Hvor mye tilgang bør en nyansatt egentlig få på første arbeidsdag?
Det er noen diskusjoner innen identitet og tilgangsstyring som aldri ser ut til å forsvinne.
Dette er en av dem. Når en ny medarbeider begynner, hvor mye skal egentlig være på plass første arbeidsdag?
På den ene siden har du organisasjonene som ønsker at alt skal være klart når brukeren møter opp. E-post, Teams, SharePoint, fagsystemer, prosjektområder og spesial løsninger. Tanken er god. Ingen skal sitte passive og vente på tilgang. På den andre siden har du organisasjonene som er svært opptatt av minste privilegium. Brukeren får kun det aller mest nødvendige, og alt annet må bestilles når behovet oppstår.
Begge tilnærmingene har sine fordeler.
Begge har også sine utfordringer.
Fristelsen ved å gi tilgang til alt
Mange organisasjoner har historisk valgt en tilnærming der man gir nye brukere tilgang til det meste de potensielt kan få bruk for. Ikke nødvendigvis fordi noen har gjort grundige vurderinger av hvert enkelt system, men fordi det ofte er den enkleste løsningen. Lederen slipper å ta stilling til detaljerte tilgangsbehov, IT slipper ekstra bestillinger, og brukeren kommer raskt i gang. Problemet er at dette sjelden stopper der.
Når brukeren bytter rolle, flytter til en annen avdeling eller får nye arbeidsoppgaver, er det ofte enklere å legge til nye tilganger enn å rydde bort gamle. Etter noen år sitter man fort igjen med brukere som har tilgang til langt mer enn de faktisk trenger, det ender ofte opp med at hen som startet som lærling for 20 år siden nå har et sugerør inn i alle systemer både fordi ingen rydder og fordi det er utrolig kjekt med glidende overganger. En ting er vide tilganger, men la oss si du skal rekruttere til en ny stilling. Ønsker du da en som kjenner bedriften og har vært der i mange år MEN som må bruke 50% av tiden sin på skyggeoppgaver som personen alltid har gjort fordi "du har jo tilgangene og vet hvordan det gjøres" ? Eller ønsker du en ny fra utsiden som ikke kjenner bedriften men som igjen starter på blanke ark og full kapasitet?
Jeg tror de fleste som har jobbet med identitet og tilgangsstyring kjenner igjen den situasjonen, og jeg tror HR med ledere kunne brukt mye mer tid på "mover" fasen i et ansettelsesforhold.
Men vi kan også bli for forsiktige
Samtidig er jeg heller ikke overbevist om at svaret er å låse ned mest mulig.
De fleste har opplevd nyansatte som møter fulle av energi og forventninger første arbeidsdag, bare for å bruke de neste dagene på å vente på tilganger. Kanskje mangler de tilgang til et fagsystem, et prosjektområde eller et verktøy som er helt nødvendig for å utføre jobben.
Da oppnår man heller ikke målet.
Brukeren blir frustrert.
Lederen blir frustrert.
IT blir frustrert.
Og ganske raskt begynner folk å lete etter snarveier rundt prosessen. Når virksomheten begynner å omgå sine egne rutiner for å få gjort jobben, er det ofte et signal om at noe ikke fungerer som det skal.
Kanskje vi diskuterer feil problem
Det slår meg av og til at vi bruker mye tid på å diskutere hvor mye tilgang en nyansatt skal få.
Kanskje det viktigste spørsmålet egentlig er hvor enkelt det er å få tilgang når behovet oppstår.
Hvis prosessen er tung, langsom og full av manuelle steg, blir det naturlig å forsøke å gi mest mulig på forhånd. Ingen ønsker å bli flaskehalsen som hindrer folk i å gjøre jobben sin.
Men hvis tilgangsprosessen er rask, enkel og godt styrt, trenger vi heller ikke å være like redde for å starte litt mer konservativt.
Da blir ikke tilgangsbestillinger et problem som må unngås. De blir bare en naturlig del av arbeidsflyten.
Moderne IAM gir oss flere muligheter
Historisk har tilgangsbestillinger ofte betydd e-poster, Excel-ark, skjemaer og venting. Heldigvis har mye skjedd de siste årene.
Med løsninger som Access Packages, godkjenningsflyter og selvbetjente prosesser kan store deler av arbeidet automatiseres. Brukeren ber om tilgang, riktig leder eller systemeier godkjenner, og tilgangen tildeles automatisk. Kanskje krever tilgangen at du har tatt et kurs, har en viss type utdanning eller kjenner til hvordan du fyller bønner på kaffemaskinen, hva vet jeg.. Løsningene er der vertfall så lenge man er enige om prosessen.
Like viktig er kanskje den andre siden av prosessen.
Når behovet forsvinner, kan tilgangen også fjernes automatisk.
Det er akkurat denne delen mange glemmer.
For identitetsforvaltning handler ikke bare om å gi tilgang. Det handler minst like mye om å sikre at tilgangen forsvinner når den ikke lenger trengs. Om det er basert på Access Reviews, ahengigheter til tilhørighet i en avdeling eller seksjon, linket mot en rolle eller stillingstittel.. Ja, det avhenger igjen av kritikalitet på tilgang og hvor god data du har på ansatte.
Den viktigste koblingen: HR og IT
For at identitetsflyten skal fungere, holder det ikke at IT kan Entra, IAM-plattformen eller integrasjonene. Vi må også forstå hvordan HR jobber, hvilke prosesser de følger og hvorfor de registrerer informasjon slik de gjør.
Samtidig må HR forstå at det som ser ut som et uskyldig lite felt i et HR-system, kan være akkurat det attributtet som bestemmer grupper, tilganger og automatisering videre gjennom hele identitetskjeden. (Jada jada, nå tenker du: Skikkelig robust, et system som er avhengig av ET ATTRIBUTT!.. Yep, det stemmer det, vi gjetter ikke når det kommer til identitet☺️)
Og du? Du vet de HR folka?
De er som regel hyggelige, løsningsorienterte og oppriktig interessert i mennesker. Det er tross alt jobben deres.. Du vet, HR.. 😅
Kanskje er det nettopp der moderne IAM begynner.
Ikke med ny teknologi. Ikke med enda et prosjekt.
Men med en kopp kaffe mellom HR og IT.
Bjørnar&AI
Comments