stringtranslate.com

Управление идентификацией

Управление идентификацией ( IdM ), также известное как управление идентификацией и доступом ( IAM или IdAM ), представляет собой структуру политик и технологий, гарантирующую, что нужные пользователи (которые являются частью экосистемы, подключенной к предприятию или внутри него) имеют соответствующий доступ к технологическим ресурсам. Системы IdM попадают под всеобъемлющие зонтики ИТ-безопасности и управления данными . Системы управления идентификацией и доступом не только идентифицируют, аутентифицируют и контролируют доступ для лиц, которые будут использовать ИТ-ресурсы, но также и для оборудования и приложений, к которым сотрудники должны иметь доступ. [1] [2]

IdM решает задачу обеспечения надлежащего доступа к ресурсам в условиях все более разнородных технологических сред и соответствия все более строгим требованиям соответствия. [3]

Термины «управление идентификацией» ( IdM ) и «управление идентификацией и доступом» используются взаимозаменяемо в области управления идентификацией и доступом. [4]

Системы управления идентификацией , продукты, приложения и платформы управляют идентификационными и вспомогательными данными об объектах, включая физических лиц, компьютерное оборудование и программные приложения .

IdM охватывает такие вопросы, как получение пользователями идентификационных данных , роли и иногда разрешения, предоставляемые идентификационными данными, защиту этой идентификации и технологии, поддерживающие эту защиту (например, сетевые протоколы , цифровые сертификаты , пароли и т. д.).

Определения

Управление идентификацией ( управление идентификаторами ) — или управление идентификацией и доступом ( IAM ) — это организационные и технические процессы для первой регистрации и авторизации прав доступа на этапе конфигурации, а затем на этапе эксплуатации для идентификации, аутентификации и контроля отдельных лиц или групп людей для доступа к приложениям, системам или сетям на основе ранее авторизованных прав доступа. Управление идентификацией (IdM) — это задача управления информацией о пользователях на компьютерах. Такая информация включает информацию, которая подтверждает личность пользователя, и информацию, которая описывает данные и действия, к которым он имеет право доступа и/или которые он может выполнять. Оно также включает управление описательной информацией о пользователе и о том, как и кем эта информация может быть получена и изменена. Помимо пользователей, управляемые сущности обычно включают аппаратные и сетевые ресурсы и даже приложения. [5] На приведенной ниже схеме показана связь между фазами конфигурации и эксплуатации IAM, а также различие между управлением идентификацией и управлением доступом.

Фазы и этапы IAM

Контроль доступа — это обеспечение соблюдения прав доступа, определенных как часть авторизации доступа .

Цифровая идентификация — это присутствие субъекта в сети, охватывающее персональную идентификационную информацию (PII) и вспомогательную информацию. См. рекомендации OECD [6] и NIST [7] по защите PII. [8] Ее можно интерпретировать как кодификацию имен идентификационных данных и атрибутов физического экземпляра таким образом, чтобы облегчить обработку.

Функция

В реальном контексте проектирования онлайн-систем управление идентификацией может включать пять основных функций:

  1. Функция чистой идентификации: создание, управление и удаление идентификационных данных без учета доступа или прав;
  2. Функция доступа пользователя (входа в систему): например: смарт-карта и связанные с ней данные, используемые клиентом для входа в службу или службы (традиционный вид);
  3. Функция обслуживания: система, которая предоставляет пользователям и их устройствам персонализированные, основанные на ролях, онлайн, по запросу, мультимедийные (контент) услуги, основанные на присутствии.
  4. Федеративная идентификация: система, которая использует федеративную идентификацию для аутентификации пользователя без знания его пароля.
  5. Функция аудита: мониторинг узких мест, неисправностей и подозрительного поведения.

Чистая идентичность

Общую модель идентичности можно построить из небольшого набора аксиом, например, что все идентичности в данном пространстве имен уникальны, или что такие идентичности имеют определенное отношение к соответствующим сущностям в реальном мире. Такая аксиоматическая модель выражает «чистую идентичность» в том смысле, что модель не ограничена конкретным контекстом приложения.

В общем, сущность (реальная или виртуальная) может иметь несколько идентичностей, и каждая идентичность может охватывать несколько атрибутов, некоторые из которых уникальны в пределах данного пространства имен. Диаграмма ниже иллюстрирует концептуальную связь между идентичностями и сущностями, а также между идентичностями и их атрибутами.

