CYBERBEZPIECZEŃSTWO zaczyna się od HR - Jak kontrolować dostępy dla PRACOWNIKÓW?

To będzie niespodzianka. Są lekko kontrowersyjne. Lub to. Rozpoczynamy w takim razie niebezpieczną rozgrzewkę. Marketing i sprzedaż się nienawidzą. Nie. Ochrona zdrowia jest łatwiejsza niż ochrona danych. Nie. Ktoś kiedyś wykradł i wykorzystał moje dane uwierzytelniając. Nie. Projekt IAM można przeprowadzić w trzy miesiące. Tak. Dostęp do zasobów firmy bez ograniczeń to marzenie każdego użytkownika.

A następnie poszło to w przedstawicielstwo medyczne, więc to się zaczęła troszeczkę taka ciekawość tą całą sprzedażą, rozmową z ludźmi, kontaktem z ludźmi. No i tak naprawdę Jak trafiłem do cyberbezpieczeństwa? Można powiedzieć, że troszeczkę przypadkowo, bo mówię, kontynuowałem tę tak jakby ścieżkę kariery właśnie w sprzedaży. I mój kolega od trzeciej firmy, dostałem się też do innej firmy, do integratora i tam trafiłem prosto, w sumie na głęboką wodę można powiedzieć, bo zacząłem, zająłem się sprzedażą rozwiązań klasy PAM. Jeszcze nie miałem wcześniej do czynienia. I tak naprawdę się na tym głównie skupiłem i od tamtej pory zacząłem już tak jakby chłonąć jak gąbka i jestem tutaj teraz z wami. A można powiedzieć, że leczysz firmy?

No tak, ale jeżeli mówimy o wdrożeniach informatycznych, o cyberbezpieczeństwie, no to zazwyczaj przychodzi nam na myśl, że zrealizuje to informatyk. A co w takim razie sprzedawca ma wspólnego z wdrożeniami, z budowaniem systemu cyberbezpieczeństwa w firmach? To jest de facto tak. To jest projekt informatyczny, można tak z gruba powiedzieć. To też jest, tak jak wspomniałeś, o czym dzisiaj będziemy rozmawiać, że ja to też traktuję jako projekt trochę biznesowy. Ja jestem... Taką osobą, która można powiedzieć tak spina tą całość klamrą. Ponieważ my jako SailPoint też bardzo dbamy o to, aby mieć kontakt właśnie z potencjalnym klientem, z organizacją, ponieważ mamy dość duże doświadczenie.

Czy wdrożenie Teamsa dotyczy całej organizacji. Musimy się porozumieć z ludźmi, bo Rolą rozwiązań IT jest po prostu ułatwianie pracy, usprawnianie pewnych procesów, więc musimy zawsze konsultować się z ludźmi, których procesy usprawniamy, żeby wiedzieć jak je usprawnić, bo oni tak jakby są naszym wyznacznikiem sukcesu. De facto człowiek i wymagania powinien być definicją sukcesu projektu. To rozwiązanie dotyka jakiegoś działu, to z tym działem powinniśmy rozmawiać. No właśnie, dzisiaj szerzej rozmawiamy sobie na temat Identity Access Management i może troszeczkę usystematyzowalibyśmy sobie to nazewnictwo, no bo mamy PIM, PAM i ten IAM, byś mógł nam wytłumaczyć, trochę w skrócie rozwinąć te skróty i czy to wszystkie, o których powinniśmy wiedzieć.

Czym jest IAM? Tak i tutaj właśnie Dzong mały, bo tak naprawdę mamy rozmowę tak jakby skonstruowaną troszeczkę o tym IAM, a dzisiaj nie będziemy za dużo o IAMie rozmawiać, będziemy rozmawiać o IDZE. Dobrze wiedzieć. Tak, tak, tak. Ale to jest bardzo popularne, bo praktycznie widzę 90%, czy to jest RFI, RFP jakieś, to są na rozwiązania klasy IAM. PIM, PAM, IAM, IGA, IDM, etc., etc. I tak naprawdę wyjdźmy od podstawy i według mnie podstawą jest właśnie ta IGA. To jest też podstawa i takie największe kółko, jakie można narysować, a wszystko inne jest w środku. Ponieważ IGA to jest Identity, Governance and Administration. I tak naprawdę to jest najszersze kółko, które obejmuje już wszystkie procesy związane z zarządzaniem tożsamością.

Jeżeli chodzi o IAM, to jest Identity Access Management, czyli że to jest taki jakby punkt wyjściowy do zarządzania tożsamością, ponieważ celem rozwiązania IAM jest tak naprawdę zarządzanie tym tylko dostępem i to się dokończy. Co przez to rozumiemy? Uwierzatelniamy, czyli że SSO, MFA, kto jest kim? Mamy pewność, że to jest ta osoba. Dajemy jej dostęp do pewnych aplikacji i tak naprawdę tu rola tych access management rozwiązań się kończy, bo tak naprawdę dajemy do aplikacji X i ona ma dostęp do tej aplikacji. Ale co może w tej aplikacji? Jakie ma uprawnienia? Jakie ma role w tej aplikacji? Jakie dostępy? Na ile? Czy tak naprawdę kiedy to się ucina? To już nie jest rola Access Managementu, to jest tak naprawdę już rola Identity Governance and Administration.

