Hvad er IAM, og hvordan kommer man i gang?

Den digitale identitet er blevet afgørende for, at brugerne har adgang til de rigtige systemer. Det sætter Identity and Access Management (IAM) i førersædet. Men hvad er IAM egentlig, og hvor begynder man for at få dette på plads?

Hvad er IAM?

IAM står for Identity and Access Management, som kan oversættes til identitets- og adgangsstyring. Kernen i IAM handler om, at brugerne skal kunne logge ind og bruge forskellige it-tjenester, og at de får adgang til at gøre det, de har brug for, og præcis det, de skal have lov til – og ikke mere.

Kort sagt omfatter dette ofte at sikre:

Korrekt og komplet brugerdata
Godt overblik over aktive brugerkonti
Den rigtige bruger har den rigtige adgang
Sikker identifikation af brugeren
Brugervenligt login til applikationer og tjenester
Størst mulig automatisering af oprettelse, vedligeholdelse og sletning af brugerdata og adgang

IAM i førersædet

Før i tiden havde man oftest brug for adgang, når man var fysisk på arbejdspladsen, og så var identitets- og adgangsstyring en mere enkel affære. Firewalls og centraliseret infrastruktur med datacenter i kælderen sikrede, at brugerne havde adgang, så længe de var på arbejde. Enhver, der befandt sig uden for bygningen, blev betragtet som en outsider og var udelukket fra tjenesterne.

Med cloud-løsninger og hjemmekontorer er dette blevet mere kompliceret, og den digitale identitet er blevet afgørende for, at brugerne har adgang til de rigtige systemer. Det sætter IAM i førersædet, både for at sikre systemerne, men også for at tilbyde services på en god måde til de brugere, der har brug for dem.

Hvad er identitetsstyring?

Identitetsstyring handler om at kunne identificere og beskrive en bruger. Hvad er for- og efternavne? Hvad er jobtitel? Hvordan ser personen ud? I hvilken afdeling arbejder personen? Det skal sikres, at oplysningerne er korrekte og ajourførte, og at de sendes ud til de forskellige systemer og applikationer, der har brug for denne indsigt

Selvom ikke alle virksomheder har dedikerede IAM-systemer, udfører alle organisationer en form for identitetsstyring. Det betyder rutiner og processer for registrering og oprettelse af brugerkonti og adgang for nye medarbejdere, og - forhåbentlig - at fjerne dem igen, når den pågældende forlader organisationen. Og så er der en ret bred vifte af, hvor gode disse processer er, hvor godt de tager højde for forskellige situationer og scenarier, og hvor godt de fungerer i praksis.

Hvis du siger, at du ikke beskæftiger dig med identitets- og adgangsstyring, er chancerne store for, at du har god plads til at forbedre den ledelse, du de facto har.

Hvornår har virksomheder brug for identitetsstyring?

Virksomheder bør begynde at have et bevidst forhold til ledelsen af identiteter og adgang, senest når de når 20 medarbejdere. Så begynder overblikket at mangle over, hvem der gør hvad, og I bør begynde at tænke på, hvordan I løser det. Om I skal se på dedikerede IAM-systemer vil afhænge af, hvor komplicerede virksomhedens ydelser er, og hvor høje sikkerhedskravene er.

Virksomheder bør begynde at tænke på håndtering af identiteter og adgang allerede, når de når 20 medarbejdere.

Hvad er adgangsstyring?

Adgangsstyring handler om, hvilke tjenester og applikationer brugere skal kunne logge ind på, samt hvad den pågældende skal have lov til, og hvilke data de skal få indsigt i, når de er inde i tjenesterne.

I nogle tjenester skal man kunne logge ind og redigere sine egne dokumenter, mens en anden person måske skal have mulighed for at logge ind som superbruger og have yderligere privilegier og rettigheder til at gøre tingene. Med et stadigt voksende antal tjenester og applikationer bliver dette mere og mere kompleks logistik.

Sårbarhed med ét brugernavn og adgangskode til alle systemer

Før var det ofte sådan, at man havde adgang til otte systemer med otte brugernavne og adgangskoder. Det var ikke usædvanligt at se buketter af post-it sedler hænge rundt i kontorlokalet, så folk kunne huske hvilket brugernavn og hvilken adgangskode der gik til hvilket system.

Til sidst begyndte man at koble systemerne sammen, så man kun behøvede ét brugernavn og password, som så blev distribueret til alle systemerne. På den måde opnåede man meget bedre brugervenlighed, men sikkerheden falder og der introduceres en sårbarhed. For hvis du mister adgangskoden, har den ubudne gæst pludselig også adgang til alle de andre systemer. Sikkerheden er således aldrig stærkere end det svageste system.

