Обзор IDM-системы КУБ

1. Введение

2. Архитектура IDM-системы "КУБ"

3. Системные требования IDM-системы "КУБ"

4. Функциональные возможности IDM-системы "КУБ"

5. Развертывание IDM-системы "КУБ"

6. Настройка IDM-системы "КУБ"

7. Работа с IDM-системой "КУБ"

8. Выводы

Введение

Ни для кого не является секретом тот факт, что рынок IDM-решений в нашей стране фактически еще только зарождается (примерно год назад мы публиковали небольшой обзор рынка, чтобы познакомить читателей с положением дел в этой области, прочитать его можно здесь). Из него видно, что основными потребителями IDM-продуктов являются крупнейшие корпорации и государственные организации. И это понятно. Ведь чем крупнее компания, чем больше в ней работает людей и чем больше используется информационных систем, тем сложнее в ней управлять доступом.

Продукты класса IDM обеспечивают автоматизацию взаимодействия между кадровиками (прием на работу), бизнес-подразделениями (запрос на доступ в автоматизированные системы), ИТ-отделами и отделами информационной безопасности. Это позволяет существенно разгрузить ИТ-сотрудников организации, значительная часть времени которых часто уходит именно на ручное решение этой задачи. Таким образом IDM-решения позволяют увеличить эффективность и производительность работы ИТ-подразделений.

Также нельзя забывать о том, что чем больше прав выдается пользователям вручную, тем выше риск случайных ошибок или преднамеренных действий, которые могут привести к серьезным последствиям: несанкционированному доступу сотрудников компании к тем или иным информационным ресурсам, утечкам конфиденциальных, в то числе, и персональных данных и пр. Таким образом, IDM-решения можно считать одним из краеугольных камней информационной безопасности организации.

Помимо этого, IDM-системы используются и для контроля доступам к информационным системам организации. Осуществляется он за счет отслеживания несанкционированного изменения прав, в том числе, лицами, имеющими такие возможности: системными администраторами, администраторами баз данных и пр. В результате реализации этих двух подходов (автоматизация и формализация выдачи прав и постоянный мониторинг их несанкционированных изменений) компания получает полный контроль над доступом ко всем своим информационным ресурсам. Нельзя забывать и про немедленное блокирование прав доступа сотрудников при увольнении и их изменение при переводе человека в другое подразделение или на другую должность. Это важно, поскольку “мертвые” учетные записи - одна из наиболее распространенных угроз по части информационной безопасности.

Безусловно, все преимущества IDM-решений понимают не только представители крупного, но и среднего бизнеса. И разработчики идут им навстречу. В последнее время продукты данного класса становятся не только доступнее с точки зрения стоимости, но и проще в развертывании и эксплуатации.

"КУБ" – яркий представитель продуктов класса IDM. В отличие от большинства представленных на нашем рынке решений (в основном это импортные продукты), он разработан российской компанией "ТрастВерс". В нем есть все необходимое для комплексного решения всех задач, связанных с управлением доступом. Это интеграция с кадровой системой, ролевое и индивидуальное управление правами, документооборот заявок, в том числе, и юридически значимый, автоматическое назначение и изменение прав пользователей в разных информационных системах, постоянный контроль со стороны ответственных сотрудников и многое другое.

Помимо универсальности и комплексности, "КУБ" отличается крайней простотой внедрения и эксплуатации. Данный продукт, в отличие от многих конкурентов, является законченным решением, а не "конструктором", из которого нужно долго собирать подходящее решение. Через веб-портал самообслуживания  сотрудник буквально в несколько кликов мышкой может подать заявку на доступ к нужным ресурсам, а согласующий сотрудник – ее принять или отклонить. Отдельное приложение для настройки информационных систем, маршрутов, заявок и т.п. обеспечивает понятное управление системой со стороны отдела информационной безопасности без необходимости программирования или ручного написания кода настройки.

Архитектура IDM-системы "КУБ"

Рисунок 1. Архитектура системы КУБ

В состав IDM-системы "КУБ" входят следующие компоненты.

