Identity Access Management

Transkript

1 Identity Access Management

2 Fra IT-avdelingen til toppledernes agenda Digital identitet og tilgangsstyring vokser frem som en stadig mer aktuell problemstilling og kritisk risikoområde. Økt bruk av skytjenester og innføring av GDPR med nye krav til personvern, er to av flere faktorer som forsterker etterspørselen etter tjenester knyttet til Identity Access Management. Informasjonsdeling og bruk av data gjennomsyrer alt vi gjør. Stadig flere virksomheter skjønner at de trenger en helhetlig strategi for digital identifisering som bidrar til å sikre produkter og tjenester, og investeringene i sofistikerte verktøy for Identity Access Management (IAM) vokser enormt. Digital identifisering og tilgangsstyring er en risikofaktor som må adresseres og håndteres, samtidig som det er en forutsetning og driver for innovasjon og nye digitale forretningsmodeller. Det er ikke lenger en isolert IT-funksjon, men en kritisk forretningsutfordring på tvers av organisasjonen, og et stadig mer sentralt tema på styrets og toppledelsens agenda.

3 Drivere for Identity Access Management Det er flere faktorer som er med på å drive etterspørselen etter IAM-løsninger: Flere alvorlige hendelser Høyprofilerte hendelser knyttet til tyveri og misbruk av sensitive data og intellektuell eiendom gjør at ledere har blitt mer bevisst de store og potensielt uopprettelige skadene virksomheten kan påføres. Angrepene blir stadig flere og mer alvorlige, og flere hendelser skyldes nettopp svak tilgangsstyring og kontroll, og dårlig implementerte IAM-løsninger. Strengere lover og regler Økt fokus på trusler og sårbarhet avler frem strengere lover og regler for hvordan virksomheten skal overvåke og forvalte tilgangen til sensitiv informasjon. Myndigheter strammer grepet med mål om å standardisere virksomheters digitale identitetsstyring. IAM blir en viktig byggestein når EUs forordning om personvern, også kjent som GDPR, trer i kraft som norsk lov i GDPR adresserer behovet for tilgangsstyring og kontroll gjennom løsninger for IAM, og tar for seg både tekniske og organisatoriske grep som er nødvendige for å implementere IAM og etablere «Security by Design». Det handler om å finne en riktig balanse mellom bruk av personlige data og begrensning i volum og tilgang. Økt bruk skytjenester Skytjenester endrer måten virksomheter administrerer brukertilgang. Med forretningsinformasjon lagret utenfor virksomhetens egen brannmur blir tradisjonelle sikkerhetsmekanismer overflødige. Mange har IAMløsninger som kontrollerer systemer driftet innenfor virksomhetens fire vegger, men som ikke tar hensyn til de eksternt driftede skytjenestene. Når skytjenester implementeres ute i forretningsområdene uten involvering fra IT-avdelingen, mister virksomheten kontrollen og utsettes for stor risiko. IAM-løsninger som begrenser tilgang gjennom brukerprivilegier, autentifisering og tillatelser har blitt mye viktigere, og tradisjonelle IAM-løsninger må utvides slik at de kan håndtere digital identitet i skyen. Disruptive teknologitrender Det er spesielt fem teknologitrender som i stor grad endrer måten virksomheter leverer produkter og tjenester, og påvirker tilnærmingen til digital identitet. Idetity Access Management 3

