Tietopyyntö: Identiteetin ja käyttöoikeuksien hallinta (IAM)

Tämä asiakirja ei ole ennakkoilmoitus, hankintailmoitus tai tarjouspyyntö, vaan ilmoitus markkinavuoropuhelusta. Tietopyynnön kysymykset ovat listattuna tähän ilmoitukseen. Markkinavuoropuhelua voidaan jatkaa vastausten keräämisen jälkeen tapaamisilla vastauksia toimittaneiden toimittajien kanssa hankintayksikön oman harkinnan mukaan. Vastaukset ja kiinnostus pyydetään toimittamaan sähköpostilla osoitteeseen: ari-pekka.kaskela@fintraffic.fi viimeistään 1.11.2021. Sähköpostin viestikenttään pyydetään laittamaan otsikoksi "Tietopyyntövastaukset IAM". Markkinavuoropuheluun osallistuminen tai osallistumatta jättäminen eivät ole edellytys tai este kilpailutukseen osallistumiselle eivätkä sido ketään. Vuoropuheluun osallistumisesta ei makseta korvausta. Identiteetin hallinnan tausta Fintrafficin operatiiviset järjestelmät hallitaan yhtiökohtaisesti. Järjestelmissä on useita eri teknologioita ja käyttöoikeuksien hallinnan teknologioita. Fintraffic konsernin hallinnon järjestelmät on keskitetty ja palveluita tuotetaan kaikille yhtiöille samalla lailla. Yhtiön henkilöstön identiteetit on kuvattu hallinnon palveluita tukevaan käyttöoikeushakemistoon. Fintrafficin henkilöstön lisäksi järjestelmäpalveluita käyttää merkittävä määrä (4000-6000) ulkoisia käyttäjiä. Nämä ovat esimerkiksi infrastruktuurin kunnossapidosta vastaavien yritysten henkilöstöä, joiden tehtävien hallinta toteutetaan Fintrafficin operatiivisissa järjestelmissä tai Fintrafficin tuottaman raportoinnin hyödyntäjiä. Identiteetin hallinnan tavoite Tavoitteena on mahdollistaa kaikkien Fintrafficin järjestelmien identiteetin ja käyttöoikeuksien hallinta sekä sisäisten että ulkoisten käyttäjien osalta. Käyttöoikeuksien ja identiteettien perustaminen pyritään automatisoimaan erityisesti hallinnon järjestelmien osalta. Muilta osin tavoiteltu taso on minimissään oikeuksien hallinta ja niiden muutoksiin liittyvä tehtävien hallinta ilman varsinaista automaatiota tai integraatiota. Yleisinä periaatteina noudatetaan seuraavia: - Kaikki käyttäjät tunnistetaan ja todennetaan. - Perusperiaate on, että mikä ei ole erikseen sallittua, on kielletty (”default deny”) - Oikeudet myönnetään ”tarve tietää” ja ”tarve käyttää” -periaatteiden mukaisesti, eli oikeudet myönnetään sillä perusteella, mitä yksilö tarvitsee työtehtäviensä suorittamiseen. - Edellisen seurauksena käytetään myös vähimpien oikeuksien periaatetta, eli oikeuksia annetaan vain sen verran kuin on tarpeellista.

TIETOPYYNNÖN KYSYMYKSET Mikä on tyypillinen tapa ottaa käyttöön identiteettien ja käyttäjätunnusten hallinta? • Kuvailkaa esimerkkiprojekti(e)n laajuutta, käyttöönottoprosessia, projektin päävaiheita ja tyypillistä kestoa Kuvatkaa kokemuksenne identiteetin ja käyttöoikeuksien hallinnan käyttöönottoprojekteista • Projektien laajuus, käyttäjien, järjestelmien ja käyttöoikeuksien määrä, projektin kesto, keskeiset opit Mitä hinnoitteluperiaatteita ja -metriikoita käytätte lisenssien/käyttöoikeuden, projektin ja tuen/jatkuvan palvelun osalta? Kuvatkaa yleisellä tasolla tukemienne ja käyttöönottamienne järjestelmien (tai järjestelmän) kyvykkyydet, esim: • Perustoiminnot ja rakenteet: Identiteetti, käyttöoikeudet, roolit, organisaatio, jne • Tuetaanko autom. provisiointia/deprovisiointia, vahvaa tunnistautumista, tietoturvallisuus... • Myöntöpolut ja -rakenteet, tehtävien hallinta, integraatiot, jne Kuvatkaa järjestelmän erityiset vahvuudet ja tulevaisuuden kehitysalueet. Onko järjestelmästä saatavilla eri tavoin operoitavia versioita • SaaS, Cloud, On-Premise? Miten järjestelmää kehitetään yleisellä tasolla, minkälainen versioiden hallinnan ja tuen politiikka on? • Esim. tuotekehityksen päivityssykli ja toimintamalli ja peruslinjaus erikseen tai asiakaskohtaisesti kehitettävistä asioista? • Mitä/miten versioita tuetaan ja kuinka pitkään? Liittyykö järjestelmän toimintaan joitain rajauksia esim käyttäjien, järjestelmien lukumäärän, käyttöoikeuksien, integraatioiden tai identiteettien hallintapaikkojen (eri AD- tai Azure AD-ympäristöt) osalta? Minkä tyyppisiä hyväksymisketjuja järjestelmä tukee? • Esim. “Esimies + pääkäyttäjä”, “vain pääkäyttäjä”, “vain esimies” Tukeeko järjestelmä sääntöperusteista hyväksymismenettelyä? Mitkä ovat järjestelmän parhaat käytännöt usean kohdejärjestelmän hallinnassa? Mihin teknologioihin järjestelmä perustuu? Tukeeko järjestelmä automaattiprovisiointia/-deprovisiointia? Miten järjestelmässänne on otettu huomioon GDPR ja tietosuoja • Esim. tiedon elinkaari järjestelmässä, henkilötiedot ja niiden hallinta Tukeeko järjestelmä tilapäiskäyttöoikeuksien myöntämistä ja käytön seurantaa? Minkälaista raportointia järjestelmä tukee? Tukeeko järjestelmä voimassaoloaikoja identiteetin ja käyttöoikeuksien osalta? Mitä näkökulmia haluaisitte erikseen tuoda esille identiteetin ja käyttöoikeuksien hallintaan liittyen?