• "Сервер КУБ" – ядро системы, которое выполняет обработку всей поступающей от других компонентов информации, координирует их работу, обеспечивает функционирование документооборота заявок и пр.
• "Система управления заявками" – веб-портал самообслуживания, который используется для формирования и согласования пользователями требований к изменению состояния информационной системы. Доступ к ней конечных пользователей осуществляется с помощью веб-интерфейса.
• Агенты – программы, которые используются для контроля различных компонентов корпоративной информационной системы, например, агент для Windows/AD отвечает за автоматическое выполнение соответствующих инструкций, контролирует легитимность изменений, вносимых в права доступа пользователей и групп в Active Directory к ресурсам на серверах Windows и т.д.
• "Программа управления сервером КУБ" – приложение, предназначенное для управления настройками системы сотрудниками отдела информационной безопасности. Используется для конфигурирования как при внедрении в эксплуатацию, так и в будущем при изменении информационной среды предприятия или политик безопасности.
• "КУБ Ассистент" – приложение, которое предназначено для оповещения пользователей об имеющихся в системе операциях, требующих их участия, а также для выполнения некоторых операций в ручном режиме.

Системные требования IDM-системы "КУБ"

Системные требования IDM-системы "КУБ" в большой степени зависят от масштаба внедрения, а поэтому они должны определяться на этапе проектирования в каждом конкретном случае отдельно. Тем не менее, разработчик приводит некоторые минимальные системные требования компонентов, которые приведены в таблице.

Функциональные возможности IDM-системы "КУБ"

Как мы уже говорили, IDM-система "КУБ" реализует два сценария: автоматизированную выдачу доступа и мониторинг изменения прав в информационных системах.

Автоматизация управления правами доступа

1. Импорт и синхронизация организационно-штатной структуры. Это является основным сценарием использования системы. "КУБ" позволяет при вводе в эксплуатацию импортировать, а при дальнейшей работе регулярно синхронизировать организационно-штатную структуру компании. В качестве источников могут выступать база "1С: Предприятие", каталог Active Directory, текстовые и XML-файлы, таблицы Microsoft Excel, другие сервера "КУБ" (например, сервера филиалов), произвольные системы (через API).
2. Управление организационно-штатной структурой в ручном режиме. В рассматриваемом решении есть возможность управления организационно-штатной структурой в ручном режиме.    Это позволяет ответственному сотруднику создавать подразделения организации и должности в них, регистрировать новых сотрудников, назначать их на должности и т.п. Такой сценарий работы использовать не рекомендуется, поскольку теряется значительная часть преимуществ автоматизации. Тем не менее, он может применяться в том случае, если нет интеграции с кадровой системой, или совместно с синхронизацией.
3. Автоматическое управление доступом на основе ролей. Сотрудники могут автоматически получать доступ к информационным системам организации на основе заранее заданных ролей, которые могут быть назначены самим сотрудникам вручную или автоматически в соответствии с их должностями и подразделениями. Например, при вступлении в должность пользователю могут быть автоматически назначены определенные права, а при переводе на другую – отменены.
4. Управление заявками. В системе реализован широкий спектр операций с заявками, подаваемыми сотрудниками на предоставление доступа к нужным им ресурсам: подача формализованных заявок и заявок в свободной форме, комментирование, приложение файлов, указание сроков исполнения с учетом выходных и праздничных дней и пр. Заявки могут подаваться не только на изменение прав доступа, но и на выполнение настройки самой системы (добавление и изменение новых подразделений, должностей, сотрудников, ролей доступа и пр.), а также кадровых операций (назначение на должность, перевод и увольнение сотрудника и пр.). Изменение прав доступа или настроек системы без соответствующей заявки невозможно.
5. Юридически значимый документооборот заявок. При необходимости в компании можно организовать юридически значимый документооборот заявок. В этом случае все действия с заявками будут заверяться электронными подписями, в том числе и квалифицированными (с использованием дополнительного ПО), участвующих в нем сотрудников.
6. Динамическое построение маршрутов согласования заявок. Маршруты согласования заявок формируются непосредственно в момент их создания в соответствии с заданными требованиями и зонами ответственности. Это гарантирует их актуальность в любой момент времени (например, при смене руководителя отдела заявки на согласование будут автоматически направляться новому, а не старому сотруднику) и то, что нельзя забыть про согласование, например, с владельцем ресурса при редактировании или создании нового бизнес-процесса. Кроме того, в процессе обработки заявки согласующий сотрудник может при необходимости делегировать операцию другим работникам.
7. Обработка заявок с участием внешних систем. В IDM-решении "КУБ" предусмотрена возможность обработки заявок во внешних системах документооборота и пр. В частности, может быть настроен импорт заявок из других систем, а также их утверждение и отклонение во внешних системах документооборота и формирование тикетов на выполнение работ в системах help-desk (например, в HP Service Manager).
8. Автоматическое и ручное изменение прав доступа на основе заявок. В случае успешного согласования заявки система может автоматически назначает требуемые права доступа без вмешательства администратора. Также заявки могут исполняться вручную. Это позволяет управлять правам в системах, доступ на изменение которых закрыт.
9. Система отчетности. В рассматриваемом продукте реализовано большое количество отчетов для сотрудников разного уровня. Они представляют собой интерактивный инструменты для удобного просмотра информации. При необходимости отчеты могут быть распечатаны или экспортированы в форматы XML и XLS. Кроме того, у администратора есть возможность добавлять новые типы отчетов.
10. Рассылка уведомлений. В системе предусмотрена возможность рассылки сотрудникам уведомлений о необходимости участия в том или ином процессе (например, о поступлении заявки, которая требует согласования), различных событиях и пр. Уведомления представляют собой электронные письма, сгенерированные по специальным шаблонам. При необходимости эти шаблоны можно настраивать.
11. "КУБ Ассистент". В составе системы есть специализированная программа, которая устанавливается на рабочий ПК сотрудника и позволяет просматривать список текущих задач и информацию о заявках и инструкциях, оповещает о приближении времени завершения задачи и пр.
12. Веб-интерфейс. Основная работа конечных пользователей системы осуществляется в веб-интерфейсе, который при должной настройке может быть доступен не только из интрасети, но и из Интернета. С его помощью сотрудники могут выполнять весь спектр своих задач: подавать заявки и управлять ими, выполнять согласования, просматривать отчеты и т.д.

