do informačného systému. Tieto údaje sú používané na autentifikáciu používateľov informačných systémov, na autorizáciu ich operácií, pre účely auditu a pre podobné bezpečnostné účely.
− V druhom rade ide o informácie ktoré samotný informačný systém spracúva. Údaje o identitách sú v tomto prípade uložené v informačných systémoch ako bežné záznamy. Aj v tomto prípade však platí, že údaje musia byť presné, správne a aktuálne. Toto obzvlášť platí v prostrediach štátnej a verejnej správy, kde podstatná časť agendy sa týka občanov.
Údaje o identite občanov sú pre správnu činnosť systémov kritické. Informačné systémy verejnej správy musia zabezpečovať prístup úradníkov k údajom o občanoch, ale na druhej strane rovnako chrániť tieto údaje pred neoprávnených prístupom – a to najmä pred neoprávneným prístupom z vnútra organizácií štátnej správy. Bezpečnostné analýzy konzistentne označujú interné hrozby ako najvážnejšie. Najväčšou hrozbou pre ochranu údajov o identite občana nie je teda útočník (hacker). Najväčšou hrozbou je úradník, ktorý zneužije prístup k údajom ktorý by nemal mať.
Problematika údajov o identitách sa teda dá rozdeliť na dve oblasti:
− Konzistencia údajov. Zabezpečenie, aby údaje boli správne, úplné a aktuálne.
− Ochrana prístupu k údajom. Striktné riadenie prístupových práv.
Systémy na správu identít a prístupov
Obe tieto oblasti sú v moderných integrovaných informačných riešeniach riešené pomocou systémov na správu identít a prístupov (Identity and Access Management, IAM).
Jednou z úloh systémov riadenia identít a prístupov je poskytnúť používateľovi ilúziu, že namiesto interakcie s množstvom rôznych aplikácií interaguje s uceleným informačným systémom. Cieľom IAM je zjednotiť vlastnosti týkajúce sa správy identít: zjednotenie používateľských profilov, správy prístupových práv, autentifikácie, správy autorizačných údajov, správy hesiel a podobne.
Situácia je ale komplikovaná heterogenitou aplikácií ako aj ich rôznym stupňom vyspelosti a adaptability. Dôležitým aspektom je aj ekonomická realizovateľnosť: IAM riešenie nesmie byť drahšie ako benefity ktoré prináša. Z tohto dôvodu je zriedkakedy možné zásadne meniť existujúce aplikácie aby sa prispôsobili IAM riešeniu. Musí to byť práve IAM riešenie ktoré musí byť efektívne prispôsobiteľné na existujúce aplikačné prostredie.
IAM systém sa preto architektonicky skladá z niekoľkých kľúčových prvkov ktoré možno prispôsobovať a kombinovať:
− Úložisko údajov o identitách (identity repository), väčšinou realizované adresárovou službou.
− Autentifikačný systém, ktorý môže obsahovať aj mechanizmus jednotného prihlásenia (Single SignOn, SSO).
− Systém správy identít (identity management) a dozoru nad identitami (identity governance).
Tieto prvky sa v riešení navzájom dopĺňajú a spolu tvoria ucelený IAM systém.
Úložisko údajov o identitách
Ako už samotný názov hovorí, úložisko údajov o identitách (identity repository) slúži na ukladanie údajov o osobách, používateľoch, používateľských účtoch a podobných údajov priamo či nepriamo sa vzťahujúcich k osobám. Okrem toho obsahuje aj údaje vzťahujúce sa na riadenie prístupových práv: skupiny, role, privilégiá, organizačnú štruktúru a podobne.
Architektonicky jednoduchším riešením je centralizované úložisko údajov. V tomto prípade sú údaje uložené len v tomto úložisku a všetky aplikácia sa úložiska na údaje dopytujú v momente keď ich potrebujú. Riešenia založené len na centrálnom úložisku údajov sú však v praxi realizovateľné len pre veľmi jednoduché riešenia.
Pre komplexné riešenie sa využíva distribuované a replikované úložisko. Úložiská údajov sa najčastejšie implementujú pomocou adresárových služieb (directory service) pre výhodné inžinierske vlastnosti týchto systémov pri práci s údajmi o identitách (škálovateľnosť, nenáročnosť na zdroje).
Autentifikačný subsystém
Autentifikačný subsystém zabezpečuje autentifikáciu používateľov, to znamená vyžiadanie a overenie „dôkazu“ o ich identite. Autentifikácia sa vykonáva na prednej strane (front-end) jednotlivých komponentov informačného systému.
Autentifikácia pomocou zjednoteného prihlasovania (SSO)
Zjednotené prihlasovanie (Single Sign-On, SSO) predstavuje riešenie zamerané na zjednodušenie prihlasovania sa používateľov do aplikácií pomocou autentifikačného a autorizačného servera.
Nevyhnutným predpokladom pre vybudovanie autentifikačného servera a SSO infraštruktúry je vytvorenie centrálneho úložisko údajov o identitách. Je dôležité si uvedomiť aj to, že SSO systém nijako nezjednodušuje správu používateľských účtov v aplikáciách, ktoré nepodporujú SSO – účty je aj naďalej potrebné spravovať. Preto je vhodné prepojiť SSO systém s centrálnou správou používateľov (identity management) a spravovať jeho úložisko ako ďalší z koncových systémov.
Správa identít
Systémy na správu identít (identity management) umožňujú centralizovane vytvárať, meniť a rušiť používateľské účty a ich prístupy v rámci organizácie. Ich hlavnou úlohou je zjednodušiť existujúce procesy správy účtov, ktoré sú najčastejšie manuálne, ad-hoc a neriadené a nahradiť ich centralizovaným systémom, ktorý zjednocuje správu účtov a prístupových práv v jednotlivých koncových systémoch do jednotného riešenia.
Databázy používateľských účtov na koncových systémoch sa využívajú aj naďalej, natívne nástroje na správu účtov nie sú technologicky nijako obmedzené. Pre koncový systém je centrálna správa používateľov transparentná.
Jednou z najdôležitejších funkcií riešení pre správu identít je ich schopnosť implementovať organizačné a bezpečnostné politiky. Napríklad riadiť prístup k systémom na základe rolí, implementovať nezlučiteľnosť pracovných funkcií (segregation of duties) a podobne.
Kritickým prvkom pre dlhodobú udržateľnosť riešenia je dohľad nad identitami (identity governance), tiež označované ako podpora pre dohľad, rizikový manažment a zhodu (governance, risk management and compliance, GRC). Tieto schopnosti zabezpečujú, že implementované politiky budú konzistentné a že bude možné ich priebežne prispôsobovať zmenám prostredia, legislatívy a regulácií.
Výber prístupu
V našom koncepte potrebuje vyriešiť najmä manažment prístupu k údajom.
Navrhujeme centrálne riešenie, ktoré umožní:
− Centrálne úložisko údajov o identitách (prepojené s organizačným modelom verejnej správy).
− Centrálnu správu oprávnení prístupu (ktorá umožní implementovať príslušnú biznis logiku). K riešeniu budú mať prístup administrátori na úrovni jednotlivých inštitúcií.
Dôležitosť
Vysoká