自助式身份管理风险：IAM数据质量

随着身份管理人员工作量的不断增加，许多机构都在寻找一种自助式的身份管理模式，这种模式使IT终端用户能够管理自己的身份管理文件和访问。

然而，就像快餐店允许顾客自取饮料而不是允许顾客动手自制汉堡包一样，用户能够进行身份管理的程度也应该有一些限制。这样机构就会产生这样的问题：“对于身份和访问管理（IAM）来说，自助到什么程度才是刚刚好的呢？”

在IAM中使用自助服务模式有两大风险。***个风险就是，在没有严格的控制下通过自助式IAM接口输入的数据的质量问题。当这些信息被用于商业领域时，不良数据会对机构的运营和项目产生巨大的影响。第二个风险是未授权用户拥有敏感信息的访问权限。可以预料，这将导致机构违反一些规章制度，造成非法的风险。下面我们将详细分析这两点。

IAM数据质量

白页（white page）应用程序中的商业资料和个人资料管理是广泛使用自助服务的一个领域。这种情况下，终端用户的一部分资料会从用户原始的人力资源记录中预导入到应用程序里。当机构意识到这些信息不完整，而且有可能过时时，机构就会启用自助服务，允许终端用户对他们的记录进行更改和更新，这通常是通过Web界面进行的。大多数情况下可以修改的信息有：联系方式、公司地址（包括内部编号）、工作电话和手机号码、职位和诸如职位代码、部门信息、家庭联系方式之类的其他商业信息等。之所以允许更改这些信息是因为它们一般不在机构的企业库里；然而跟踪这些信息的变化可能会引起其它的问题；但是不管怎样，终端用户是唯一能验证这些信息的人，这一点是不变的。如果内部白页能严格使用这些信息，那么这就是自助服务的一个良好的应用。

但是机构必须明白，正如快餐店可以随时供应饮料一样，自助服务应该用于可以节省成本、增加商业机会，同时降低风险的情况。机构在终端用户没有经过意识培训或者严格控制的情况下，将工作人员输入的信息用作商业目的是有一定风险的。机构要求员工对其所管理的用于重要商业用途的信息负责任，但却没能使员工对一些固有的危险（可能使机构需要应急服务来处理各种有形的、无形的紧急问题）得到适当的理解。例如，企业团队的成员，无论是员工还是经理——在如火灾、洪水和灾害紧急情况下的事故联络小组——可能无法保持他们的联系信息是***的。这种风险出现在一家大公司的现实情况中，由于火警警报它不得不全体撤离大楼。高层管理团队在近1000人的人群中寻找实体安全主管。原来，他是唯一可以授予当地消防部门进入火警警报的敏感区域的人，但他们却联系不到他，因为他没有更新公司员工电话簿里的手机号码。

另一个与自助服务有关的例子是，公司用员工自己维护的员工白页里的“头衔”信息作为输入的一部分来确定用户能否进入基于角色的访问控制（RBAC）系统。由于RBAC系统提供了一系列的接入服务，当一个软件工程师把他的头衔从“网络工程分析师”改为“宇宙统治者”时，RBAC系统会返回一个错误。这样的头衔不能映射到接入服务器，这就会造成进度的延误。

另一个自助服务引起问题的例子是，一家公司的人力资源部门想要完成一个巨大的邮寄工作——寄送盈利信息到全体员工的家庭住址。由于该公司广泛使用自动存款，大多数员工在本地住宅改变时根本就不会联系人力资源部门进行修改。人事部门决定，由于该公司使用自助服务管理其企业电子邮件目录的个人资料，他们会利用这里面 的“***资料”，而不利用他们所掌握的员工的个人资料（明显已经过时）。然而，当从公司的电子邮件系统提取资料时，人力资源部门的工作人员发现，在个人家庭住址信息这一栏中，许多人要么没填写，要么写得不完整。例如，有人没有留下邮政编码，街道意外拼写错误，以及状态信息有时丢失。这就需要人力资源部门对它的资料和从公司的电子邮件系统所得出的资料进行比较分析。即使在这个庞大的项目完成后，还有5%的员工的家庭信息仍然是不正确或不完整的，人事部门要在邮寄之前直接联系这些员工以获得他们的资料。

虽然这里只列举了三个数据质量影响一个机构的例子，但是它们只是自助服务不能正确管理所引起的问题中的冰山一角。低劣的数据质量就像一支可以射中任何IAM架构心脏的箭：没有高质量的身份数据，使用这个数据的流程和控件为下游应用使用和配置，那么服务错误将会剧增。