Безопасность корпоративной учетной записи
Узнать большеВ любой современной компании используется несколько информационных систем (далее – ИС): кадровые, складского учета, CRM, ERP и другие. В них регулярно происходят изменения: создаются новые аккаунты, удаляются старые, корректируются полномочия действующих пользователей и так далее. На управление этими процессами, а также предоставление доступа к информационным ресурсам уходит много времени. Часто администраторы не успевают оперативно реагировать на изменения, из-за чего возникают инциденты, связанные с правами доступа. А ведь нужно всего-то привести эти процессы в порядок, обеспечив защищенный доступ к информационным ресурсам. Для этого используются активно развивающиеся технологии, а также множество реализующих их программных/технических средств.
Три ключевые технологии предоставления доступа к информационным ресурсам
Специалисты выделяют 3 основные технологии, с помощью которых можно автоматизировать и привести в порядок доступ к информационным ресурсам предприятия. Их можно использовать по-отдельности или в комплексе.
Технология управления доступом на основе PKI
PKI (Public Key Infrastructure) – это инфраструктура открытых ключей. Она подразумевает, что у каждой сущности (субъекта, сотрудника) есть свой уникальный ключ. Для идентификации могут использоваться токены, смарт-карты, сертификаты либо ключевые пары. Технология управления доступом на основе PKI является фундаментом модели двухфакторной аутентификации. Для ее реализации в компании необходимо развернуть удостоверяющий центр (как вариант, на базе Microsoft Certification Authority) и организовать учет выданных ключей, а также оперативное реагирование на изменения.
Такую технологию чаще всего используют при организации защищенного доступа в банковские системы (например, e-banking), при ведении электронной торговли. PKI эффективна при защите биллинговых систем, обеспечении безопасности мобильных платежей.
Плюс этого подхода – высокий уровень защиты корпоративной информации, т. к. для ее обеспечения используются криптографические средства. Из минусов можно выделить относительную сложность развертывания и управления инфраструктурой.
Технология единого входа (SSO)
SSO, или технология единого входа (Single sign-on), предполагает использование одного набора учетных данных для предоставления доступа к разным информационным ресурсам (программам, приложениям, сайтам). Здесь в качестве связующего звена между пользователем и целевой ИС выступает система управления доступом (СУД). СУД идентифицирует сотрудника и при попытке входа в ИС, с которой взаимодействует посредством специализированного сертификата, сообщает ей, легитимный это пользователь или нет.
Единый логин и пароль упрощает работу пользователей, а также администратора. Последний может централизованно контролировать такие факторы, как сложность пароля, использование многофакторной аутентификации. Упрощается процесс восстановления доступа к целевым информационным системам, если пользователь забыл пароль или логин. Значительно ускоряется отзыв прав на доступ в несколько ИС: достаточно отозвать их в СУД, и войти в целевые системы пользователь уже не сможет.
В качестве существенного недостатка этой технологии эксперты отмечают высокую важность единственного набора данных для авторизации. Достаточно злоумышленнику завладеть логином/паролем, и он получит возможность несанкционированного доступа ко всем целевым информационным системам.
Среди специалистов есть мнение, что разные логины и пароли к разным ИС – более надежный вариант. Реализовать такой подход позволяет следующая технология ограничения/организации доступа к информационным ресурсам.
Технология IdM
IdM (Identity Management) – это сочетание практик, подходов, технологий и ПО для организации управления учетными данными и правами пользователей, системами контроля и управления доступом (СКУД) и другими процедурами. Предназначение этого комплекса: повышение безопасности целевых ИС, их производительности, оптимизация времени простоя, сокращение числа повторяющихся задач и снижение затрат на управление учетными записями, правами и полномочиями.
Внедрение программных средств, функционирующих на основе этой технологии (например, Solar InRights), дает бизнесу следующие эффекты:
-
Централизованное управление предоставлением доступа ко всем информационным ресурсам и целевым ИС компании. За счет этого, например, значительно ускоряются процессы предоставления/отзыва прав и полномочий. Есть немало примеров, когда время простоя новых сотрудников в компаниях (в ожидании, пока для них создадут «учетки» во всех системах) сокращалось с нескольких дней до нескольких часов.
-
Получение всегда актуальной матрицы доступа, позволяющей быстро оценить, кому какие полномочия принадлежат в конкретный момент времени. При использовании других моделей специалистам по ИБ на получение таких сведений требуется больше времени.
-
Реализация ролевой модели управления доступом (которая становится все более популярной из-за высокой эффективности). За счет нее реализуется гибкое управление полномочиями и правами, нет необходимости привязываться к одному набору учетных данных для всех целевых ИС.
-
Сведение к минимуму ежедневных рутинных операций для администраторов: настройка аккаунтов в разных информационных системах, изменение полномочий и так далее.
Технология и созданные на ее базе программные средства подходят для компаний любого масштаба. Например, Solar InRights выдерживает нагрузку свыше 100 000 пользователей с возможностью создания в системе 1 000 000 и более ролей.
В общем, выбор есть. Для построения эффективной системы управления предоставлением доступа к информационным ресурсам и корпоративным ИС можно пойти разными путями. Кому-то будет достаточно одной технологии. Кому-то, с учетом специфики компании, нужно будет комбинировать несколько.
