Pro: IAM-processer, forandring og implementering

Baseline → Advanced → Pro
Pro er den største af de tre pakker. Baseline viser, hvor I står i forhold til anerkendte standarder. Advanced retter de huller, der kan lukkes med lav friktion, og vurderer alle funktioner i jeres licens. Pro tager det, der kræver, at folk ændrer sig: kontroller og funktioner med høj friktion, joiner-, mover- og leaver-processen og den træning, der gør, at den nye arbejdsmåde holder.

Der er grænser for, hvad man kan opnå med indstillinger alene. I kan stramme alle politikker i Entra ID og stadig have fratrådte medarbejdere med aktive konti, fordi fratrædelser bliver meldt ind via en mail til en fælles postkasse. I kan kræve adgangskodefri eller phishing-resistent login overalt og stadig ende med omgåelser, fordi ingen har hjulpet de berørte med at ændre, hvordan de arbejder.

Pro er til virksomheder, der er stødt på den grænse eller ved, at de snart gør det. Det er arbejde med processer og mennesker, udført af den samme person, som lavede den tekniske gennemgang. Så går intet tabt i overdragelsen.

Det får I oven i Advanced

• Alt i Advanced. Baseline-gennemgangen af Entra ID, kontrollerne for ekstern adgang i Teams, SharePoint og OneDrive, vurderingen af alle funktioner i jeres licensplan, roadmappen og implementeringen af tiltagene med lav friktion.
• Kontroller og funktioner med høj friktion, valgt fra roadmappen. De tiltag, der kræver, at mange brugere eller hele processer ændres (se hvordan Advanced definerer lav og høj friktion), for eksempel MFA til alle B2B-gæster, adgangsgennemgange med navngivne reviewere, godkendelse af privilegeret adgang og funktioner, der erstatter manuelt arbejde. De vælges fra Advanced-roadmappen ved valg af scope, aftales skriftligt, og prisen følger af listen.
• Én proces, joiner, mover og leaver, på tværs af jeres centrale systemer. Hvilke systemer der er med, afgøres ud fra analysen: de, der stadig skal forbindes, kommer først, og systemer, der allerede er integreret, bliver tjekket i stedet for bygget om. Typisk tre til fem. Listen aftales skriftligt, før arbejdet starter. Øvrige systemer får et dokumenteret manuelt trin, og flere systemer prissættes særskilt.
• Jeres centrale IAM-systemlandskab, kortlagt og dokumenteret. Hvilket system der er master for hvad, hvordan en identitet bevæger sig mellem dem, og hvor kæden knækker. I får et landskabskort og en beslutningslog. Jeg bygger kun det, joiner-, mover- og leaver-processen har brug for.
• Træning og forandringsledelse for den nye arbejdsmåde. De medarbejdere, hvis job ændrer sig, lærer de nye processer og funktioner, og ændringerne i deres roller bliver gjort tydelige, så den nye opsætning bliver brugt i stedet for omgået.

Det har I i hånden til sidst

• Et landskabskort og en beslutningslog for de systemer, der er med i scope.
• Joiner, mover og leaver, bygget og testet. Hvert system på den aftalte liste testes hele vejen igennem med en test-joiner, -mover og -leaver, og testbeviset bliver gemt.
• En navngiven ejer af hver proces hos jer, og processen er dokumenteret.
• De aftalte kontroller og funktioner med høj friktion er slået til og tjekket mod den skriftlige liste fra valg af scope.
• Træning af de berørte roller. Antallet af sessioner aftales ved valg af scope, plus en kortfattet vejledning på én side til hver proces.

Pro er færdig, når hvert punkt på den aftalte liste er leveret og godkendt skriftligt.

