Universitetet i Oslo Prosjektbeskrivelse: Tilgangsstyringsgrupper

Transkript

1 1. Bakgrunn og begrunnelse for prosjektet søker om midler til prosjekt for å kunne tilby sluttbrukertjenestene et rikere utvalg av tilgangsstyringsdata basert på HR-data fra HR-systemene (SAPUiO og FS). Det overordnede formålet med prosjektet er å oppnå økt sikkerhet og bedre brukeropplevelser gjennom bedre tilgangsstyring., ADS, EL og AP oppnevnte i 2014 en arbeidsgruppe for å kartlegge og analysere IT-tilganger for ulike brukergrupper ved UiO. Arbeidet bygget på innspill fra EIRs revisjonsrapport for tilgangsstyring av november Sluttrapporten pekte på flere utfordringer vedrørende den tids ordning for tilgangsstyring ved UiO (ikke studenter), og ga anbefalinger for tiltak. Sentralt blant disse anbefalingene var opprettelse av et forprosjekt for tilgangsstyring. Forprosjekt tilgangsstyring leverte sluttrapport til styringsgruppe i november Her framgår at: «Forprosjektet anbefaler at det opprettes et hovedprosjekt som skal planlegge, designe og implementere en løsning for IT-tilgangsstyring [ ] med mål å implementere ny tilgangsstyringsløsning i eksisterende systemportefølje.» Med dette som utgangspunkt har ADS og i samarbeid tatt initiativ til de to prosjektene «Tilganger og roller i administrative systemer» (ADS) og «Tilgangsstyringsgrupper» (). Prosjektene kan realiseres uavhengig av hverandre, men gjennomføring av begge utløser synergieffekter av betydelig verdi. Førstnevnte prosjekt vil gi HR-data som er bedre egnet som datagrunnlag for tilgangsstyringsdata, mens sistnevnte omsetter HR-data til tilgangsstyringsdata og gjør disse tilgjengelig for sluttbrukertjenester. Prosjektene er skopet og harmonisert med hensyn på BOTT-ERP og BOTT-IAM, for å ta gevinster på kortere sikt, uten merkostnad. Om tilgangsstyringsgrupper Grupper, i denne sammenhengen, er en mekanisme for å omsette HR-data til tilgangsstyringsdata, og gjøre denne type data tilgjengelig for tilgangsstyring i sluttbrukertjenester. Mange IT-tjenester ved UiO har behov for grupper, generelt for å kunne gi brukerne riktig tilgangsnivå, men også for å understøtte funksjonalitet og god brukeropplevelse. Cerebrum er i stand til å bruke data fra kildesystemene for persondata, SAPUiO og FS, til automatisk bygging og vedlikehold av grupper. er systemeier for Cerebrum, som ikke er klassifisert som et administrativt system. Imidlertid er kildesystemene administrative systemer, og mye av behovet for automatiske grupper ligger i sluttbrukertjenester, mange av de administrative. Det finnes begrenset støtte for automatiske grupper allerede, men det dekker ikke UiOs behov. I 2016 gjennomførte en videreutvikling av kjernefunksjonaliteten for grupper i Cerebrum, noe som har resultert i at Cerebrum nå er en bedre plattform for å kunne tilby mange og store Det gjenstår å gjøre et løft for å få på plass et rikt utvalg av grupper. Det er behov for å gjennomføre en generell kartlegging av behov og muligheter. Deretter kan det utvikles støtte for automatiske grupper til behovene. Automatiske grupper er gjenbrukbare. De ulike IT-tjenestene vil i stor grad ha behov for de samme gruppene. Det er dermed slik at et løft for å få på plass et rikt sett med basisgrupper, i stor grad vil dekke både dagens behov og framtidige behov.

