Identitets- och åtkomststyrning integrerar IT i affärsverksamheten

Transkript

1 FAKTABLAD Identitets- och åtkomststyrning integrerar IT i affärsverksamheten Med tanke på riskerna som åtföljer vår tids ökande flora av hot och regelverk, så har behovet av identitets- och åtkomststyrning (IAG, eller Identity and Access Governance) aldrig varit större än nu. Du behöver veta exakt vem som har åtkomst till vilka resurser, och om det finns fog för de behörigheterna. Under senare år har det här enkla behovsbaserade uppdraget gått från att vara ett IT-direktiv till att bli en viktig affärsprincip. I takt med att allmänheten blir alltmer tekniskt kunnig ökar riskerna för säkerhetsintrång, och därmed även verksamhetens behov av att kunna reagera snabbt när de inträffar. Även om identitetshantering i första hand är IT-avdelningens ansvarsområde, så är närliggande områden som säkerhetsefterlevnad, riskminimering och åtkomststyrning några av de viktigaste frågorna för organisationens affärschefer. Identitetshanterings- och åtkomststyrningssystem har många funktioner gemensamt. Men personerna som använder systemen är IT-tekniker respektive affärschefer, som brukar ha mycket olika mål och teknisk bakgrund. Och fastän det ligger nära till hands att slå samman de båda systemen, så måste det sammanslagna systemet vara tillräckligt robust för att kunna uppfylla IT-avdelningens krav utan att bli för krångligt att hantera för icke-tekniker. Det här ska inte förstås som att systemet kan, eller bör, göra två systems jobb. Vad det betyder är snarare att en IAG-lösning måste integrera IT och affärsverktyg på ett smidigt sätt för att kunna tillmötesgå de båda systemens tilltagande systemkrav.

2 FAKTABLAD Innehållsförteckning Översikt över IAG-branschen... 1 Marknadskrafter... 1 Attacker, cyberterrorism, interna säkerhetsproblem och bedrägerier... 1 Molnets framväxt... 1 Mobil åtkomst... 1 Budgetbegränsningar... 1 Resulterande krav... 2 Granskningar, bestämmelser, efterlevnad... 2 Snabb åtkomst, snabba uppdateringar... 2 Sammanföra två världar... 2 Definitioner... 2 Identitetshantering... 2 Åtkomststyrning... 2 IAG och organisationens behov... 3 Integration och sann utveckling... 3 Värdet hos befintliga investeringar... 3 Framtiden... 3 Nyckelelement i effektiva IAG-lösningar... 3 Val av leverantör... 4 Om NetIQ... 5

3 Översikt över IAG-branschen Marknadskrafter Många faktorer har bidragit till den enorma tillväxten på marknaden för identitets- och åtkomststyrning (IAGmarknaden). Här följer några av de främsta drivkrafterna bakom den här tillväxten. Attacker, cyberterrorism, interna säkerhetsproblem och bedrägerier För de flesta företag är det relativt enkelt att ge de anställda en säker arbetsplats i rent fysisk bemärkelse, men det är alltid en svår utmaning att ordna säkerheten för system, data och immateriella rättigheter. Cyberattacker, eller datorattacker, kan komma både från utifrån och från organisationens egna anställda. Trots att FBI (Federal Bureau of Investigation) ökar antalet bedrägeriutredningar med i genomsnitt 10 procent om året 1, så är antalet fall som aldrig når FBI-nivån rejält mycket större än så. Riskerna har aldrig varit fler än nu, när allt från missnöjda anställda till skrupellösa konkurrenter och hackers nosar runt efter data att sälja. Tråkigt nog kunde dessutom de flesta cyberattackerna och säkerhetsintrången ha förhindrats: ert företag sitter troligen redan på den information som behövs för att skydda sig mot attackerna. Det som sannolikt saknas är ett sätt att ordna, hantera och övervaka data så att säkerhetsrisker blir tydliga och förebyggande åtgärder kan vidtas. Molnets framväxt NIST (National Institute of Standards and Technology) definierar molnet som tillhandahållande av datorkapacitet som en tjänst snarare än som en produkt, där delade resurser, program och information överförs via ett nätverk (internet) till