Overordnet beskrivelse av de viktigste områdene et IAM-system skal hjelpe oss med.

Transkript

1 1 Overordnet beskrivelse av de viktigste områdene et IAM-system skal hjelpe oss med. Vi skal anskaffe en standard hyllevare med et «standard» innføringsprosjekt for å ta løsningen i bruk i vår organisasjon. Vi ser for oss at løsningen installeres lokalt hos oss. Miljødirektoratet har trolig mange av de samme grunnbehovene som andre organisasjoner som trenger å ha kontroll med, og effektive rutiner, for brukerne av sine ikt-løsninger. Det er viktig at løsningen har en god brukertilpasning til ulike brukergrupper. Vi skal ha løst en håndfull bruksscenarier. De viktigste «brukergruppene» er: Egne ansatte (tilsette, diverse permisjoner, andre tilknytninger, slutte) Konsulenter som skal arbeide hos oss på korte/lange kontrakter Deltagere (interne og eksterne) i Miljødirektoratets mange prosjekter (typisk SharePoint) Spesielle brukergrupper i våre egenutviklede IKT-løsninger (Fylkesmannsembedet, kommune etc.). Her må vi ha støtte for å opprette, forvalte (endre status, roller og tilganger) og sperre brukere. De aller viktigste løsningene som et IAM-system må kunne behandle (koble til) er; HR-system (p.t. Agresso, eventuelt DFØs løsninger på HR/økonomi) Elektronisk arkiv (Ephorte) Katalogtjenesten AD, inklusive ADFS for føderasjon med Altinn/ID-porten SharePoint Fellesinfo/Adgang og egenutviklede løsninger. Se eget avsnitt. I tillegg kan det bli aktuelt å koble til tilgangssystemer (låssystemer for bygg), ID-porten, spesielle fagsystemer etc. Det er et behov for at løsningen automatiserer en del prosesser, åpner for selvbetjening og at oppgaver utføres bare ett sted/en gang. Det er viktig med sporing/logg på hendelser. Det er også viktig at løsningen kan vokse med våre behov fremover. Vi ønsker fortrinnsvis en løsning som har rik funksjonalitet «ut av boksen», slik at den kan vokse med våre behov uten behov for kostbare spesialtilpasninger. Når vi senere kommer til tilbudsfasen i denne anskaffelsen er det viktig at det i tilbudene kommer frem om våre behov og ønsker kan løses vha standard funksjonalitet i programvaren, eller om det er en spesialutvikling (eventuelt en kombinasjon). Vi ser for oss å innfase systemet trinnvis. De viktigste trinnene er: Interne brukere: AD, SharePoint, HR (p.t. Agresso), Ephorte, og deltagere i prosjekter (eksterne SharePoint-brukere). Her inngår også opprette, endre og sperre kontoer (erstatte endringsskjema). Administrasjon av konsulentbrukere Fellesinfo/Adgang og interne fagsystemer. Flytte administrasjon av interne og eksterne brukere med rollehåndtering over i ny IAM-løsning. Videreutvikle «mine sider» for å kunne gi mulighet for selvbetjening av nye ressurser Koble til tilgangssystemer, ID-porten etc.

2 2 Sette opp rutiner for å støtte ISO rutiner Listen er ikke komplett, eller ferdig prioritert innenfor dette anskaffelsesprosjektet. Områder vi har behov for at et IAM-system/løsning skal løse for Miljødirektoratet. Effektivisere og administrere forskjellige brukergrupper i Miljødirektoratet Overordnet: Alle brukere skal gjennom det samme regimet med oppretting, administrasjon, og sperre konto. Brukerne deles likevel inn i brukergrupper med tilhørende roller og regelsett/rutiner, eksempel interne ansatte, konsulentbrukere og eksterne brukere. Det må være mulighet for sentral (over)styring av tilganger/rettigheter som et supplement til de automatiserte rutinene for brukerhåndtering, f.eks. standard oppretting av nye brukere. Mulighet for å ta ut rapporter på brukere, roller, tilganger og rettigheter. Hvem har gjort endringer på kontoene og når. Løsningen må kunne settes opp til å levere et standard oppsett pr bruker med rettigheter til faste systemer, basert på profil. Det kan være flere typer roller (saksbehandler, leder, eksterne konsulenter mm) Det kan være eiere av systemer som ikke er koblet til IAM-systemet, eller manuelle oppgaver. De må ha mulighet for å motta varsling når det gjøres endringer i IAM-systemet som er relevant for de, slik at de kan få gjort endringer/tilpasninger i sine systemer. Interne og eksterne brukere: Med interne brukere mener vi våre egne ansatte. Eksterne brukere er alle andre (konsulenter, leverandører, partnere, prosjektdeltagere, FM, etc). Automatisk endring av brukere på verdiene «new» og «change» (change = alle endringer) til systemer som abonnerer på tjenesten. Epostvarsel til eks leder ved endringer, selektivt valg av varsel. Automatiserte epostvarsler til brukere o Nyansatte får questback til privat epost ifm EK avtale(mobiltelefoni). Første brukernavn og passord utleveres av OITD til ledere via egne prosedyrer. o Kvittering til den som blir endret og dens leder. Tofaktorvalidering ved glemt passord, eks. med personlige spørsmål til bruker hvor svar er lagt inn i profil fra før Selvbetjening på brukstilfeller som endre passord, eventuelt også endre personalia som eks navn, adresse Brukere skal kunne be om etter tilgang til og rettigheter til applikasjoner/systemer ut over det som er levert som standard etter rolle