Контроль изменения прав доступа в информационных системах

1. Контроль событий и несоответствий. IDM-решение "КУБ" обеспечивает автоматическую регистрацию всех событий, связанных с управлением учетными записями в контролируемых информационных системах, в режиме реального времени. В том числе, фиксируются все несанкционированные изменения (например, вносимые системными администраторами напрямую в ИС). Просматривать события можно в специальных журналах.
2. Возможность отмены или подтверждения внесенных изменений. При просмотре события (изменений в правах доступа, внесенных напрямую в контролируемую систему) администратор безопасности может подтвердить изменения или отменить их. В первом случае система отметит правки как легитимные и "запомнит" новое состояние системы. Во втором случае права доступа будут возвращены к состоянию до внесения изменений. Все инциденты сохраняются в журналах и могут быть просмотрены позднее, например, в процессе расследования нарушений политики ИБ или при аудите.
3. Рассылка уведомлений. При обнаружении события "КУБ" отправит уведомление о нем ответственному лицу. Это позволяет оперативно отреагировать на внесение несанкционированных изменений в контролируемые информационные системы.

Развертывание IDM-системы "КУБ"

В отличие от многих других типов программного обеспечения, IDM-решения отличаются сложностью внедрения. Однако у системы «КУБ» есть ряд механизмов, значительно упрощающих настройку и развертывание системы. Например, рабочие процессы системы (процессы создания, согласования и исполнения заявок) производятся настройкой и не требуют дополнительного программирования скриптами. В то время как у других IDM-систем настройка, зачастую, требует «заточки» под конкретные задачи и дополнительного программирования. Кроме того, в «КУБ» есть готовые правила реконсиляции, которые настраиваются в графическом интерфейсе также без применения программирования. Процесс установки всех подсистем «КУБ» и настройка выполняется готовыми мастерами (wizard-ами), поэтому ручная настройка сведена к минимуму.

И тем не менее, внедрение IDM-системы непростая задача, поэтому разработчики "КУБ" настоятельно рекомендуют пользоваться услугами системных-интеграторов. Это позволит ускорить процесс внедрения и значительно уменьшить риски некорректной настройки системы.

Настройка IDM-системы "КУБ"

Как мы уже говорили выше, первоначальная настройка IDM-системы "КУБ" входит в процесс развертывания. Она включает в себя первичное создание и настройку организационно-штатной структуры, выделения зон ответственностей, формирование списка ролей в соответствии с разработанной ролевой моделью и т.д. Тем не менее, впоследствии, в процессе эксплуатации, может возникнуть необходимость изменить существующие настройки. Сделать это можно с помощью "Программы управления сервером КУБ".

Данное приложение имеет очень простой интерфейс. В левой части расположен иерархический список папок, в которых содержатся основные объекты системы. Это подразделения, должности, сотрудники, роли, ответственности, список объектов информационной системы компании, сетевые сущности, журналы и пр. В средней части отображается список объектов активного типа, а в правой – свойства выбранного объекта. Помимо этого, в окне отображается список сущностей, подчиненных выбранной. Например, при просмотре подразделения можно в средней части окна увидеть список работающих в нем сотрудников, структуру его должностей, роль типового доступа и пр.