datorer där de efterfrågas (enligt samma princip som distribution av el i elnätet) 2. Molnbaserade plattformar och tjänster blir alltmer populära världen över. Det är lätt att förstå varför. SaaS-program som levereras över molnet har inbyggd skalbarhet. Företagen betalar bara för programvaran som de behöver nu. När deras behov av kapacitet ökar kan de enkelt allokera ytterligare resurser. Att använda tjänster via molnet saknar innebär dock sina egna utmaningar. Att ge alla användare åtkomst till alla program är t.ex. en kostsam och riskabel strategi. För att hålla kostnaderna nere och minska säkerhetsriskerna behövs ett sätt att allokera åtkomst till molnresurser utifrån användarnas roller och ansvarsområden. Med andra ord behövs en effektiv IAG-lösning. Mobil åtkomst För att behålla konkurrenskraften måste företag tillhandahålla nätverksresurser som är tillgängliga överallt, dygnet runt. Att göra det innebär långt mer än att installera konventionella VPN-klienter (Virtual Private Network) på företagets datorer. Fjärranslutna användare behöver kunna få åtkomst från en mängd olika icke-konventionella enheter, t.ex. smarttelefoner och surfplattor. För att kunna möta de här behoven på ett säkert sätt behövs en lösning för åtkomststyrning som både autentiserar användare och ger dem åtkomst till sina molnbaserade resurser från flera olika enheter. Den här typen av åtkomst kräver en säker och betrodd identitetshanteringslösning som dessutom fungerar på alla plattformar. Budgetbegränsningar I svåra ekonomiska tider är det vanligt att organisationer begränsar sina IT-budgetar trots att deras efterfrågan på IT-tjänster ökar. Fullständigt integrerade IAG-lösningar som automatiserar vanliga procedurer och processer är lönsamma investeringar även i svåra tider. De här lösningarna sparar tid och pengar, och minskar frustration avsevärt. IAG-lösningar sparar pengar inom två huvudområden: produktivitet och säkerhet. Om medarbetare inte har åtkomst till de resurser de behöver för att kunna göra sina jobb blir produktiviteten lidande, och personalkostnaderna ökar. På liknande sätt ökar produktivitetskostnaderna när IT-teknikerna måste ägna många kostsamma timmar åt repetitiva och enahanda uppgifter. De största kostnaderna som hör till separata, manuellt hanterade identitets- och åtkomststyrningslösningar uppstår när organisationer har otillräckliga säkerhets- och efterlevnadskontroller. Dataintrång är mycket kostsamma, och de blir allmänt kända mycket snabbt. Om marknaden förlorar förtroendet för ett företag riskerar det att gå under

4 Resulterande krav Allteftersom de ovan nämnda marknadskrafterna tilltar i styrka kommer behovet av en effektiv, integrerad och automatiserad IAG-lösning att växa. Organisationer som din måste försäkra sig om både att deras system är säkra och att de kan hantera åtkomsten till systemen på ett effektivt sätt. Marknadskrafterna utövar ett tryck inom dessa båda nyckelområden. Granskningar, bestämmelser, efterlevnad Ökande kontroll från myndighets- och branschorgan uppstår till följd av orosmoln kring datasäkerhet, som i sin tur beror på marknadskrafter som internets framväxt och molnets tilltagande popularitet. Myndighets- och bransch organen utövar ofta sin kontroll i form av regelverk, och regelverken blir då och då lagar, för att säkerställa efterlevnaden. SOX (Sarbanes-Oxley) och HIPAA (Health Insurance Portability and Accountability Act) är bara två exempel på de många regelverk som kräver effektiva IAG-lösningar för efterlevnad: Förmågan att kunna garantera att människor har åtkomst enbart till de resurser som de behöver, och enbart när de faktiskt behöver dem, är avgörande för efterlevnadssatsningar. Snabb åtkomst, snabba uppdateringar För några år sedan var företagen nöjda med att vänta på att världens alla postverk skulle leverera korrespondens och information. I vår tids kommunikationslandskap förväntar