2 2. Mål og ønskede gevinster Det overordnede målet er bedre tilgangsstyring i IT-tjenester ved UiO. Målet er ikke å løse alle problemer relatert til tilgangsstyring, men å angripe et konkret problemområde som kan gi gevinster på kort sikt. Automatiske grupper fra Cerebrum, basert på eksisterende rolledata i SAPUiO og FS, er et nødvendig skritt på veien for å oppnå sikker tilgangsstyring ved UiO. Nivå Beskrivelse Suksesskriterier Mål for UiO som dette prosjektet Sikrere tilgangsstyring i ITtjenester ved UiO. sett av automatiske grupper, IT-tjenester har tilgang til et rikt bidrar til oppfyllelsen av basert på rolledata fra SAPUiO og FS. Bedre brukeropplevelse i sluttbrukertjenestene. Effektmål Redusert behov for manuelt vedlikehold av grupper. Resultatmål Enklere og raskere å få på plass god tilgangsstyring i nye tjenester. Bedre kontroll og oversikt over tilgangsstyring i IT-tjenester. Cerebrum vil være bedre forberedt for innføring av nytt HR-system. Lavere kostnad og kortere leveransetid ved innføring av nye sluttbrukertjenester. Mer sektorsamarbeid om tilgangsstyring. Cerebrum skal bygge og gjøre tilgjengelig et rikt sett med automatiske grupper, basert på rolledata fra SAPUiO og FS. Tjenesteeiere skal få god oversikt over, og enkel tilgang til tilgjengelige automatiske grupper. Et rikt sett automatiske grupper understøtter funksjonalitet i sluttbrukertjenestene. Mange manuelt vedlikeholdte grupper fases ut og erstattes av Nye tjenester tar i bruk de automatiske gruppene, framfor å drive lokal tilgangsstyring. Redusert bruk av lokal tilgangsstyring. Nye rolledata som innføres med nytt HR-system, blir gjort raskt tilgjengelig via automatiske grupper. Kostnad redusert med kr per tjeneste. Andre universiteter og høyskoler fatter interesse for funksjonaliteten. I 80% av fremtidige behov for automatiske grupper, skal de være dekket av det rike settet med automatiske grupper som utvikles i prosjektet. Automatiske grupper tas i bruk i nye og gamle tjenester. 3. Rammebetingelser IT-sikkerhetshåndbok for Universitetet i Oslo, kapittel 11, legger føringer for tilgangsstyring. 2

3 Enhet for internrevisjon (EIR) har i en rapport påpekt svakheter ved tilgangsstyring i praksis ved UiO. Difi s «Overordnede IT-arkitekturprinsipper» inneholder overordnede føringer. «Digitaliseringsstrategi for universitets- og høyskolesektoren» legger føringer for lagring og bruk av HRdata og tilgangsstyringsdata. 4. Prosjektets leveranser og avgrensninger Leveranser Fase 1: Behovskartlegging Fase 1: Mulighetskartlegging Fase 2: Utvikling Fase 2: Tilgjengeligjøring Beskrivelse Kartlegging av behov for automatiske grupper hos tjenesteeiere. Kartlegging av hvilke rolledata i SAPUiO og FS som er egnet for bruk i automatiske grupper og tilgangsstyring. Utvikling i Cerebrum for å generere et rikt sett med automatiske grupper, basert på rolledata fra SAPUiO og FS, og forankret i kartlagte behov. Oversikt over tilgjengelige automatiske grupper og hvordan man integrerer med Cerebrum for å få tak i det, spesielt rettet mot tjenesteeiere som har behov for automatiske grupper for tilgangsstyring og annen funksjonalitet. Avgrensninger: Leveransen er avgrenset til de mulighetene som ligger i eksisterende datagrunnlag for tilgangsstyring i SAPUiO og FS. Dette inkluderer de forbedringer i datagrunnlaget fra SAPUiO som kommer som leveranse fra tilgangsstyringsprosjektet TRADS (ADS). Leveransen omfatter ikke nye rolledata fra nytt ERP-system. BOTT-ERP prosjektet er i en for tidlig fase til at det er hensiktsmessig nå. Det er imidlertid et delmål at prosjektet gjennomføres slik at Cerebrum er godt forberedt for å håndtere rolledata fra nytt ERP system, når dette kommer. Sluttbrukertjenester som skal ha automatiske grupper fra Cerebrum er per i dag integrert via LDAP eller Feide, eller skreddersydde filoverføringer. I framtiden antas web services å være det mest aktuelle for integrasjoner. LDAP vil fortsette å være relevant, mens filoverføringer er utdatert. er i ferd med å utvikle web services, uavhengig av dette prosjektet. Nasjonale tjenester, som UH-AD og Dataporten vil kunne bruke de automatiske gruppene, men utviklingen for å realisere dette ligger utenfor skop. 5. Vurdering av prosjektets usikkerheter, trusler og muligheter Trusler Beskrivelse Reduserende tiltak Mangelfull rolledata Begrensende integrasjoner Dårlig utvalg eller dårlig kvalitet på rolledata i SAPUiO eller FS, som gjør at disse dataene ikke egner seg for tilgangsstyring. Noe rolledata kan være lite tilgjengelig grunnet svakheter i dagens integrasjoner. Dialog med systemeierne, for å avdekke hvilke rolledata som er egnet, og om det eventuelt er mulig å gjøre enkle tiltak for å øke egnethet. Dialog med prosjekt TRADS. Samarbeid med AF/Ceres og ADS, samt samarbeid med prosjekt UiO IntArk. 3

