Før i tiden havde man oftest brug for adgang, når man var fysisk på arbejdspladsen, og så var identitets- og adgangsstyring en mere enkel affære. Firewalls og centraliseret infrastruktur med datacenter i kælderen sikrede, at brugerne havde adgang, så længe de var på arbejde. Enhver, der befandt sig uden for bygningen, blev betragtet som en outsider og var udelukket fra tjenesterne.
Med cloud-løsninger og hjemmekontorer er dette blevet mere kompliceret, og den digitale identitet er blevet afgørende for, at brugerne har adgang til de rigtige systemer. Det sætter IAM i førersædet, både for at sikre systemerne, og for at tilbyde services på en god måde til de brugere, der har brug for dem.
Hvad er Identity Management?
Identity Management, eller identitetsstyring, handler om at kunne identificere og beskrive en bruger. Hvad er for- og efternavne? Hvad er jobtitel? Hvordan ser personen ud? I hvilken afdeling arbejder personen? Det skal sikres, at oplysningerne er korrekte og ajourførte, og at de sendes ud til de forskellige systemer og applikationer, der har brug for denne indsigt
Selvom ikke alle virksomheder har dedikerede IAM-systemer, udfører alle organisationer en form for identitetsstyring. Det betyder rutiner og processer for registrering og oprettelse af brugerkonti og adgang for nye medarbejdere, og - forhåbentlig - at fjerne dem igen, når den pågældende forlader organisationen. Og så er der en ret bred vifte af, hvor gode disse processer er, hvor godt de tager højde for forskellige situationer og scenarier, og hvor godt de fungerer i praksis.
Hvornår har virksomheder brug for identitetsstyring?
Virksomheder bør begynde at have et bevidst forhold til ledelsen af identiteter og adgang, senest når de når 20 medarbejdere. Så begynder overblikket at mangle over, hvem der gør hvad, og I bør begynde at tænke på, hvordan I løser det. Om I skal se på dedikerede IAM-systemer vil afhænge af, hvor komplicerede virksomhedens ydelser er, og hvor høje sikkerhedskravene er.
Virksomheder bør begynde at tænke på håndtering af identiteter og adgang allerede, når de når 20 medarbejdere.
Hvad er Access Management?
Access Management, eller adgangsstyring, handler om, hvilke tjenester og applikationer brugere skal kunne logge ind på, samt hvad den pågældende skal have lov til, og hvilke data de skal få indsigt i, når de er inde i tjenesterne.
I nogle tjenester skal man kunne logge ind og redigere sine egne dokumenter, mens en anden person måske skal have mulighed for at logge ind som superbruger og have yderligere privilegier og rettigheder til at gøre tingene. Med et stadigt voksende antal tjenester og applikationer bliver dette mere og mere kompleks logistik.
Sårbarhed med ét brugernavn og adgangskode til alle systemer
Før var det ofte sådan, at man havde adgang til otte systemer med otte brugernavne og adgangskoder. Det var ikke usædvanligt at se buketter af post-it sedler hænge rundt i kontorlokalet, så folk kunne huske hvilket brugernavn og hvilken adgangskode der gik til hvilket system.
Til sidst begyndte man at koble systemerne sammen, så man kun behøvede ét brugernavn og password, som så blev distribueret til alle systemerne. På den måde opnåede man meget bedre brugervenlighed, men sikkerheden falder og der introduceres en sårbarhed. For hvis du mister adgangskoden, har den ubudne gæst pludselig også adgang til alle de andre systemer. Sikkerheden er således aldrig stærkere end det svageste system.
Ligesom en kæde aldrig er stærkere end sit svageste led, var sikkerhed aldrig stærkere end sit svageste system.
Central identitetstjeneste for øget sikkerhed og brugervenlighed
En bedre løsning kunne være en central identitetstjeneste (IdP), som udfører identifikationen på en sikker måde på vegne af de forskellige systemer. Når den centrale IdP godkender brugeren, sendes en besked tilbage til systemet. Da systemet ikke har kendskab til, hvordan brugeren har autentificeret sig, eller hvilket password brugeren har, er der ingen risiko for, at oplysningerne kan bruges til at logge ind andre steder i tilfælde af indbrud i en af tjenesterne. Dermed har vi opnået det bedste fra to verdener: både øget brugervenlighed og øget sikkerhed.
