Аутентификация для крупного бизнеса: особенности и решение

Логотип компании
Аутентификация для крупного бизнеса: особенности и решение
Надежная аутентификация пользователей при доступе к чувствительным данным и важным ресурсам стала неотъемлемой частью защиты ИТ-комплексов крупных компаний. В статье рассмотрим особенности аутентификации для крупного бизнеса и современные решения, обеспечивающие высокий уровень безопасности.

Очевидные особенности крупных компаний в разрезе аутентификации

Счет информационных систем в крупных компаниях идет на десятки, если не на сотни. Соответственно, множатся типы пользователей и сценарии входа в эти системы. И рано или поздно возникает потребность в единой платформе доступа, в которую ради экономии, простоты эксплуатации и контролируемости выносится слой аутентификации и авторизации.

Такая платформа должна обеспечивать высокую производительность и отказоустойчивость, ведь база пользователей и клиентов может содержать до десятков миллионов учетных записей (например, телеком-оператор или банк).

Безопасность

За последние два года, с одной стороны, резко возрос уровень атак злоумышленников на любой российский бизнес. С другой — регуляторы увеличили активность своей работы. Например, до 2022 года Роскомнадзор проводил менее 500 плановых проверок на соответствие законности процессов обработки персональных данных в год, а в 2022-м их число превысило 1200. Все это приводит к возросшим требованиям к информационным системам со стороны ИБ.

Специфика аутентификации в корпорациях

Вышеописанное — реальность не только крупных компаний. Однако есть и специфические особенности, которые встречаются только у бизнеса определенного масштаба. Упомяну некоторые из них:

  • Аутентификация B2B2E. В дополнение к классическим B2C и B2C, для крупных компаний актуальна модель, когда их клиентами являются юридические лица со своими сотрудниками. 
  • VIP-сценарии аутентификации. Например, когда руководитель высокого ранга приходит к рабочему компьютеру, необходимое ПО уже должно быть открыто на нужных разделах. В таких случаях в сценарии аутентификации и авторизации неминуемо включен личный помощник, и вопросы безопасности этих сценариев приобретают новые грани. 
  • Бренд-бук, который определяет всё. В том числе внешний вид форм входа в приложения с точностью до пикселя. Компромисс невозможен, система управления доступом должна обеспечивать необходимый уровень кастомизации дизайна.

Система аутентификации и авторизации Roox UIDM как платформа для управления доступом сотрудников и клиентов

 Уже 12 лет компания RooX специализируется на решении задач аутентификации для крупных компаний. В нашем портфолио есть крупные веб-решения — интернет-банки, порталы поставщиков, личные кабинеты и другие. Управление доступом в них обеспечивает наш продукт — система аутентификации и авторизации RooX UIDM.

Если говорить в общем, то система содержит функциональные блоки для аутентификации, авторизации, регистрации пользователей, самообслуживания и администрирования. В RooX UIDM можно управлять доступом сотрудников, клиентов, подрядчиков и партнеров. Вход и разграничение прав можно обеспечить как для физических, так и для юридических лиц.

Специфика масштабного бизнеса

RooX UIDM спроектирована с пониманием требований, специфичных для больших компаний. Это своего рода конструктор, из которого в ходе внедрения мы собираем функциональность, необходимую для заказчика. Одних только методов аутентификации доступно несколько десятков: логин-пароль, сертификаты КЭП, ЕСИА, биометрия, цифровой отпечаток, OTP, TOTP, QR-код и другие.

Решение поддерживает ролевую и атрибутную модели доступа, что позволяет управлять полномочиями пользователей в зависимости от принадлежности к департаменту или организации и других параметров.

Решение предусматривает множество точек для интеграции: с защищаемыми сервисами, с системами антифрода, с источниками данных о пользователях и другими. Есть поддержка интеграции machine-2-machine для подключения партнерских сервисов или систем корпоративных клиентов. Предусмотрена возможность кастомизации пользовательского UI, в том числе встраивание в SPA, интеграция с мобильными приложениями.

Импортозамещение и независимость от вендора

RooX UIDM подходит для импортозамещения. Это российский продукт, который не зависит от сторонних компаний и продуктов других вендоров и входит в реестр отечественного ПО (запись № 10504 от 06.05.2021). Система совместима с российским стеком технологий (операционные системы Astra Linux, РЕД ОС, «Альт», СУБД Postgres Pro и т. д.).

За последние два года многим компаниям пришлось оперативно заменять составляющие ИТ-комплекса, при том что в enterprise-решениях важно сохранять преемственность. Поэтому в RooX UIDM предусмотрены разнообразные механизмы работы с легаси-системами для быстрой, но управляемой миграции.

Также отмечу, что в рамках текущих условий импортозамещения простая замена одного продукта на другой удается с вероятностью выигрыша джекпота. В подавляющем же числе случаев речь идет о перевнедрении, а иногда и о перепроектировании архитектуры. RooX UIDM легко встраивается в любой ландшафт благодаря микросервисной архитектуре и принципу API first. Мы тщательно изучали требования ИТ-архитекторов и ИТ-директоров, чтобы обеспечить эту легкость. Кроме того, внедрение можно разделить на этапы с измеримой пользой на каждом из них.

Если заказчику необходима полная независимость от вендора, мы поставляем систему в виде исходного кода. Также доступны поставки в виде контейнеров или пакетов под различные ОС.

Развитие, в том числе совместно с инхаус-разработкой

После внедрения система управления доступом в большой компании не может «замереть в янтаре».

У RooX UIDM есть продуктовый roadmap, включающий как минимум новые функциональные возможности согласно развитию технологий аутентификации и авторизации. Также мы отслеживаем выпуск новых требований регуляторов и актуальных версий отраслевых стандартов. Кроме того, ведем постоянную работу по обнаружению и устранению уязвимостей. Подобные обновления включены в лицензию.

Проектные доработки инициируют заказчики. Триггерами доработок могут стать конкурентная борьба за клиентов, выход на новые рынки, ребрендинг, появление новых бизнес-процессов или оптимизация имеющихся и т. д.

Читайте также
Управление качеством программного обеспечения (QA) становится очень важным. Одним из ключевых моментов — это правильный подход к управлению документацией. Хорошо организованные документы упростят работу всей команды. В этой статье я составил чек-лист, который поможет вам наладить стандарты, держать документы актуальными. Также расскажу, как внедрить новые подходы QA, чтобы сотрудники не устроили восстание.

Мы предлагаем заказчикам несколько вариантов организации доработок:

  • Классическая доработка силами Roox. 
  • Привлечение имеющейся инхаус-разработки. Для этого в состав системы входят SDK для разработчиков приложений (как для серверных приложений, так и для клиентских приложений для мобильных устройств и веб). 
  • Аутстаф со спецификой безопасной разработки. Иногда переход к формату аутстаф происходит постепенно. В любом случае и в фазе первоначального внедрения, и в фазе развития на проекте работают сотрудники, имеющие опыт защиты персональных и других чувствительных данных.

Справка: компания RooX специализируется на аутентификации и авторизации, разработке веб-платформ для корпоративного сектора.

Реклама ООО "РУКС СОЛЮШЕНС" erid: LjN8KM6ej

Опубликовано 31.10.2023

Похожие статьи