Управление жизненным циклом учетных записей
Управление учетными записями пользователей информационных систем - это рутинная каждодневная работа ИТ-администраторов, которые вынуждены тратить много времени на такие операции, как их создание, изменение свойств, блокировку и разблокировку. При этом от корректного управления напрямую зависит защищенность информационных систем и обрабатываемой в них информации. В частности, так называемые «мертвые души», являющиеся серьезным риском несанкционированного доступа к системам - это результат отсутствия своевременной блокировки учетной записи при увольнении сотрудника. Поэтому автоматизация и контроль данных процессов - одна из важнейших задач управления доступом к информационным ресурсам.
Кадровые политики
Процессы предоставления, изменения и отзыва доступа могут отличаться в зависимости от уровня организационной иерархии, времени работы в организации, географического местоположения филиала или подразделения и т.д. Для того, чтобы обеспечить особенности данных процессов в организации, Avanpost IDM позволяет настраивать кадровые политики в зависимости от различных условий и признаков, которые могут быть определены на основании персональной информации пользователя. Например, при увольнении рядового сотрудника, его учетная запись блокируется автоматически с отзывом всех полномочий в день увольнения. Но при увольнении топ-менеджера отзыв прав доступа происходит через согласование руководителя организации с целью возможности продления соответствующих полномочий на некоторое время после увольнения для передачи дел другому сотруднику.
Множество источников, объединение данных
Одной из ключевых возможностей Avanpost IDM является одновременное взаимодействие с несколькими доверенными источниками информации по пользователям и управление ей на основании настраиваемых правил и политик. При этом источники информации могут быть как независимыми с точки зрения данных пользователя, так и пересекающимися, т.е. с дублируемой информацией. В этом случае в службе синхронизации с кадровыми источниками Avanpost IDM настраивается их приоритезация на уровне данных (какие типы данных и в каком источнике являются более достоверными для их загрузки и обновления в Avanpost IDM).
Управление доступом
Управление доступом к информационным ресурсам современной организации является сложным многообразием различных процессов, таких как управление ролевой моделью, предоставление доступа при приеме на работу и отзыв при увольнении, согласование заявок на доступ и их исполнение, аудит прав доступа и расследование инцидентов. От эффективности данных процессов зависит не только защищенность корпоративной информации, но и производительность работы сотрудников, а в ряде случае и контрагентов. Чтобы обеспечить компромисс между безопасностью и эффективностью бизнес-процессов необходимо организовать единый центр управления данными процессами с максимальным сокращением числа ручных операций и минимизации человеческого фактора при принятии решений.
Role Manager
Avanpost Role Manager – уникальный инструмент входящий в состав Avanpost IDM, предназначенный для автоматизации создания ролевой модели на предприятии любого масштаба. Если ранее «ручное» создание ролевой модели занимало несколько месяцев, то автоматизированный механизм аналитического построения ролей делает это за несколько часов.
Avanpost Role Manager сравнивает существующие наборы прав пользователей по принципу похожести и нахождения сотрудников на одинаковых должностях, даже если они будут отличаться в названии. По результатам сравнения он предлагает предварительную ролевую модель с возможностью ручного редактирования до необходимого результата. Полученный финальный вариант можно автоматически загрузить в Avanpost IDM и запустить систему в промышленную эксплуатацию.
История ролей
Avanpost IDM хранит максимальное количество исторических данных по изменению доступа к информационным ресурсам. Такая информация имеет огромное значения для проведения ретроспективного анализа при расследовании возможных инцидентов информационной безопасности. В Avanpost IDM хранится вся информации по изменению перечня ролей в контексте конкретного пользователя, включая их назначение и отзыв с указанием даты, времени и источника соответствующей задачи (ручное изменение, кадровое событие или заявка). Данная информация доступна для просмотра как через консоль администратора, так и в виде настраиваемых отчетов.
