Käyttöoikeuksien katselmointi
Käyttöoikeuksien katselmointi
Tässä käyttötapauksessa kuvataan käyttöoikeuksien katselmoinnin käyttötapauksia loppukäyttäjille ja IGA-pääkäyttäjille. Yleisesti re-sertifiointia (re-certification) ja käyttöoikeuksien katselmointia käytetään eri tarkoituksiin, mutta erityisesti loppukäyttäjien selkeyden vuoksi IGA-ratkaisussa nämä käyttötapaukset on yhdistetty käyttöoikeuksien katselmoinnin käyttötapausten alle.
Käyttöoikeuksien katselmoinnit ovat säännöllisiä auditointeja tai arviointeja käyttäjien käyttöoikeuksista organisaation eri sovelluksiin ja resursseihin. Tavoitteena on varmistaa, että käyttöoikeudet vastaavat henkilön nykyistä roolia, vastuita ja tarpeita. Katselmoinnit auttavat havaitsemaan ja poistamaan liialliset tai tarpeettomat käyttöoikeudet, vähentämään tietoturvariskejä ja parantamaan vaatimustenmukaisuutta.
Ero re-sertifiointiin on siinä, että re-sertifiointi tarkoittaa muodollista prosessia, jossa vahvistetaan, että käyttäjien käyttöoikeudet ovat edelleen asianmukaisia ja tarpeellisia heidän roolissaan, tyypillisesti säännöllisin väliajoin. Tämä prosessi edellyttää usein, että esihenkilöt tai järjestelmän omistajat vahvistavat eli "re-sertifioivat", että käyttäjä tarvitsee edelleen pääsyn tiettyihin resursseihin, järjestelmiin tai dataan.
Käyttöoikeuksien katselmoinnin ja re-sertifioinnin keskeiset osa-alueet:
- Säännölliset arvioinnit: Säännölliset katselmoinnit (esim. neljännesvuosittain, vuosittain) käyttäjien käyttöoikeuksista sen varmistamiseksi, että ne ovat ajan tasalla, sekä muodollinen pyyntö esihenkilöille tai käyttöoikeuksien omistajille vahvistaa, ovatko käyttäjille myönnetyt käyttöoikeustasot yhä voimassa.
- Roolipohjaiset tarkistukset: Varmistetaan, että myönnetyt käyttöoikeudet vastaavat käyttäjän työtehtävää ja nykyisiä vastuita.
- Riskien tunnistaminen: Luvattoman pääsyn, tarpeettoman pääsyn arkaluontoiseen dataan tai mahdollisten haavoittuvuuksien havaitseminen.
- Säädöstenmukaisuus: Jotkin toimialat edellyttävät käyttöoikeuksien re-sertifiointia täyttääkseen sääntelyvaatimukset, kuten GDPR, NIS2, DORA, tai soveltaakseen esimerkiksi ISO27001-sertifioinnin vaatimuksia.
Sekä käyttöoikeuksien katselmoinnit että re-sertifioinnit ovat olennaisia vahvan tietoturvan, riskien minimoinnin ja sisäisten käytäntöjen sekä ulkoisten säädösten noudattamisen ylläpitämiseksi. Näitä toimintoja tuetaan tyypillisesti automatisoiduilla työkaluilla, ja ne edellyttävät koordinointia IT:n, tietoturvatiimien ja liiketoimintayksiköiden välillä ollakseen tehokkaita.
Ota käyttöön M42 Intelligence - Comms assistance (lisäosa) varmistaaksesi, että viestintä loppukäyttäjille on selkeää ja että on helppo ymmärtää, miksi käyttöoikeuksien katselmointipyyntöjä on tärkeää tehdä säännöllisesti ja mitä käyttäjältä odotetaan. Tämä ominaisuus varmistaa esimerkiksi, että käyttäjät saavat tiedon omalla äidinkielellään.
Käyttötapaukset
Loppukäyttäjien käyttötapaukset
Käyttäjä voi myös katselmoida käyttöoikeuksiaan My Things -toiminnolla Self-Servicessä, ja esihenkilöillä on vastaava mahdollisuus katselmoida alaistensa käyttöoikeuksia My Employees -toiminnolla.
Tässä kuvatut käyttötapaukset ovat ohjattuja palveluita, joiden avulla loppukäyttäjät voivat myös pyytää käyttöoikeuksia tai niiden poistamista, ja palvelun lopuksi loppukäyttäjä antaa katselmointikommentit, jotka tallennetaan auditointia varten.