Концептуальный взгляд на идентичность

В большинстве теоретических и всех практических моделях цифровой идентичности заданный объект идентичности состоит из конечного набора свойств (значений атрибутов). Эти свойства записывают информацию об объекте, либо для целей, внешних по отношению к модели, либо для работы модели, например, при классификации и поиске. Модель «чистой идентичности» строго не касается внешней семантики этих свойств.

Наиболее распространенный отход от "чистой идентичности" на практике происходит со свойствами, предназначенными для обеспечения некоторого аспекта идентичности, например, цифровой подписью [3] или программным токеном , который модель может использовать внутри для проверки некоторого аспекта идентичности в целях удовлетворения внешней цели. В той степени, в которой модель выражает такую ​​семантику внутри, она не является чистой моделью.

Сравните эту ситуацию со свойствами, которые могут использоваться извне для целей информационной безопасности , например, для управления доступом или правами, но которые просто хранятся, поддерживаются и извлекаются без специальной обработки моделью. Отсутствие внешней семантики в модели квалифицирует ее как модель «чистой идентичности».

Таким образом, управление идентификацией можно определить как набор операций над заданной моделью идентичности или, в более общем плане, как набор возможностей по отношению к ней.

На практике управление идентификацией часто расширяется, чтобы выразить, как контент модели должен быть предоставлен и согласован между несколькими моделями идентификации. Процесс согласования учетных записей может также называться Де-провизионированием. [9]

Доступ пользователя

Доступ пользователя позволяет пользователям принимать определенную цифровую идентификацию в приложениях, что позволяет назначать и оценивать элементы управления доступом в соответствии с этой идентификацией. Использование единой идентификации для данного пользователя в нескольких системах облегчает задачи администраторов и пользователей. Это упрощает мониторинг и проверку доступа и позволяет организациям минимизировать чрезмерные привилегии, предоставляемые одному пользователю. Обеспечение безопасности доступа пользователя имеет решающее значение в этом процессе, поскольку оно включает защиту целостности и конфиденциальности учетных данных пользователя и предотвращение несанкционированного доступа. Внедрение надежных механизмов аутентификации, таких как многофакторная аутентификация (MFA), регулярные аудиты безопасности и строгий контроль доступа, помогает защитить идентификационные данные пользователей и конфиденциальные данные. Доступ пользователя можно отслеживать с момента инициирования до прекращения доступа пользователя. [10]

Когда организации внедряют процесс или систему управления идентификацией, их мотивация обычно заключается не в управлении набором идентификаций, а в предоставлении соответствующих прав доступа этим субъектам через их идентификацию. Другими словами, управление доступом обычно является мотивацией для управления идентификацией, и два набора процессов, следовательно, тесно связаны. [11]

Услуги

Организации продолжают добавлять услуги как для внутренних пользователей, так и для клиентов. Многие такие услуги требуют управления идентификацией для надлежащего предоставления этих услуг. Все чаще управление идентификацией отделяется от функций приложений, так что одна идентификация может обслуживать многие или даже все виды деятельности организации. [11]

Для внутреннего использования управление идентификацией развивается с целью контроля доступа ко всем цифровым активам, включая устройства, сетевое оборудование, серверы, порталы, контент, приложения и/или продукты.

Услуги часто требуют доступа к обширной информации о пользователе, включая адресные книги, предпочтения, права и контактную информацию. Поскольку большая часть этой информации подлежит требованиям конфиденциальности и/или конфиденциальности, контроль доступа к ней имеет жизненно важное значение. [12]

Федерация идентичности

Федерация удостоверений включает в себя одну или несколько систем, которые разделяют доступ пользователей и позволяют пользователям входить в систему на основе аутентификации в одной из систем, участвующих в федерации. Это доверие между несколькими системами часто называют «кругом доверия». В этой настройке одна система действует как поставщик удостоверений (IdP), а другая система (системы) действует как поставщик услуг (SP). Когда пользователю необходимо получить доступ к какой-либо услуге, контролируемой SP, он сначала проходит аутентификацию в IdP. После успешной аутентификации IdP отправляет защищенное «утверждение» поставщику услуг. «Утверждения SAML, указанные с использованием языка разметки, предназначенного для описания утверждений безопасности, могут использоваться верификатором для составления заявления проверяющей стороне о личности заявителя. Утверждения SAML могут быть опционально подписаны цифровой подписью». [13]