Рисунок 2. Программа управления сервером КУБ

Вся работа с объектами осуществляется в едином окне. Это касается в том числе и операций по их созданию и изменению. Редактируются записи прямо в списке или путем изменения свойств в правой части окна. Для удобства пользователей в приложении реализовано контекстное меню, полноценная панель инструментов, система фильтров, возможность самостоятельно настраивать состав и положение частей главного окна.

Помимо этого, в "Программе управления сервером КУБ" реализован большой набор мастеров для выполнения тех или иных действий. В частности, с их помощью можно импортировать организационную структуру из внешней системы, выполнить различные проверки настройки и т.д.

Рисунок 3. Список мастеров в "Программе управления сервером КУБ"

В качестве примера создадим в системе роль, которая будет разрешать всем членам подразделения "ИТ-отдел" доступ к размещенной на сервере сетевой папке "Техническая поддержка". Это, конечно же, довольно простой пример, однако он позволит представить себе принцип настройки работы IDM-системы "КУБ".

Решить поставленную задачу можно двумя способами: с помощью специального мастера или вручную. Первый вариант, конечно же, удобнее. Итак, откроем перечень ролей, с помощью контекстного меню запустим мастер создания роли и на первом шаге введем ее название.

Рисунок 4. Первый шаг мастера создания роли в "Программе управления сервером КУБ"

Следующие два шага мастера позволяют указать вышестоящие и подчиненные роли. В нашем примере в этом нет необходимости (это нужно только для построения иерархической ролевой модели). Для этого можно предварительно создать свою собственную ответственность, которая будет контролировать назначение прав на нужную нам папку.

Рисунок 5. Выбор ответственности в мастере создания роли в "Программе управления сервером КУБ"

На следующем этапе можно указать должности, для которых будет назначена создаваемая роль. Однако мы будем осуществлять привязку роли к подразделению целиком, поэтому данный шаг тоже можно пропустить. А вот дальше необходимо указать агент и ресурс, доступом к которым будет управлять создаваемая роль. В нашем случае это будет агент управления сервером Windows и папка, размещенная на этом сервере. Для нее можно указать нужные права.

Рисунок 6. Настройка прав роли в мастере создания в "Программе управления сервером КУБ"

Также роль можно сформировать и вручную. Для этого она сначала создается, после чего в нижней части списка ролей для нее задаются по отдельности ответственности, сотрудники, ресурсы и права доступа к ним и т.п.

После создания роли необходимо присвоить ее подразделению "ИТ-отдел". Сделать это можно, используя механизм типового доступа. Просто открываем подразделение, в нижней части списка переходим на вкладку "Типовой доступ" и добавляем в него роль "Доступ к папке "Техническая поддержка".

Рисунок 7. Настройка типового доступа для подразделения в "Программе управления сервером КУБ"

Рассмотренный пример позволяет примерно представить принцип настройки IDM-системы "КУБ" с помощью "Программы управления сервером КУБ".

Работа с IDM-системой "КУБ"

Вся регулярная работа с IDM-системой "КУБ" осуществляется через веб-интерфейс. И это очень удачное решение. Такой подход обеспечивает кроссплатформенность. Использовать веб-сайт можно с компьютеров, работающих под управлением любых операционных систем.

Интерфейс портала очень прост. На главную страницу вынесено несколько блоков, которые отображают задачи и заявки пользователя, а также перечни избранных процедур создания заявок и отчетов. Таким образом, она может использоваться для быстрого доступа к наиболее часто используемым конкретным пользователем функциям системы.

Рисунок 8. Главная страница портала IDM-системы "КУБ"

Подать заявку можно непосредственно с главной страницы или со страницы списка возможных типов заявок. На этой странице все типы разбиты на четыре больших группы: "Общие", "Кадровые процедуры", "Орг. штатные процедуры" и "Управление доступом".

Рисунок 9. Страница со списком типов заявок на портале IDM-системы "КУБ"

Сам процесс оформления заявки осуществляется в виде пошагового мастера, на каждом этапе которого необходимо установить какой-то один параметр (например, ресурс, должность пользователя и т.п.). Это довольно удобно, потому что практически исключает риск ошибок пользователей.

Рисунок 10. Пример этапа мастера подачи заявки на портале IDM-системы "КУБ"

На заключительном этапе мастера будут показаны данные о сроках и маршруте согласования подаваемой заявки.

Рисунок 11. Данные о согласовании заявки на портале IDM-системы "КУБ"

Просмотреть все свои заявки с любым статусом можно в разделе "Мои заявки". Список можно сортировать по любому из полей.

