Новости  Акты  Бланки  Договор  Документы  Правила сайта  Контакты
 Топ 10 сегодня Топ 10 сегодня 
  
15.11.2015

Модель управления доступом

Любые избыточные права доступа сотрудников ведут к увеличению риска утечки информации. В статье рассказывается о ролевой модели прав доступа, процессе инвентаризации выданных прав доступа и выявлении несоответствий на примере системы управления и контроля доступа «КУБ». Если есть конфиденциальная информация государственная, коммерческая тайна, персональные данныето существует задача ее защиты. С ростом модель управления доступом, увеличивается опасность хищения информации, в том числе сотрудниками, возрастают модель управления доступом и репутационные риски, это приводит к ужесточению политик и систем контроля. Любые избыточные права доступа сотрудников ведут к увеличению риска утечки информации. Наверняка, каждый из вас сталкивался со следующей ситуацией: сотрудник решает уволиться и перед уходом копирует на флэшку всю ту информацию, к которой имеет доступ авось, пригодится! Если сотрудник в организации достаточно давно, то за время работы, скорее всего, у него накопилось огромное количество привилегий доступа к различным информационным ресурсам компании, которые он получал, участвуя в проектах, выполняя поручения руководства и модель управления доступом ежедневные обязанности. Риск потери конфиденциальной информации очень велик и последствия могут быть различными - начиная от потери модель управления доступом компании и заканчивая уголовным преследованием. Поэтому большинство компаний с ростом численности сотрудников усиливают меры по контролю за правами их доступа. Происходит ужесточение политики ИБ, так как увеличиваются риски утечки информации. Одним из первых этапов по упорядочиванию процесса выдачи прав к информационным системам — ввод системы согласования заявок. Ввод системы согласования заявок Далее обычно принимаются меры по уменьшению полномочий сотрудников, такие как запрет создания ресурсов изменения прав доступа к тем ресурсам, где пользователь владелец, блокировка прав локального администратора и так далее. Следующим этапом, как правило, вводится периодическая инвентаризация и ресертификация существующих прав доступа, то есть пересмотр прав пользователей к информационным ресурсам компании. Инвентаризация прав доступа Давайте остановимся подробнее на последних операциях. Представьте, что нужно узнать, к каким ресурсам имеет доступ сотрудник, работающий в организации пять лет. Сколько это займет времени? А если необходимо провести проверку 50 сотрудников? Информационные системы: Active Directory Файловые ресурсы ERP-системы 1С, SAP, IBM, Microsoft CRM Microsoft, IBM, amoCRM, SugarCRM СЭД БОСС-референт, IBM lotus, Directum Рисунок 2. Типовой доступ сотрудника модель управления доступом информационным системам модель управления доступом Для чего же необходимо производить инвентаризацию доступа? Основная задача — обеспечение сотрудникам необходимых и достаточных прав доступа для работы. Это права доступа строго необходимые для выполнения должностных обязанностей на текущий момент. Инвентаризация позволяет выявить привилегии, которые на данный момент исполнения обязанностей сотрудника не являются необходимыми. Чтобы понять всю сложность инвентаризации, давайте посмотрим как обычно осуществляется предоставление доступа в организации? Чаще всего запрос и согласование доступа осуществляется в системе электронного документооборота, с помощью корпоративной почты или веб-портала, либо просто по телефону. После того, как запрос согласован, доступ выдан, заявка отправляется в архив, если таковой существует. При этом механизме оперативного отслеживания существующих полномочий сотрудника чаще всего нет. В таких ситуациях единственная возможность выявить текущие права доступа сотрудников — проведение оперативной или плановой инвентаризации. Пример отчета «Инвентаризация прав доступа», предоставляемый системой управления и модель управления доступом доступа «КУБ» Наиболее оптимальным решением проблемы инвентаризации существующих прав доступа — использование ролевой модели и типового доступа. Давайте рассмотрим подробнее эти понятия. Типовой доступ Типовой доступ — это использование шаблонных групп, профилей, ролей в информационных модель управления доступом для предоставления доступа. Например, в 1С 8. Или управление членством группы в Active Directory «Доступ к папке «Текущие проекты» модель управления доступом для предоставления прав доступа к разделяемому каталогу. Использование модель управления доступом позволяет сократить время на аудит прав пользователя и формализует процедуру их предоставления. Использование шаблонных групп, ролей и профилей Ролевая модель Ролевая модель RBAC — использование формализованных шаблонов на предприятии, которые содержат необходимые полномочия для осуществления определенной деятельности. Для решения большинства задач организации существуют ролевые полномочия, присваиваемые сотрудникам. Например: В рамках ролевой модели доступа на основе матрицы доступа в разрезе подразделений