3 3 IAM systemet må kunne levere arbeidsflyt slik at neste på lista blir varslet med utsjekk for utførte arbeidsoppgaver Systemet må kunne levere flere typer brukerprofiler, og en bruker kan ha flere profiler Informasjonssikkerhet. Miljødirektoratet skal implementere et styringssystem for informasjonssikkerhet (ISMS) etter ISO Løsningen skal kunne tilfredsstille kravene i ISO vedlegg A.9 (jf ISO kapittel 9). Det er viktig for oss at løsningen ikke eksponerer risiko for tap av integritet og konfidensialitet av våre data ved bruk av skytjenester. Behov for kobling mot statens infrastruktur på området, føderering og bruk av ADFS IAMsystemet skal kunne knyttes mot og hente opp tjenester levert av andre løsninger eks WEB services Plugins/connectorer for interne systemer eks agresso, AD m.m. Vi vil ha SSO for våre tjenester for interne brukere. Også for eksterne der det er mulig. Rollestyrt, trust, ADFS RoleBasedAccessControll Mulighet for å se hvem som har tilgang til hva, også tilganger til skytjenester som ikke ligger i Miljødirektoratet Finnes det plugins/connectorer mot skytjenester/systemer utenfor Miljødirektoratet? o Eks kobling mot ID porten o Episerver har lokal brukerdatabase (interne og eksterne redaktører). Eksterne ligger ikke nødvendigvis i AD i dag ikke sikkert de skal det heller. o Trust mot andre bedrifters AD eks fylkesmannsembedet Standardløsningen bør ha connector til f.eks. ADFS Sikring av skottene slik at det er vanntett. Ikke få mer rettigheter enn det som faktisk er gitt Ikke se mer enn det du har rettigheter til Kobling mot/integrasjon med andre systemer Fellesinfo: Fellesinfo er vår interne webapplikasjon for ajourhold av felles generell informasjon, herunder ulike kodeverk, interne og eksterne brukere samt rolle-/funksjonsbasert tilgangsstyring (autorisasjon via single-signon). Tilgangsstyringen er basert på at en person (intern/ekstern bruker) kan knyttes til en eller flere roller. Det er interne roller for interne ansatte og eksterne roller for eksterne brukere. Vi har single-signon på interne brukere og sesjonspålogging for eksterne brukere.

4 4 En rolle kan være unik for en applikasjon eller være felles for alle/flere. En rolle er fritt definert og eksempler på slike er «seksjonsleder», «superbruker for en gitt løsning» og «informasjonsansvarlig for et gitt datasett». En rolle kan bestå av en eller flere funksjoner, som er unik for en gitt IKT-løsning. Funksjoner er logiske rettigheter som en bruker kan tildeles, eksempler på slike er CRUD-inndeling av rettigheter på et datasett, eks les data, endre data etc. Applikasjoner som bruker tilgangsstyring via Fellesinfo tester på om bruker har roller og/eller funksjoner og dette brukes av applikasjonen til å åpne/lukke funksjonalitet. Et utvalg applikasjoner tester mot funksjoner og et større antall tester mot rolle via providere (get-roles). Vi planlegger å overføre Fellesinfos håndtering av interne og eksterne brukere til en ny IAM-løsning. Dette inkluderer også rollehåndtering. Vi tror ikke at en fremtidig AD-løsning kan administrere dagens koblinger mellom rolle og funksjoner, slik at vi er forberedt på at Fellesinfo fortsatt skal ha en rolle for ajourhold av disse relasjonene og at vi selv må lage aksesskomponenter som kombinerer ny AD med eksisterende tjenester i Fellesinfo. Adgang: Fellesinfo har et hierarkisk grensesnitt for å modellere og ajourholde eksterne brukersteder: Som sagt skal ekstern brukersteds- og brukeradministrasjon erstattes av en ny IAM-løsning, men vi er usikker på om all funksjonalitet vi har på området kan håndteres «ut av boksen». Dette er deler av funksjonaliteten i løsningen «Adgang»: Vi har brukersteder i fylkesmannsembedene hvor det er flere eksterne brukere som har tilgang til samme løsninger hos oss, eks Forurensning og Vannmiljø. Vi har opprettet mange nye eksterne brukere sentralt, men volum på nye brukere og endringsfrekvens gjorde at vi laget «Adgang» for at fylkene skulle kunne gjøre brukeradministrasjon selv. Det vi gjør i Adgang er å utpeke en/flere eksterne brukere til lokal brukeradministrator. Vi definerer hvilke applikasjoner og hvilke roller innenfor applikasjonen som administratoren skal kunne ajourholde:

5 Vi definerer om administrator kan opprette nye bruker og endre eksisterende. Administratoren kan så holde de eksterne brukerne i brukerstedet ajour. De får ikke lage nye lokale brukeradministratorer og de kan ikke slette brukere fysisk. I en ny IAM løsning hvor opprettelse av nye brukere trolig skjer på en annen måte må vi få avklart hvordan adgang kan erstattes eller hvordan en IAM løsning kan erstatte denne. 5