![Право доступа](/upload/cssinliner_webp/iblock/938/6lwhl5s8b0nt4lml96gqtcxblb5d86ez/prava_dostupa.webp)
Право доступа
Узнать больше28.08.2024
Одна из ключевых мер защиты информационных ресурсов — разграничение доступа к ним на базе принципа наименьших привилегий. Важно обеспечить сотрудников достаточными полномочиями для выполнения должностных обязанностей, при этом не допуская избыточности, которая приводит к повышенным рискам ИБ. В статье рассказываем, как происходит получение прав доступа в соответствии с внутренними регламентами компании, каким образом можно контролировать соблюдение назначенных сотрудникам привилегий.
Правами доступа называют разрешение на выполнение определенных действий с информационными ресурсами. Базовые виды полномочий:
Также существуют административные полномочия, позволяющие управлять пользователями и группами пользователей, устройствами, средствами защиты информации. Такие права определяют достаточно широкий круг действий, поэтому их обладатели считаются привилегированными пользователями.
Полномочия могут назначаться каждому пользователю отдельно или через группы пользователей, вручную или автоматически согласно преднастроенным правилам. Чтобы оптимизировать процессы получения прав доступа, необходимо выбрать подходящую модель. Компании в основном используют одну из четырех, которые мы коротко описали.
Модель Discretionary Access Control (далее — DAC) предполагает распределение полномочий силами владельцев ресурсов или администраторов. Ответственные лица формируют списки с указанием, какие учетные записи и с какими ресурсами могут работать. При необходимости расширения круга прав для конкретных УЗ перечень дополняется.
Подход DAC легко реализуется и подходит для небольших организаций. Но использование такой модели получения прав доступа подразумевает назначение широких полномочий для администратора (если именно он определяет права для УЗ). Такой сотрудник может специально или непреднамеренно выдать пользователям излишний набор прав или даже предоставить доступ случайным лицам, что с большой вероятностью приведет к инцидентам ИБ.
Mandatory Access Control (далее — MAC) — модель назначения полномочий на основе служебных меток, присвоенных объектам информационной инфраструктуры. Например, какой-то ресурс может быть признан совершенно секретным, другой — общедоступным. Эти служебные метки учитываются при выдаче прав сотрудникам с разными должностными обязанностями. Кто-то будет иметь полномочия для работы с засекреченными объектами, кто-то — с ресурсами низкой степени конфиденциальности.
Особенность MAC — отсутствие возможности расширять круг полномочий. Если кому-то из сотрудников необходимы дополнительные привилегии, владельцы ресурсов или администраторы формируют новые профили под метки тех объектов, к которым нужен доступ.
Такая модель получения прав доступа подойдет государственным учреждениям и организациям с повышенными требованиями к обеспечению информационной безопасности. Другие компании редко ее используют из-за недостаточной гибкости.
Подход Role Based Access Control (далее — RBAC) — назначение полномочий на основе ролей. Ролями называют готовые наборы привилегий, сформированные под конкретные должности, подразделения и рабочие задачи. Эта модель получения прав доступа удобна тем, что полномочия назначаются не отдельным пользователям, а группам. Тем более процессы можно оптимизировать с помощью IGA-системы (Identity Governance and Administration) Solar inRights, предназначенной для эффективного управления доступом. Платформа позволяет определять круг привилегий для сотрудников и учетных записей, предоставляет широкие возможности для оформления и обработки заявок на получение дополнительных прав, которые могут потребоваться для выполнения отдельных задач.
Ролевой подход считается самым гибким и прозрачным в плане управления доступом, снижает нагрузку на администраторов и сотрудников IT-отдела, поскольку процессы выдачи полномочий максимально автоматизированы. Такая модель не подойдет для совсем небольших компаний, но это оптимальный вариант для среднего и крупного бизнеса.
Полное название модели получения прав доступа — Attribute-based Access Control (далее — ABAC). Назначение полномочий в рамках этого подхода происходит после анализа определенных правил, привязанныхк объектам, например, к пользователям и ресурсам. Предоставленные атрибуты автоматически оцениваются с помощью специальных механизмов, затем формируется список возможных привилегий для каждого субъекта.
Такая модель удобна для крупных компаний с многотысячным штатом сотрудников. Она не настолько удобна и универсальна, как ролевая, но тоже считается довольно гибкой.
Эффективный контроль доступа подразумевает периодический пересмотр назначенных привилегий. Эта мера необходима, если:
Процесс подтверждения привилегий называется сертификацией. В ходе процедуры проверяется актуальность назначенных прав доступа и их целесообразность. Если аналогичный процесс происходит при смене каких-либо условий, он будет называться ресертификацией. Быстро и эффективно провести процедуры в соответствии с внутренними регламентами поможет система Solar inRights, располагающая достаточным набором инструментов для выполнения задачи.
Бывают ситуации, когда необходимо удалять права доступа. Например, если сотрудник перешел на другую должность, и ему назначен новый круг привилегий. В этом случае старые полномочия необходимо отзывать, чтобы не создавать дополнительных рисков ИБ. Также удаление необходимо, если права назначались под конкретную задачу, которая уже выполнена. Третий повод — обнаружение избыточных полномочий. И четвертый — уход сотрудника из компании.
Своевременное удаление полномочий — не менее важный процесс, чем получение прав доступа. Его также можно реализовать путем использования инструментов платформы Solar inRights.
Отсутствие должного контроля за назначением полномочий часто приводит к избыточности в правах доступа, что повышает такие риски ИБ, как несанкционированное использование внутренних ресурсов, потеря и утечка конфиденциальных сведений.
Чтобы минимизировать риски, важно неукоснительно соблюдать внутренние политики и процедуры контроля прав доступа. Также необходимо регулярно проводить аудит для своевременного обнаружения отклонений от регламентов. Достоверные и полные данные для его реализации может предоставить система Solar inRights.
Ключевые функции системы в части получения сотрудниками необходимых прав доступа и обеспечения внутренних регламентов:
Также использование Solar inRights позволяет обеспечить всех лиц, задействованных в процессах контроля доступа, актуальными данными для аналитики, принятия решений, раскрытия инцидентов ИБ.
Что дает IGA-система бизнесу:
Преимущества для ИБ: предоставление полной картины получения прав доступа, снижение количества инцидентов, происходящих из-за избыточности привилегий.
Преимущества использования Solar inRights для ИТ: единое решение вместо лоскутной автоматизации, снижение нагрузки на персонал, наличие детальных отчетов для проведения аудита прав доступа, минимизация ошибок при назначении привилегий.
ЗАКЛЮЧЕНИЕ
Получение прав доступа должно происходить на базе внутренних регламентов и модели управления доступом, выбранной компанией. При назначении полномочий важно учитывать должностные обязанности и задачи сотрудников, особенности используемых систем и ресурсов. Чтобы максимально исключить человеческий фактор и ошибки в этой части, целесообразно внедрить IGA-платформу для эффективного управления доступом. Для среднего и крупного бизнеса подойдет наша зрелая высокопроизводительная система Solar inRights, позволяющая оптимизировать и автоматизировать процессы назначения привилегий.
Самые важные новости кибербезопасности у вас в почте
Выберите темы, на которые бы вам было интересно получать новости.
Для получения бесплатной консультации заполните форму ниже и отправьте заявку. Наш менеджер свяжется с вами в ближайшее время.