SaaS czy On-Premises? Co wybrać dla ochrony tożsamości?

Natomiast myślę, że i poziom komplikacji, i koszty, i budowy takiego rozwiązania i późniejszego go utrzymania, nie idźmy w tym kierunku. Ale jak ktoś ma pieniądze, to kto bogatemu zabroni? Myślę, że w On-Premisie zostaną ci, którzy muszą zostać w On-Premisie. Wszystkie trendy rynkowe na to pokazują. Mi się to skojarzyło jak powiedziałeś, że wszyscy znajdziemy się w chmurze, że wszyscy pójdziemy do nieba. To by się spinało, że jesteś ewangelistą. Słuchacie Integrity V, a to są Niebezpieczne Rozmowy. Ja jestem Łukasz Kopeć. A ja Łukasz Pietrzak. Rozmawiamy z ekspertami na temat Cyber Security, Cloud, AI i Identity Security.

Wiele osób, wiele firm nadal żyje w przeświadczeniu, że Jak coś trzyma w chmurze, to niekoniecznie to jest bezpieczne. Czy w kontekście Identity Security, w kontekście IGA, co powiesz takim osobom, które nie są do końca przekonane odnośnie bezpieczeństwa w chmurze? Ja myślę, że to była To może być bardzo sensowna obawa. Chodzi o to, że systemy IGA to są systemy, które ze swojej natury mają bardzo rozległy wpływ na moją infrastrukturę. To systemy, które mogą w tej infrastrukturze zrobić naprawdę wiele, ponieważ to są systemy, które zarządzają kontami, zarządzają uprawnieniami większości lub wszystkich moich użytkowników.

Stąd są to takie systemy trochę masowego rażenia, tak więc przejęcie kontroli nad takim systemem czy modyfikacja danych w tym systemie mogłaby mieć bardzo rozległe i bardzo nieprzyjemne konsekwencje i dla mojej infrastruktury teleinformatycznej i dla samego przedsiębiorstwa. Natomiast przez te wszystkie lata rozwoju systemów Identity Governance and Administration w chmurze, producenci tych systemów zrobili naprawdę bardzo wiele, żeby te systemy odpowiednio zabezpieczyć. Stąd stosują mechanizmy szyfrowania danych, mechanizmy, które pozwalają na odszyfrowanie credentials i kluczy dostępu do Systemów wewnętrznych jedynie w tych komponentach tych systemów, które są instalowane lokalnie, bo takie komponenty systemów SaaSowych, które są instalowane lokalnie również są niezbędne chociażby do tego, żeby komunikować się z systemami wewnętrznymi.

Systemy te tworzone są i rozwijane zgodnie z zachowaniem wszystkich procedur bezpiecznego developmentu oprogramowania. Biorą pod uwagę bezpieczeństwo na każdym etapie projektu tego systemu i późniejszego jego utrzymania. I operacji tego systemu, a trzeba pamiętać, że systemy, które są zlokalizowane w chmurze, te systemy SaaSowe, ich operacjami zajmują się ludzie, którzy znakomicie się na tym znają, dlatego że pracują tak naprawdę dla producenta tego systemu, więc można powiedzieć, że znają ten system naprawdę, naprawdę od podszewki. Jaż niejako z Łukaszem odczarowujemy trochę rynek Cyber Security. Nie będziemy aż tak szczegółowo wchodzić w różnicę pomiędzy tym czym są rozwiązania On-Premises czy SaaS, ale nie wiem czy się ze mną zgodzisz, ale możemy sobie tak pokrótce trochę przyjąć taką zasadę, że On-Premisowe rozwiązania to są po prostu gdzieś tam instalowane lokalnie.

Natomiast z drugiej strony, po pierwsze wykonanie takiej customizacji kosztowało, po drugie kosztuje i będzie kosztować, dlatego że z każdą kolejną aktualizacją zwiększa to ilość testów regresji, które muszę wykonać, zwiększa to koszty utrzymania tego systemu, konserwacji tego systemu i diagnostyki ewentualnych błędów, które w tym systemie mogą się pojawić. To teraz pytanie, dla kogo jest faktycznie model SaaS-owy? Dla kogo, dla jakiej firmy czy branży jest model on-premisowy? Ja myślę, że jeżeli zaczynacie swoją przygodę z Identity, Governance and Access, myślę, że dobrze jest zacząć od spojrzenia na chmurę. Jako takiej technologii, do której gdzieś na samym końcu wszyscy będziemy się migrować.

Taki jest kierunek rozwoju właściwie każdego oprogramowania i wszystkich usług, które są oferowane przez dostawców. Można zastanowić się, jakie czynniki mogą powstrzymywać mnie przed tym, żeby pójść do chmury z moim systemem. Przede wszystkim są to pewne wymagania dotyczące dostosowania i konfiguracji tego systemu, których chmura może nie realizować. Chmura, tak jak mówiłem, ma ograniczone możliwości customizacji. W systemach on-premisowych te możliwości były bardzo rozbudowane. Tam w większości oferowanych systemów Identity Governance and Administration można było modyfikować właściwie każdy aspekt zachowania takiego systemu.

