Hantering av ändringar och komplexitet med åtkomststyrning

Transkript

1 FAKTABLAD Hantering av ändringar och komplexitet med åtkomststyrning Det enda varaktiga är förändring. Det här gamla talesättet stämmer än idag. Dagens verksamheter måste hantera allt större och mer komplexa system. Hållbara miljöer för identitets- och åtkomststyrning (IAG) utgör själva kärnan i den ständiga kampen att effektivt hantera ständiga förändringar. Hur har förändringar och komplexitet fått dig att ompröva din inställning till identitet, säkerhet och kontroll? Har du verktygen som krävs för att möta utmaningarna? Använder du rätt processer för att föra din organisation framåt och in i den snabbt utvecklande affärsvärlden? Det finns många olika saker att tänka på när du planerar för framtiden. IAGlösningar kan kännas som ytterligare en belastning som uppstått från de ständigt växande regel- och efterlevnadsproblemen, men när de används på ett effektivt sätt kan de faktiskt fungera som en katalysator för att uppfylla kraven i en komplex och föränderlig affärsvärld. Regelefterlevnad är viktigt för företag nu när efterlevnadskraven blir allt större och mer omfattande. Och eftersom cyberattacker och interna hot har blivit allt allvarligare letar organisationer efter ett mer effektivt, hållbart och skalbart sätt att uppnå sina efterlevnadsmål, samtidigt som de vill förbättra sitt totala säkerhetstillstånd. I det här faktabladet undersöker vi några av de utmaningar som moderna organisationer ställs inför när de försöker utveckla och anpassa sig efter efterlevnadsprogram som kan lösa både dagens och morgondagens problem och behov.

2 FAKTABLAD Innehållsförteckning Inledning... 1 Genomför förändringen... 1 Definitioner... 1 Identitetshantering... 1 Åtkomststyrning... 2 Identitets- och åtkomststyrning (IAG)... 2 Identitets- och säkerhetsmål... 2 Externa drivkrafter för förändring och komplexitet... 2 Attacker och säkerhetsbrister Datormoln Bärbara lösningar Budgetbegänsningar Förändring, komplexitet och IAG... 4 Om NetIQ... 5

3 Inledning Identitets- och åtkomststyrning (IAG) har blivit något oumbärligt för alla organisationer. Detta beror på myndighetsoch branschföreskrifter samt interna kontroller. Drivkrafterna som påverkar IAG-behoven har nästan alltid sitt ursprung utanför själva företaget. IT- och affärschefer måste anpassa sig efter ändringar och komplexiteter i dagens affärsmiljöer, samt säkerhetsvarningar, ny teknik och ständigt växande regel- och efterlevnadsproblem. Men i takt med att behoven och kraven ökar minskar själva budgeten för att hantera dem. Kontrollen av förändringar och komplexiteter kan faktiskt vara en enorm möjlighet om den utförs på rätt sätt. Men det är förstås viktigt att ha både verktygen och processerna som krävs för att uppfylla de växande behoven. Genomför förändringen Om du vill hantera förändringen måste du först förstå den. Förändring är inte något som händer en enda gång, utan det är en ständigt pågående process. Så fort en förändring krävs försöker människor ofta stå emot den så länge de bara kan. Själva förändringen sker när det blir uppenbart att den inte kan undvikas, och då genomförs den med en rejäl kraftansträngning. Och när förändringen väl har skett återgår de anställda till sina dagliga rutiner. Men förändringen är konstant, och det dröjer inte länge förrän behovet uppstår igen. Kraften som behövs för att ta en organisation framåt mot nya miljöer är både tung och kostsam, och gör sig påmind varje gång en ny förändring måste ske. Så snart en förändring har skett är det dags för nästa, för det finns alltid nya saker som en verksamhet måste ta ställning till. Om ett företag verkligen vill hantera komplexiteterna och förändringarna som lurar bakom varje hörn måste de inse att det inte bara är en process som ska förändras. Nej, det är förändringen som ÄR själva processen. Förändringar måste schemaläggas, integreras i företagets dagliga struktur och tas emot med öppna armar. Och utöver själva grundtänket som krävs för att hantera förändringar och komplexitet krävs effektiva verktyg om ett företag faktiskt ska uppfylla och överstiga kraven som finns i dagens affärsmiljöer. IT- och affärschefer måste kunna använda systemen till att enkelt visualisera komplexa system, övervaka problem- eller riskområden samt aktivera lämpliga åtgärder när regler eller procedurer börjar närma sig de utsatta gränsvärdena. Ta en titt på din verksamhet. Hur har förändringar och komplexitet fått dig att ompröva din inställning till identitet, säkerhet och kontroll? I det här dokumentet tar vi upp några av de viktigaste problemområdena, samt hur effektiva lösningar kan uppnås med IAG. Definitioner Innan vi går in på problemen bakom förändringar och komplexitet bör vi gå igenom några definitioner: Identitetshantering Identitetshantering hanteras inom IT-området. Här rör det sig om maskinvara och programvara för tilldelning, identitetshantering för alla som använder företagets resurser, samt själva resursernas och enheternas identiteter. En persons identitet kan omfatta följande attribut: Vem är du? namn, plats, kontaktinformation osv. Roller titel, chef osv. Förhållanden anställd, underleverantör, återförsäljare osv. När identiteten har fastställts går nästa steg ut på att avgöra hur stor åtkomst varje individ ska få. Det görs genom att man skapar förhållanden med resurser. Det omfattar program, system, data, grupper, fysiska anläggningar och andra företagsresurser. 1

