Problemet
Rollemodeller, der ikke matcher virkeligheden
Roller er rygraden i en IGA-løsning: De afgør, hvad nye medarbejdere automatisk får adgang til, hvad man kan anmode om, og hvad recertificeringen skal tage stilling til. Er rollerne forkerte, bliver alt det andet forkert med – onboarding giver for lidt eller for meget, og godkendere tager stilling til roller, de ikke forstår.
De fleste fejlslagne rollemodeller falder i én af to grøfter. Enten designes modellen så detaljeret, at der ender med at være flere roller end medarbejdere (role explosion), og vedligeholdet æder gevinsten. Eller også bliver rollerne så brede, at alle får mere, end de har brug for, og modellen bliver en trussel mod princippet om least privilege i stedet for en garanti for det.
To tilgange
Top-down og bottom-up – hver deres styrke, hver deres blinde vinkel
Top-down: forretningen tegner
Roller udledes af organisation og jobfunktioner: Hvad skal en sagsbehandler, en sælger eller en controller kunne? Modellen bliver forståelig og forankret i forretningen – men arbejdet er langsomt, og roller tegnet på et whiteboard rammer ofte forbi de rettigheder, arbejdet faktisk kræver.
Bottom-up: data taler (role mining)
Rettighedsdata analyseres for mønstre: Hvilke adgange optræder sammen, og hvilke grupper af medarbejdere ligner hinanden? Kandidatroller findes på uger i stedet for måneder – men mining på rå data cementerer også fortidens fejl. Ophobede og forældede rettigheder bliver til roller, hvis ingen stiller spørgsmål.
Hybriden
Data foreslår, forretningen beslutter
Den tilgang, der virker i praksis, kombinerer de to: Role mining leverer kandidatroller ud fra de faktiske data, og forretningen validerer dem mod virkeligheden. Rolleejeren ser et forslag bygget på, hvad afdelingens medarbejdere allerede har, og skal kun tage stilling til afvigelserne: Hører denne rettighed virkelig hjemme i rollen, eller er den arvet fra en anden tid?
Dermed løser hybriden begge grøfters problem. Bottom-up-analysen sikrer, at rollerne matcher det arbejde, der faktisk udføres, og top-down-valideringen sikrer, at gamle synder ikke får evigt liv som birthright-adgang. Resultatet er færre, bedre begrundede roller – og rolleejere, der forstår, hvad de ejer.
Forløbet
Hybrid role mining i fire trin
- Rens datagrundlaget
Fjern forældreløse konti, ubrugte rettigheder og direkte tildelinger uden ejer, før analysen kører. Mining på snavsede data giver snavsede roller.
- Udled kandidatroller
Analysér rettighedsmønstre pr. afdeling, jobfunktion eller lokation, og lad algoritmen foreslå kandidatroller med dækningsgrad og afvigelser.
- Validér med forretningen
Rolleejere gennemgår kandidaterne: navngivning, indhold og afgrænsning. Rettigheder, ingen kan begrunde, ryger ud – ikke ind i rollen.
- Pilot, udrul og vedligehold
Start med én afdeling, mål effekten på anmodninger og recertificering, og justér. En rollemodel er en proces, der skal ejes – og roller skal have en ejer og en udløbskontrol fra dag ét.
IVIP
Hvor kommer IVIP ind i billedet?
Role mining er kun så god som de data, den kører på – og det er her, en Identity Visibility and Intelligence Platform gør forskellen. En IVIP samler rettighedsdata fra AD, Entra ID og fagsystemerne i ét konsolideret billede og leverer dermed selve råstoffet til analysen. Oprydningen i trin ét er platformens hjemmebane: forældreløse konti, ubrugte adgange og skjulte tildelinger er præcis det, dens analyser finder.
Flere IVIP-platforme kan også selv foreslå kandidatroller ud fra mønstrene i data – og vise, hvor stor en del af en afdelings rettigheder en foreslået rolle dækker. Det gør dem til et naturligt maskinrum for hybridtilgangen, uanset om rollemodellen skal bruges i en kommende IGA-løsning eller stramme en eksisterende op.
Og arbejdet stopper ikke ved go-live: Rollemodellen og virkeligheden glider fra hinanden over tid. Medarbejdere skifter funktion, systemer kommer til, og undtagelser hober sig op. Et løbende overblik viser, hvornår virkeligheden er vokset fra modellen – så rollerne justeres, før afvigelsen bliver til risiko.
Skal jeres rollemodel bygges på data?
Vi hjælper med at rense datagrundlaget, køre role mining og forankre modellen hos forretningen – som del af et IGA-forløb eller som selvstændig opgave.