Loppukäyttäjien käyttötapaukset kuvattu alla:
- Review my access rights
- Review access rights (manager)
- Review access rights (approver)
| Kuvaus | |
| Yleiskatsaus |
Tässä käyttötapauksessa kuvataan käyttöoikeuksien katselmoinnin palveluita Self-Servicessä ja miten loppukäyttäjät voivat katselmoida aktiivisia käyttöoikeuksiaan milloin tahansa tai kun on avoimia katselmointipyyntöjä, kuten esimerkiksi tarve tarkistaa, onko yksittäinen käyttöoikeus edelleen voimassa kaikille käyttäjille (tunnetaan myös nimellä re-sertifiointi).
|
| Toimijat |
Loppukäyttäjä Esihenkilö Hyväksyjä Self-Service IGA-ratkaisu |
| Edellytykset |
Jotta loppukäyttäjät voivat katselmoida käyttöoikeuksia milloin tahansa, heillä täytyy olla pääsy katselmointipalveluun/-palveluihin Self-Servicessä. Jotta käyttäjä voi katselmoida avoimia käyttöoikeuksien katselmointipyyntöjä, IGA-pääkäyttäjä on luonut katselmointipyynnön IGA-ratkaisussa, ja käyttäjä on saanut sähköposti-ilmoituksen toimenpiteitä odottavista katselmointipyynnöistä. |
| Tulos | Käyttäjien käyttöoikeudet on katselmoitu, päivitetty, ja tarpeettomat on poistettu. Tulokset tallennetaan auditointia varten, ja katselmointi päättyy. |
| Review my access rights |
|
| Review access rights (managers) |
|
| Review access rights (approvers) |
|
IGA-pääkäyttäjien käyttötapaukset
Tässä kuvataan IGA-pääkäyttäjien käyttötapaukset käyttöoikeuksien katselmointipyyntöjen käynnistämiseen, peruuttamiseen, uudelleenkäsittelyyn, seurantaan ja raportointiin. Asiakas voi päättää, voivatko myös muut käyttäjät, kuten esimerkiksi sovelluksen omistajat, käynnistää jne. käyttöoikeuksien katselmointeja sovellukselle, jossa käyttäjä on merkitty omistajaksi.
Tässä kuvatut IGA-pääkäyttäjän käyttötapaukset:
- Create new review request
- Cancel ongoing review request
- Start re-review
- Monitor and report
| Kuvaus | |
| Yleiskatsaus |
Tässä käyttötapauksessa kuvataan, miten IGA-pääkäyttäjä voi käynnistää, määrittää, seurata ja auditoida käyttöoikeuksien katselmointipyyntöjä.
|
| Toimijat |
IGA-pääkäyttäjä IGA-ratkaisu |
| Edellytykset | Käyttäjien käyttöoikeuksien (entitlements), liiketoimintaroolien, käyttöoikeustietueiden, tilien ja työjaksojen välisten suhteiden täytyy olla oikein kunnossa. |
| Tulos | Kertaluonteinen tai toistuva katselmointipyyntö on luotu, katselmoijille on ilmoitettu, tulokset näkyvät ja auditointitiedot on tallennettu. |
| Create new review request |
|
| Cancel ongoing review request |
|
| Start re-review for requests which were not approved in during the review period (scheduling) |
|
| Monitoring & reporting review requests |
|
M42 Intelligence - Comms assistance 
IGA-ratkaisu tukee erilaisia tekoälyyn liittyviä käyttötapauksia (lisäosa), ja käyttöoikeuksien katselmointi on yksi niistä käyttötapauksista, joissa IGA-pääkäyttäjän on viestittävä selkeästi loppukäyttäjille, jotta he ymmärtävät, miksi katselmointipyyntöjä tehdään ja mitä katselmoijilta ja loppukäyttäjiltä odotetaan.
M42 Intelligence - Comms assistance
Kun toiminto on käytössä, IGA voi käyttää Comms assistancea viestin kirjoittamiseen katselmoijille (loppukäyttäjät, esihenkilöt ja hyväksyjät), mikä yleensä edellyttää melko kattavaa selitystä siitä, mistä käyttöoikeuksien katselmoinnissa on kyse ja mitä toimenpiteitä käyttäjältä odotetaan.
Comms assistance auttaa IGA-pääkäyttäjää,
- Korjaamaan ja parantamaan viestejä loppukäyttäjille esim. sähköpostitse
- Valmiiden käyttötapausten avulla, jotka on optimoitu IGA-pääkäyttäjän viestintään loppukäyttäjille
- Helposti käyttöönotettavana ja mukautettavana yrityksesi kielelle
Toimitusohjeet
Datakorttien kulku ja tarkoitus
Datakorttien tarkoitus,
- IGA review access rights - IGA-pääkäyttäjät käyttävät tätä uusien ja uudelleenkäsittelypyyntöjen käynnistämiseen, käynnissä olevien pyyntöjen seurantaan sekä katselmointipyyntöihin liittyvän tiedon raportointiin ja auditointiin.