sig företag att kunna dela information omedelbart. De förväntar sig även omedelbar aktivering och avaktivering av användare. Att ta en kölapp till supporten och vänta medan den överbelastade IT-personalen delar ut eller drar in åtkomst manuellt till varje resurs för sig är helt enkelt inte längre rimligt. Nu mer än någonsin har funktioner som uppdatering av system och program för att klara nya affärsbehov och efterlevnadsregler, rutinmässiga uppgraderingar samt uppdateringar av IT-policyer och procedurer blivit synliga för organisationens högsta skikt. Ledningen förväntar sig att åtgärder ska utföras omedelbart, även i alltmer invecklade situationer. Sammanföra två världar Definitioner För att förstå vad IAG-lösningar innebär krävs viss kännedom om hur system för identitetshantering och åtkomststyrning fungerar. Identitetshantering Behov och krav inom IT driver på utvecklingen av system för identitets- och åtkomststyrning. Med verktyg för identitetshantering kan IT-tekniker göra följande: Tilldela åtkomst till program och servrar Tillämpa betrodda autentiseringsmekanismer som säkerställer att användaren är den han eller hon utger sig för att vara Förenkla processer för säker inloggning Dela ut åtkomst till SaaS-resurser och mobila enheter Administrera Active Directory-funktioner Ge detaljerade administratörsfunktioner till behörig IT-personal De här verktygen är mycket kraftfulla, och problemen de löser är invecklade. De är utformade för att utföra automatiseringsuppgifter bakom kulisserna, och används normalt sett inte av de flesta affärsanvändare. Åtkomststyrning Åtkomststyrningsrelaterade problem brukar oftast föreligga på affärsnivån, så verktyg för åtkomststyrning har användargränssnitt som är utformade för affärschefer snarare än IT-tekniker. De här verktygen har oftast funktioner för följande åtgärder: Säkerställa företagets efterlevnad med IAG-relaterade regler och bestämmelser Godkänna åtkomstsbegäran för nyanställda, anställda som fått nya befattningar eller tillfälliga arbetsgrupper Attestering av lämpliga åtkomstnivåer Definiering och hantering av systemövergripande användarroller Hantering av rättigheter som hör till olika roller och befattningar Utvärdering, hantering och minimering av risker utifrån roller, behörigheter och åtkomstnivåer 2

5 Med verktyg för åtkomststyrning får företagets ledare inte bara möjlighet att uppfylla krav och bestämmelser. Deras vanliga och återkommande uppgifter kan dessutom automatiseras, så att IT- och supportpersonalen slipper lägga ned så mycket tid på dem. IAG och organisationens behov IT-organisationer måste klara av att driva efterlevnadssatsningar, ge åtkomst, hålla systemen säkra och uppdatera tekniken och datormiljöerna, samtidigt som man strävar mot de strategiska affärsmålen. Affärschefer är måna om att upprätthålla efterlevnad, klara säkerhets-/regelgranskningar, minimera risker, svara snabbt på interna och externa kunder och att kunna överblicka hela företaget i ett lättbegripligt och användarvänligt system. Även om IT- och affärsbehov kan verka väldigt olika, så kan man åtminstone i fallet med identitetshantering och åtkomststyrning inte uppfylla det ena utan att samtidigt uppfylla det andra. Det är av avgörande vikt att båda systemen samverkar för att möta och överträffa de affärsmässiga och IT-mässiga målsättningarna. Styrning ersätter inte behovet av en stark identitetshantering. Den kompletterar snarare identitetshanteringens infrastruktur, och gör att de som faktiskt har en överblick över de affärsmässiga behoven kan dra nytta av affärssystemen istället för att bli förslavade av dem. Med andra ord kan man uppfylla både IT- och affärsrelaterade behov genom smidig integrering av system för identitetshantering och åtkomststyrning. Integration och sann utveckling Värdet hos befintliga investeringar Vissa nya leverantörer på IAG-marknaden förespråkar intensiva