Centrale IAM-processer

En central IAM-proces er en af de få rutiner, der afgør, hvem der har adgang til hvad i jeres virksomhed. Pro tager én af dem hele vejen igennem: joiner, mover og leaver, inklusive onboarding af de systemer, der endnu ikke er forbundet, og de svære grupper: eksterne gæster, projektdeltagere og konsulenter, der skulle have været væk for to år siden. Andre centrale processer kan indgå i scope, når de er valgt fra roadmappen som tiltag med høj friktion. Typiske kandidater:

• Adgangsgennemgang og recertificering. Den årlige øvelse i regneark, som ingen stoler på, bliver til en kontrol, der selv sørger for dokumentationen.
• Anmodning om og godkendelse af privilegeret adgang. Privilegier inddelt efter reelle kriterier i stedet for jobtitel, og just-in-time-adgang i stedet for faste administratorrettigheder.
• Onboarding af apps. En fast fremgangsmåde, så systemejere selv kan afklare login og rettigheder, og IT-sikkerhed ikke bliver en flaskehals.

Processen bliver kortlagt, som den kører i dag. Vi aftaler, hvordan den skal køre, og så bygger vi den: workflow, godkendelser, automatisering, hvor det giver mening, og dokumentationen nedenunder. Pointen med at gøre én proces ordentligt i stedet for flere halvt er, at en færdig proces fortsætter med at virke, når jeg er gået.

Træning og forandringsledelse

Når en proces ændres, ændres jobs. Når en fratrædelse håndteres af et workflow i stedet for en mail, når godkendelser flytter ind i et nyt værktøj, eller når en ny funktion erstatter et manuelt trin, skal de berørte vide, hvad der er anderledes, hvorfor, og hvad der nu forventes af dem. De fleste mislykkede forandringer er ikke tekniske fejl: kontrollen er slået til, og folk går uden om den.

Træningen i Pro er derfor forandringsledelse. De nye processer og funktioner bliver gennemgået sammen med dem, der bruger dem, ændringerne i deres roller og ansvar bliver gjort tydelige, og overleveringen efterlader en navngiven ejer af hver proces. Den bygger på jeres egne forbedringspunkter og systemer, ikke på et standardslideshow. Bred awareness-træning af alle medarbejdere er ikke fokus.

Skab en konkurrencefordel

IT-sikkerhed kan være meget mere end en udgift. Initiativerne i Pro kan bruges i jeres markedsføring, og de kan indgå i en forretningsoptimering, hvor gennemløbstid, automatisering og selvfølgelig sikkerhed bliver forbedret. Det kan også mærkes uden for IT-afdelingen: i en kundes sikkerhedsspørgeskema, ved fornyelse af forsikringen og i et udbud, I ellers ikke kunne byde på. Her er nogle af fordelene:

• Forandringsledelse og træning. Medarbejdere, der forstår de nye processer og funktioner, bruger dem. Det mindsker omgåelser, fejl og supporthenvendelser og viser kunder og partnere en kontrolleret arbejdsgang.
• Automatiseret identitets- og adgangsstyring. Automatisk oprettelse, nedlukning og styring af adgange strømliner onboarding og offboarding af medarbejdere, konsulenter og partnere og fjerner det manuelle trin, hvor der sker fejl.
• Dokumentation, I kan vise frem. Dokumenterede processer med navngivne ejere, en beslutningslog og testbevis for fratrædelsesprocessen besvarer spørgsmålene om identitet og adgang i et kundespørgeskema, en forsikringsfornyelse eller et udbud.

Sådan foregår forløbet

1. Afklaring af scope. En samtale på 30 minutter, gratis og uforpligtende, hvor vi præsenterer os for hinanden, og I fortæller om jeres behov.

2. Opstartsmøde. Vi gennemgår, hvad der er med i scope, og hvad der ikke er, og begynder derfra at planlægge selve opgaven.

3. Baseline og Advanced kommer først, også selvom I mener, at det er på plads. Procesdesign og forandringsledelse kræver et fundament, som jeg selv har tjekket, for at jeg kan stå inde for resultatet. Har jeg lavet en Baseline eller Advanced for jer inden for de seneste 12 måneder, bliver det arbejde krediteret: jeg tjekker, hvad der har ændret sig siden, og I betaler ikke to gange for det.