Наиболее популярными эталонными реализациями спецификаций SAML являются Shibboleth и Simple-SAML.php. Оба эти языка также предоставляют возможности единого входа (SSO). [14]

Возможности системы

Помимо создания, удаления и изменения идентификационных данных пользователя (как с помощью, так и самостоятельно), управление идентификацией контролирует вспомогательные данные сущностей, используемые приложениями, такие как контактная информация или местоположение.

Конфиденциальность

Размещение личной информации в компьютерных сетях обязательно вызывает проблемы с конфиденциальностью . При отсутствии надлежащей защиты данные могут быть использованы для внедрения общества наблюдения . [16]

Социальные сети и онлайн-сервисы социальных сетей активно используют управление идентификацией. Помощь пользователям в принятии решения о том, как управлять доступом к их личной информации, стала проблемой, вызывающей широкую озабоченность. [17] [18]

Кража личных данных

Кража личных данных происходит, когда воры получают доступ к идентификационной информации, например, к персональным данным, необходимым для доступа к банковскому счету.

Исследовать

Исследования, связанные с управлением идентичностью, охватывают такие дисциплины, как технологии, социальные науки, гуманитарные науки и право. [19]

Децентрализованное управление идентификацией — это управление идентификацией на основе децентрализованных идентификаторов (DID). [20]

Европейские исследования

В рамках Седьмой рамочной исследовательской программы Европейского Союза с 2007 по 2013 год стартовало несколько новых проектов, связанных с управлением идентификацией.

Проект PICOS исследует и разрабатывает современную платформу для обеспечения доверия, конфиденциальности и управления идентификацией в мобильных сообществах. [21]

PrimeLife разрабатывает концепции и технологии, помогающие людям защищать свою автономию и сохранять контроль над личной информацией, независимо от их действий. [22]

SWIFT фокусируется на расширении функций идентификации и федерации в сети, одновременно решая проблемы удобства использования и конфиденциальности, и использует технологию идентификации как ключ к интеграции сервисных и транспортных инфраструктур на благо пользователей и поставщиков. [23]

Текущие проекты

Текущие проекты включают «Будущее идентичности в информационном обществе» (FIDIS), [24] GUIDE, [25] и PRIME. [26]

Публикации

Научные журналы , публикующие статьи по теме управления идентификацией, включают:

Менее специализированные журналы публикуют статьи по этой теме и, например, имеют специальные выпуски по теме «Идентичность», такие как:

Стандартизация

ISO (а точнее ISO/IEC JTC 1 , SC27 IT Security techniques WG5 Identity Access Management and Privacy techniques) проводит определенную работу по стандартизации для управления идентификацией (ISO 2009), например, разработку структуры для управления идентификацией, включая определение терминов, связанных с идентификацией. Опубликованные стандарты и текущие рабочие элементы включают следующее:

Организационные последствия

В каждой организации обычно есть роль или отдел, который отвечает за управление схемой цифровых идентификаторов их сотрудников и их собственных объектов, которые представлены идентификаторами объектов или идентификаторами объектов (OID). [28] Организационные политики, процессы и процедуры, связанные с надзором за управлением идентификацией, иногда называются управлением и администрированием идентификационных данных (IGA). Существуют коммерческие программные инструменты, помогающие автоматизировать и упростить такие функции управления идентификационными данными на уровне организации. [29] Насколько эффективно и правильно используются такие инструменты, входит в сферу более широких режимов управления, управления рисками и соответствия .