4 1. Internett på mobilen Tilgang til internett fra mobil og nettbrett, da ofte skytjenester, krever at virksomheten gir brukere tilgang til virksomhetssystemer fra hvilken som helst enhet og lokasjon. Noen selskaper støtter også bruk av digital identitet fra tredjepart for å autentifisere kunder, leverandører, partnere og andre som ikke jobber i virksomheten. Som en konsekvens har tyveri av enheter som inneholder bedriftssensitiv data blitt vanlig. Resultatet er en økt konvergens mellom IAM og løsninger for Mobile Device Management (MDM) som kan håndtere tilgang både for personer og enheter. 2. Digital arbeidsstyrke Outsourcing, offshoring og andre fleksible arbeidsformer gjør at det er mange arbeidstakere som holder til utenfor virksomhetens nettverk. At disse gjerne har andre arbeidsprosesser, og kanskje også befinner seg i land med andre lover og regler, skaper utfordringer for tilgangsstyringen. Mange tar i bruk føderert identitet hvor ID for et system baserer seg på ID fra et annet system. Det forenkler tilgangsprosessen, men utgjør en risiko. IAM-løsningen må kunne håndtere slike utfordringer og tilrettelegge for rask onboarding og offboarding av mobile ansatte uten at det påvirker produktivitet eller arbeidsevne. 3. Identitetskonvergens Med økningen i antall digitale identiteter må virksomheten håndtere tilganger for brukere som jobber på tvers av siloer. En ansatt kan for eksempel både sitte i ledergruppen og være en del av et forretningsområde, og passer da til flere kategorier. En persons tilgang kan også være kontekstuell og håndteres av ulike «personas» linket mot samme identitet, hver «persona» med unike kontoer og privilegier. Nyere IAM-løsninger kan betjene ulike populasjoner med lav risiko for overlapping. Det krever imidlertid en helhetlig tilnærming til IAM. 4. Big data og analyse Ny teknologi og kraftige verktøy for dataprosessering gjør at IAM-løsninger i dag kan gjennomføre analyser basert på sofistikerte algoritmer. De kan analysere brukeres tilgang til informasjon og evaluere potensiell risiko. Brukeranalyser har blitt mer vanlig i tilgangsstyring. Også biometriske faktorer som blant annet stemme- og ansiktsgjenkjenning, analyse av fingeravtrykk og skrivemønster kan i dag brukes for å autentifisere brukere. Det stiller høye krav til både lagring og bruk av sensitive data. 5. Tingenes internett (IoT) IoT har gitt grobunn for en ny type identitet, en enhetsidentitet som kontrollerer hvordan enheter og automatiserte prosesser samkjøres i digitale økosystemer. Dette er kanskje den disruptive trenden som i størst grad utfordrer måten virksomheter håndterer IAM. En typisk brukerenhet opererer i et komplekst økosystem hvor digital identitet ikke bare kontrollerer enheten, men også hvilke internett-tjenester den er koblet mot og hvilken informasjon den deler med tjenestene basert på eierens preferanser og autorisasjoner. Virksomheten trenger sofistikerte IAMløsninger som sørger for for gode brukeropplevelser, etterlevelse av personvernskrav og optimale sikkerhetsmekanismer. Etter hvert som disse trendene blir mer fremtredende, vil behovet for smidige IAM-løsninger vokse. Det trengs en mer helhetlig virksomhetsstrategi for IAM, med involvering fra styre og øverste ledelse.

5 Prisen å betale for svak tilgangsstyring og kontroll Teknologiutvikling og nye krav til IAM avler frem tre hovedutfordringer: Risiko Fra styrets og topplederens perspektiv kan en negativ hendelse knyttet til digital identitet og tilgangsstyring medføre store erstatningskrav, skade på omdømme eller tap av intellektuell eiendom eller sensitiv informasjon. I ytterste konsekvens kan det påføre virksomheten permanent skade. The Ponemon Cost of Data Breach Study fra 2016 viser at gjennomsnittskostnaden for en slik hendelse ligger på rundt 30 millioner kroner. Ineffektivitet Utdaterte eller ineffektive IAM-prosesser vil påføre virksomheten unødvendige operasjonelle kostnader. Det skjer ofte når virksomheten bruker gamle IAM-prosesser og løsninger for å tilfredsstille nye forretnings- og teknologibehov, eller for å adressere bruksområder som de ikke er utviklet for å dekke. Implementering av en IAM-løsning forankret i en helhetlig virksomhetsstrategi vil redusere kostnader gjennom optimaliserte forretningsprosesser som reflekterer det nye risiko- og teknologilandskapet. Brukeropplevelse Effekten av IAM på brukeropplevelse kan være vanskelig å kvantifisere, men i de fleste tilfeller er dårlig brukererfaring helt åpenbar, spesielt når virksomheten tar i bruk stadig flere skyløsninger uten å ha en helhetlig tilnærming til tilgangsstyring og autentifisering. Brukerne trenger smidige og sikre tilganger som tilrettelegger for effektivt arbeid. Idetity Access Management 5

