Proč se lidstvo od věků ptá na tuto otázku a vyhodnocuje ji, je zřejmé. Antičtí Trojané by mohli vyprávět o své zkušenosti se svou nedobytnou bránou a dřevěným koněm. V digitálním světě pak platí stejná pravidla a principy jako v Troji. Důsledky špatně vyhodnoceného přístupu uživatele netřeba rozebírat – v lepším případě dojde „pouze“ k neautorizovanému přístupu k datům, v horších případech k nedostupnosti systému, ztrátě dat. Těmto scénářům lze zabránit, pokud začneme s důslednou správou uživatelů a zajištěním přístupů s patřičnou úrovní záruk. Lokální JIP představuje komplexní řešení pro orgány veřejné moci.
Lokální JIP (Jednotný identitní prostor) řeší věci od Adama. Tedy od okamžiku, kdy do úřadu nastoupí nový zaměstnanec pan Adam, kterého je zapotřebí vybavit vším potřebným pro výkon jeho zaměstnání. První záznam o něm bývá založen obvykle v personálním systému. Proto o personálním systému v této souvislosti hovoříme jako o autoritativním zdroji dat o zaměstnancích/uživatelích. Tato data spravuje personální oddělení, které má přehled o tom, kdo, kdy a na jakou pozici do úřadu nastupuje, ale také kdy z úřadu odchází. Tato data jsou pečlivě aktualizována, mimo jiné také proto, že se na ně váže vyplácení platu. Odtud se část digitálního profilu nového zaměstnance vydává na první cestu do centralizovaného Úložiště uživatelů, a to díky integrační platformě.
11. přikázání: Neodmítneš
V modulu centralizovaného Úložiště uživatelů metamorfuje zaměstnanec Adam na uživatele Adama. Tedy z digitálního záznamu zaměstnance se stane uživatel. Jak se tento zázrak stane? Záznam zaměstnance je obohacen o autentizační prostředky (uživatelské jméno, heslo, případně další faktory jako např. osobní elektronický certifikát, OTP aj.), které jsou uživateli předány bezpečným způsobem, tak aby bylo zajištěno, že účet může používat pouze p. Adam. LJIP svými prostředky zajistí, aby i administrátor neměl ani teoretickou možnost tento účet použít. Tento fakt je nesmírně důležitý pro právní akt zvaný neodmítnutelná odpovědnost. Tedy zaručení toho, že uživatel Adam nebude v budoucnu schopný popřít jednání pod svým uživatelským účtem. S tímto právním aktem pracují také např. banky v internetovém bankovnictví.
Ano, teď jsem tu námitku slyšel naprosto zřetelně: „Ale my nejsme banka a neprovozujeme internetové bankovnictví!“ Ano, úřady neprovozují internetové bankovnictví, zato ale mají přístup k neveřejným registrům a rejstříkům s osobními údaji. A jako správce přístupu a identit uživatelů má úřad legislativní povinnost podle § 13, odst. 4 zákona č. 101/2000 Sb., o ochraně osobních údajů, zamezit neoprávněnému nebo nahodilému přístupu k osobním údajům. Naplnění odstavce 4 lze dosáhnout jedině tak, že zákazník bude mít kvalitní systém pro řízení přístupu, správu identit a oprávnění. § 180 zákona č. 40/2009 Sb., trestního zákoníku je výmluvný již svým názvem „Neoprávněné nakládání s osobními údaji“ a stanovenými tresty dostatečně motivuje k jednání na zabezpečení dat proti nežádoucímu přístupu.
Jeden vládne všem
Díky Lokálnímu JIP a pracovnímu zařazení známému z personálního systému dostal p. Adam přístupové role k několika systémům.
A především dostal jediný uživatelský účet. To je velmi důležité. Čím více účtů, tím větší bezpečnostní riziko. P. Adam již má své účty na FB, e-mailu, několika nákupních portálech, do internetového bankovnictví, a pokud by dostal sadu několika dalších účtů, nebude mít ani jinou možnost, než si účty někam poznamenat. Ze široké škály možností použije v lepším případě nějaký renomovaný Password storage, v horším případě to bude žlutý lísteček nalepený na monitoru.
Uživatelský účet p. Adama se opět díky integrační platformě vydává na cestu do interních systémů, které vyžadují vlastní správu uživatelů. Integrační platforma tuto správu uživatelů automatizuje, a nahrazuje tak administrátora aplikace. Plní roli identity managementu a dbá o aktualizaci uživatelského profilu po dobu celého životního cyklu digitální identity.
Přístupová brána
Ostatní systémy se podle svých technologických možností a omezení mohou pro potřeby ověření uživatele buď opřít přímo o ldap rozhraní, nebo se schovají za přístupovou bránu. Přístupová brána plní bezpečnostní funkci reverzní proxy, ale především disponuje možnostmi vícefaktorové autentizace a ověřování uživatelů vůči několika zdrojům. Tato funkčnost je důležitá např. při řešení přístupu externích uživatelů, které můžou být spravovány ve svém prostředí nebo ověřovány vůči jiným identitním prostorům, jako je například JIP Czech POINT pro spolupracující úřady nebo JIP ISDS pro spolupracující komerční subjekty.
Variabilita integračních možností Lokálního JIP pokrývá prakticky všechny možné varianty jak nákladově efektivně zajistit využívání jednoho uživatelského účtu napříč provozovanými systémy.
Jeden účet i pro centrální ISVS
Lokální JIP bere otázku jednoho uživatelského účtu velmi vážně a jde s ním až za hranici úřadu. Modul LDAP2JIP/AD2JIP propaguje uživatelský účet p. Adama do centrálního JIP Czech POINT, o který se opírá řada dalších ISVS jako např. Czech POINT, CzechPOINT@office, AIS RPP, ISÚI a další. Především se ale touto integrací dostáváme s neodmítnutelnou odpovědností o krok dál, a to díky ztotožnění uživatele vůči základním registrům, přesněji registru obyvatel.
Tomáš Řemelka, Delivery director, NEWPS.CZ
PŘEDPLATNÉ
ČLÁNKY DO MAILU