Z różnych przyczyn istnieją również takie organizacje. Wtedy nie ma wyboru. Wtedy jestem na rozwiązaniu on-premisowym. A jak w takim razie, jak bardzo skomplikowane jest przejście do chmury, jeżeli jakaś firma się na to decyduje? Dobra, kończymy z On-Premem, chmura. Przede wszystkim trzeba zastanowić się, czy rzeczywiście chcę przechodzić do chmury. Jeżeli posiadam dobrze działające rozwiązanie On-Premisowe, które było budowane przez wiele lat, a często ta podróż w obszarze Identity Governance trwa już wiele lat. Być może warto jest zostać jeszcze przez jakiś czas z rozwiązaniem on-premisowym. Wierzę, że gdzieś tam docelowo wszyscy do tych rozwiązań chmurowych się z czasem zmigrujemy.

Natomiast na dzień dzisiejszy ta migracja może po pierwsze być kosztowna, po drugie może pozbawić mnie części funkcjonalności, którą miałem w tej chwili w systemie on-premisowym. I mówiąc o tej funkcjonalności, chciałbym podkreślić, że trzeba tu naprawdę wykonać taką bardzo, bardzo solidną analizę. To, że projektowaliśmy nasz system Identity Governance do jakiś konkretnych zastosowań, nie oznacza to, że gdzieś w organizacji nie pojawiły się pewne procesy czy pewne jednostki organizacyjne, które wykorzystują go w taki sposób, o których nie wiemy. Bardzo istotne jest, żeby zinwentaryzować to, w jaki sposób rzeczywiście wykorzystywany jest mój system, jakie funkcjonalności powinien mieć i tak naprawdę czego potencjalnie pozbawi mnie migracja do chmury, bo nie oszukujmy się,

Ja myślę, że jeżeli chodzi o Identity Governance Administration i SaaSa, że jeżeli chodzi o wybór technologii jest w przypadku Identity Governance podobny jak w przypadku jakichkolwiek innych technologii. Jeżeli mamy organizację, która na dzień dzisiejszy intensywnie korzysta z rozwiązań SaaSowych, Zapewne tego typu organizacja będzie również dążyła do tego, żeby budować rozwiązanie Identity Governance and Administration w chmurze. Jeżeli mamy organizację, która z różnych przyczyn, czy to regulacyjnych, czy innych uwarunkowań korzysta głównie z rozwiązań on-premisowych,

Zapewne przynajmniej przez jakiś czas będzie korzystała z rozwiązania on-premisowego. Z mojego doświadczenia i z naszych doświadczeń wdrożeniowych rozwiązania SaaSowe znakomicie sprawują się w organizacjach, które albo budują swoje procesy związane z zarządzaniem tożsamością i uprawnieniami, I z Identity Governance albo organizacjami, które gotowe są zmieniać swoje wewnętrzne procesy organizacyjne w ten sposób, żeby dostosować się do sposobu działania produktu chmurowego, który przychodzi wyposażony w pewną wykonaną wstępnie konfigurację, która pozwala na to, żeby te procesy implementować.

Wynika to też z tego, że i firmy finansowe i telekomunikacyjne wdrażały rozwiązania Identity Governance wcześniej. Również było to wymuszone regulacjami, które na te firmy były nałożone. Stąd tego typu rozwiązania on-premisowe po prostu tam powstały, działają do tej pory i działają bardzo dobrze. Stąd ta migracja do chmury będzie odbywała się później. Wydaje mi się, że w tej chwili zastanawiając się, czy powinienem pójść w chmurę, czy powinienem pójść w rozwiązanie On-Premises, myślę, że powinienem iść w chmurę. Myślę, że do tej chmury ostatecznie na samym końcu wszyscy trafimy. I być może warto od razu znaleźć się w tym miejscu docelowym, godząc się z pewnymi ograniczeniami na dzień dzisiejszy, które mam nadzieję znikną w przyszłości.

Przede wszystkim wynika to z tego, że organizacje, które gdzieś na samym końcu zarabiają pieniądze, no cóż, ich modelem biznesowym nie jest to, że utrzymują wewnętrzne systemy Identity Governance and Administration. Jest to dodatkowa rzecz, którą muszą robić, co wynika z ich Pytanie, czy naprawdę chcą robić to same, czy chcą delegować utrzymanie tych systemów i ich takie bardzo techniczne operacje do ich producentów, którzy rzeczywiście robią to najlepiej, znając te systemy od podszewki. Wydaje mi się, że w tej chmurze, tak jak mówiłem, ostatecznie wszyscy się znajdziemy.

Jakby nie było branży Identity Security, to czym byś się zajmował? Byłbym żeglarzem. No bo SailPoint, tak? Wszystko rozumiem. W swojej karierze mam taki epizod dwuletni, gdzie zajmowałem się prowadzeniem firmy wynajmującej łodzie żeglowe, organizacją szkoleń żeglarskich, charterami, podobnymi rzeczami. I mówiąc szczerze, gdybym nie zajmował się IT, nie zajmował się tym, to nadaje się tylko do łopaty.