Innhold
1 Introduksjon
I 2013 kom ein EIR-rapport med konklusjonen om at UiO har manglande kontroll på IT-tilgangar. Cerebrum vart bedt om å ordne opp i dette. Det har pågått ulike aktiviteter for å løyse dette. Dette dokumentet dekker aktiviteten for å innføre automatisk sperring av alle brukarkontoar til alle personar som:
- Ikkje har noko tilknytting (affiliation) til UiO
- Berre har manuell tilknytting direkte i Cerebrum, med unntak av dei som vert handtert av USIT lokal-IT.
2 Kva er gjort
Det vart gjort utredingar for kva og korleis oppryddinga kunne løysast i Cerebrum. Dette vart gjort i perioden 2013-2015, med ein del pauser, og resulterte i at brukarhistorier vart skrevne. Nødvendige endringar og ny funksjonalitet vart implementert i perioden 2015-2016.
- 9. september 2014: Cerebrum starta å sperre alle utan noko aktiv tilknytting. Brukarkontoane vart deretter automatisk avvikla frå 5. november 2014. Første runde gav oppunder 3000 brukarkontoar karantene.
- 1. september 2015: Cerebrum fjerna tilgangen til å legge til manuelle tilknyttingar for lokal IT, med unntak av USIT lokal-IT.
- 26. august 2016: USIT lokal-IT fekk nye tilknyttingstypar å bruke for personar dei administrerer, for å kunne skille dei frå andre manuelle personar.
- 27. september 2016: Manuelle tilknyttingar vart inkludert i automatisk sperring, med unntak av USIT lokal-IT sine. Etter 60 dagar er desse også blitt avvikla. Første runde gav rundt 800 brukarkontoar karantene.
3 Resultat
3.1 Antal sperringar
Vi har dessverre ikkje tal på kor mange som faktisk har blitt sperra i perioden, sidan brukarkontoar kan få fiksa sine registreringar og bli låst opp att. Det vert for tungt å grave ut denne informasjonen. Det vi derimot enkelt kan telle, er antal karantener som har blitt tildelt, altså brukarkontoar som vert potensielt sperra, og fjerna karantener, som betyr potensiell gjenopning av brukarkontoar.
Satte og fjerna karantener av typen auto_no_aff, fordelt per år:
| År | Satte karantener (unike) | Fjerna karantener (unike) |
|---|---|---|
| 2014 | 6165 (6138) | 288 (279) |
| 2015 | 9452 (8579) | 1770 (1702) |
| 2016 | 11044 (10445) | 2488 (2417) |
| Totalt | 26661 (24375) | 4546 (4177) |
Det er interessant at antal sperringar stiger. Ein årsak kan vere bedre opprydding i kjeldesystema, eventuelt meir feil/dobbelregistreringar som vert fiksa.
3.2 Manuelle brukarkontoar
Kor mange brukarkontoar har vi att i dag, med ingen eller berre manuelle tilknyttingar, med ein aktiv brukarkonto?
Med eit utplukk frå Cerebrum med kriteria:
- Sjå på alle aktive, personlege brukarkontoar, dvs. dei utan aktiv karantene
- Filtrer vekk alle med minst ei person-tilknytting:
- Frå SAPUiO eller FS
- Av typen TILKNYTTET/isf, TILKNYTTET/ekstern og MANUELL/ekstern, sidan desse vert handtert av USIT lokal IT
- Av typen MANUELL/alumni, sidan desse vert handtert av IFI
Resultatet av utplukket er at 176 brukarkontoar er på veg til å bli sperra, og 3 brukarkontoar var aktive utan å oppfylle kriteria. Det viser seg at dei var registrert på ein måte som sperringa ikkje oppdaga (manuell TILKNYTTET-tilknytting). Dette gjaldt brukarane willial, elissom og ingrch. Manuelle tilknyttingar vart fjerna for desse, så dei vil bli tatt med i neste sperrerunde.
Merk at det er her snakk om brukarkontoar som er sperra. Å vere avvikla er noko anna, og her mangler det litt, sjå CRB-1936. Personane har uansett ikkje IT-tilgangar, så kravet er framleis oppfyld, men det må ryddast i.
4 Konsekvenser
Etter denne innføringa har ingen personar ved UiO ein aktiv brukarkonto, utan at dei enten er registrert i minst eit av systema:
- SAPUiO
- FS
- Hos USIT lokal IT (direkte i Cerebrum, men med gode rutiner for vedlikehald)
- IFI-alumni
Vi har med dette mykje bedre kontroll på persondata.
Det er ikkje lenger mulig for andre USIT lokal-IT å registrere nye personar manuelt i Cerebrum.
5 Vidare arbeid
Det gjenstår noko arbeid for å løyse dei andre behova for meir kontroll på IT-tilgangar, td rundt handtering av grupper. I tillegg gjenstår noko opprydding etter sperringa. Sjå Epic CRB-1584 Opprydding i IT-tilgangar for ein oversikt over gjenståande arbeid og oppdatert status.
Andre tankar:
- Cerebrum bør automatisk slette det meste av data om personar som ikkje lenger er aktive i nokon av kjeldesystema. Sjå CRB-1358 og CRB-1095
- Sjå på rutinene for vedlikehold av persondata i kjeldesystema. Datakvaliteten er no avhengig av SAPUiO, FS og USIT lokal IT. Cerebrum kjenner ikkje til deira rutiner for vedlikehold av persondata, eller om denne er blitt gjennomgått.