satsningar på ny teknik och att lämna det gamla bakom sig. Den här slit- och slängmentaliteten är i bästa fall dyr och i värsta fall farlig. Att utnyttja befintlig utrustning och teknik ger bättre värde på investeringarna och har dessutom en annan viktig fördel: De befintliga systemen har redan accepterats av användarna. Med rätt IAG-lösning går det att behålla den teknik som har fungerat bra tidigare och samtidigt dra fördel av ny och viktig teknik. Den rätta IAG-lösningen måste kunna användas med en mängd olika plattformar, program och tekniker. Den ger möjlighet att använda de befintliga systemen som teknisk grund för driftsättning av den senaste tekniken, vilket banar väg för framtida utveckling. Framtiden Företaget måste utforma en tydlig vision för framtiden, och avgöra vilken väg som är den rätta att gå. IAG-systemet är en viktig del av den här framtiden. Om framtidsplanerna omfattar uppköp av andra företag (eller att andra företag köper ert) finns förmodligen redan insikten om att det krävs system som kan hantera både ny och annorlunda teknik. Men å andra sidan kommer sådana system att behövas ändå. Trots allt kommer vår tids tekniker att bli framtidens arvegods. När det sker är det bättre om man kan bygga vidare på dem istället för att ersätta dem helt. Säkerställ en väg framåt med starka integreringsmöjligheter, där befintliga system kan samverka och samexistera med nya och framtida tekniker, även nya plattformar och datormiljöer. Nyckelelement i effektiva IAG-lösningar Följande produktfunktioner är avgörande för lyckade IAG-lösningar: Fullständig integrering mellan systemen för identitetshantering och åtkomststyrning Säkerställ att det valda styrningssystemet är mer än bara kompatibelt med eller gör mer än bara används med systemet för identitets- och åtkomststyrning. En verkligt smidig integration mellan robusta lösningar inom varje område kommer att bidra till en framgångsrik verksamhet. Enkel användning Ett enkelt och användarvänligt gränssnitt är absolut avgörande, särskilt för affärsanvändarna som ska utföra åtkomststyrningsuppgifter. Håll utkik efter en kontrollpanel som ger affärscheferna möjlighet att snabbt överblicka hela IAG-landskapet och zooma in på detaljerade användarprofiler där varje användares roller och behörigheter visas. Med de här funktionerna kan affärsanvändarna snabbt och enkelt komma igång med det nya systemet och uppfylla efterlevnadsmålen. 3

6 Hantering av övergivna konton Om det är viktigt att snabbt kunna tilldela rätt åtkomst till resurser, så är det ännu viktigare att snabbt kunna dra in åtkomsten när anställda eller underleverantörer lämnar organisationen. Se till att IAG-lösningen har funktioner som förhindrar att konton som inte används blir potentiella säkerhetsrisker. Hantering av växande behörigheter När anställda byter avdelning, blir befordrade, deltar i tillfälliga arbetsgrupper m.m., så kan vissa lösningar göra det enkelt för dem att behålla åtkomstsbehörigheter från tidigare projekt. Effektiva IAG-lösningar övervakar och åtgärdar dock den här typen av växande behörigheter, vilket säkerställer att användarnas åtkomstsbehörigheter endast sträcker sig till deras aktuella behov. Pålitligt genomförande Styrningssystem är aldrig bättre än de identitetshanteringssystem som de är integrerade med. Se till att båda systemen är kraftfulla, lättanvända och väl integrerade. Funktioner för flera plattformar Starka IAG-system kan användas med alla ledande programvaror och databaser, operativsystem, maskinvaror och webbservermiljöer. Riskutvärdering och minimeringsverktyg Förmågan att kunna minimera riskerna är helt klart ett viktigt element i en bra IAG-lösning. Val av leverantör Att välja rätt leverantör är lika viktigt som att välja rätt system och verktyg. Här är några frågor du ska ställa dig när du ska välja leverantör: Förtroende vad har den potentiella leverantören för anseende på