и должностей используется такие сущности, как: бизнес-роли, должностной доступ и, в исключительных случаях, индивидуальный доступ Должностной доступ представляет собой набор базовых прав, которые имеют сотрудники одного отдела на одной должности. Модель управления доступом, это минимально необходимые привилегии для выполнения рабочих обязанностей. Использование шаблонов должностного доступа Например: модель управления доступом учетной записи в AD для входа в домен, создание корпоративного почтового ящика, выделения доступа к корпоративной папке отдела на файлообменнике и регистрация в профильной информационной системе с базовыми правами ERP, CRM, СЭД. Бизнес-роль Бизнес-роли включают в себя типовой доступ, который сотрудник запрашивает либо ему выдается для выполнения определенных функций — участия в проекте, выполнения поручений руководства, командировка. Использование шаблонов бизнес-ролей Индивидуальный модель управления доступом Индивидуальный доступ необходим для решения конкретных задач, поставленных руководителем, это дополнительные права, которые сотрудник запрашивает с помощью интерфейса самообслуживания: веб-портала, Модель управления доступом и пр. При применении ролевой модели доступа, количество индивидуальных прав обычно составляет 5-10% от общего количества привилегий. Данная схема позволяет значительно снизить объем производимой инвентаризации, так как есть права, характерные для должностей, которые априори присутствуют у сотрудника и в большинстве случаев достаточны для работы. Так модель управления доступом есть типовые права, модель управления доступом сотрудник участвует в проекте на определенной роли. Процесс предоставления индивидуальных прав доступа Сертификация доступа Для контроля за состоянием индивидуальных прав доступа сотрудников многие организации ввели процедуру сертификации доступа, в процессе которой непосредственные руководители или ответственные лица проводят периодическую переаттестацию индивидуальных привилегий сотрудника. С помощью IDM-системы, например, «КУБ» эту процедуру можно автоматизировать. Руководитель будет периодически получать уведомления со списком индивидуальных привилегий его подчиненных, которые он может продлить на расчетный период или отобрать. Есть другой вид переаттестации, когда доступ подтверждается не руководителем, а согласующими лицами, которые утверждали первоначальный доступ. Утверждение индивидуальных прав доступа Работа с несоответствиями Как правило, в IDM-решении присутствуют механизмы отслеживания, так называемых, несоответствий. Несоответствие — это изменение прав доступа сотрудников, изменение атрибутов ресурсов информационных систем в обход процедуры согласования и без уведомления сотрудников службы ИБ. Отслеживание несоответствий в правах доступа IDM-решения производят мониторинг информационных систем на предмет изменения состояний, после чего соотносят эти изменения с заявками, созданными в IDM. Мониторинг изменений доступа в информационных системах Если соответствующих запросов на доступ нет, то событие считается нелегитимным. По данному факту оповещается ответственный за информационную систему. По результатам расследования инцидента может приниматься решение об отклонении изменений тогда IDM автоматически «откатывает» состояние системы либо об их утверждении. Несоответствие прав доступа фиксируются системой Заключение По статистике около 70% утечек конфиденциальной информации происходит по вине сотрудников организации. Любые меры по противодействию утечкам информации делятся на два типа: превентивные меры и защитные. Защитные меры — использование: DLP SIEM СЗИ Превентивные меры — инвентаризация, ресертификация и мониторинг прав доступа сотрудника. Основная задача - обеспечение сотрудникам необходимых и достаточных прав доступа для работы. Это позволяет минимизировать риски по утечке информации. Контроль существующих прав доступа Построение матрицы доступа Мониторинг изменений ИС Использование матрицы доступа, ролевой модели и механизмов работы с несоответствиями позволит реализовать политики информационной безопасности, направленные на предотвращение утечек информации в организации. Если вы заметили ошибку, выделите необходимый текст и нажмите Ctrl+Enter, чтобы сообщить об модель управления доступом редакции Популярные статьи Полное или частичное использование материалов сайта допускается только с письменного разрешения администрации!

  Комментарии к новости 
 Главная новость дня Главная новость дня 
Метро молодежная на схеме метро
Что делает человека свободным
Инструкция ринитал таблетки
Инструкция по применению пандезина
Букет котов стих
Проблемы с пластиковыми окнами
Выставки в ростове на дону 2015 расписание
Характеристика тротуарной плитки
Сколько в воронеже и области инвалидов таблица
 
 Эксклюзив Эксклюзив 
Характеристика преступления с материальным составом
Производительность труда статьи
Татуировки в виде треугольника
Фермерские хозяйства алтайского края список
Правило правописание частицы не с глаголами
Расписание одесса киев автобус гюнсел
Статья 258 тк рф