4 Åtkomststyrning Om du vill lyckas med styrningen måste du förstå hur åtkomsten hanteras. Det här är något som måste göras av affärsledningen, och inte IT-ledningen. Verktygen inom det här området har utformats för att uppfylla affärsbehov, och har enkla och användarvänliga gränssnitt som är anpassade för folk som inte är IT-proffs. Problemområdena inkluderar följande: Vilka personer har åtkomst? Vilken åtkomstnivå och åtkomsttyp har de? Vem har gett dem åtkomsten? Har den granskats, och passar åtkomsten för just den identiteten? Är åtkomsten säker? Kan jag övervaka vad som görs med åtkomsten? Vilka risker finns när åtkomsten tilldelas? Flexibel åtkomsttilldelning? Kan jag tilldela åtkomst för både fysiska och molnbaserade miljöer? Kan jag tilldela privilegierad och delegerad åtkomst? Hur får jag åtkomst? Kan jag aktivera inloggning från valfri enhet överallt och för alla? Kan åtkomsten samlas? Identitets- och åtkomststyrning (IAG) IAG är sammanstrålningen av både identitetshantering och åtkomststyrning. Effektiva IAG-lösningar integrerar båda sektorer sömlöst så att de uppfyller företagets alla mål. Identitets- och säkerhetsmål Det finns gemensamma mål för företags IAG-lösningar. De omfattar följande: 1. Kontroll av riskerna och utmaningarna med databehandling mellan flera miljöer. Det inkluderar olika operativsystem, maskinvara, molnet och mobila enheter. 2. Användarna måste ha rätt åtkomst i god tid till datatjänsterna som behövs för att de ska kunna sköta sina jobb. 3. Databehandlingen måste vara säker och följa alla relevanta regler, procedurer och föreskrifter, och mobila enheter är inget undantag. Externa drivkrafter för förändring och komplexitet Attacker och säkerhetsbrister Attacker förekommer allt oftare såväl interna som externa sådana. Säkerhetsintrång är ett av de största problemen i dagens affärsvärld. Alla marknadsföringsavdelningar vill förstås synas, men när det gäller säkerhetsbrister är det viktigare att inte ens märkas i pressen. Sådana problem kan nämligen sänka ett företag helt och hållet. Inget vittrar sönder kunders och regelutfärdares tro på ditt företag så mycket som när känslig information läcker ut eller stjäls från dina kunder. Verizon har rapporterat att 58 procent av alla intrång görs av aktivistgrupper eller organiserad brottslighet, kallade hacktivister. 1 Intressant nog går de flesta cyberattacker att förhindra. I de flesta fall hade företaget den information som behövdes. Om de bara hade varit tillräckligt uppmärksamma, använt rätt processer och faktiskt följt dem hade de kunnat förhindra attacken. Det räcker inte med en brandvägg för att sätta stopp för attacker. I en studie om företagssäkerhet som gjordes nyligen fastställdes det att ett företag ofta kan lära sig mer av trafiken som släpptes igenom än av trafiken som förhindrades. 2 Attacker från de egna anställda är också något som sker allt oftare. 2