Рисунок 12. Раздел "Мои заявки" портала IDM-системы "КУБ"

Согласование заявок также осуществляется на портале. Для этого используется раздел "Мои задачи". В нем перечисляются все те процессы, в которых должен принять участие пользователь. При этом согласующим доступны три основных действия: согласовать заявку (перевести ее следующему согласующему в соответствии с маршрутом или утвердить), отклонить ее или делегировать согласование другому пользователю.

Рисунок 13. Раздел "Мои задачи" портала IDM-системы "КУБ"

Все заявки с любыми статусами можно просмотреть. При этом отображается подробная информация о ней, которая включает в себя основные данные, текст заявки, перечень назначенных и реальных согласующих и многое другое. При необходимости можно найти нужную заявку по различным параметрам, включая участников, ключевые слова, статус и пр.

Рисунок 14. Информация о заявке на портале IDM-системы "КУБ"

Отчеты о работе системы также можно просматривать прямо на Портале. Реализовано их много. Причем предназначены они для разных категорий пользователей.

Рисунок 15. Список отчетов на портале IDM-системы "КУБ"

Отчеты представляют собой интерактивные инструменты с возможностью отбора данных по разным фильтрам, удобного их просмотра, печати и экспорта в форматы XML и XLS. К сожалению, просматривать их можно только в табличной форме. Графические отчеты в IDM-системе "КУБ" не реализованы. Также стоит отметить, что отчеты можно генерировать только по актуальным в данный момент данным. Построить отчет по состоянию на какую-то дату в прошлом нельзя.

Рисунок 16. Пример отчета на портале IDM-системы "КУБ"

Выводы

IDM-система "КУБ" полностью оправдала наши ожидания. Начать нужно с того, что она обладает всеми необходимыми возможностями для безопасного управления доступом. К ним относятся интеграция с кадровыми системами, полноценный документооборот заявок с возможностью придания ему юридической значимости, ролевая модель прав с поддержкой системы типового доступа для подразделений, автоматическое и ручное исполнение инструкций, динамическое построение маршрутов согласования и многое, многое другое.

Она позволяет, во-первых, полностью автоматизировать и формализовать выдачу прав доступа сотрудникам организации. Это обеспечивает высокую эффективность взаимодействия ИТ-отдела и отдела кадров, а также значительно повысить производительность работы ИТ-специалистов путем избавления их от выполнения большого объема рутинных операций. Кроме того, такое решение значительно повышает защищенность ресурсов организации от несанкционированного доступа за счет его формализации.

Во-вторых, IDM-система "КУБ" позволяет организовать мониторинг изменений прав доступа во всех контролируемых системах с возможностью определения несанкционированного их изменения и отмены внесенных в обход нее правок.

Рассматриваемый продукт отличается простой внедрения и эксплуатации. Простота внедрения, конечно же, относительная. IDM-системы вообще относятся к числу одних из самых сложных с точки зрения развертывания. В нашем же случае простота сводится к тому, что в комплект поставки входит большое количество агентов для интеграции с разными системами, которые работают "из коробки" и не требуют длительного ручного программирования.

Что касается простоты эксплуатации, то тут IDM-системе "КУБ" действительно есть, чем похвастаться. Все параметры работы устанавливаются с помощью понятного графического интерфейса. Что, совместно с подробнейшей справочной системой обеспечивает возможность компаниям выполнять настройку своими силами. Работа же конечных пользователей осуществляется через очень простой веб-интерфейс, сложностей с которым возникнуть не должно даже у далеких от ИТ-технологий сотрудников.

Естественно, есть у рассмотренной системы и некоторые недостатки. В основном они относятся к функциям, которые потенциальные клиенты все чаще и чаще хотят видеть в IDM-решении. К ним относится аттестация прав доступа, управление сервисными учетными записями.

Преимущества:

• большое количество готовых агентов для связи с разными автоматизированными системами;
• полноценный документооборот заявок;
• автоматическое и ручное выполнение инструкций;
• постоянный мониторинг событий во всех контролируемых автоматизированных системах;
• выявление несанкционированных изменений в правах доступа и их отмена ответственным сотрудником;
• хранение истории всех изменений прав доступа;
• сертификат ФСТЭК по НДВ 3, ТУ.

Недостатки:

• отсутствие некоторых функций, которые могут ожидать потенциальные клиенты: аттестация прав доступа, управление сервисными учетными записями;
• недостатки отчетности: отсутствие в отчетах графики, нет отчета о состоянии прав за определенную дату.