marknaden? Hur nöjda är leverantörens andra kunder med den support och de tjänster de får? Var försiktig i urvalsprocessen om en möjlig leverantör har ett tvivelaktig rykte eller är för ny på marknaden för att ha hunnit bygga upp ett gott rykte. Framtidsvisioner vad har den potentiella leverantören för framtidsvisioner? Följer leverantören strömmen eller banar den ny väg? Har leverantören mål och strategier som passar väl tillsammans med dina? Försök hitta leverantörer med visioner som stämmer med företagets. Branschledarskap och historik vad har den potentiella leverantören för historia? Har de varit innovatörer inom de marknader där de agerar? Har de visat att IAG-marknaden är ett viktigt fokusområde eller har de hoppat på tåget i sista sekunden? En ledande roll i det förflutna är den bästa indikator som finns på framtida framgångar. Uppvisade resultat hur kunniga är leverantörens tekniker och supportpersonal? Har leverantören med gott resultat implementerat lösningar hos andra som påminner mycket om lösningarna på ditt företag? Att ta reda på hur leverantörens befintliga kunder upplever deras prestationer kan hjälpa dig att bedöma hur väl leverantören kan prestera för dig. När teknikerna för identitetshantering och åtkomststyrning sammanförs blir det dubbelt så viktigt att välja rätt produkter, från rätt leverantörer. Noggrannhet vid efterforskningar, planering och val av partner säkerställer att företagets IAG-lösning kommer att möta framtida behov under lång tid. 4

7 Om NetIQ NetIQ är ett globalt IT-företag med ett målmedvetet fokus på kundens framgång. Kunder och partners väljer NetIQ för att få hjälp med att ta sig an utmaningar kring informationsskydd på ett kostnadseffektivt vis, samt med att hantera komplexa och dynamiska distribuerade programmiljöer. I vår portfölj finns skalbara automatiserade lösningar för hantering av identitet, säkerhet och styrning eller IT, som hjälper organisationer att på ett säkert sätt leverera, mäta och hantera datatjänster över fysiska, virtuella och molnbaserade datormiljöer. De här lösningarna i kombination med vår praktiska och kundorienterade attityd vad gäller att lösa bestående IT-utmaningar bidrar till att organisationer får lägre kostnader, färre risker och minskad komplexitet. Om du vill veta mer om våra prisbelönta programvarulösningar kan du besöka Det här dokumentet kan innehålla felaktiga tekniska uppgifter eller typografiska fel. Ändringar av informationen häri görs tidvis. De här ändringarna kan tas med i nya upplagor av det här dokumentet. NetIQ Corporation förbehåller sig rätten att när som helst göra förbättringar av eller ändringar i programvaran som beskrivs i den här dokumentationen. Copyright 2012 NetIQ Corporation och dess samarbetspartner. Med ensamrätt. 562-SV DS 09/12 ActiveAudit, ActiveView, Aegis, AppManager, Change Administrator, Change Guardian, Compliance Suite, den kubformade logotypen, Directory and Resource Administrator, Directory Security Administrator, Domain Migration Administrator, Exchange Administrator, File Security Administrator, Group Policy Administrator, Group Policy Guardian, Group Policy Suite, IntelliPolicy, Knowledge Scripts, NetConnect, NetIQ, logotypen för NetIQ, PSAudit, PSDetect, PSPasswordManager, PSSecure, Secure Configuration Manager, Security Administration Suite, Security Manager, Server Consolidator, VigilEnt och Vivinet är varumärken eller registrerade varumärken som tillhör NetIQ Corporation eller dess dotterbolag i USA. Alla andra företags- och produktnamn som nämns i den här texten används enbart i identifieringssyfte, och kan vara varumärken eller registrerade varumärken som tillhör deras respektive företag. Sverige Kronborgsgränd Kista Sverige Tel: (46) Fax: (46) info@netiq.com En fullständig lista över våra kontor i Nordamerika, Europa, Mellanöstern, Afrika, Asien/Stillahavsområdet och Latinamerika finns på Följ oss: 5