Identity and Access management (IdM) memberikan solusi untuk pengaturan identitas di dalam sebuah organisasi yang mencakup lifecycle dari sebuah identitas di dalam sebuah perusahaan yang mencakup authentikasi, authorization, audit dan user administration. Authentikasi merupakan proses verifikasi untuk user bahwa dia adalah user yang sebenarnya (dibuktikan dengan userid dan password yang berbeda untuk setiap user), sedangkan authorization adalah hak – hak apa saja yang didapat oleh seorang user di aplikasi yang dapat diaksesnya (biasanya menggunakan Role Base Access Control). Audit sendiri dapat diakomodasi oleh IdM melalui report seperti who has what report (seorang user dengan nik xxxx memiliki akses ke aplikasi apa saja), user access list (Aplikasi A siapa saja usernya yang valid), rogue account(user – user yang tidak dapat diidentifikasi siapa sebenarnya pemiliknya), audit sendiri untuk berhubungan dengan compliance terhadap regulasi – regulasi yang ada seperti SOA (Sarbanes Oaxley Act) compliance untuk perusahaan2 yang listing di NYSE . User Administration sendiri dapat di fasilitasi IdM melalui self request (user melalui portal meminta akses ke aplikasi ataupun meminta perubahan user role pada aplikasi dan kemudian ada approval workflow yang dapat digunakan sebagai evidence siapa saja yang mengapprove sampai karyawam tersebut mendapatkan akses ke aplikasi yang direquestnya), fasilitas lainnya adalah automatic provisioning ke application (misal sudah didefinisikan user untuk misalnya bagian finance dengan posisi tertentu mendapat hak ke aplikasi A, G, F dengan profile XC untuk App) dan automatic deprovisioning ke application (Jika user pensiun atau keluar dari perusahaan maka secara otomatis system dapat mendisable akses ke aplikasi yang user tersebut miliki semasa dia kerja)
Identitas merupakan gambaran/deskripsi seseorang. Dalam sebuah organisasi setiap orang memiliki identitas yang menunjukkan seseorang tersebut memiliki posisi apa di sebuah organisasi,berada di bagian apa, sejak kapan dia bergabung di organisasi, informasi tentang data diri, informasi pensiun. Dan di sebuah organisasi yang memanfaatkan IT untuk mendukung pekerjaan karyawannya memiliki sistem terkomputerisasi dimana tidak semua karyawan boleh mengakses sistem tersebut dan level privilege yang berbeda untuk setiap IT Application yang digunakan akan berbeda untuk setiap orang yang berbeda.
Sebagai contoh mengapa diperlukannya Identity and Access Management adalah sebagai berikut, jika disuatu perusahaan memiliki banyak IT Application dan setiap IT Application memiliki pengelola-pengelola yang berbeda sehingga mekanisme untuk authentication dan authorization akan menjadi berbeda untuk tiap aplikasi, hal ini juga berakibat pada banyaknya user id dan password yang dimiliki oleh setiap pengguna. Maka bagian yang mengatur akses ke banyak aplikasi IT tersebut harus mengatur user apa saja yang dapat mengakses aplikasi tersebut, role apa yang didapatnya didalam aplikasi tersebut, userid policy dan password policy apa yang harus diterapkan untuk setiap aplikasi.
Sebagai contoh seorang karyawan di bagian Technical tentunya hanya memiliki akses dengan sistem yang berhubungan dengan pekerjaannya saja,ataupun jika bisa mengakses sistem lainnya tentunya dengan hak akses yang berbeda.
Pada konsep Identity and Access Management, Identitas menunjukkan user profil dari seorang user dan access menunjukkan hak – hak akses apa saja yang bisa didapat dengan user profil tersebut(tergantung dari business process organisasi).
Identity and Access Management menawarkan suatu konsep who has what yaitu user dengan profil seperti ini memiliki hak akses ke aplikasi apa saja dan hak – hak apa yang didapatnya diaplikasi tersebut, user profil ini memiliki akses ke aplikasi apa saja dan aplikasi ini memiliki user siapa saja.
Dengan Identity and Access Management jika seorang pensiun dan account orang tersebut di dihapus ataupun didisable maka secara otomatis akses orang tersebut ke aplikasi – aplikasi yang terkait dengan orang tersebut akan didisable juga. Pada kasus admin yang membuat user untuk melakukan kecurangan, dengan IDM setiap user pada aplikasi harus memiliki user profil pada masterdata(misal SAP HR). Sebagai contoh aplikasi A memiliki user A01 dimana A0121PROC merupakan pegawai dengan NIK A0121. Pada admin yang membuat rogue account = user yang tidak memiliki user profil pada master data. Contoh A0123PROC tetapi pada master data tidak terdapat karyawan dengan NIK A0123 maka user A0123PROC pada aplikasi tersebut adalah rogue account dan harus dihapus dari aplikasi. Dengan IDM hal diatas dapat dicegah,ketika admin membuat rogue account maka IDM akan memeriksa apakah user yang dibuat admin tersebut benar2 ada di organisasi, jika tidak ada maka IDM akan mendeletenya.
Jadi dengan IDM aplikasi IT yang ada di organisasi dapat dengan mudah di audit, dimana IDM dapat menyediakan report seperti user dengan NIK A0121 memiliki akses ke aplikasi apa saja,kemudian aplikasi misal BIL01 memiliki user siapa saja dan adakah rogue account di aplikasi tersebut. Dan dapat juga memunculkan evidence siapa saja yang melakukan approval sampai seorang karyawan mendapatkan akses ke aplikasi yang direquestnya
Selanjutnya di IDM. What we must prepare to successfully implemented IDM, How we get the trusted source, how we identify rogue account and how we reconcile user id from trusted source to application(user access report) and how to provision employee and deprovision employee user from application, Role Base Access Control, Single Sign On for web and non web application,Policy for Identity Management.
Sorry guys kalo ada salah – salah penulisan …. Just want to share my knowledge……