- Approval - luodaan tapauksissa, joissa hyväksyntätyypiksi on asetettu "approval request", ja hyväksyntä tehdään Self-Servicen hyväksyntätoimintojen avulla
- IGA service request - luodaan uusille katselmointipyynnöille, ja se luodaan myös, jos käyttäjä samanaikaisesti pyytää käyttöoikeuksien lisäämistä tai poistamista tai IGA-pääkäyttäjä vaatii uudelleenkäsittelyä.
- IGA entitlement - voi olla katselmoinnin sisältönä, ja määrittää hyväksyjät käyttöoikeuksien ja sovellusten katselmoinneille. Käytetään myös viimeksi tai koskaan katselmoimattomien käyttöoikeuksien katselmointiin
- IGA business role - voi olla katselmoinnin sisältönä ja määrittää hyväksyjät liiketoimintaroolien katselmoinneille
- Application - käytetään sen katselmointiin, minkä sovellusten käyttöoikeuksia on viimeksi katselmoitu ja milloin katselmointi tehtiin
- IGA work period - käytetään viimeksi tai koskaan katselmoimattomien käyttäjien katselmointiin
- IGA identity storage - käytetään kaikkien käyttäjään liittyvien katselmointien katselmointiin ja auditointiin
- IGA access right record - tallentaa katselmointien auditointitiedot
Konfigurointiohjeet
Noudata oikeita ohjeita sen mukaan, konfiguroitko uutta ympäristöä (baseline-versio 2025.1 tai uudempi) vai lisäätkö näitä käyttötapauksia olemassa olevaan asiakasympäristöön.
Muista aina,
- Konfiguroi käyttötapaukset ensin testiympäristöön
- Suorita järjestelmä- ja käyttäjähyväksyntätestaus testiympäristössä
- Korjaa kaikki mahdolliset havainnot ja testaa uudelleen
- Siirrä konfiguraatio tuotantoympäristöön
- Varmista, että konfiguraatio on siirtynyt oikein tuotantoympäristöön
Konfigurointiohjeet uudelle ympäristölle:
- Konfigurointi IGA-ratkaisussa (alusta)
- Julkaise IGA service request -malli
- Julkaise IGA review access rights -työnkulku
- Julkaise IGA review access rights -malli
- IGA review access rights -työnkulku
- Julkaise IGA service request -malli
- Konfigurointi Self-Servicessä
- Julkaise seuraavat palvelut
- Review my access rights
- Review access rights (managers)
- Review access rights (approvers)
- Julkaise seuraavat palvelut
Konfigurointiohjeet olemassa olevalle ympäristölle (IGA-ratkaisu):
- Tuo One-Click-Demo (OCD) -ympäristöistä ja/tai tee muutoksia seuraaviin malleihin
- Application
- Lisää uusi attribuutti: Related entitlements
- IGA Entitlement
- Lisää uusi attribuutti kohtaan xx: Review access rights
- Lisää uusi attribuutti (tekninen kenttä): ESS filtering (jaettu attribuutti)
- Tallenna kaikki entitlement-datakortit
- Listener post-save: Save related application when added to entitlement (2025.1).
- IGA Access Right Record
- Lisää uusi luokka: Review access right information
- Lisää uusi attribuutti: Review history
- Päivitä työnkulku: 2.0 Add or remove group membership
- IGA Business Role
- Lisää uusi attribuutti: Review access rights
- Lisää uusi attribuutti (tekninen kenttä): ESS filtering (jaettu attribuutti)
- Tallenna kaikki business role -datakortit
- Tuo UUSI malli: IGA review access rights, joka sisältää
- Kuuntelijat (listeners)
- Tapahtumat (events)
- Työnkulku
- IGA Service Request
- Lisää uudet attribuutit:
- IGA Review Access Rights
- Unfinished related review access rights
- Entitlements in review
- Business roles in review
- Request rejected
- Requested approver(s)
- Requested approver(s) help
- Julkaise IGA Review access rights -työnkulku
- Lisää uudet attribuutit:
- IGA Work Period
- Lisää uusi luokka: Review access right information
- Lisää uusi attribuutti: Review access right
- Luo uudet palvelukohteet (service items):
- Review access rights
- Review comments
- Application
Konfigurointiohjeet olemassa olevalle Self-Servicelle:
- Tuo uudet palvelut:
- Review my access rights
- Review access rights (managers)
- Review access rights (approvers)
- Tuo liittyvät MyServices-kohteet:
- IGA Review / User requests (User)
- IGA Review / Manager requests (Manager)
- IGA Review / Approver requests (Approver)
- IGA Review Business roles (User, Manager, Approver)
- IGA Review Entitlements (User, Manager, Approver)
- IGA Review WPs/Business roles (Manager, Approver)
- IGA Review WPs/Entitlement (Manager, Approver)
- IGA WP Active access rights (User)
- IGA WP Automatic Business role (User)
- IGA WP Automatic entitlements (User)
- IGA WP Requested Business role (User)
- IGA Business role / Approvers (Approver)
- IGA Entitlement / Approvers (Approver)
- IGA Work (my) period - Request and Remove access (User)
- My application accessess (User)
- My application /subordinate accessess (Manager)
- My application /approver
- IGA Review WPs/Application entitlements (Manager)
- IGA Review WPs/Application Business role (Manager)
- My Teams (User)
- IGA Entitlement Approver 1 (User)
- IGA Entitlement Approver 2 (User)
- IGA Business role Approver 1 (User)
- IGA Business role Approver 2 (User)
Järjestelmä- ja hyväksyntätestausohjeet
Testauksen valmistelut,
- IGA-ratkaisussa on käyttäjiä, joilla on kaikki tarvittavat suhteet käyttöoikeuksiin, sovelluksiin, esihenkilöihin, käyttöoikeustietueisiin jne.
