Etkin Kimlik Yönetim Modeli büyük oranla pratik hayattaki tecrübelere dayanarak geliştirilmiş bir modeldir. Henüz modelin oluşumu çok yeni olduğundan beta versiyonu olarak nitelendirebiliriz. Bu modelin beta versiyonunda temel esaslar çok detaya inmeden kurallar şeklinde belirtilerek gösterilmiştir. Bu makalede ise daha özet olarak modelden bahsedilerek, temel esaslarını başlıklar halinde belirtmeye çalışacağız.

Etkin Kimlik Yönetim Modeli Nedir ?

Etkin Kimlik Yönetim Modeli; çok kullanıcılı uygulamalarda, kullanıcı kimliklerinin en etkin şekilde yönetilmesi için tasarlanmış bir modeldir. Bir kurumun uygulama sistemlerindeki yetkileri ne kadar etkin yönetilirse çalışanların performansı ve ortaya çıkan işin verimliliği aynı ölçüde yükselir. Örneğin bir kullanıcıda görevi olmayan bir iş ile ilgili yetki var ise, görevi olmayan bu işi yapmaya çalışabilir, bunun sonucunda da esas sorumluluğunda olan işlerini gereken verimlilikte yapamayabilir. Genelde bu durum yöneticilerin kendilerine bağlı personellerinin tüm yetkilerini istemeleriyle meydana çıkar. Yöneticinin gerçek görevi, kendine bağlı personellerin işlerini yönetmek ve sorumlu olduğu organizasyondaki işlerin en verimli şekilde yapılmasını sağlamaktır. Yönetici bu işi değil de kendine bağlı olan personellerin işlerini yapmaya kalkarsa gerçek yapması gereken işini aksatabilir. Bu problemin olmaması için yöneticiye işi gereği kullanması gereken yetkilerden başka yetkilerin tanımlanmaması gereklidir. Bu örnek gibi bir çok örnek ortaya konulabilir. Etkin kimlik yönetiminde en temel esas yetkilerin rol bazlı bir sistemde tanımlanıyor olmasıdır. Roller ise kişinin yaptığı işe göre belirlenen organizasyon ve pozisyon bilgisini ifade etmesi gerekir. Yani bir kişi bankada gişe yetkilisi olarak çalışıyor ise bu kişinin organizasyonu bankanın şube operasyon servisi olabilir, pozisyonu da gişe yetkilisidir. Bu organizasyon - pozisyon 'daki bir kullanıcının yaptığı işler bellidir ve bu işleri yaparken gerekli olan yetkiler o kullanıcıya tanımlanması gerekli olan yetkileri göstermektedir. Organizasyon - Pozisyonlara yetki tanımlanırken yapacağı işi gereği minimum yetkiler verilmelidir.

Etkin bir kimlik yönetimi sonucu; yapılan işin, personelin ve dolayısıyla kurumun verimliliği artar. Hata riskleri  bilgi güvenliği açıkları ve sahtekarlıklar azalır.

Etkin Kimlik Yönetimi Modeli Temel Esasları :

% 100 Yönetilebilirlik

• Uygulamadaki yetkilendirmeleri etkileyen tüm parametrik veriler ekranlardan yönetilebiliyor olmalı, hiç bir parametrik veri hard kodun içine gömülmemesi gereklidir.

• Uygulama ekranlarında bulunan tüm nesneler opsiyonel olarak yetkilendirilebiliyor olmalıdır.

• Yetkiler rol bazlı verilmeli , sadece geçici yetkiler kullanıcı bazlı olarak verilmelidir.

Minumum yetkilere sahip kullanıcılar

Kullanıcılara rolleri gereği yaptığı işleri için minumum yetkilendirme yapılır. En az yetkiyle işlerin aksamadan yürütülmesi sağlanır. Sorumlu işi harici hiçbir yetki tanımlanmaz.

Sürdürülebilir şekilde dizayn edilmiş rol yapısı

• Roller yetkilerin ve görevlerin ayrıştırılabilmesine müsait bir şekilde tasarlanmalıdır.

• Bir organizasyon içinde birden fazla yönetici rolü olmamalıdır.

• Görev tanımlarına göre ne eksik ne de fazla rol tanımı yapılmamalıdır.

Güncel Kalite dökümanları  (İşlem adımları, net görev tanımları, organizasyonel yapılar.)

Görev tanımları: Görev tanımları net olmalı, her rolün kendi görev tanımı yazılı olarak çıkartılmalı ve sürekli güncel tutulmalıdır.

İş tanımları : Görev tanımlarında yazılı olan işlerin, nasıl yapıldığını ve bu işlerin yapılırken hangi uygulamaların kullanıldığını ve bu uygulamalar kullanılırken ne tür yetkilerin gerektiği  iş kartlarında net olarak belirtilmelidir. Hazırlanan iş kartları versiyonlanarak güncel tutulmalıdır.

Organizasyonel Şema : Organizasyon şeması pratikteki yapıyla birebir uyuşmalıdır. Organizasyon içindeki alt organizasyonlar farklı rolleri içerebilir ve aynı rol farklı bir alt organizasyonun altında farklı görev yetkilere sahip olabilir. Organizasyon ve rol ikilisi eşsiz bir değer oluşturur ve tüm kalıcı yetkilendirme işlemleri bu değer üzerinden yapılır.