С 2016 года специалисты по управлению идентификацией и доступом имеют собственную профессиональную организацию IDPro. В 2018 году комитет инициировал публикацию An Annotated Bibliography, в которой перечислен ряд важных публикаций, книг, презентаций и видео. [30]

Системы управления

Система управления идентификацией относится к информационной системе или к набору технологий, которые могут использоваться для корпоративного или межсетевого управления идентификацией. [31]

Следующие термины используются в отношении «системы управления идентификацией»: [32]

Управление идентификацией , также известное как управление идентификацией и доступом (IAM), представляет собой структуру безопасности идентификации, которая работает для аутентификации и авторизации доступа пользователей к таким ресурсам, как приложения, данные, системы и облачные платформы. Она стремится гарантировать, что только нужным людям предоставляются нужные инструменты и по нужным причинам. Поскольку наша цифровая экосистема продолжает развиваться, так же развивается и мир управления идентификацией. [33]

«Управление идентификацией» и «управление доступом и идентификацией» (или AIM) — это термины, которые взаимозаменяемо используются под названием «управление идентификацией», в то время как само управление идентификацией относится к сфере ИТ-безопасности [34] , конфиденциальности информации [35] [36] и риска конфиденциальности [37], а также исследований удобства использования и электронной интеграции. [38] [39]

Существует три компонента управления идентификацией и доступом (IAM):

Эти технологии можно объединить с помощью управления идентификацией, которое обеспечивает основу для автоматизированных рабочих процессов и процессов. [40]

Режимы управления идентификацией

Согласно анализу, проведенному FIDIS Network of Excellence, идентичность концептуализируется в трех различных режимах: [41]

  1. Idem-идентичность: Третьеличное (т.е. объективированное) приписывание одинаковости. Такая объективированная перспектива может быть принята не только по отношению к другим, но и по отношению к себе.
  2. Ipse-идентичность: Перспектива ipse-идентичности — это точка зрения от первого лица на то, что конституирует человека как непрерывное существо (idem) с течением времени, при этом переживая множественность и различие здесь и сейчас.
  3. me-identity: «я» (Г. Х. Мид) — это организованный набор установок других, которые человек принимает. Он соконституирован «я», перспективой первого лица, которая включает в себя множество перспектив третьего лица, с которыми он сталкивается и развивает. Таким образом, «я» непрерывно реконструируется перед лицом меняющихся перспектив третьего лица на себя.

В учебнике Бертино и Такахаши [42] определены три категории идентичности, которые в некоторой степени совпадают с концепциями идентичности FIDIS:

Цели использования систем управления идентификацией

Системы управления идентификацией занимаются созданием, администрированием и развертыванием:

Целями систем управления идентификацией являются:

Коммерческие решения

Системы, продукты, приложения и платформы управления идентификацией представляют собой коммерческие решения по управлению идентификацией, реализованные для предприятий и организаций. [43]

Технологии, услуги и термины, связанные с управлением идентификацией, включают Microsoft Windows Active Directory , поставщиков услуг , поставщиков удостоверений , веб-службы , контроль доступа , цифровые удостоверения , менеджеры паролей , единый вход , токены безопасности , службы токенов безопасности (STS), рабочие процессы , OpenID , WS-Security , WS-Trust , SAML 2.0 , OAuth и RBAC . [44]

Электронное управление идентификацией

В целом, можно сказать, что электронное IdM охватывает управление любой формой цифровой идентичности. Основное внимание к управлению идентичностью восходит к разработке каталогов, таких как X.500 , где пространство имен служит для хранения именованных объектов, которые представляют реальные «идентифицированные» сущности, такие как страны, организации, приложения, абоненты или устройства. Стандарт X.509 ITU-T определил сертификаты, несущие атрибуты идентичности в виде двух имен каталогов: субъект сертификата и издатель сертификата. Сертификаты X.509 и системы PKI работают для подтверждения онлайновой «идентичности» субъекта. Поэтому, с точки зрения ИТ, можно рассматривать управление идентичностью как управление информацией (содержащейся в каталоге), которая представляет собой элементы, идентифицированные в реальной жизни (например, пользователи, организации, устройства, услуги и т. д.). Проектирование таких систем требует явных задач по инжинирингу информации и идентичности.

Эволюция управления идентификацией тесно связана с развитием интернет- технологий. В среде статических веб-страниц и статических порталов начала 1990-х годов корпорации исследовали доставку информативного веб-контента, такого как «белые страницы» сотрудников. Впоследствии, по мере изменения информации (из-за текучести кадров, предоставления и отмены предоставления), возможность более эффективного выполнения обновлений самообслуживания и службы поддержки трансформировалась в то, что сегодня стало известно как управление идентификацией .

