När striktare krav på datasäkerhet och efterlevnad blev verklighet valde en svensk myndighet att samarbeta med Ductus för att skapa en långsiktig och robust lösning för identitets- och åtkomsthantering (IAM). Genom att arbeta nära myndighetens tekniska team har vi utvecklat en lösning som inte bara uppfyller regler som GDPR och NIS2 utan även effektiviserar autentisering och auktorisering, samtidigt som användarupplevelsen förbättrats avsevärt.
I korthet
Utmaning
Modernisera IAM hos en svensk myndighet för att uppfylla krav på regelefterlevnad samt effektivisera autentisering och auktorisering.
Lösningen
En dedikerad och robust plattform IAM-plattform för identitetstjänster, baserad på Curity Identity Server (IdP).
Hur vi gjorde det
Vi arbetade nära myndighetens tekniska team för att utveckla en IAM-infrastruktur och en stegvis plan för implementering.
Fördelar
IAM har förenklats i hela organisationen – för utvecklare vid integration av applikationer och för användare vid inloggning och delning av känsliga data. Lösningen är nu också i linje med strängare krav kring datasäkerhet och personuppgifter.
Om kunden
En svensk myndighet med ett par hundra anställda fördelade på ett antal kontor runtom i landet.
Uppgradering av IT-säkerhet
Myndighetens uppdrag omfattar bland annat att samla in data från den fysiska miljön runtom i Sverige – en uppgift som blivit allt viktigare i det rådande säkerhetspolitiska läget. För att möta dessa utmaningar och samtidigt stärka skyddet för personuppgifter beslutade man att genomföra en omfattande säkerhetsuppgradering. Inom ramen för ett större digitalt transformationsprojekt togs beslutet att uppgradera IAM-lösningen genom en betrodd leverantör som inte bara kunde implementera lösningen men även stötta myndigheten med långsiktig support och underhåll av densamma.
Långsiktigt ramavtal
”En offentlig upphandling utfördes för att hitta en leverantör som kunde leverera en lösning över en tvåårsperiod, med möjlighet till förlängning med ett plus ett år,” säger Anders Essner, Head of IAM på Ductus. ”Vi föreslog en IAM/IdP-arkitektur och design som använde Curity Identity Server för att möta både de omedelbara och långsiktiga behoven.
Lösningen behövde vara lokalt tillgänglig (on-prem) och körs idag som en hybridlösning på virtuella servrar. Den skulle hantera och skydda stora mängder känsliga data, dels verksamhetens insamlade data och annan arbetsrelaterad information, samt även personuppgifter, som löner, pensionsinbetalningar. Kravet var också att man uppfyllde regler som GDPR och NIS2. Dessutom skulle lösningen vara framtidssäker och stödja IAM-operationer genom att fungera som en plattform/motor för autentisering och auktorisering, med integration till andra system och applikationer både inom och utanför IT-miljön.
IAM- arkitektur och implementering
”Vår första uppgift var att gå igenom den föreslagna IAM-arkitekturen och tidsplan som skulle leverera både kortsiktiga och långsiktiga behov. Detta inkluderade både integrationen av Curity Identity Server och rollerna för Ductus-utvecklare och myndighetens teknikteam – för att säkerställa en optimal samarbetsmiljö,” fortsätter Essner.
Med IAM-arkitekturen och tidsplanen godkänd och implementerad, började arbetet med att koppla lönehanteringssystemet till servern. ”Att börja med ett system gav oss en bra möjlighet att implementera och testa IAM-lösningen i miljön innan vi rullade ut den till fler applikationer, och samtidigt uppfylla de striktare kraven på personuppgiftssäkerhet som ställts av Myndigheten,” säger Ductus-utvecklaren Hannes Larsson. ”När detta var uppnått arbetade vi nära med arkitekter och utvecklare på myndigheten för att integrera och migrera fler applikationer till servern.”
Effektiv autentisering och auktorisering
Myndigheten ansvarar för att underhålla, uppdatera och hantera den dagliga driften av IAM-servern och miljön, med Ductus-experter tillgängliga för att stötta och ge råd vid behov. Tack vare den standardiserade IAM/IdP-lösningen behövs inte längre autentisering och auktorisering byggas på nytt för varje enskild applikation – i stället kan Curity Identity Server användas, vilket sparar mycket tid och resurser, samt säkerställer en hög nivå av säkerhet på myndigheten.
Förbättrad användarupplevelse
På användarsidan har SSO (Single Sign-On) implementerats, vilket innebär att användare inte längre behöver använda flera lösenord. De kan enkelt och säkert få tillgång till den data de är auktoriserade för. Tjänsten håller på att rullas ut till externa konsulter, kunder och andra intressenter. Andra pågående projekt som Ductus-teamet är iblandat i inkluderar DevOps och nätverksmodernisering för att stödja IAM-miljön.
Förlängt samarbete
”Samarbetet med myndigheten har fungerat väldigt smidigt, vi har varit två team som arbetat tillsammans mot samma mål. Självklart behövs KPI:er för att mäta att vi når framgång, men för mig är den bästa reflektionen av våra prestationer att myndigheten har valt att utnyttja möjligheten att förlänga vårt avtal. Det säger allt,” avslutar Essner.
Anders Essner
Phone: +46 (70) 513 56 19
anders.essner(at)ductus.se