راهکارهای مدیریت هویت و دسترسی را می‌توان ابزارهای نوظهوری در حوزه زیرساخت‌های فن‌آوری اطلاعات دانست. چرا که با توسعه تکنولوژی‌های متعدد در حوزه کسب و کارها، به مرور زمان مدیریت کاربران و کنترل دسترسی آنها سخت‌ترو پیچیده‌تر شد و در این فضا نیاز به راهکاری یکپارچه بیش از پیش احساس می‌شد.
پس از معرفی راهکارهای مدیریت هویت و دسترسی یکپارچه، بسیاری از شرکت‌های بزرگ و پیشرو این راهکار را اجرایی کرده‌اند و استفاده از تجربیات و بازخوردهای مثبت آنها در نحوه پیاده‌سازی و راه‌اندازی راهکارهای Identity And Access Management یا IAM، برای کسانی که در ابتدای این مسیر هستند بسیار ارزشمند خواهد بود.
گام‌های اصلی مدیریت هویت و دسترسی
انتخاب یک راهکار مدیریت هویت و دسترسی مناسب برای سازمان، بهتر است از سطوح مختلف مورد بررسی قرار گیرد. به این ترتیب می‌توانید هزینه‌ها و فعالیت‌های کوتاه مدت و بلندمدت را پیش‌بینی کرده و از دارایی‌ها و کسب و کارخود حفاظت کنید.
تجربه‌های موفق در حوزه کنترل دسترسی، شامل تمام فعالیت‌هایی است که لازم است به آنها توجه کنید، مثل این که چه میزان هزینه برای کدام محصول بپردازید، محصول کدارم شرکت را ترجیح می‌دهید، چگونه می‌خواهید کنترل دسترسی را در سازمان خود اجرایی کنید و در نهایت چطور قرار است سیستم کنترل دسترسی در شرایطی که سازمان شما در حال توسعه و گسترش است حفظ کنید.
برای سهولت کار، فرایندهای کنترل دسترسی را می‌توان بصورت گام به گام در سه سطح زیر سازماندهی کرد:
- برنامه‌ریزی
- راه‌اندازی
- اجرا
در ادامه، به برخی از تجربه‌های موفق شرکت‌ها در هر گام از فرایندهای کنترل دسترسی می‌پردازیم:
برنامه‌ریزی پروژه مدیریت هویت و دسترسی
این مرحله مهم‌ترین مرحله در تنظیم کنترل دسترسی است، زیرا آنچه در اینجا انجام می دهید در دو مرحله بعدی تاثیرگذار خواهد بود. در این مرحله به موارد زیر توجه کنید:
مدیریت دسترسی مبتنی بر نقش(Role-based access)
شرکت‌ها و سازمان‌ها دارای اداره‌ها و دپارتمان‌های متعدد با مسئولیت‌های مختلفی هستند. لزومی ندارد که همه کارکنان به همه منابع و سیستم‌ها دسترسی داشته باشند، بلکه بسته به وظایف و پست سازمانی، منابع و سیستم‌های مشخصی برای انجام کارهای روزانه باید در اختیارشان قرار گیرد.
بنابراین، در گام نخست بهتر است شمایی ایجاد کنید در آن تمام کارکنان با نقش و پست سازمانی خود شناخته شوند و به وضوح وظایف و مسئولیت‌های آن نقش را تعریف کنید. سپس با توجه به نوع کاری که انجام می دهند مجوزهای لازم در اختیار آنها قرار داده شود. به عنوان مثال مدیر شبکه تنها شخصی است که می‌تواند به اتاق سرور دسترسی داشته باشد و همینطور اگر کاربری شغل حسابداری در شرکت را بر عهده دارد، دسترسی به منابعی که مختص یک حسابدار است به او داده می شود و نه بیشتر.
پیاده‌سازی لایه‌های امنیتی
زمانیکه برای کنترل دسترسی برنامه‌ریزی می‌کنید، از گزینه‌های مختلف کنترل دسترسی استفاده کنید. تکنولوژی‌های مختلف در افزایش یا کاهش امنیت شرکت شما موثر است. با پیاده‌سازی هر کدام از این تکنولوژی‌ها در لایه مناسب، می‌توانید دسترسی را بگونه‌ای مدیریت کنید که در حالی‌که کارکنان عادی به سیستم‌ها ومنابع مشخص شده خود دسترسی دارند؛ منابع بسیار حساس فقط در اختیار افراد خاص قرار گیرد.
