Центр управления доступом

Компании, которые еще не пришли к пониманию необходимости централизованного управления доступом к информационным системам (ИС) и корпоративным ресурсам, могут столкнуться со следующими проблемами: нарушениями внутренних политик в части использования прав доступа, накоплением излишних привилегий, отсутствием четкого порядка назначения и отзыва полномочий, долгой обработкой пользовательских заявок, повышенными рисками обращения с чувствительными данными без особого разрешения. Чтобы нивелировать сложности и минимизировать угрозы ИБ-инцидентов, связанных с несанкционированным доступом, целесообразно выстроить центр управления доступом — совокупность инструментов и методов для оптимизации работы с правами доступа и учетными записями (УЗ). В статье рассказываем, как подготовиться к его созданию, какие технологии использовать.

Подготовительный этап к созданию центра управления доступом

Вырабатывая централизованный подход к управлению доступом, компании должны предпринять следующие меры:

• Сформулировать ключевые цели создания центра и задачи, которые должны решаться с его помощью.
• Оценить существующие процессы и политики управления доступом, выявить проблемы и недостатки.
• Выбрать сотрудников, отвечающих за процессы управления доступом и формирование команды экспертов.
• Распределить внутри команды роли и обязанности.

Прежде чем определиться с целями использования центра управления доступом, необходимо проанализировать существующие в компании проблемы. Например:

• Процедуры управления доступом прописаны, но не реализуются должным образом.
• Отсутствует четкий порядок назначения и отзыва полномочий.
• Одному сотруднику назначаются несовместимые полномочия, что сопряжено с высокими рисками ИБ.
• При переходе сотрудника с одной должности на другую не отзываются прошлые права доступа.
• Не аннулируется доступ, предоставленный на время.
• Регистрация учетных записей и назначение полномочий происходит вручную, что занимает много времени.

Оценив возможные проблемы, делаем вывод, что ключевыми задачами центра управления доступом становятся: оптимизация порядка назначения и аннулирования прав доступа, автоматизация процессов создания учетных записей и работы с ними, минимизация конфликтов привилегий и ошибок из-за влияния человеческого фактора, обеспечение соблюдения регламентов.

Разработка стратегии управления доступом

Формирование стратегии включает три больших этапа:

• Определение принципов работы центра управления доступом, выбор актуальных подходов и методологий с учетом специфики бизнес-процессов, актуальных задач и требований.
• Разработка соответствующих целям организации политик управления доступом, создание процедур для реализации этих политик.
• Создание технологической инфраструктуры: выбор и внедрение инструментов для управления доступом, их интеграция с существующей IT-инфраструктурой.

Стратегия должна быть направлена на решение основных задач в соответствии с выбранной моделью управления доступом — подходом к распределению пользовательских привилегий в информационной инфраструктуре предприятия, позволяющим защищать ресурсы и реализовывать процедуры контроля доступа. Какие модели существуют:

• Дискреционная (Discretionary Access Control). При внедрении модели DAC доступом к ИС и ресурсам распоряжаются администраторы или владельцы ресурсов. Ответственные лица формируют списки с фиксированными полномочиями для конкретных сотрудников с возможностью при необходимости повышать уровень доступа.
• Мандатная (Mandatory Access Control). Модель MAC с опорой на принципы конфиденциальности. Каждому ресурсу назначается служебная метка — от «Не засекречено» до «Строго конфиденциально». На основании этой классификации и должностных обязанностей сотрудников определяются права доступа. При необходимости повысить привилегии создаются новые профили, соответствующие выбранным меткам ресурсов.
• Ролевая (Role Based Access Control). Подход RBAC, предполагающий создание ролей с уже укомплектованными наборами привилегий под определенные должности и задачи. Модель удобна тем, что не придется выдавать полномочия каждому сотруднику отдельно — достаточно привязать роли. С повышением или понижением уровня доступа тоже все просто — необходимо внести соответствующие изменения в роли.
• Подход на основе атрибутов (Attribute-based Access Control). Назначение полномочий в модели ABAC происходит на базе правил, привязанных к рабочим задачам, объектам инфраструктуры, обязанностям сотрудников. Специальный механизм автоматически оценивает предоставленные сведения и определяет возможный уровень привилегий для каждого пользователя.