Ale także w organizacjach mamy tak naprawdę tożsamości z uprzywilejowanymi dostępami, takimi naprawdę już ciężkimi, które, a to mówimy można powiedzieć, to są też tak nazwane atomowe uprawnienia. Więc tutaj też mam rozwiązania klasy PIM i PAM, czyli Privileged Access Management albo Privileged Identity Management. Które służą tak naprawdę tylko do obsługi tych tożsamości cyfrowych, które mają bardzo wysokie uprawnienia, które narażają organizacje na naprawdę dość gruby atak. To są takie jakby adminowe, takie jakby już bardzo twarde uprawnienia. I tutaj właśnie to są rozwiązania dla tych tylko użytkowników. I tych aplikatów, tych uprawnień, a tak naprawdę wszystko jest wspinane przez IGĘ, która też ma procesy, tak jakby kontroling tego wszystkiego i pełną widoczność daje na cały obraz, jeżeli chodzi o uprawnienia i tożsamość.

Czyli IAM jest częścią IGi? Są to osobne rozwiązania, ale jeżeli chodzi o taką tę identystykę, to powiedziałbym, że tak. Że to jest taki jakby punkt wejściowy. No dobra, no to teraz musimy sobie zmienić cały scenariusz, bo będziemy rozmawiać o tej IDZE. Dzięki Michał. No to przejdźmy sobie do tej IGi. Dlaczego ona jest tak istotna? Bardzo fajny cytat. Nie możesz kontrolować tego, czego nie widzisz. I uważam, że to jest bardzo fajny taki punkt wyjściowy, jeżeli chodzi o IG, bo de facto access management, czy inne rozwiązania, czy np. można by powiedzieć też firewall, CMT, daje jakiś taki pogląd na dany obszar.

Nie zapomnijcie zasubskrybować oraz zafollowować mnie na Facebooku! A teraz pytanie do Was. Napiszcie proszę w komentarzu, czy takie projekty IT jak IGA i IAM są potrzebne w organizacjach. Chętnie przeczytamy Wasze komentarze i na nie odpowiemy. Jak w takim razie ta sztuczna inteligencja działa w obrębie IGI czy w ogóle Identity Access Managementu? Czy to może być w jakiś sposób pomocne tylko Ostatnio Krzysztof Malesa w wywiadzie powiedział nie haker, tylko adwersarz.

Jeśli firma nie ma wdrożonego systemu klasy IGA, to na jakie zagrożenia jest ta firma podatna? Jakieś może ciekawe przykłady możesz nam tutaj podać? Nie wiem, czy mamy tyle czasu, ale tak naprawdę dotykamy praktycznie wszystkiego. Często jest tak, że jak rozmawiam z organizacjami, to jak dopiero im powiem albo zadam parę pytań, to wtedy się otwierają oczy. To jest mnóstwo przykładów, jeżeli chodzi o wykorzystanie tożsamości, kont, widm nieużywanych, osieroconych, czy np. też użytkowników, którzy mają zbyt dużo przywilejów, zbyt dużo uprawnień, zbyt dużo dostępów.

No jednak w końcu ktoś zobaczył, że coś się po prostu z kasą nie zgadza i doszli do tego, jak to się stało. Ale bez takiego systemu, inaczej, z takim systemem jest to czarno na białym. Names mentioned. Names mentioned. To porozmawiajmy sobie w takim razie teraz trochę o funkcjonalnościach AIM, a w zasadzie IGi, tak? Będziemy się mylić. Będziemy się mylić, ale IGi. A czy mógłbyś je wymienić i powiedzieć nam więcej?

Ale ja jako prezes nie do końca widzę korzyść, nie do końca jestem zadowolony, bo tutaj ktoś nie ma przypisanego odpowiedniego dostępu. Tutaj ja powinienem mieć dostęp do jakiejś faktury, ale niekoniecznie mam. I pan Misztela przychodzi do mnie i mówi, że okej, ale popełniliście takie i takie błędy w trakcie spotkań, w trakcie wdrażania, może na początku. Jakie są najczęstsze błędy popełniane przez firmy na tym procesie? Właśnie chciałem to powiedzieć, bo często to jest kwestia oczekiwań. Czego oczekujemy od takiego projektu? Bo jeżeli sobie powiemy, że celem projektu jest wdrożenie rozwiązania IGA, to jest wskazane na niepowodzenie z mojej strony.

