Snakk direkte med sjefsarkitekten bak en av verdens største CyberArk-løsninger

Når du kjøper privilegert tilgangsstyring, bør du få snakke med den som har satt det opp i størst skala, og ikke en forhandler som leser fra et datablad. Det er det denne artikkelen handler om. FM CyberSecuritys CyberArk-praksis ledes av en sjefsarkitekt, Robin, som er sjefsarkitekt på en av verdens største CyberArk-løsninger.

Jeg styrer forretningssiden av FM CyberSecurity, så jeg sitter i kjøpssamtalene. I prosjektene jeg har vært med på for privilegert tilgang, er det sjelden produktvalget som avgjør. Det avgjørende er hvem som får utrullingen til å overleve møtet med det virkelige miljøet ditt. Robin er svaret jeg gir, og jeg vil forklare hvorfor erfaring fra store løsninger hever kvaliteten på rådet du får.

Det de fleste griper etter først

De fleste kjøpere starter med å avtale en demo hos en forhandler. Du får en pen gjennomgang av hvelvet, et lysbilde om rotasjon av legitimasjon, og et tilbud. Logikken virker grei. Forhandleren selger produktet, altså bør forhandleren kjenne produktet.

Svakheten er at en demo viser deg plattformen i et rent laboratorium. Den viser deg ikke hva som skjer når du retter den samme plattformen mot et nett med tolv år gamle tjenestekontoer, tre Active Directory-skoger og et applikasjonsteam som aldri har fått legitimasjonen sin ut av en konfigurasjonsfil. Der stopper de fleste PAM-prosjekter opp. Produktet var aldri den vanskelige delen. Det vanskelige er rekkefølgen i utrullingen, nødtilgangen og flyten for nyansatt, rolleskifte og avgang ved reell bemanning.

Det ærlige spørsmålet er altså ikke hvilken CyberArk-lisens du skal velge, men hvem som allerede har tatt de tunge avgjørelsene på en løsning større enn din, og kan fortelle deg i hvilken rekkefølge ting bør gjøres.

Hvorfor skala endrer rådet

Dyp erfaring fra reell implementering slår en leverandørpitch, for PAM feiler på grensetilfellene, og det er i stor skala du møter hvert eneste grensetilfelle. CyberArk er plattformen vi har standardisert på for privilegert tilgang. Egenskapene er godt dokumentert: et manipulasjonssikkert digitalt hvelv for legitimasjon, sesjonsisolering der privilegerte sesjoner går gjennom en proxy og kan tas opp, og policystyrt rotasjon av legitimasjon, alt samlet i CyberArk Identity Security Platform.

De egenskapene er de samme enten du har 200 privilegerte kontoer eller 200 000. Det som ikke er likt, er å vite hvordan du ruller dem ut uten å knekke produksjon. Noen eksempler på hva skala lærer deg, som en demo aldri gjør:

• Rekkefølge i utrullingen. På en liten løsning kan du ta inn kontoer i nesten hvilken rekkefølge som helst. I stor skala lærer du hvilke kontotyper du bør legge i hvelvet først, slik at du kutter risiko tidlig uten å låse en administrator ute fra et system vedkommende trenger klokken 02:00. Robin har tatt den avgjørelsen på en løsning der feil rekkefølge ville stoppet tusenvis av brukere.
• Nødtilgang. Hvert PAM-prosjekt trenger en vei inn ved nødstilfelle, for de gangene selve hvelvet ikke er tilgjengelig. Å lage en som revisor godtar og som ingen misbruker i det stille, er et annet problem ved 50 kontoer enn ved titusener.
• Sesjonsisolering og opptak. Å skru på sesjonsopptak er enkelt. Å gjøre det på tvers av nok administratorer og tredjepartsleverandører til at revisjonssporet er komplett, uten å fylle opp lagring eller bremse hver innlogging, er en finjustering du bare løser ved å ha gjort det stort.
• Nyansatt, rolleskifte og avgang i stor skala. Når en ansatt bytter rolle, må den privilegerte tilgangen følge med. I liten skala kan en person holde styr på det. I stor skala må det kobles inn i identitetsflyten, og det er i koblingen løsninger går galt.

Ingenting av dette kommer fra et sertifiseringsmerke. Det kommer av å ha hatt ansvaret for arkitekturen på en løsning de fleste team aldri får se innsiden av.

Hva FM CyberSecurity gjør

FM CyberSecurity drifter CyberArk ende til ende for virksomhetene vi jobber med. Vi videreselger det ikke. Vi utformer strategien for hvelvet, setter rekkefølgen i utrullingen, bygger veien for nødtilgang, etablerer styring av privilegerte sesjoner og kobler flyten for nyansatt, rolleskifte og avgang inn i identitetsleverandøren dere allerede har. Robin leder arkitekturen, og du snakker med ham direkte, ikke gjennom en kundeansvarlig.

Det er den delen jeg bryr meg om som den som signerer oppdragene. Når en kjøper stiller meg et tungt PAM-spørsmål i et møte, improviserer jeg ikke et svar. Jeg henter inn arkitekten som allerede har løst det i en skala som er langt større enn rommet. Identitetspraksisen vår er kun CyberArk, så dette er ingen generalist som gestikulerer mot en kategori. Det er én plattform, kjørt av en som har kjørt den helt i toppen av markedet.

Det kjøperen kjenner igjen, er trygghet på planen. Du får en utrullingsrekkefølge med en grunn bak hvert steg, en nødtilgang revisoren din vil godkjenne, og sesjonsbevis som lar seg eksportere rett inn i ISO 27001- eller NIS2-katalogen din. Avgjørelsene tas av en som har sett dem spille seg ut i stor skala, så du arver lærdommen uten å betale for feilene.

Hva dette betyr for deg

Er du CISO, IAM-ansvarlig eller IT-sjef og planlegger en PAM-utrulling, er konklusjonen smal. Produktet du velger betyr mindre enn erfaringen til den som setter rekkefølgen i utrullingen. En forhandler kan selge deg CyberArk. Langt færre kan fortelle deg, fra å ha gjort det i størst skala, hvilken konto som bør i hvelvet først og hvilken rekkefølge som sparer deg for et produksjonsstopp.

Det er det FM CyberSecurity tilbyr på privilegert tilgang: direkte tilgang til sjefsarkitekten bak en av verdens største CyberArk-løsninger, som kjører den samme plattformen for deg. Vi ber deg ikke stole på et lysbilde.

Kjenner du deg igjen:

• Les om FM CyberSecuritys CyberArk-praksis og hvilke leveransemodeller vi kjører den gjennom.
• Send dette videre til IAM-ansvarlig eller den som har ansvar for privilegert tilgang, før neste demo blir avtalt.
• Ta kontakt for en halvtimes gjennomgang av planen din for privilegert tilgang, og hvor Robin ville startet.