IDM – co to jest i jak działa?

IDM (Identity Management) to system lub strategia zarządzania cyfrową tożsamością użytkowników, urządzeń i systemów w organizacji. Automatyzuje nadawanie, modyfikowanie oraz odbieranie dostępów do zasobów IT, dzięki czemu pomaga zwiększyć bezpieczeństwo, spełniać wymagania audytowe i ograniczyć pracę ręczną działów IT.

Uwaga: skrót IDM może oznaczać także inne, niezwiązane z informatyką pojęcia, na przykład urządzenie do badania właściwości skóry albo projekt infrastrukturalny „Internet Dla Mazowsza”. W kontekście IT oznacza jednak najczęściej Identity Management.

Czym jest IDM w IT?

Identity Management obejmuje zarządzanie informacjami o podmiotach, które korzystają z firmowych zasobów. Najczęściej są to pracownicy, współpracownicy i kontrahenci, ale tożsamość cyfrową mogą mieć również aplikacje, usługi, urządzenia oraz inne systemy wykonujące działania w środowisku IT.

Tożsamość cyfrowa jest zbiorem danych opisujących dany podmiot. Może zawierać między innymi dane identyfikacyjne, stanowisko, przynależność do zespołu, status współpracy, przypisane konta oraz zakres uprawnień. W organizacji informacje te często pochodzą z systemu kadrowego, katalogu użytkowników lub baz opisujących infrastrukturę.

IDM porządkuje cały cykl życia tych danych. System może pobrać informację o zatrudnieniu pracownika, utworzyć jego konto, nadać dostęp wynikający z roli, a następnie zmienić lub odebrać uprawnienia, gdy zmieni się stanowisko albo zakończy współpraca.

W materiałach dotyczących zarządzania dostępem często pojawia się także skrót IAM, czyli Identity and Access Management. Oba określenia są dziś często używane zamiennie. IAM mocniej akcentuje kontrolę dostępu, natomiast IDM bywa stosowane jako krótsza nazwa zarządzania tożsamością i związanymi z nią uprawnieniami.

Najważniejsze funkcje tego obszaru obejmują:

Identyfikację – ustalenie, kim jest użytkownik, urządzenie lub system.
Uwierzytelnianie – potwierdzenie, że podmiot jest tym, za kogo się podaje.
Autoryzację – określenie, do jakich danych, aplikacji i operacji podmiot może uzyskać dostęp.

Jak działa zarządzanie tożsamością?

W małej firmie konto można utworzyć i skonfigurować ręcznie. Przy większej liczbie aplikacji i użytkowników takie podejście prowadzi jednak do opóźnień, niespójności oraz błędów. IDM wykorzystuje reguły, role, wnioski i integracje z innymi systemami, aby ograniczyć udział człowieka w powtarzalnych czynnościach.

Uproszczony przebieg zarządzania tożsamością wygląda następująco:

Onboarding – dane o nowej osobie trafiają do systemu IDM, zwykle z systemu kadrowego. Na tej podstawie powstaje tożsamość cyfrowa, konta oraz podstawowe dostępy wynikające ze stanowiska.
Zmiana roli – po zmianie działu, stanowiska, przełożonego lub zakresu obowiązków system aktualizuje uprawnienia. Dostępy potrzebne wcześniej mogą zostać odebrane, a nowe nadane zgodnie z regułami lub zaakceptowanym wnioskiem.
Offboarding – po zakończeniu współpracy konta są blokowane lub zamykane, a dostępy do aplikacji i danych zostają odebrane. Pozwala to ograniczyć ryzyko wykorzystania aktywnego konta przez osobę, która nie powinna już korzystać z zasobów organizacji.

W praktyce system może obsługiwać również czasowe blokowanie dostępu podczas długiej nieobecności, nadawanie uprawnień na określony okres oraz cykliczne przeglądy dostępów. Ważne jest także rozdzielenie obowiązków, czyli SoD (segregation of duties). Chodzi o wykrywanie sytuacji, w których jedna osoba otrzymałaby zestaw uprawnień pozwalający jej samodzielnie wykonać sprzeczne lub szczególnie wrażliwe operacje.

Dlaczego organizacje wdrażają IDM?

Wartość IDM nie ogranicza się do szybszego tworzenia kont. Dobrze zaprojektowane procesy łączą bezpieczeństwo, wymagania organizacyjne i kontrolę nad kosztami pracy administracyjnej.

Kategoria korzyści	Opis	Wpływ na organizację
Bezpieczeństwo	Kontrola nad tym, kto ma dostęp do systemów, danych i aplikacji oraz na jakiej podstawie.	Mniejsze ryzyko nadmiarowych, nieaktualnych lub wykorzystanych bezprawnie uprawnień.
Zgodność z regulacjami	Historia zmian, przeglądy dostępów i raporty ułatwiają wykazanie zgodności z politykami oraz wymaganiami audytowymi.	Lepsza kontrola nad dostępem do danych osobowych i procesami wymagającymi rozdzielenia obowiązków.
Efektywność operacyjna	Automatyzacja tworzenia kont, zmian uprawnień i zamykania dostępów ogranicza liczbę czynności wykonywanych ręcznie.	Krótszy czas obsługi pracowników i mniejsze obciążenie administratorów oraz helpdesku.

Przewiń tabelę w bok →

System IDM może też dostarczać raporty pokazujące, kto ma dostęp do konkretnego zasobu, kto zatwierdził uprawnienie, z jakiego powodu je nadano i kiedy powinien nastąpić kolejny przegląd. Taka ewidencja ułatwia analizę incydentów oraz przygotowanie do audytu.

Jak wdrażać IDM?

Samo kupno i zainstalowanie narzędzia nie tworzy jeszcze dojrzałego programu zarządzania tożsamością. Organizacja musi najpierw określić źródła danych o użytkownikach, role biznesowe, zasady przyznawania dostępów oraz odpowiedzialność poszczególnych osób.

W projekcie zwykle uczestniczą nie tylko IT i bezpieczeństwo, lecz także HR, właściciele aplikacji, przełożeni oraz osoby odpowiedzialne za zgodność. System powinien integrować się z używanymi aplikacjami i wspierać rzeczywiste procesy firmy, zamiast jedynie odwzorowywać pojedynczy problem jednego działu.

Zakres wdrożenia zależy między innymi od skali organizacji, liczby aplikacji, rotacji pracowników i wymogów audytowych. W mniejszej firmie wystarczy czasem uporządkowanie ról i automatyzacja podstawowych procesów. Większa organizacja może potrzebować także modelowania ról, recertyfikacji dostępów, wykrywania kolizji SoD oraz rozbudowanego raportowania.

IDM to więc nie tylko oprogramowanie, lecz także sposób organizacji pracy i odpowiedzialności za dostęp. Największe korzyści pojawiają się wtedy, gdy automatyzacja jest połączona z jasnymi regułami, aktualnymi danymi i regularnym przeglądem uprawnień.