Řízení přístupových práv uživatelů Jiří Jarema jiri.jarema@karvina.cz

Úvod

Neexistuje žádné přímé nařízení k této problematice Východiska Řízení přístupových práv je nezbytnou činností při každodenní správě datové sítě. 98 požadavků od 1. ledna do 20. ledna 2010, tj. 7 denně Neexistuje žádné přímé nařízení k této problematice zákon č. 365/200 Sb. o informačních systémech veřejné správy vyhláška č. 529/2006 Sb. vyhláška o dlouhodobém řízení informačních systémů veřejné správy technická norma ISO/IEC 27001 Systémy managementu bezpečnosti informací – Požadavky Proces řízení přístupových práv by měl být součástí bezpečnostní politiky ICT

Datová síť MMK je středně velká centralizovaná lokální počítačová síť Kontext Datová síť MMK je středně velká centralizovaná lokální počítačová síť s cca 400 uživateli se složitou topografií – 7 budov! s cca 120 provozovanými informačními systémy – aplikacemi Správu datové sítě zajišťuje oddělení informatiky 2 správci sítě 2 technici 3 správci aplikací (včetně GIS)

Řízení přístupových práv jako proces Řízení přístupových práv je často slabým místem v celkovém zabezpečení informačních a komunikačních technologií v mnoha organizacích. schvalování zcela chybí nejednoznačné požadavky chybné požadavky realizace vzájemná závislost správců aplikací velký počet IS evidence nadměrná byrokracie

Životní cyklus zaměstnance/uživatele Nástup zaměstnance Prvotní zřízení účtů Provozní změny Provozní důvody Přeřazení zaměstnance Výstup Ukončení pracovního poměru Mateřská

Interní certifikační autorita Cíle a východiska Hlavní cíl: Zajistit elektronické schvalování, prokazatelnou evidenci a maximální míru automatizace nastavení přístupových práv uživatelů. Dílčí cíle: Rozšíření stávající Personální databáze o evidenci přístupových práv Vytvoření databáze informačních aktiv Vytvoření elektronického formuláře k zajištění schvalovacího procesu Integrace systému Identity Management s Personální databází Nastavení sekundárních synchronizačních procesů (vazba na Active Directory nebo přímo na Personální databázi) Personální systém Formulářový server Identity management Interní certifikační autorita

Realizace byla rozdělena do tří fází: 1. Tvorba elektronického formuláře s vazbou do Personální databáze Personální databáze Data o zaměstnancích a jejich přístupových právech Číselníky Vyplnění formuláře Načtení dat z Personální databáze Schvalovací proces Schválení tajemníkem (volitelně) Schválení vedoucím IT nebo bezpečnostním správcem Archivace formuláře Zápis dat do Personální databáze Odeslání mailu správcům aplikací

Certifikační autorita Realizace Personální databáze Formulář Schvalovací proces Identity Management Active Directory iPortál Certifikační autorita Oracle Přímé vazby Přístupový systém Formulářový server Primární zdroj dat Řídící systémy Řízené procesy

„Výchova“ nadřízených zaměstnanců Rizika „Výchova“ nadřízených zaměstnanců Prvotní uvedení evidence do souladu se skutečným stavem Nedostatečná analýza životního cyklu zaměstnance Sezónní a krátkodobí zaměstnanci Odchylky od organizační struktury

Databáze informačních aktiv Výstupy Elektronická evidence přístupových práv a procesu jejich schvalování, který je součástí Personální databáze. Každý nadřízený má aktuální přehled o přidělených přístupových právech u svých podřízených. Databáze informačních aktiv Uživatelé mají přehled o provozovaných informačních systémech, jejich správcích a možných úrovních přístupů Informatici mají základ pro tvorbu informační koncepce Sjednocení a elektronizace procesu schvalování přístupových práv a ve značené míře také automatizace jejich nastavení, (tj.vytvoření/zrušení uživatelského účtu nebo přidělení/odebrání přístupového práva).

Shrnutí a hodnocení přínosu Ačkoliv nedošlo k úplné automatizaci nastavování přístupových práv (např. aplikace, u nichž nelze řídit přístupová práva na principu databázových rolí), bylo dosaženo maximální možné úrovně elektronizace všech souvisejících procesů. Hlavní přínosy prokazatelnost schvalovacího procesu, sjednocení způsobu schvalování a jeho zrychlení důsledná evidence přístupových práv Další přínosy úspora času informatiků při správě uživatelských oprávnění minimalizace počtu chybných nebo nejednoznačně podaných žádostí o nastavení uživatelských práv zjednodušení tvorby informační koncepce

Databáze informačních aktiv

Detail aktiva

Detail role

Evidence přístupových práv

Evidence přístupových práv

Videoukázka

Další informace k projektu Jiří Jarema, vedoucí oddělení informatiky, Kancelář tajemníka informace týkající se managementu projektu a technické části projektu Personální databáze e-mail: jiri.jarema@karvina.cz Radek Vojkůvka, zaměstnanec oddělení informatiky, Kancelář tajemníka informace týkající se technické části projektu elektronického XML formuláře a Identity Managementu e-mail: radek.vojkuvka@karvina.cz

Děkuji za pozornost Závěr Statutární město Karviná Magistrát města Karviné 2009