Ligesom en kæde aldrig er stærkere end sit svageste led, var sikkerhed aldrig stærkere end sit svageste system.

Øget brugervenlighed og sikkerhed med en central identitetsservice

En bedre løsning kunne være en central identitetstjeneste (IDP), som udfører identifikationen på en sikker måde på vegne af de forskellige systemer. Når den centrale IDP godkender brugeren, sendes en besked tilbage til systemet. Da systemet ikke har kendskab til, hvordan brugeren har autentificeret sig, eller hvilket password brugeren har, er der ingen risiko for, at oplysningerne kan bruges til at logge ind andre steder i tilfælde af indbrud i en af tjenesterne. Dermed har vi opnået det bedste fra to verdener: både øget brugervenlighed og øget sikkerhed. CW_illustrasjon_teamwork

Hvordan begynder man at klargøre systemer til at understøtte IAM?

Et af de store spørgsmål, som mange virksomheder har, er ofte, hvor man skal starte. Hvor begynder man med at klargøre systemer til IAM?

Kildesystem og stamdata

Du starter med at definere, hvor du har sporbare oplysninger om dine brugere, og hvem de er. I de fleste tilfælde vil der være tale om et HR- eller lønsystem. Disse kildedata vil danne grundlag for de data, vi vil distribuere om dine brugere i hele dit servicelandskab. Det er vigtigt, at de er korrekte, og at der er gode nok processer til at holde dem ajour.
I nogle tilfælde vil det være nødvendigt at rydde op og kvalitetssikre det system, der fungerer som stamdata for de øvrige systemer. Det er som regel en overskuelig opgave, og der bliver gjort meget, når man først har fået dette op på et godt niveau.
Der kan også være andre vigtige datakilder for virksomheden, såsom et projektsystem, der har overblik over, hvem der er medlemmer af hvilke projekter, og som kan styre adgangen til projektområder. Der kan være et sundhedspersonaleregister, der siger noget om, hvem der har gyldige autorisationer til forskellige sundhedsformål, der kan bruges som grundlag for at administrere adgangen ud fra det. Det er også muligt at tilslutte sig Folkeregisteret, hvis der er et ønske og behov for at kontrollere personoplysninger mod offentlige registre.

Oprettelse af brugerkonti

Når IAM-systemet har modtaget alle informationer fra alle systemerne, og der er bygget en god profil til hver bruger, handler det om at oprette konti og onboarde brugeren på en måde, der sikrer både sikkerhed og brugervenlighed. Her vil definerede forretningsregler være styrende for, hvilke tjenester de forskellige brugere skal have adgang til og på hvilken måde. Det vil gøre det tydeligt for brugerne, hvornår de skal logge på, hvilke systemer de har adgang til, og at de kan bruge disse tjenester problemfrit.
At få kontrol over de store tjenester, der er i udbredt brug på tværs af organisationen, er et godt sted at starte. For eksempel e-mail eller Office365, og interaktionsplatforme som Workplace.
Det kan også være en god idé at klassificere informationerne i systemerne på et tidligt tidspunkt; hvor kritiske er de for forretning og sikkerhed? Hvad sker der, hvis det kommer på afveje? Hvis informationen er klassificeret som risikabel, kan det give mening at få kontrol tidligt med et IAM-system.

Med et IAM-system vil brugerne kunne logge på sikkert. Det vil være tydeligt for dem, hvilke systemer de har adgang til, og de kan bruge tjenesterne problemfrit.

Frigørelse af ressourcer, øget effektivitet og forbedret sikkerhed

Når du får kontrol, vil du se, at det arbejde, du udfører, frigør ressourcer og gør tingene mere effektivt. Virksomheden kan for eksempel spare penge, fordi licenser frigives, når man ikke betaler for gamle brugere, og fordi brugere og servicedesk ikke skal bruge meget tid på nulstilling af adgangskoder.

Det er nemmere at afsætte ressourcer til videreudvikling og udrulning af løsninger, der understøtter god identitets- og adgangsstyring, når man ser, at man sparer ressourcer og forbedrer sikkerheden. Især når fordelene for både virksomheden og slutbrugerne bliver tydeliggjort.

Udført korrekt, vil IAM være en "force multiplier" for din virksomhed. Både i arbejdet med at sikre solid sikkerhed omkring services og data, samt for effektivt at levere gode services til dine slutbrugere!