10 år med identity management-projekter giver Søren Lassen en vis tyngde på området. En tyngde der understreges af, at projekterne er gennemført i organisationer med så følsomme data, at det har krævet en særlig sikkerhedsgodkendelse af Søren. Her fortæller han, hvorfor og hvordan IdM giver god mening i forhold til at imødekomme det øgede fokus på persondata.
Udfordringen
Når talen går på hackerangreb og cyber crime, er der enighed om, at forbryderne skal bag lås og slå. Men datalæk og lemfældig omgang med informationssamfundets kronjuveler (personlige data) får sjældent - katastrofen taget i betragtning - lige så meget plads i pressen.
Men i maj 2018 iværksættes EU Persondataforordningen (GDPR) for at udgøre et kraftigt virkemiddel imod bevidst eller ubevidst misbrug af persondata. Den indeholder en tydelig definition af begrebet persondata, samt hvordan disse håndteres behørigt for dataejer og databehandler.
Hvis vi nu tænker på en gennemsnitlig dansk virksomhed af en vis størrelse, så registreres der typisk henførbare persondata om medarbejdere, kunder, klienter eller andre samarbejdspartnere i et eller flere af følgende systemer:
- HR-, løn- og tidsregistreringssystemerne
- ERP-, CRM- og CMS-systemet
- Diverse katalog- og/eller logon-tjenester (fx Active Directory)
- Diverse andre Cloud services
Der kan også ligge følsomme persondata i mere ustruktureret form, fx diverse filformater og dokumenter gemt på mere eller mindre tiltænkte delte dataområder i virksomheden.
Læs også: Filopbevaring og fildeling - begræns eller overvåg? (GDPR)
Med risiko for at fremstå en anelse pessimistisk (kald det begrundet antagelse), vil jeg tro, at der er en del, som ikke kan honorere GDPR-kravene. Derfor står de overfor en (identitets-)udfordring, der understreges af konsekvensen mod at forbryde sig, nemlig bøderne på op til 4% af virksomhedens globale årsomsætning.
At få styr på personlige data via Identity Management (IdM) giver god mening i mange henseender - og ikke kun grundet regulativers krav og bøders størrelse. Eksempelvis kan vi med fordel anvende automatisering og rollestyring til at imødekomme det øgede fokus på persondata.
GDPR kræver at en virksomhed har kontrol over sine henførbare persondata. Herunder hvordan de er distribueret, så man kan oprette, rette, slette og flytte på dem - og sikre, at de kun kan tilgås af en tiltænkt (smal) målgruppe af betroede personer. I tilfælde af datalæk skal man kunne identificere skadens omfang og har i øvrigt indberetningspligt.
Opgaven: Stram op med IdM
Identitetsstyring bevæger sig ofte i grænselandet mellem proces (måden vi gør ting på) og teknologi (robotten der skal gøre det for os, da vi er for dyre, dovne og/eller langsomme).
IdM-teknologien er typisk baseret på en standard-platform, som tilpasses organisation og funktionsområder. Her er det vigtigt at afpasse dette med virksomhedens funktionelle krav, samt de platforme den skal interagere med.
Læs: Vordingborg Kommune sørger for at medarbejdere ikke bevarer adgang til personhenførbare data
Uanset valg af IdM-platform, er der nogle typiske funktioner, som også kan komme os til gode i forhold til GDPR, fx:
- Styring af hvordan persondata distribueres imellem systemerne
- Styring af datakilder og aftagere
- Styring af roller i forhold til persondata
- Autoriseringer og godkendelser
- Logning i forhold til foretagne ændringer og evt. opslag
- Håndtering af opdateringer på tværs af systemer
- Håndtering af sletninger
- Isolering af ekstra følsomme datatyper og evt. sløring heraf (fx CPR-data)
- Minimering af manuelle rutiner for datahåndtering
En affødt effekt af at indføre IdM er, at man får et tydeligere billede af, hvordan data distribueres mellem systemerne. Ofte vil det medføre gode diskussioner om nødvendigheden af at lagre følsomme data i hvert system, med en opstramning af datamodellen som positiv sidegevinst.
En klassiker er CPR-nummeret, som anvendes i flæng som sikkerhedsnøgle til personlige adgange og derfor er genstand for megen misbrug. Opstramning af datamodellen bør derfor bidrage til blandt andet at reducere datadistribution mellem systemer, og derved minimere potentielle angrebsflader. Så CPR-data fx kun er tilgængelige i systemer, hvor der er aktiveret adgangslogning.
Datapuklen: Ikke en IdM-opgave
Mange slæber rundt på en evigt voksende pukkel af delvist ustrukturerede data fx dokumenter, regneark og email-postkasser. Er der følsomme persondata heri, er IdM ikke umiddelbart medicinen mod datakvalerne. Bortset fra at IdM kan sørge for, at data destrueres eller arkiveres efter ønsket metode, når specifikke hændelser sker, fx en medarbejder ikke længere er ansat.
De-duplikering og andre spidsfindigheder kan være med til at reducere omfanget af gemte terabytes, men for at få overblik og evt. håndtering af følsomme persondata, skal der andre mekanismer i brug - fx hard- eller softwareløsninger til scanning af data på storage-niveau eller under transit. Dette ligger dog ud over IdM's formåen.
IdM-implementering: Processen
Når du implementerer identitetsstyring, er der typiske aktiviteter, du skal gennemføre for at få et tydeligt billede af, hvordan identiteter skal håndteres. Eksempelvis:
- Kortlægning af systemer med persondata
- Kortlægning af datatyper
- Klassifikation af data
- Opstilling af kriterier for datatyperne (herunder logningskrav)
- Udvælgelse af autoritative kilder (hvor kommer data fra)
- Udvælgelse af destinationssystemer (hvor skal data hen)
- Snitflader (hvilke data skal der flyde imellem systemerne)
- Definition af dataroller
- Identifikation af dataprocesser, som ønskes automatiseret
Vær modvillig med at distribuere følsomme data, fremfor at sprede dem med løs hånd mellem systemerne. Der kan opstå behov for at foretage justeringer i den nuværende datadistribution, som umiddelbart kan forekomme besværlige. Men med førnævnte bøder er det en fornuftig langsigtet investering.
Processen er egentlig IdM-teknologien uafhængig men helt grundlæggende for den efterfølgende implementering af løsning. Herefter er der en design- og implementeringsproces for selve IdM-løsningen, som følger vanlige metoder for indførelse af nye it-systemer.
Valg af IdM-teknologi
Automatiserede processer og sikringsmekanismer i forhold til virksomhedens identitetsdata kan implementeres via forskellige tekniske platforme.
Den platform, edgemo normalt benytter, er Microsoft Identity Manager (MIM) - tidligere kendt som Forefront Identity Manager (FIM). Platformen er bl.a. kendetegnet ved:
- Effektiv og fleksibel synkroniseringsplatform
- Stort økosystem med connectors til en række standardplatforme og -grænseflader
- Indbygget mulighed for styring af administrator roller (PAM - Privileged Access Management)
- Self-service funktioner
- Integreret med cloud services
- Indbygget web service for udstilling af identitetsdata
- Auditering og rapportering
- Åben platform med mulighed for at udvikle egne funktioner via .Net-kode eller scripts
Platformen bruges til at løse mange forskellige typer identitetsstyringsopgaver, da den i høj grad kan tilpasses opgaven, og mange har allerede adgang til at bruge produktet via deres eksisterende Microsoft-licensaftale.
Tænd kontakten