Решения

Решения , подпадающие под категорию управления идентификацией, могут включать:

Управление идентификацией

Контроль доступа

Службы каталогов

Другие категории

Стандарты

Смотрите также

Ссылки

  1. ^ Страуд, Форрест (22 июня 2015 г.). «Что такое управление идентификацией и доступом (IAM)? Определение Webopedia». webopedia.com . Получено 27 февраля 2019 г. .
  2. ^ Сильва, Эдельберто Франко; Мучалуат-Сааде, Дебора Кристина; Фернандес, Наталия Кастро (1 января 2018 г.). «ACROSS: общая структура для управления доступом на основе атрибутов с распределенными политиками для виртуальных организаций». Future Generation Computer Systems . 78 : 1–17. doi :10.1016/j.future.2017.07.049. ISSN  0167-739X.
  3. ^ ab Сравните: "Gartner IT Glossary > Identity and Access Management (IAM)". Gartner . Получено 2 сентября 2016 г. Identity and Access Management (IAM) — это дисциплина безопасности, которая позволяет нужным людям получать доступ к нужным ресурсам в нужное время по нужным причинам. [...] IAM решает критически важную задачу обеспечения надлежащего доступа к ресурсам во все более неоднородных технологических средах и соответствия все более строгим требованиям соответствия.
  4. ^ "управление идентификацией (управление идентификаторами)". SearchSecurity. 1 октября 2013 г. Получено 2 марта 2017 г.
  5. ^ "Что такое управление идентификацией (управление идентификаторами)? – Определение с сайта WhatIs.com". SearchSecurity . Получено 20 декабря 2019 г.
  6. ^ Функциональные требования к системам повышения конфиденциальности Фред Картер, Семинар ОЭСР по управлению цифровой идентификацией, Тронхейм, Норвегия, 9 мая 2007 г. (презентация PPT)
  7. ^ Руководство по защите конфиденциальности персонально идентифицируемой информации (PII) Архивировано 13 августа 2009 г. на Wayback Machine , Рекомендации Национального института стандартов и технологий, январь 2009 г.
  8. ^ PII (лично идентифицируемая информация) Архивировано 28 апреля 2009 г. в Wayback Machine , Центр демократии и технологий, 14 сентября 2007 г.
  9. ^ "Что такое IAM? Объяснение управления идентификацией и доступом". CSO Online . Получено 24 апреля 2024 г.
  10. ^ "IBM Cloud Docs". console.bluemix.net . Получено 3 декабря 2018 г. .
  11. ^ ab "Что такое управление идентификацией (управление идентификаторами)? – Определение с сайта WhatIs.com". SearchSecurity . Получено 3 декабря 2018 г.
  12. ^ Networks, Институт медицины (США), Комитет по региональным данным здравоохранения; Дональдсон, Молла С.; Лор, Кэтлин Н. (1994). Конфиденциальность и защита персональных данных. National Academies Press (США).
  13. ^ Burr, William E.; Dodson, Donna F.; Polk, W. Timothy (2006). "Информационная безопасность" (PDF) . Специальная публикация NIST . CiteSeerX 10.1.1.153.2795 . doi :10.6028/NIST.SP.800-63v1.0.2. OCLC  655513066. Получено 10 октября 2015 г. 
  14. ^ Лабицке, Себастьян. «Избегание непреднамеренных потоков персонально идентифицируемой информации: управление корпоративной идентификацией и социальные сети».
  15. ^ "Рабочие группы | Identity Commons". Idcommons.org . Получено 12 января 2013 г.
  16. ^ Тейлор, Липс и Орган 2009.
  17. ^ Гросс, Acquisti & Heinz 2005.
  18. ^ Тейлор 2008.
  19. ^ Гальперин и Бэкхаус 2008.
  20. ^ "Децентрализованные идентификаторы (DID)". World Wide Web Consortium . 8 июня 2020 г. Получено 22 июня 2020 г.
  21. ^ ПИКОС
  22. ^ «PrimeLife – Управление конфиденциальностью и идентификацией в Европе на всю жизнь».
  23. ^ "ist-swift.org".
  24. ^ FIDISCoord (DR). «Главная: Будущее идентичности в информационном обществе».
