Нарушения полномочий

Некоторые компании фокусируются на защите ИТ-инфраструктуры от хакеров, упуская из виду внутренние инциденты информационной безопасности. Зачастую виной всему — нарушения полномочий со стороны кого-то из персонала. Отсутствие системного контроля прав доступа сотрудников к корпоративным ресурсам препятствует оперативному выявлению и предотвращению инцидентов, связанных с использованием избыточных полномочий. Есть верный способ избежать таких рисков — использование IdM-системы Solar inRights для контроля учетных записей и полномочий. Рассказываем, как решение может помочь бизнесу.

Что такое нарушение полномочий, почему это опасно

Нарушение полномочий — это любые несанкционированные действия внутри корпоративной ИТ-инфраструктуры. Это может быть превышение назначенных прав либо использование привилегий ненадлежащим образом, что приводит к угрозам информационной безопасности.

Приведем пример. У сотрудника должны быть только права на чтение персональной информации клиентов, чтобы он видел имена и фамилии, номера телефонов, адреса электронной почты. По ошибке ему назначили права на запись. Сотрудник попытался внести несогласованные изменения в данные, что является нарушением полномочий.

Проблема не столько в сотрудниках, сколько в том, что ответственные лица компании зачастую даже не в курсе, у кого какие полномочия. Чем это грозит:

• Утечками конфиденциальной информации.
• Мошенничеством внутри компании и от ее лица.
• Санкциями со стороны регуляторов. Например, штрафами за утечку персональных данных.

Если компания будет использовать Solar inRights, то многих нарушений полномочий удастся избежать. Решение помогает соблюдать принцип наименьших привилегий за счет разграничения доступа к ресурсам, в том числе по атрибутам пользователей, и назначать релевантные права доступа согласно ролевой модели. Также оно дает полное представление о полномочиях сотрудников, которые предоставлены им для работы в корпоративных системах.

Основные типы и причины нарушений полномочий

Рассказываем, как зачастую происходят нарушения и почему такие ситуации потенциально возможны.

Избыточные права доступа

Это главная причина внутренних нарушений. Если у сотрудников больше прав, чем нужно для работы, инцидентов ИБ вряд ли удастся избежать. Избыточные права могут быть назначены изначально, если компания не соблюдает принцип наименьших привилегий. Иногда они накапливаются у отдельных сотрудников, которые совмещали несколько должностей или временно заменяли коллег. Расширение полномочий в таких ситуациях — нормальная практика. Проблема в том, что эти полномочия зачастую забывают вовремя отозвать.

Solar inRights позволяет выявлять избыточные права, контролировать совмещение должностей и своевременно отзывать неактуальные права доступа, чтобы они не накапливались.

Конфликты интересов

Иногда одному сотруднику назначают несовместимые в рамках одной роли или ИТ-инфраструктуры в целом права доступа. Яркий пример — полномочия на хранение каких-либо ресурсов и их проверку. Эта пара полномочий часто приводит к таким нарушениям, как мошенничество, растрата, сокрытие несанкционированных изменений данных.

Еще примеры несовместимых прав:

• Регистрация и хранение.
• Хранение и авторизация.
• Авторизация и проверка.

Такие совмещения называются SoD-конфликтами. Segregation of Duties (SoD) — это принцип внутреннего контроля, который простыми словами можно описать так: одну важную задачу нельзя выполнять в одиночку, ее нужно разбить на этапы и поручить разным людям. Таким образом будет реализовано разделение обязанностей при выполнении задачи. Но полностью предотвратить такие конфликты сложно, зато можно заранее спрогнозировать с помощью Solar inRights и держать под контролем. Система строит матрицу по принципу разделения обязанностей SoD, из которой видно, в каких случаях возможен конфликт. И если конфликт неизбежен, например, когда в компании не закрыты вакансии и временно происходит вынужденное совмещение ролей, то система IdM поможет проконтролировать такие ситуации, чтобы не было нарушений.

Неотозванные права уволившихся сотрудников

Во многих компаниях остаются так называемые «забытые утечки» — учетные записи сотрудников, которые уже не работают. В идеале сразу нужно блокировать такие УЗ, только это правило часто нарушается. Фактически уволенный сотрудник может воспользоваться своим аккаунтом и получить доступ к корпоративным ресурсам. Это происходит чаще, чем кажется, поскольку не все уходят «на доброй ноте». Кто-то хочет отомстить руководству или коллегам, кто-то — продать конфиденциальные данные хакерам и заработать. Сценариев развития событий много, а вывод один — компания сильно рискует, если вовремя не блокирует учетки.

Solar inRights позволит автоматически отзывать права сотрудников сразу после увольнения и блокировать учетные записи. IdM-система помогает избегать нарушения полномочий следующим образом:

• С помощью коннекторов получает актуальные сведения из кадровых источников.
• Применяет заданные сценарии реагирования. Например, приостанавливает или блокирует учетные записи, оповещает ответственных лиц.

Несанкционированная эскалация привилегий

Эскалация привилегий — ситуация, когда пользователь стремится получить избыточные права доступа без соответствующего разрешения. Есть два вида эскалации:

• Вертикальная. В этом случае злоумышленник пытается получить больше прав, чем у него было изначально. Обычно целью становится административный или root-доступ — это максимальные права в операционной системе, позволяющие пользователю выполнять любые действия без ограничений.
  Горизонтальная. Здесь один пользователь выдает себя за другого пользователя с аналогичными полномочиями. Избыточных прав не будет, зато злоумышленник может завладеть чужими данными.