Централизованный аудит и контроль соответствия
Чтобы обеспечить эффективную работу процессов по управлению доступом, недостаточно просто автоматизировать операции по согласованию и предоставлению прав. Администраторы корпоративных систем всегда будут обладать достаточными полномочиями, позволяющими внести изменения в матрицу доступа в обход автоматизированных процессов. Поэтому для минимизации таких рисков обязательно должны присутствовать процессы аудита и контроля соответствия. При этом данные процессы также должны быть автоматизированы, потому что ручное сравнение реальных полномочий пользователей с разрешенными потребует огромных трудозатрат и не сможет обеспечить актуальность полученных результатов.
Работа с отчетами
Avanpost IDM имеет в своем составе графический конструктор для построения отчетных форм и генерации соответствующих отчетов. При этом хранение в Avanpost IDM полной информации как по текущим правам доступа, так и в ретроспективе, позволяет получить в виде отчетов все данные, касающиеся пользовательского доступа, в различных срезах. Для максимального удобства бизнес-пользователей модуль отчетности имеет web-интерфейс и позволяет создавать отчеты в различных форматах, в том числе rtf, pdf и xls, а также настраивать расписание их генерации и отправлять полученные результаты на email.
Устранение конфликтов и журнал аудита
В архитектуре Avanpost IDM предусмотрен модуль аудита, который в онлайн-режиме осуществляет сверку существующих учетных записей и прав доступа в целевых системах с теми данными, которые присутствуют в его базе данных. Если в результате сверки обнаружены расхождения, это показатель несанкционированного изменения перечня учетных записей или их полномочий и свойств в целевых систем в обход IDM. По результатам обнаружения таких расхождений генерируются соответствующие события безопасности, которые отображаются в журнале аудита в консоли администратора, при этом администратору безопасности отправляется уведомление на email. Интерфейс журнала аудита позволяет не только просмотреть обнаруженные несоответствия, а также исправить их непосредственно из данной консоли.
Сервис самообслуживания пользователей
Работа пользователей с заявками на доступ, включая операции по их созданию, согласованию и исполнению, является регулярной и чаще всего касается среднего менеджмента. Ведь создание и согласование заявок, как правило, осуществляют руководители подразделений, являющиеся либо непосредственными начальниками получателей доступа, либо бизнес-владельцами систем и ролей. Поэтому обеспечение удобства их работы и максимальная оптимизация этих рутинных операций является важнейшей задачей в контексте пользовательских процессов по управлению доступом. Для реализации такого юзабилити-подхода бизнес-пользователям доступен сервис самообслуживания, реализованный в виде web-приложения, в котором они могут просмотреть всю информацию по личному доступу, инициировать запрос на новые полномочия, а также участвовать в процессах доступных им согласований.
Редактор БП
Чтобы гибко и удобно настраивать процессы согласования доступа, в состав модулей Avanpost IDM входит редактор бизнес-процессов, реализованный в виде графического конструктора. Данный редактор имеет дружелюбный web-интерфейс и максимально учитывает особенности согласования доступа в различных организациях. Процесс в редакторе представляет собой схему, состоящую из набираемых из предустановленного списка различных условий и действий, настраиваемых и соединяемых между собой с помощью графического интерфейса. Гибкая настройка позволяет осуществлять как последовательные, так и параллельные согласования, с возможностью тайминга, эскалации, замещения или делегирования. При этом вычисление согласующих лиц осуществляется с помощью специальных функций, позволяющих учесть все уникальные условия и признаки, такие как географическое местоположение, вид ресурса или роли, уровень организационной иерархии и т.п. Процессы согласования могут настраиваться на различные типы заявок, например, как запрос новой роли, отзыв роли, блокировка и разблокировка учетной записи, изменение личных данных, ресертификация доступа при смене должности.
Управление паролями
На ряду с управлением учетными записями и полномочиями управление паролями является основным процессом, необходимым для противодействия несанкционированного доступа к корпоративным ресурсам. Парольные политики должны быть достаточными для того, чтобы минимизировать соответствующий риск. Но в то же время они не должны доставлять больших неудобств пользователю, т.е. фактически должен быть достигнут некий компромисс между удобством и безопасностью. В Avanpost IDM cоздание учетной записи пользователя сопровождается автоматической генерацией пароля согласно заданной политике, при этом пароль безопасно доставляется пользователю, например, с помощью корпоративной почты на его личный почтовый ящик или SMS.