4 Muligheter Beskrivelse Tiltak BOTT-ERP BOTT-IAM UiO IntArk TRADS Nasjonale tjenester UiO vil være godt forberedt for å kunne utnytte mulighetene som ligger i bedre rolledata i nytt ERPsystem. Cerebrum kan bli en sterkere kandidat som produktvalg i BOTT-IAM. Bedre integrasjoner gjør rolledata mer tilgjengelig. Utnytte bedre datagrunnlag for tilgangsstyring fra SAPUiO. Automatiske grupper kan gjøres tilgjengelig i Dataporten og UH- AD Dialog med BOTT-ERP. Dialog med BOTT-IAM. Dialog med prosjekt UiO IntArk. Dialog med TRADS. Dialog med Uninett. 6. Valg av alternativ og nytte/kost-vurdering 6.1. Alternative løsninger/konsepter med vurdering og valg Alternativene bør bygge videre på dagens løsninger og systemlandskap. Innenfor denne rammen finne ingen gode alternative løsninger. Følgende alternativer er vurdert: 1. Sluttbrukertjenestene får rolle-data direkte fra SAPUiO og FS. Dette er i strid med beste praksis på fagområdet, og vil kreve kostbare tilpasninger i de to systemene. Ansees ikke som et reelt alternativ. 2. Fortsette med dagens løsninger. Alternativet dekker ikke dagens behov, og vil i enda mindre grad dekke fremtidige behov. Dagens løsninger er heller ikke kostnadsfrie. UiO må enten ta kostnader ved vedlikeholds-utvikling, eller avvikle tjenester som dekker reelle behov. 3. Avvikle støtte for Vil medføre betydelig økt mengde manuelt arbeid. Er ikke forenlig med en strategi om å være et moderne og ledende universitet. 4. Avvente og la problemstillingene håndteres i BOTT-IAM. Kostnaden vil antagelig være høyere, grunnet økt kompleksitet i BOTT-IAM, og gevinstene vil ligge lenger fram i tid. UiO har vært tidlig ute med automatiske grupper, men henger nå etter i forhold til behov. En satsning vil bidra til at mange umiddelbare behov dekkes raskt, og at UiO blir godt rustet for å møte fremtidige behov Gevinstoversikt. Gevinster Kostnadsbesparelser For hvem, og hvordan fremkommer gevinsten? Redusert arbeid med å vedlikeholde manuelle grupper, for tjenesteeiere, lokal-it og. Forutsetninger for at gevinsten skal kunne realiseres 4