Solar inRights помогает предотвращать такие ситуации с помощью четкого распределения ролей с готовыми наборами прав и автоматизированного контроля использования учетных записей.

Как Solar inRights помогает предотвращать нарушения полномочий

Solar inRights помогает автоматизировать управление жизненным циклом учетных записей и полномочиями, контролировать доступ внештатных специалистов, расследовать инциденты ИБ.

Автоматизация работы с учетными записями и полномочиями

Когда в компанию приходит новый сотрудник, под него автоматически создается новая учетная запись с набором полномочий, соответствующим должности. Таким образом исключаются риски избыточных прав. Если назначенных полномочий недостаточно для выполнения каких-либо задач, работник может по заявке запросить дополнительные. Заявка будет автоматически направлена на согласование ответственным лицам. Таким образом, при положительном решении, полученные дополнительные полномочия будут санкционированными.

Если сотрудник переходит на другую должность, его права доступа пересматриваются. Заявка на пересмотр должна быть согласована с новым руководителем, так как, помимо стандартного набора прав, сотрудник мог ранее запрашивать дополнительные доступы, и новый руководитель примет решение об их сохранении или удалении. Когда сотрудник уходит в отпуск, Solar inRights может приостанавливать действие его учетной записи, если такое условие прописано в карточке сотрудника. Если работник увольняется, то автоматически блокирует аккаунт и отзывает полномочия.

Резюмируем: Solar inRights позволяет автоматизировать управление правами доступа, при этом соблюдая политику безопасности компании. В результате сотрудники получают необходимый набор полномочий без избыточности, а руководители знают, кому и что разрешено.

Управление доступом внештатных сотрудников

Во многих компаниях есть внештатники, которые имеют доступ к корпоративным системам и данным. Поскольку такие работники «в тени», нарушения полномочий с их стороны могут остаться незамеченными без должного контроля. Solar inRights может автоматизировать работу с учетными записями и правами доступа внештатных сотрудников по такому же принципу, как и с офисным персоналом.

Есть нюанс: если компания не ведет внештатников в кадровых системах, IdM-решение не сможет получить данные о них с помощью коннекторов. В таком случае сведения нужно внести вручную через графический интерфейс Solar inRights. Заводится карточка для внештатного сотрудника, ему назначается куратор из числа работников, который будет нести ответственность за актуальность его учетной записи и предоставленные права доступа к ресурсам организации.

Назначение прав на базе ролевой модели и динамических политик

IdM-система позволяет назначать пользователям права доступа согласно базовым ролям, которые обычно основываются на особенностях подразделений и служебных обязанностях в рамках той или иной должности. Также применяются динамические политики.

Политики назначений позволяют выдавать доступ строго в необходимом объеме, предотвращая превышение полномочий. Их динамические версии идут дальше: при определении прав они анализируют не только должность сотрудника, но и сопутствующие атрибуты — кадровый статус, тип занятости (штатный или внештатный), а также иные характеристики пользователя и условий его работы. Подход обеспечивает гибкое управление доступом, исключает нарушения полномочий и минимизирует риски, связанные как с избыточными, так и с недостаточными правами для выполнения служебных задач.

Работа с заявками на предоставление дополнительных прав доступа

Некоторым сотрудникам может не хватить назначенных привилегий. Например, такое бывает при работе над конкретными проектами. В этих случаях можно запросить дополнительные привилегии по заявке, которая будет рассмотрена ответственными лицами.

Solar inRights упрощает процессы формирования и согласования таких заявок. К тому же в системе можно создавать удобные маршруты согласования, по которым будут направляться все запросы от пользователей. Маршруты можно корректировать в зависимости от действующих процессов: добавлять или удалять шаги согласования, включать функцию эскалации и изменять другие параметры.

Помощь в расследовании инцидентов ИБ

Если из-за нарушения полномочий произошел инцидент, компании нужно как можно скорее найти виновных и принять меры для предотвращения повторных случаев. Solar inRights предоставит всю необходимую информацию о прошлых и текущих правах доступа сотрудников, всех кадровых изменениях.

Преимущества использования Solar inRights

У Solar inRights много сильных сторон, поэтому перечислим только основные:

• Выявление нарушений, связанных с несанкционированным назначением или отзывом прав.
• Настраиваемые ролевые модели и каталоги прав для назначения релевантных полномочий.
• Кастомизация под нужды бизнеса без потери настроек.
• Импортонезависимость и безопасность кода.
• Простые и интуитивно понятные визуальные средства настройки системы.

Подключая Solar inRights, компания получает не только стабильное решение для управления доступом, но и поддержку от экспертов в сфере ИБ с более чем 15-летним стажем.

Нарушения полномочий — скрытая угроза для бизнеса

Лучшее противодействие внутренним нарушениям — автоматизированный контроль. Это особенно актуально для крупных компаний, где сложно, а иногда и физически невозможно вручную отслеживать, назначать/отзывать права доступа. Целесообразно внедрить систему Solar inRights с преднастроенными автоматическими сценариями работы с учетными записями и пользовательскими привилегиями. Если хотите узнать, как она поможет предотвратить нарушение полномочий, можете оставить заявку на консультацию или запросить демоверсию решения.