Tak jak mówiłem wcześniej o tych etapach, jasno powinniśmy się zdefiniować. Tak jak mówię, Panie Prezesie, No nie ma pan dostępu, no bo tak było ustalone z góry. Bo jeżeli robimy, i często mam takie case, że zrobiliśmy zbyt szybko projekt i niestety, nawet inaczej, klient za bardzo nie chciał angażować zbytnio dużo zasobów, więc zrobiliśmy, zostało to uruchomione, zaczęło działać, ale nagle okazało się, że niektórzy wyrażają jakieś niezadowolenie. No i tutaj właśnie o tym mówię, że nie zaangażowano pewnych ludzi, którzy to będą dotykać, a to są jakieś zmiany w procesach. I tak naprawdę to są takie pierdola, że prezes ma taki swój proces i on nie chce go zmieniać, a nagle jak będzie takie wdrożone rozwiązanie, no to już jest problem, bo tutaj są inne procesy.

Więc to jest wszystko kwestia oczekiwań i Staram się i te organizacje popełniają błędy, ale teraz właśnie dzięki temu, że ja też troszeczkę już mam trochę doświadczenia w tych projektach, przestrzegam ich już na bardzo wczesnym etapie, bo to jest właśnie tak jak powiedziałem, tą klamrą trochę jestem i to jest w moim interesie, żeby to się tak jakby spięło. Wcześniej jeszcze jak zaczynałem, to popełniałem też te błędy, że tego nie spinałem i nie zwracałem na te rzeczy uwagi, ale teraz jasno to komunikuję, że Zróbmy to teraz, przeanalizujmy, poświęcać sobie trochę czasu. Opóźnimy może nawet start z zakupu licencji i wdrożenia, ale żebyśmy to zrobili z głową. Powiedzmy sobie trochę więcej o zastosowaniu tego w innych działach. Wymieniliśmy sobie dział HR, a na przykład taki dział marketingu, taki dział finansów.

Przechodzą ludzie z jednej do drugiej firmy i nie mając na celu sukcesu klienta, nie mam na celu sukcesu własnego. Jeżeli te projekty nie będą zakończone sukcesem, to za półtorej roku ja mogę zmienić sobie już pracę. Bo tak naprawdę wszyscy będą wiedziały, że to nie poszło nam. I jak będę miał więcej tego przykładu. Dlatego staram się bardzo mocno po prostu dużo czasu wkładać w te projekty tak na początku, bo wtedy wiem, że zakończą się one sukcesem. Poniekąd odpowiedziałaś na to pytanie, ale powiedzmy sobie jeszcze raz, z kim najciężej Ci się współpracowało na tych etapach wdrożeniowych.

To jest ważne. Jesteśmy ważni. No i wtedy zmienia się ta perspektywa, ale uważam, że jeszcze działy same IT i wszyscy, co prowadzą projekty właśnie te w zarządzaniu tożsamości, często nie umiemy jeszcze z nimi rozmawiać. Wymagają, nie tłumacząc. Więc i to jest też ta klapa. Też mają rolę, żeby spojrzeć na to takie bardziej holistycznie, więc tak powiem HR-ami, ale to też nie jest do końca ich wina. W związku z tym, że Łukasz nie chodzi na siłownię, powiedz nam proszę. Jakiś taki najbardziej udany projekt wdrożenia AIM w skrócie, który pamiętasz i dlaczego był tak prosty?

Jeszcze raz, pytamy o zakończony sukces. Tak, tak. Dobrze. Inaczej, mam za dużo NDA podpisanych, ale mogę powiedzieć, że jeżeli chodzi o sprzedaż, detaliczną sprzedaż, to rzeczywiście było tak, że na początku demo. Nie. Trochę, trochę szok. I bardzo mi się podobał ten projekt, bo wyszliśmy z pozycji takiej, że już pewnie nas wyprosili z pokoju, bo nie spełniliśmy ich oczekiwań na początku, wymagań można powiedzieć.

I zobaczyliśmy tą zmianę w kliencie. I to było takie dla mnie trochę bezcenne, że Z tej pozycji takiej troszeczkę ataku przeszli na zrozumienie i akceptację. I to mogę powiedzieć, że dla mnie to był taki trochę największy sukces, właśnie ta zmiana tej perspektywy i osiągnięcie jakiegoś konsensusu w tym projekcie. Chyba Łukasz ma jeszcze jedno pytanie do ciebie. Tak, mam pytanie. Wyobraźmy sobie taką sytuację, to jest również pytanie niespodzianka, że stajesz się ministrem cyfryzacji, Sales Executive Ministry of Cyfryzation itd. I jaka byłaby pierwsza ustawa, którą byś zaproponował?

I też właśnie jeżeli chodzi o tą ochronę zdrowia, to właśnie dlatego mówiłem, że dofinansowanie po prostu tego i w jakiś sposób, musiałbym to napisać, byłem sprawnym tym ministrem, Bardzo mocno bym to globował, bo widzę, że szpitale mają bardzo duże obciążenia finansowe, dużą zaległość jeżeli chodzi o IT i często są też karane za to, że po prostu są jakieś wycieki czy coś, ale to też nie jest często z ich winy, po prostu bo nie mają tych budżetów. Więc mówię, zwiększenie budżetów na informatyzację i zwiększenie bezpieczeństwa właśnie w ochronie zdrowia. Dziękujemy bardzo. Mamy nadzieję, że niejako wyczerpaliśmy temat dotyczący IGi, IEM, PIM, PAM i tym podobnych.