4. Valg af scope. Sammen vælger vi, hvad der er med: hvilke systemer, og hvilke kontroller og funktioner med høj friktion fra Advanced-roadmappen. Systemer, der stadig skal forbindes, kommer først, og systemer, der allerede er integreret, bliver tjekket i stedet for bygget om. Begge lister aftales skriftligt, og prisen følger af dem. Valget bygger på forbedringerne fra gennemgangen, ikke på mavefornemmelser.

5. Nuværende og ønsket tilstand samt roadmap. En workshop med dem, der faktisk kører processen i dag, ikke kun dem, der ejer den på papiret. Resultatet er en kortlægning af, hvordan processen kører nu, en aftale om, hvordan den skal køre, og en plan for vejen derhen med pris og gevinst, så en direktør kan godkende den.

6. Opbygning og implementering. De workflows, godkendelser, automatiseringer og integrationer, der skal til, og de kontroller og funktioner med høj friktion, der er aftalt i scope, bygget i jeres systemer og testet med jeres folk.

7. Træning, forandringsledelse og overlevering. De medarbejdere, hvis job er ændret, bliver gennemgået de nye processer og funktioner, og deres ændrede roller og ansvar bliver gjort tydelige. Overleveringen efterlader hver proces dokumenteret og med en navngiven ejer hos jer.

Tidsramme, og hvad pakken ikke er

Pro er et afgrænset projekt, ikke en løbende aftale. Det tager typisk en til tre måneder, afhængigt af hvor mange systemer der er med, hvor mange af dem der stadig skal forbindes, og hvor mange tiltag med høj friktion der vælges. Varigheden aftaler vi efter den første samtale. Baseline og Advanced er en del af Pro, og tidligere arbejde fra mig bliver krediteret. Det er den længste af de tre pakker med stor margin, og den eneste, hvor kalenderen afhænger lige så meget af jeres organisations tilgængelighed som af min.

Det kræver Pro af jer. En navngiven ejer hos jer, som kan træffe beslutninger. Tid med dem, der kører dagens proces, og med ejerne af hvert system i scope. Den adgang, jeg skal bruge til de systemer for at bygge og teste. Pro kan ikke starte uden dem, og forsinkelser hos jer flytter kalenderen.

Pro er ikke en managed service eller en outsourcet sikkerhedsafdeling. Målet er det modsatte: I skal stå tilbage med processer, som jeres egne folk kører, og en dokumenteret begrundelse for hver beslutning, så arbejdet holder, også når jeg er gået.

Ikke inkluderet, hverken i Pro eller i de andre pakker:

• Licenskøb og gebyrer til tredjepart. Jeg fortæller, hvilken licens der åbner for en kontrol, og hvad den vil koste. Købet og eventuelle leverandørgebyrer er jeres.
• Ændringer inde i andre leverandørers applikationer. Mangler en applikation den understøttelse, en forbindelse kræver, er det leverandørens sag. Jeg dokumenterer det, og systemet får et manuelt trin.
• Certificering eller revisorerklæring. Arbejdet er knyttet til anerkendte standarder, men certificerer jer ikke efter dem.
• Arbejde, der kræver sit eget projektteam. For eksempel udskiftning af HR-systemet eller redesign af netværket.
• Systemer uden for den aftalte liste. De får et dokumenteret manuelt trin eller prissættes særskilt.
• Tiltag med høj friktion, der ikke er aftalt ved valg af scope. De bliver ikke føjet til undervejs uden en ny skriftlig aftale.

Ofte stillede spørgsmål

Book en samtale på 30 min

30 minutter, gratis og uforpligtende. Er Pro mere, end I har brug for, siger jeg, hvilken pakke der passer.