5 Det ökande hotet från säkerhetsintrång och falska eller bedrägliga datainfiltreringssystem har lett till att många lagar och förordningar måste följas inom verksamheten. Några av dessa är följande: PCI DSS Sarbanes-Oxley NERC-CIP FISMA GLBA HIPAA BASEL III J-SOX Solvency ll Genom att kombinera IAG-system som NetIQ Access Governance Suite 6 med Identity Manager kan affärschefer få de system och kontroller som behövs för att hålla koll på all åtkomst, samt se hur lämplig den är. Det går att se varje användares profil eller identitetskub på en enda instrumentpanel, och säkerställa att varje person identifieras med rätt roller och åtkomst. Så kallade rättighetskrypningar, eller åtkomst som tilldelats tidigare och som lever vidare i nya tilldelningar när de inte längre behövs, kan förhindras med regelbunden certifiering. På så sätt går det att se till att individer bara får exakt den åtkomst som behövs för att utföra sina jobb. Gamla konton som måste tas bort är ett annat problem. När anställda, underleverantörer och återförsäljare inte längre är förknippade med företaget bör det finnas automatiska processer som tar bort all åtkomst till företagets resurser. Med en stark IAG-lösning kan du säkerställa att dessa och många andra funktioner utförs, så att åtkomst ges till rätt personer. Det kan kännas överväldigande att övervaka alla data i ett system. Därför kan effektiv analys, hantering och minskning av risker skötas via identitets- och åtkomststyrning. Det finns system som meddelar affärschefer om problemområden, samt låter dem spåra de delar som spelar störst roll. Datormoln Molnet har fört med sig nya problem. Ett moln kan betyda många saker, men NIST (National Institute of Standards and Technology) definierar det som leveranser av datatjänster snarare än dataprodukter, där delade resurser, programvara och information tillhandahålls till datorer och andra enheter som ett verktyg (som i elnätet) över ett nätverk (vanligtvis internet). 3 Eftersom programvara levereras via en SaaS-modell (Software as a Service) blir det allt svårare att se till att företagets data förblir säkra. Hur hanteras datasäkerhet i molnet? Hur säkerställer företag att känsligt material inte öppnas av personer utan rätt autentisering eller behörighet? Med en effektiv IAG-lösning övervakas åtkomsten till hela företagets resurser, även de inuti molnet. Molnresurserna må finnas utanför företagets lokaler, men de får för den sakens skull inte glömmas bort. Molnet ger företag en otrolig skalbarhet tack vare att ytterligare resurser kan användas vid behov, men den åtkomsten leder även till ytterligare utgifter för kunden. En IAG-lösning övervakar inte bara åtkomsten och användningen av molnbaserade resurser, utan säkerställer även att företaget använder så mycket utrymme som behövs. Det minimerar användningskostnaderna och ser till att du får kontroll över molnet. 1 Verizon data breach report 2011: Attackers refining their targets. Searchsecurity.techtarget.com Robert Westervelt, nyhetschef. Publiceringsdatum: Firewall logging: Telling valid traffic from network allows threats. Searchsecurity.techtarget.com. Anand Sastry, medarbetare. November National Institute of Standards and Technologys webbplats. 3