با ایجاد احراز هویت دو عاملی و چند عاملی، از سواستفاده از گذرواژه‌های سرقت شده یا پین های دزدی جلوگیری کنید. در رابطه با ابزارهایی که برای پشتیبانی از زیرساخت‌های کنترل دسترسی نیاز است- مانند دوربین‌ها، سنسور‌ها، قفل در‌ها، انواع ریدر‌ها( کارتخوان‌ها، کدخوان، اثرانگشت خوان) و تکنولوژی‌های بی‌سیم دقت زیادی داشته باشید و مطمئن شوید که لایه‌های امنیتی توسط سطوح مجوز دسترسی مناسب و ابزارهای کنترل دسترسی پشتیبانی می‌شود.
راه‌اندازی راهکار مدیریت هویت و دسترسی
با وجود برنامه‌ریزی دقیق، در صورتی‌که سیستم را آنطور که برنامه‌ریزی کرده‌اید راه‌اندازی نکنید، فرایند کنترل دسترسی شما نتیجه مطلوب نخواهد داد. بنابراین وقتی به مرحله راه‌اندازی سیستم رسیدید موارد زیر را رعایت کنید:
اصل صدور حداقلی مجوز (یا حداقل حق دسترسی)
بنا به توصیه کارشناسان امنیتی، استفاده از اصل حداقل مجوزها یکی از بهترین روش‌ها در هنگام تنظیم سرویس مدیریت هویت و دسترسی است. “اصل حداقل مجوزها” به این معناست که هر کاربر فقط بتواند به همان اطلاعات یا منابع لازم برای کار خود دسترسی داشته باشد نه بیشتر.
همچنین، تمامی کارکنان فناوری اطلاعات یا پرسنل امنیتی که مسئول تصمیم‌گیری در خصوص مجوز دسترسی سایر کارکنان هستند؛ باید از نزدیک تمامی فعالیت‌هایشان تحت نظارت قرار گیرد. زیرا با توجه به دسترسی‌هایی که دارند، در صورت سواستفاده از آنها امنیت و منافع سازمان در معرض آسیب فراوانی قرار خواهد گرفت.
نصب نرم افزار برای انجام خودکار فرایندها
زمانیکه نقش‌ها و مسئولیت‌ها را تعیین می کنید پیگیری تمام مجوزهای ارائه شده به کاربران شده کار دشواری است، خصوصا اگر صد‌ها یا هزاران نفر کارمند در شرکت شما مشغول به کار باشند. بنابراین بجای انجام دستی این فرایندها؛ بهتر است از یک نرم‌افزار تامین‌کننده خدمات کاربر استفاده کنید. بدین ترتیب علاوه بر اینکه فرایندهای مدیریت هویت کاربران بصورت خودکار اجرا می‌شود، تمامی سوابق مربوط به تغییرات هم حفظ می‌شود. خودکار کردن جریان کار، یکپارچگی فناوری اطلاعات، سلسله مراتب وظایف، مدیریت گذرواژه و حسابرسی سبب جلوگیری از اشتباهات پرهزینه می‌شود.
اجرای راهکار
در صورتی که گام‌های اول و دوم بخوبی اجرا شود، باید اطمینان حاصل کنید سیستمی که مهیا کرده‌اید برای مدت زمان طولانی به خوبی کار خواهد کرد. در ادامه به دو مورد از تجربیات موفق در مورد اجرایی شدن راهکار کنترل دسترسی موثر و همینطور ایجاد یک محیط کاری ایمن اشاره می‌کنیم.
داده‌های امن
با وجود اینکه مدیریت هویت و دسترسی یکپارچه می‌تواند بسیاری از مشکلات امنیتی سازمان را حل کند، خود می‌تواند از جهاتی ریسک و خطر هم برای سازمان باشد. یکپارچگی اطلاعات می‌تواند چالش‌های زیادی مانند ایجاد نقاط آسیب‌پذیر جدید برای حملات هکر‌ها بوجود بیاورد. گردآوری حساب‌های اطلاعاتی متعدد، نگهداری گذروازه‌ها، پین‌ها و جزئیات شخصی کاربران همگی در یک سیستم خود ریسک امنیتی بزرگی است مگر اینکه امنیت این سیستم به خوبی برقرار شود. در نتیجه با بکارگیری اقدامات حفاظتی منطقی و فیزیکی می‌توانید تمامی اطلاعات را به صورت امن نگهداری کنید.
اجرای سیستم‌های نظارتی
یکی از ساده‌ترین راه‌های نظارت بر سیستم مدیریت هویت و دسترسی، استفاده از گزارش‌های خود سیستم است. با بررسی گزارش‌ها شما می‌توانید نظارت کنید که آیا سیستم به درستی کار می کند و آیا نیاز به انجام اصلاحات، تغییرات یا به روزرسانی دارد یا خیر. فرایندهای نظارتی را به یکی از فرایندهای ضروری در سیاست‌های امنیتی شرکت تبدیل کنید تا بصورت یک روال اجرایی م