- Luo Self-Servicelle testikäyttäjät, joilla on oikeat pääsyt seuraaviin palveluihin ja tarvittavat suhteet kunnossa IGA-ratkaisussa
- Käyttäjä - review my access rights
- Esihenkilö - review access rights (managers), suhteet alaisiin
- Hyväksyjä - review access rights (approvers), merkitty hyväksyjäksi käyttöoikeuksille ja/tai liiketoimintarooleille
Testausohjeet IGA-pääkäyttäjille,
- Luo erityyppisiä katselmointipyyntöjä IGA-pääkäyttäjien käyttötapauksen mukaisesti
- Valitse kaikki sisältötyypit katselmoinneille
- Valitse molemmat hyväksyntätyypit
- Luo vähintään kymmenen (10) erityyppistä katselmointipyyntöä loppukäyttäjille, jotta voit testata katselmointien eri tuloksia
- Siirry testaamaan loppukäyttäjän toimintoja
- Kun osa loppukäyttäjistä on katselmoinut käyttöoikeutensa, peruuta yksi käynnissä olevista pyynnöistä
- Kun päättymispäivä koittaa
- Käynnistä yhdelle pyynnöistä uudelleenkäsittely niille käyttäjille, jotka eivät tehneet katselmointia määritetyssä ajassa.
- Varmista tulokset ja varmista, että raportit näyttävät tiedot oikein
- Varmista, että katselmointipyyntöjen tila ja tulokset näytetään oikein
Testausohjeet loppukäyttäjille,
- Kirjaudu Self-Serviceen
- Kaikkien käyttäjien tulisi nähdä review my access rights -palvelu
- Esihenkilöiden, joilla on alaisia, tulisi nähdä review access rights (manager) -palvelu
- Hyväksyjien, joilla on hyväksyjävastuita määriteltynä IGA entitlement- ja/tai IGA business role -datakorteilla, tulisi nähdä review access rights (approvers) -palvelu
- Jos loppukäyttäjällä on useita katselmointivastuita, on mahdollista, että yksi tai useampi katselmointipalvelu näkyy Self-Servicessä
- Varmista, että testikäyttäjälle on saatavilla oikea(t) palvelu(t) hänen roolinsa mukaisesti
- Avaa palvelu
- Varmista, että teksti ja ohjeet ovat oikein
- Valitse review all my access rights
- Varmista, että palvelu toimii roolille kuvattujen käyttötapausten mukaisesti
- Valitse ongoing access right request
- Valitse pyyntö, johon IGA-pääkäyttäjä on sisällyttänyt käyttäjän katselmoinnin
- Varmista, että tiedot näytetään loppukäyttäjille oikein.
- Vertaa näkyvää tietoa käyttäjän IGA identity storage -datakorttiin
- Varmista, että esihenkilöt näkevät vain omat alaisensa, ei kaikkia käyttäjiä
- Varmista, että hyväksyjät näkevät vain tiedot, jotka liittyvät käyttöoikeuksiin, joissa heidät on merkitty hyväksyjäksi (IGA entitlement tai IGA business role)
- Hyväksy ja hylkää yksittäisiä käyttöoikeus- tai liiketoimintaroolihyväksyntäpyyntöjä, jotka näkyvät etusivulla
- Varmista, että näkyvissä on riittävästi tietoa käyttöoikeuksien katselmointia varten
Table of Contents