Tam raporlanabilir bir sistem :

Denetim, kontrol ve performans amaçlı raporlama ihtiyacı doğabilir. Raporlama ikiye ayrılır:

Mutad Raporlama : Sistemin kendisini kontrole yönelik olarak, olması gereken yetkiler ve sistemde verilmiş yetkiler raporlanarak karşılaştırılır. Kalite dökümanlarındaki görev tanımları, iş kartları ve organizasyon yapıları kullanılarak rollere tanımlanması gereken yetkilerin raporu çıkartılır. Sistemde rollere tanımlı olan yetkilerin raporları da çıkartılarak karşılaştırma yapılır.

Diğer bir mutad raporlama çeşidi de rollere tanımlı yetkilerin raporlanarak, rollerde tanımlı olan kullanıcıların yetkilerinden sorumlu yöneticilerin bilgilerine sunmaktır. Bu hem bir bilinç oluşturacak hem de yöneticinin kendi personelinde olmamasını istediği kritik bir yetki var ise gözden geçirmesini sağlayacaktır.

Gayri mutad raporlama :

• Tek bir yetkinin hangi rollerde geçici ve kalıcı olarak tanımlı olduğunun gerektiği zaman kolaylıkla raporlanabilmesi gereklidir.

• Bir role hangi yetkilerin tanımlı olduğunun raporu istenildiği zaman kolaylıkla çıkartılabilmelidir.

• Bir kullanıcıya hangi kalıcı ve geçici  yetkilerin tanımlı olduğu kolaylıkla raporlanabilir olmalıdır.

Maksimum esneklik

Yetki yönetim sistemi her türlü mantıklı gereksinimi karşılayabilecek şekilde geliştirilmelidir.

Vekalet Sistemi : Personel eksikliği, izin, iş yoğunluğu ve nöbetçilik gibi durumlarda bir rolün tüm yetkilerine, farklı bir roldeki kullanıcı ihtiyaç duyabilir. Bu durumda vekalet sistemi kullanılarak gerekli onaylardan geçtikten sonra ilgili vekalet işlemi yapılabilir. Vekalet talepleri bir kişinin farklı bir rolde çalışmasını içerdiği için mutlaka İnsan Kaynakları onayından geçmelidir. Vekalet mümkün olan tüm sistemler için tek bir ekrandan, yetkileri seçerek yapılabilmelidir.

Geçici Yetkiler : Farklı bir rolün tüm yetkilerine değil de sadece bir yetkiye ihtiyaç duyulduğunda, ilgili talep sadece bir ya da birkaç yetki için yapılıp ilgili onaylardan geçtikten sonra, kullanıcıya yetki geçici olarak açılabilmelidir. Yetkiyi isteyebileceği maksimum zaman, belli kurallara göre netleştirilmelidir ve çok nadir durumlar hariç altı ayı geçmemelidir.

Operasyonel kolaylık

Yetki yönetim işlemleri kurumsal yapı büyüyüp geliştikçe karmaşık bir hal alabilir. Yetki yönetimi yapılan her sistem için kurumdaki tüm roller x ilgili sistemdeki yetki çeşidi olacak şekilde artış gösterecektir. Bu işleyiş çok hacimli yetki matrislerinin oluşmasına sebep olur. Hacimli ve karmaşık yetkilendirmelerin yönetiminin sağlıklı olabilmesi için yetki yönetim panellerinin kolay ve pratik olması gerekmektedir. Yapılan operasyonel işler mümkün olduğunca azaltılmalı ve işlemler mümkün olduğunca otomatikleştirilmeye çalışılmalıdır.

İyi dizayn edilmiş yetki talep sistemi

Kullanıcıların gereksinim duydukları yetkiler için talepler sistem üzerinden onaylı ve kayıtlı bir şekilde alınmalı ve yetkiyi verecek grup sadece ilgili talepte onaylama, geri gönderme ve red işlemleri yapabilmelidirler. Yetki yönetimi yapan grup talep gelmeksizin kullanıcıların yetkilerini ve rollerini etkileyebilecek hiçbir işlem yapamamalıdırlar.

Talep öncelikle, talebi yapan kullanıcının yönetmeninin onayından geçmeli, sonra yetki yönetimini yapan gruba gelmeli, eğer kritik bir yetki ise ilgili yetkide söz sahibi olan organizasyonun onayına da otomatik olarak düşmelidir.

Onaylama işlemleri yapıldığında ilgili yetki farklı bir yapıda düzeltmeye gerek kalmadan otomatik olarak güncellenmelidir.

Tek merkezden yönetilebilirlik

Yetki yönetimi mümkün olduğunca tek bir sistemden yönetilmelidir. Yeni işe alım, tayin, terfi vb. durumlarda tek sistemden yapılan değişiklik yeterli olmalıdır. Yeni rol oluşumu, yeni organizasyonların oluşumu ve kullanıcı tanımlama süreçleri net olarak çıkartılmalı ve mümkün olduğu kadar tek bir organizasyonel grup tarafından yönetimleri yapılmalıdırlar. Bu yönetimlerin yapıldığı sistemler pratik ve mümkün olduğu kadar otomatize edilmiş olmalıdırlar.

Tanımlı işi gereği yetkilendirmek

Kullanıcıların rolleri yaptıkları işler doğrultusunda belirlenmelidir. İyi bir sistemde rol kullanıcının bağlı bulunduğu organizasyon ve o organizasyondaki pozisyonunun birleşmesinden ortaya çıkar. Rollere yetkiler atanırken, ilgili rolün yaptığı işe bakılır ve ilgili iş için ne tür bir yetki gerekiyorsa role tanımlanır.

Sadece kayıtlı kullanıcılar yorum yazabilir.
Lütfen sisteme giriş yapın veya kayıt olun.