5 Lavere kostnad ved innføring av nye tjenester, for tjenesteeiere. Lavere kostnad i BOTT-IAM. Mer ryddige prosesser rundt håndtering av tilgangsstyringsdata. Bedre IT-sikkerhet Redusert risiko for sikkerhetsfeil grunnet manuelt vedlikeholdt tilgangsstyringsdata, for tjenesteeiere. Bedre kontroll og oversikt over tilgangsstyring, for IT-sikkerhetssjef og EIR. Bedre brukeropplevelse Kortere leveransetid Sektorsamarbeid Bedre kvalitet på funksjonalitet i sluttbrukertjenester, for sluttbrukere og tjenesteeiere. Enklere og raskere å innføre nye tjenester, for tjenesteeiere. Bedre grunnlag for samarbeid om IAM og tilgangsstyring i BOTT og UHsektoren for øvrig. Mer ryddige prosesser rundt håndtering av tilgangsstyringsdata Nytte/kost-vurderinger Økonomiske hovedtall/kvalitative gevinster År 1 År 2 År 3 År 4 År 5 Prosjektutgifter eksterne Prosjektutgifter interne (ressursbruk personell) Økonomiske gevinster (besparelser) Kvalitative gevinster Sikrere tilgangsstyring Bedre brukeropplevelse 7. Grov tidsplan og milepæler 2018, 2. kvartal: Fase 1: Prosjektoppstart. behovskartlegging, mulighetskartlegging 2018, 3-4. kvartal: Fase 2: Utvikling, tilgjengeliggjøring, prosjektavslutning. 8. Organisering, roller og ansvar Prosjektet vil være forankret ved, med Hans Kristian Fjeld som prosjekteier. Prosjekteier nedsetter en styringsgruppe, prosjektleder og prosjektgruppe. Det meste av arbeidet i prosjektet vil være utviklingsarbeid, og vil bli utført av utviklere fra /BNT/INT. Det er ønskelig å involvere AF og ADS, som systemeiere for FS og SAPUiO. 5

6 Andre ressurspersoner fra UiOs enheter og avdelinger vil bli trukket inn i bestemte aktiviteter knyttet til ulike milepæler etter behov. 9. Interessenter/målgrupper De viktigste interessentene er tjenesteeierne, som vil få mulighet til å gjøre bedre tilgangsstyring og tilby bedre funksjonalitet i sine IT-tjenester. Dette gjelder tjenesteeiere på fakultetene, instituttene, og i LOS. AF og ADS er viktige interessenter, som systemeiere av kildesystemer for rolledata. IT-sikkerhetssjef er en viktig interessent fordi det overordnede målet dreier seg om IT-sikkerhet. EIR er interessenter fordi de har påpekt mangler ved tilgangsstyringen ved UiO. Prosjektene BOTT-IAM og BOTT-ERP er interessenter grunnet knytningen til prosjektene. Prosjekt TRADS (ADS) er interessent grunnet knytning til prosjektet. 10. Budsjett har kompetanse for å utføre utvikling og prosjektledelse. For å frigjøre aktuelle ressurser på, er det nødvendig å tilsette vikarer. Prosjektet foreslår gjennomført i to faser, der man etter kartlegging i fase 1, gjør en vurdering før man går videre med realisering i fase 2. Fase 1: Frikjøp: kr ,5 årsverk. Fase 2: Frikjøp: kr årsverk. 11. Endringslogg Versjon Dato Endring Ansvar for å beskrive endringen Første versjon. HKF Endret navn på prosjekt. HKF Oppdatert i forhold til eksterne forhold som har endret seg siden forrige versjon, Mer om relasjon til BOTTprosjekter. Inkludert relasjon til prosjekt TRADS. Oppdatert tidsplan og budsjett Skrevet om bakgrunn og begrunnelse for prosjektet. Delt prosjekt i to faser. HKF Ansvar for godkjenning av endring 12. Distribusjonslogg Versjon Dato Mottakere SKAIT, ADS. 6