Мандатная модель управления доступом

Чтобы предотвратить несанкционированное использование чувствительной информации, компании внедряют различные модели управления доступом. Одна из них — мандатная, основанная на назначении меток конфиденциальности данных. Реализовать эту модель и проконтролировать соблюдение политик доступа можно с помощью системы класса Data Access Governance Solar DAG. Рассказываем, как назначаются и контролируются полномочия, какие задачи выполняет DAG-платформа.

Мандатная модель управления доступом: что это и как внедряется

Мандатное управление доступом (англ. Mandatory Access Control, MAC) — подход, подразумевающий выдачу полномочий в строгом соответствии со служебными обязанностями персонала и метками конфиденциальности, присвоенными информационным ресурсам.

Как реализуется подход:

• Каждому информационному ресурсу присваивается метка конфиденциальности, например «несекретно», «секретно», «строго конфиденциально».
• Владельцы информационных ресурсов или администраторы назначают пользователям права доступа в соответствии с должностными обязанностями. Кому-то разрешается работать только с несекретными данными, кому-то — с секретными, кому-то — со строго конфиденциальными. Под каждого сотрудника создается профиль с указанием полномочий.
• Если для кого-то из сотрудников нужно повысить уровень полномочий, формируются отдельные профили под необходимую метку информационных ресурсов. Другим путем расширить круг прав доступа нельзя.

Схема мандатного управления доступом позволяет максимально избежать избыточных полномочий, поэтому подходит для госсектора и компаний с повышенными требованиями к безопасности данных. В других случаях ее используют достаточно редко, выбирая более гибкие модели.

Компоненты мандатного управления доступом

В схеме мандатного управления доступом есть три ключевых компонента:

• Иерархия уровней доступа, обрабатываемых в корпоративных системах.
• Объекты с определенным уровнем конфиденциальности — любые данные, хранящиеся в файловых системах. Для каждого объекта возможно повышение степени секретности, а вот понижение — категорически запрещено. То есть строго конфиденциальные данные ни при каких обстоятельствах не могут стать несекретными.
• Субъекты с уровнем доступа. В рамках мандатной модели управления так называют пользователей с определенным кругом полномочий.

Также в мандатном управлении доступом существует понятие категорий, используемых для горизонтального разграничения доступа между отделами компании. Это значит, что сотрудники разных подразделений с одним мандатным уровнем смогут работать не со всеми объектами, чей уровень конфиденциальности соответствует их профилю, а только с теми, к которым открыт доступ.

Преимущества мандатного управления доступом

Сильные стороны Mandatory Access Control:

• Высокий уровень защиты данных от несанкционированного доступа.
• Обеспечение прозрачности доступа за счет четкого определения полномочий для каждой роли.
• Упрощение задач ответственных лиц в части администрирования доступа к корпоративной информации.
• Обеспечение соответствия законодательству и отраслевым нормативным актам.

Из-за жесткости разграничения доступа у такой модели есть и минусы: отсутствие гибкости, сложность управления в больших компаниях.

Дискреционное и мандатное управление доступом

Прежде чем сравнивать мандатное и дискреционное управление доступом, расскажем, что собой представляет дискреционная модель (Discretionary Access Control, DAC). Это подход, подразумевающий, что полномочия сотрудникам назначают владельцы информационных ресурсов или администраторы. Если это сами администраторы, то им присваиваются почти неограниченные права, что несет дополнительные риски при реализации дискреционной модели.

Дискреционный подход подойдет для стартапов, малого бизнеса, образовательных учреждений.

Отличия мандатного и дискреционного управления доступом:

• В дискреционной модели назначение полномочий происходит на основе идентификационных данных о субъектах, в мандатной — с учетом уровня конфиденциальности информационных ресурсов.
• В дискреционном подходе на первом месте стоит удобство, в мандатном — безопасность конфиденциальных данных.
• Дискреционное управление доступом подразумевает возможность без проблем расширять круг прав при необходимости. В мандатной модели пересмотр полномочий сложно реализуем и предполагает создание дополнительных профилей для сотрудников.

Общие моменты для мандатного и дискреционного управления доступом: отсутствие гибкости при назначении полномочий и сложность внедрения в компаниях с многочисленным штатом сотрудников.

Как Solar DAG помогает в реализации мандатного управления доступом

Чтобы организованно подойти к разграничению полномочий в рамках мандатного управления доступом или любой другой модели, необходимо сначала проанализировать всю имеющуюся у компании информацию, классифицировать ее по уровню конфиденциальности и присвоить соответствующие служебные метки. В этом поможет система Solar DAG. Она сканирует информационные активы, позволяет обнаруживать неструктурированные данные, среди которых могут быть и чувствительные. Также система помогает установить иерархию уровней доступа, отследить изменения в правах доступа. Решение дает полное понимание, какая конфиденциальная информация есть в компании, кто с ней работает. На основании полученных сведений ответственные лица могут назначать для сотрудников полномочия и создавать профили в соответствии с мандатной моделью управления доступом.

Какие еще задачи выполняет Solar DAG:

• Упрощает проведение аудита прав доступа, позволяет отслеживать состояние актуальных полномочий в рамках мандатной модели управления доступом или любого другого выбранного компанией подхода. Система формирует отчеты, из которых видно, какие привилегии назначены учетным записям, кто работает с теми или иными информационными ресурсами.
• Предоставляет данные для аудита событий доступа. Solar DAG журналирует события в файловых системах и дает понимание, кто и какие операции совершал с информационными активами. Эта функция помогает обнаруживать факты несанкционированного доступа.
• Позволяет контролировать политики хранения чувствительных данных и политики доступа. Система оповещает ответственных лиц обо всех зарегистрированных несанкционированных операциях с конфиденциальной информацией.

Также Solar DAG играет важную роль в защите корпоративных данных. Система облегчает проведение расследований инцидентов ИБ и позволяет выявлять нарушения, ставшие причиной несанкционированного доступа или утечки. У компании будет возможность исправить недочеты в части выдачи полномочий и избежать повторных инцидентов.

Преимущества внедрения Solar DAG для поддержки мандатной модели управления доступом

Какие сильные стороны системы можно выделить:

• Высокую производительность, позволяющую DAG-системе обрабатывать огромные объемы данных и контролировать действия большого количества сотрудников.
• Получение актуальной информации о хранящихся данных в режиме реального времени.
• Интеграцию данных из разных типов источников и предоставление достоверной аналитики для поддержки мандатного управления доступом.
• Максимальную наглядность, позволяющую анализировать порядок предоставления доступа к конкретным информационным активам.
• Возможность интеграции с IdM- и DLP-системами для обеспечения комплексной защиты данных и управления доступом, в том числе в рамках мандатной модели.

Использование Solar DAG позволит соблюсти законодательство и требования отраслевых регуляторов, например ФЗ № 152. Благодаря системе ответственные лица всегда будут в курсе, какая информация есть в распоряжении компании и кто с ней работает.