6 Bärbara lösningar Få åtkomst med alla enheter, överallt. Bärbara datorer, smarttelefoner och surfplattor har lett till att användare inte nöjer sig med att bara få åtkomst till företagets resurser när de sitter på kontoret eller vid sina skrivbord. De vill kunna komma åt information på resande fot. Att ge dem sådan åtkomst på ett säkert sätt kan vara en utmaning, särskilt om dessa data sedan sparas offline. Borde företag egentligen tillåta det? Efterlevs alla regler om de gör det? Vad händer om ett team kringgår systemet och försöker få åtkomst till informationen på ett sätt som inte följer förordningarna? IAG kan fastställa parametrar för åtkomst, baserat på flera olika saker. Åtkomsten behöver inte vara begränsad till roll och titel, utan kan även innefatta enheter. Användare kan få åtkomst till mindre känsliga data på flera olika sätt, medan känslig information kontrolleras så att alla föreskrifter efterlevs. Så användare kan få mobilåtkomst i vissa fall, och lösenordssäkerheten kan hanteras på IAG-nivå med den senaste tekniken som innebär att även om någon ser vilket lösenord som matas in så kan det inte användas på en annan enhet vid ett senare tillfälle. Det finns många utmaningar med mobila enheter, men IAG-tekniken möjliggör säkra lösningar. Budgetbegränsningar Kraven stiger i takt med att budgeten minskar. Dagens affärsklimat leder till att identitetshantering och säkerhet blir viktigare samtidigt som budgeten minskar. Den vanliga datoranvändaren kan mer om tekniken än tidigare, vilket leder till ökade behov. Och därför har hastigheten som krävs för leveranser och åtkomst blivit ett allt större problem. Chefer nöjer sig exempelvis inte längre med att skicka iväg en förfrågan till supportavdelningen och vänta på att en nyanställd medarbetare ska få rätt åtkomst. Och eftersom projekt avslutas och påbörjas i löpande takt krävs snabba ändringar av teammedlemmarnas åtkomst. Identitet och säkerhet måste hanteras lika snabbt som alla andra delar av verksamheten, samtidigt som IT-personalen måste se till att systemen kontinuerligt uppgraderas. IAG-system är viktiga för att effektivt fördela och hantera åtkomst till företagets resurser. Många processer sker på rutin och är repetitiva, och företag kan använda effektiva automatiseringslösningar till att eliminera vanliga och tidskrävande IT-uppgifter. Konfigureringen av rättigheterna för en nyanställd kan exempelvis fastställas efter dess roll. När systemen finns på plats kan personalavdelningen skapa profiler för nyanställda med rätt åtkomst, baserat på vilka arbetsuppgifter de har. Och när en anställd slutar på företaget kan personalavdelningen ta bort kontot via en automatiserad process. Varken IT-avdelningen eller cheferna behöver utföra sådana repetitiva åtgärder. Enkla processer som autentisering och ändring av lösenord kan också skötas via en IAG-lösning. Och i takt med att processerna blir mer komplexa går det att identifiera och förhindra säkerhetsrisker med IAG-systemet. Genom att vara proaktiv och inte reaktiv när det gäller riskhantering kan företagen fokusera sitt säkerhetstänk på områden och anställda som utgör störst säkerhetsrisk. För när budgeten minskar måste fokus ligga på de viktigaste områdena, samtidigt som systemprotokollen säkerställer att regelefterlevnaden sker så kostnadseffektivt som möjligt. Förändring, komplexitet och IAG Det blir viktigare att hantera förändringar och komplexitet för varje dag som går. Effektiva lösningar för identitetsoch åtkomststyrning är avgörande för att de målen ska förverkligas. Med IAG får du automatiserade och lättanvända system som underlättar affärsmålen i en säker miljö. Men identitets- och åtkomststyrning består av mer än att bara säkerställa efterlevnaden för företag. I vårt komplexa och ständigt utvecklande affärsklimat spelar den en avgörande roll när du vill skydda dess mest värdefulla tillgångar, bland annat immateriella rättigheter, känsliga data och givetvis även dina kunders förtroende. 4

7 Om NetIQ NetIQ är ett globalt IT-programvaruföretag som fokuserar helhjärtat på sina kunders framgångar. Vi på NetIQ hjälper våra kunder och samarbetspartners att ta sig an utmaningar kring informationsskydd på ett kostnadseffektivt vis, samt hantera komplexa och dynamiska företagsprogram. I vår portfölj finns skalbara och automatiserade lösningar för identitet, säkerhet och kontroll, samt hantering av IT-driften som hjälper organisationer att säkert leverera, mäta och hantera datatjänster i fysiska, virtuella och molnbaserade datamiljöer. De här lösningarna kombineras med vår praktiska och kundfokuserade strategi för att lösa bestående IT-utmaningar så att organisationer kan minska kostnaderna, komplexiteten och riskerna. Mer information om våra branscherkända programvarulösningar finns på Det här dokumentet kan innehålla tekniska felaktigheter eller typografiska fel. Ändringar av information häri görs tidvis. De här ändringarna kan infogas i nya upplagor av det här dokumentet. NetIQ Corporation kan när som helst förbättra eller göra ändringar i programvaran som beskrivits i det här dokumentet. Copyright 2012 NetIQ Corporation och dess samarbetspartner. Med ensamrätt. 562-SV DS 09/12 ActiveAudit, ActiveView, Aegis, AppManager, Change Administrator, Change Guardian, Compliance Suite, kublogotypdesignen, Directory and Resource Administrator, Directory Security Administrator, Domain Migration Administrator, Exchange Administrator, File Security Administrator, Group Policy Administrator, Group Policy Guardian, Group Policy Suite, IntelliPolicy, Knowledge Scripts, NetConnect, NetIQ, NetIQ-logotypen, PSAudit, PSDetect, PSPasswordManager, PSSecure, Secure Configuration Manager, Security Administration Suite, Security Manager, Server Consolidator, VigilEnt och Vivinet är varumärken eller registrerade varumärken som tillhör NetIQ Corporation eller dess dotterbolag i USA. Alla andra företagsnamn och produktnamn som nämns här används endast i identifieringssyfte, och kan vara varumärken eller registrerade varumärken som tillhör sina respektive företag. Sverige Kronborgsgränd Kista Sverige Tel: (46) Fax: (46) info@netiq.com En fullständig lista över våra kontor i Nordamerika, Europa, Mellanöstern, Afrika, Asien/Stillahavsområdet och Latinamerika finns på Följ oss: 5