Парольные политики
Avanpost IDM позволяет настроить парольные политики для каждого целевого ресурса в отдельности. Помимо классических признаков, таких как длина пароля и алфавит, можно настроить и более сложные, например, максимальное и минимальное время действия пароля, длина истории паролей и минимальное количество изменяемых символов. Многообразие настроек парольных политик обеспечивает в том числе соответствие требованиям Приказов № 17 и 21 ФСТЭК России. Обеспечение и контроль данных политик осуществляется при создании учетной записи, истечению срока действия пароля и его смене через консоль администратора или личный кабинет пользователя.
Для более детального знакомства с возможностями наших решений мы готовы провести презентацию интересующего Вас продукта.
Российская разработка
Политика лицензирования
Лицензии и сертификаты
Возможность кастомизации
Интеграция решений
Партнерская сеть
«Мы очень тщательно подошли к выбору разработчика системы по управлению аутентификацией, сертификатами и ключевыми носителями. Российская разработка Аванпост полностью соответствовала нашим требованиям. С ее помощью нам удалось значительно автоматизировать многие рутинные операции, связанные с поддержкой PKI-инфраструктуры банка, и как результат, сократить трудозатраты персонала. В настоящее время Avanpost PKI обслуживает более 300 000 сертификатов ключей подписи. Отдельно хочу отметить, что концепция импортозамещения в области высоких технологий приносит свои результаты и способствует появлению и бурному развитию качественных российских ИТ систем, эффективно конкурирующих с западными аналогами по набору и полноте функций. И, что особенно актуально ввиду сложной экономической ситуации и значительного роста курсов валют, российские решения имеют разумный уровень стоимости. Мы полностью удовлетворены сотрудничеством с компанией «Аванпост» и серьезно рассматриваем возможности продолжения этого сотрудничества по другим продуктам компании»
«Создание принципиально новой АИС „Налог-3“ – важнейший ИТ-проект ФНС России. Учитывая его значимость и особую роль ИБ для нормальной работы АИС, мы установили очень высокую планку требований ко всем элементам СОБИ и, в частности, к технологической платформе подсистемы управления идентификационной информацией и электронными ключами. Проведенный отбор и проверка в условиях масштабного пилотного проекта показали, что победившая в конкурсе российская разработка в плане функциональности не уступает лучшим зарубежным решениям в области IDM и PKI, что она обеспечена качественной поддержкой и позволяет значительно снизить затраты, сэкономив бюджетные средства. Это свидетельствует о значительном прогрессе всей российской отрасли ИБ».
«С помощью российского программного продукта мы не просто многократно ускорили процессы управления доступом, но перешли в качественно новое состояние, когда процессы информационной безопасности и другие технические моменты перестали сдерживать развитие основной деятельности банка. Технологии Avanpost IDM позволили сохранить информацию в прошлых наработках банка в сфере управления доступом и продвинуться вперед».
«В ходе внедрения Avanpost IDM был проведен полноценный аудит информационных систем и их классификация с учетом особенностей моделей безопасности. Также были разработаны технические решения, которые в дальнейшем позволят нам, действуя по единым правилам, самостоятельно расширять перечень подключаемых систем. Кроме того, были исправлены все выявленные расхождения и проблемы, а сами системы подготовлены для подключения к IDM. В дальнейших планах компании подключение дополнительных информационных систем, увеличение числа пользователей и их вовлечение в процессы управления доступом с помощью инструментов, имеющихся в подсистеме самообслуживания Avanpost Workflow. Намечено совершенствование ролевых моделей и обеспечение процессов автоматизации предоставления доступа на более детальном уровне»
Ведущий российский разработчик систем идентификации и управления доступом к информационным ресурсам предприятия
Все права защищены © Avanpost 2023
129085, г. Москва
ул. Годовикова, д. 9, стр. 17
