Izņēmumu un risku pārvaldības procesa automatizācija

Abstract

Darbs pie izņēmumu pārvaldības procesa automatizācijas sākts 2010. gada janvārī par pamatu izmantojot daļu no „Dekomisionēšanas un iznīcināšanas atsekošanas sistēmas” iestrādnēm, izstrādājot projektu tiek lietota (spējā (Agile)) prototipēšanas metode sākotnēji izlaižot jaunu aplikācijas iterāciju reizi nedēļā, pirmie dati sistēmas produkcijas vidē - 2010-02-15, pagājušā gada septembrī ieviešot papildus drošības politiku pārvaldībai arī risku un atļauju (approvals) pārvaldību sistēma tiek pārsaukta, vēlāk gan atļaujas tā arī nenonāk līdz biznesa pielietojumam un tiek izņemtas no gala lietotājam pieejamās funkcionalitātes. Sistēma izveidota FirstData kompānijas Drošības, Risku un Atbilstības grupas vajadzībām, lai atvieglotu pret drošības politikām un saistītiem standartiem apstiprinātu izņēmumu un ar tiem saistīto risku uzskaiti, risinājumam gūstot atzinību, vēlāk tiek pieņemts lēmums paplašināt darbības jomu un iekļaut arī citus tehnoloģiju riskus, kā arī grupas izsniegto atļauju uzskaiti, kas arī dažās nedēļās tiek implementēts. Projekts sākotnēji ir plānots kā pagaidu risinājums daļējai automatizācijai līdz RSA Archer drošības politiku izņēmumu un saistīto risku pārvaldības moduļu ieviešanai (pie tā šobrīd norit aktīvs darbs), dēļ minētā projekta implementācijas aizkavēšanās vairākkārtīgi tiek pagarināts projekta produkcijas darbības laiks un ietvertā funkcionalitāte. Produkta tehnoloģiskais risinājums ir relatīvi vienkāršs – MySQL datubāze ar ScriptCase (PHP Zend ietvarā bāzēts programmēšanas ietvars) ģenerēta PHP koda saskarni un biznesa loģiku. Ģenerētais kods vietām ir pārrakstīts, pierakstīti klāt vairāki JavaScript elementi, pievienots (ar modifikācijām, lai darbotos arī kā proaktīva aizsardzība) php_ids drošības modulis, no esošajām iestrādnēm atkal izmantots un pilnveidots lietotāju autentifikācijas un autorizācijas mehānisms (tipiska ACL implementācija). Viens no blakus uzdevumiem produktam bija kalpot par prototipu sekojošajai RSA Archer risinājuma ieviešanai. Šim jautājumam īsi pieskaros darba nobeigumā. Programmprodukts savā vairāk kā gada produkcijas lietojumā piedzīvojis daudz visdažādāko izmaiņu, šobrīd pēdējā versija ir ESRC Request System v.1.4.1 (EMS v.8.4.1 pēc vecās sistēmas) ar vairāk kā 300 aktīviem lietotājiem un aptuveni 600 aktīviem izņēmumiem/riskiem.

The work on exception management process automation began January 2010; first version was partially based on “Decommission and destruction tracking system”. We use Agile prototyping method and with one week release iteration cycle in beginning; first data in a production environment was on 2010-02-15, but when last year’s September there was added approvals and risks, we renamed system to ESRC Request System, although the approvals didn’t proceed to business use and where afterwards removed from the functionality available for end user. The system is created for FirstData Enterprise Security, Risk and Compliance group, to facilitate the tracking of policies (and associated standards) approved exceptions and the risk associated with them, when this solution have proven itself, there was decision to extend the scope and include other technological risks, as well as ESRC issued approvals. In just few weeks 1st iteration of this functionality was implemented. The project was originally planned as a temporary solution, before RSA Archer security policy exceptions and related risk management modules are implemented (at the moment there is ongoing work on that) and because of the delays in that project implementations there was multiple times changed expected lifetime and scope of this project. Technological solution used is relatively simple – MySQL database with ScriptCase (PHP Zend framework based programming framework) generated PHP code interface and business logic layers. In some cases the generated code is modified, added number of custom JavaScript based features, added (with modifications, to act as a pro-active protection) php_ids security module, reused (form d.&d.t.s.) and improved user authentication and authorization mechanism (typical ACL implementation). One of the side goals for the product was to serve as a prototype when subsequent RSA Archer solutions will be implemented and this aspect is briefly touched at the end of this document. The software in more than a year of production use experienced a wide array of changes, right now the last version in production is v.1.4.1 ESRC Request System (EMS v.8.4.1 by the old versioning system) with more than 300 active users and about 600 active exceptions / risks.