6 En helhetlig tilnærming til IAM Toppledere frykter i stadig større grad risikoen, kostnadene og ineffektiviteten forårsaket av en silobasert tilnærming til IAM og adopsjon av ny teknologi. Diskusjoner om IAM er i ferd med å flyttes fra IT-avdelingen til styrerommet, ofte hos virksomheter som allerede har en IAM-plattform og som må håndtere utfordringer knyttet til ny teknologi. Det fokuseres i større grad på hvordan IAM kan understøtte digital transformasjon og legge til rette for integrasjon av disruptiv teknologi i den digitale økonomien. I tillegg krever oppkjøp og fusjoner at nye brukere og kundepopulasjoner som er utenfor den eksisterende IAM-løsningens domene integreres. «IAM er ikke bare en teknologi eller et verktøy, heller ikke et prosjekt med et avgrenset tidsperspektiv. Det er et transformasjons program som krever dedikasjon fra topp ledelsen, og kontinuerlig opp følging og tilpasning til teknologi og behov i endring. IAM er et levesett.» Arne Helme leder for cybersikkerhet i KPMG Norge

7 Suksesskriterier Fordi IAM potensielt kan påvirke alle deler av virksomhetens teknologiske infrastruktur, forretningsprosesser og brukergrupper, er IAM-prosjekter kjent for å bli en internpolitisk strid. IAM bør betraktes som et kontinuerlig transformasjonsprosjekt, og ligner i stor grad på ERP når det kommer til omfang, påvirkning og kompleksitet. Støtte fra ledelsen er kritisk for å unngå flaskehalser. De mest vellykkede IAM-prosjektene karakteriseres av et robust rammeverk for styring og en helhetlig tilnærming til digital identitet. Det kreves veldefinert endringsledelse og god kommunikasjon på tvers av virksomheten, utviklet for å skape oppmerksomhet og involvere nøkkelpersoner til å delta i prosessen. En annen viktig suksessfaktor er at forretningen ikke forstyrres av prosessen. Det oppnås gjennom at overgangen til en ny løsning tas stegvis og pragmatisk, uten et «big bang». Slik økes også muligheten for å hente ut raske gevinster, bygge momentum for nye prosjektfaser og gjøre nødvendige endringer etter hvert som teknologien og behovene utvikler seg. KPMG hjelper deg Kompetanse og rådgivning knyttet til digital identitet og tilgangsstyring utgjør en viktig del av KPMGs cybertjenester. Våre cybereksperter er nøkkelpersoner i en rekke strategiprosjekter knyttet til digital identitet og autentifisering i offentlig og privat sektor. Vi bistår våre kunder med å forstå drivere og behov for IAM, og utarbeide helhetlige og bærekraftige IAM-strategier sett opp mot virksomhetens øvrige strategier og prosesser for digital transformasjon og skytjenester. Fra idé til gjennomføring KPMG kan blant annet gjennomføre modenhetsanalyser, gap-analyser, utvikle business cases, bistå med vurdering og valg av teknologi, utarbeide strategiske veikart, drive endringskommunikasjon og gjennomføre workshops. I ryggen har vi et globalt nettverk med teknologieksperter som har implementert IAM-løsninger hos noen av verdens største virksomheter. Vårt rammeverk bygger på beste-praksis fra et stort antall IAMprogrammer hos norske og internasjonale virksomheter, erfaring fra en rekke bransjer, i tillegg til stor kunnskap om markedsutvikling og teknologitrender. Det gjør at vi kan bistå gjennom hele livssyklusen, fra idéfase til overlevering og evaluering. Idetity Access Management 7

8 Hva er Identity Access Management (IAM)? I sin enkleste form er identitet en digital representasjon av et individ, entitet eller enhet med tilhørende rettigheter for tilgang til informasjon. Hovedfunksjonen er å redusere risiko for datatyveri gjennom å kontrollere hvem som har tilgang til informasjon basert på definerte retningslinjer. IAM er også en effektiv mekanisme for tilgangsstyring til webbaserte produkter og tjenester. En god implementering av IAM hjelper virksomheter med å øke effektivitet, redusere driftskostnader, eliminere cyberrisiko, etterleve lover og regler og forbedre brukeropplevelse. Kontakt For mer informasjon, ta kontakt med: Arne Helme Partner og leder for cybersikkerhet KPMG Norge T E arne.helme@kpmg.no kpmg.com/socialmedia kpmg.com/app 2017 KPMG AS, a Norwegian limited liability company and a member firm of the KPMG network of independent member firms affiliated with KPMG International Cooperative ( KPMG International ), a Swiss entity. All rights reserved.