  25. ^ "Создание европейской архитектуры управления идентификацией для электронного правительства". istrg.som.surrey.ac.uk . Архивировано из оригинала 8 мая 2009 г.
  26. ^ "PRIME – Privacy and Identity Management for Europe". Портал проекта PRIME . 28 сентября 2006 г. Архивировано из оригинала 10 октября 2007 г.
  27. ^ "Специальный выпуск: Специальный раздел по: Управление цифровой идентификацией". Обзор онлайн-информации . 33 (3). Брэдфорд: MCB University Press. 19 июня 2009 г. ISSN  1468-4527. OCLC  807197565, 676858452. Получено 29 января 2021 г.
  28. ↑ Идентификаторы объектов (OID), PostgreSQL: Введение и концепции, в Брюсе Момджиане, 21 ноября 1999 г.
  29. ^ Каннер, Бен (24 июля 2018 г.). «17 лучших платформ управления и администрирования идентификационных данных 2018 года». Обзор решений . Получено 17 декабря 2019 г.
  30. ^ "Аннотированная библиография" (PDF) . Получено 6 сентября 2019 г.
  31. ^ "Что такое управление идентификацией и контроль доступа? | Okta". okta.com . Получено 22 ноября 2020 г. .
  32. ^ "Что такое управление идентификацией (управление идентификаторами)? Определение от SearchSecurity". Безопасность . Получено 16 апреля 2023 г. .
  33. ^ "История управления идентификацией". sailpoint.com . SailPoint Technologies . Получено 12 мая 2021 г. .
  34. ^ «Управление идентификацией как компонент ИТ-безопасности».
  35. ^ Ранненберг, Кай; Ройер, Денис; Дойкер, Андре, ред. (2009). Будущее идентичности в информационном обществе . Берлин, Гейдельберг: Springer Berlin Heidelberg. doi :10.1007/978-3-642-01820-6. ISBN 978-3-540-88480-4. S2CID  153140099.
  36. ^ Фрич, Лотар (март 2013 г.). «Чистая экосистема конфиденциальности будущего Интернета». Future Internet . 5 (1): 34–45. doi : 10.3390/fi5010034 .
  37. ^ Paintsil, Ebenezer; Fritsch, Lothar (2013), «Исполняемый метод анализа рисков на основе модели для систем управления идентификацией: использование иерархических цветных сетей Петри», Доверие, конфиденциальность и безопасность в цифровом бизнесе , Springer Berlin Heidelberg, стр. 48–61, doi :10.1007/978-3-642-40343-9_5, ISBN 978-3-642-40342-2
  38. ^ Фрич, Лотар; Фуглеруд, Кристин Скайде; Солхейм, Ивар (1 декабря 2010 г.). «На пути к инклюзивному управлению идентификацией». Идентичность в информационном обществе . 3 (3): 515–538. doi : 10.1007/s12394-010-0075-6 . ISSN  1876-0678.
  39. ^ Røssvoll, Till Halbach; Fritsch, Lothar (2013). «Надежное и инклюзивное управление идентификацией для приложений в социальных сетях». В Kurosu, Masaaki (ред.). Взаимодействие человека и компьютера. Пользователи и контексты использования . Конспект лекций по информатике. Том 8006. Springer Berlin Heidelberg. стр. 68–77. doi : 10.1007/978-3-642-39265-8_8 . ISBN 978-3-642-39265-8.
  40. ^ «Что такое управление идентификацией и доступом?». sailpoint.com . SailPoint Technologies . Получено 12 мая 2021 г. .
  41. ^ Хильдебрандт М., Купс Э.Дж. и де Врис К. (2008). D7.14a: Там, где idem-идентичность встречается с ipse-идентичностью: Концептуальные исследования . Брюссель: FIDIS.http://www.fidis.net/fileadmin/fidis/deliverables/fidis-WP7-del7.14a-idem_meets_ipse_conceptual_explorations.pdf, по состоянию на 9 декабря 2019 г.
  42. ^ Бертино, Элиза. (2010). Управление идентификацией: концепции, технологии и системы . Такахаши, Кенджи. Бостон, Массачусетс: Artech House. ISBN 978-1-60807-039-8. OCLC  700220032.
  43. ^ «БЕСПЛАТНОЕ приложение для проверки для 4,2 миллиардов онлайн-пользователей».
  44. ^ «Безопасность управления идентификацией».

Источники

Внешние ссылки