Средний и крупный бизнес обычно использует ролевую модель, позволяющую соблюдать принцип наименьших привилегий, обеспечивать прозрачность управления доступом, упрощать порядок назначения полномочий. Корпорации с многотысячным штатом сотрудников в дополнение к ролевой модели чаще всего внедряют гибкий и удобный в реализации подход на основе атрибутов.

Технологии и инструменты центра управления доступом

Ключевые решения для управления доступом — системы Identity Management (далее сокращенно — IdM) или их версия с расширенной функциональностью — Identity Governance&Administration (IGA). Часто для обозначения этих классов продуктов используется двойная аббревиатура — IdM/IGA. Типовая функциональность таких систем:

• Автоматизация процессов регистрации учетных записей.
• Управление полным жизненным циклом УЗ.
• Автоматизация смены паролей для учеток.
• Отзыв полномочий и блокировка УЗ.
• Создание профилей пользователей.
• Контроль прав доступа всех пользователей.
• Оптимизация процессов создания и согласования заявок на получение дополнительных прав доступа к целевым ИС и ресурсам.
• Предотвращение инцидентов, связанных с доступом к чувствительным данным.
• Контроль SoD-конфликтов.
• Формирование отчетов для расследований и аудитов прав доступа.

IdM/IGA-система Solar inRights предоставляет эффективные инструменты для удобного управления доступом и учетными записями, позволяет выдавать и отзывать полномочия на базе ролевой модели. Благодаря коннекторам платформа получает из доверенных источников данные о ролях сотрудников и автоматически назначает необходимые наборы прав.

Являясь ядром центра управления доступом, наша система будет полезна в части работы с заявками на дополнительные полномочия, поскольку позволяет формировать маршруты согласования и автоматически направлять по ним заявки для быстрого рассмотрения ответственными лицами, хранить всю историю поданных заявок.

Solar inRights более эффективно управляет пользовательским доступом в интеграции с другими технологиями и СЗИ:

• Симбиоз решений IdM/IGA и СКУД помогает минимизировать риски нелегитимного использования УЗ за физическим периметром компании, что может быть актуально, например, для предприятий ВПК.
• Интеграция Solar inRights с SIEM-решениями для управления событиями безопасности позволяет проводить более детальный анализ и качественнее прорабатывать сценарии реагирования на инциденты.
• Интеграция IdM/IGA-платформы с инструментом единого входа SSO дает пользователям возможность проходить процедуру аутентификации на разных сервисах с одним набором учетных данных.
• Тандем Solar inRights и PAM-платформ повышает эффективность управления привилегированным доступом.

С помощью комплекса инструментов и технологий, формирующих центр управления доступом, предприятия смогут решать текущие задачи в части работы с привилегиями сотрудников, контролировать действия пользователей, эффективно предотвращать нарушение внутренних регламентов и инциденты ИБ.

Преимущества IdM/IGA-решения Solar inRights

Основные преимущества применения нашего продукта в центре управления доступом:

• Удобные и понятные визуальные средства настройки системы.
• Заложенная в ПК экспертиза продуктовой команды от ведущего вендора.
• Работа на импортонезависимых компонентах.
• Кастомизация под требования заказчика.
• Простое и практически неограниченное масштабирование.
• Высокая производительность и стабильность работы.

Преимущества использования Solar inRights для ИБ-подразделений:

• Формирование полной картины прав доступа к целевым ИС и используемым компанией ресурсам.
• Учет доступа штатных сотрудников, аутсорсеров и подрядчиков.
• Минимизация избыточных полномочий.
• Мгновенная блокировка доступа в случае нарушения полномочий.
• Сбор данных для анализа рисков ИБ и расследования инцидентов, связанных с превышением полномочий.

Использование Solar inRights способствует переходу к эффективной системе централизованного управления доступом в организациях любого масштаба, позволяет в единой точке получать полную информацию по всем объектам доступа, повышать зрелость процессов ИБ.