Lietotāju piekļuves tiesību pārvaldība – IT drošības kontekstā

Ja darbiniekiem tiek dotas piekļuves tiesības visām organizācijas IT sistēmām un informācijai (pat, ja darba vajadzībām tās nav nepieciešamas), tad incidenta un kompromitēta lietotāja konta gadījumā nodarītie zaudējumi būs daudz lielāki, nekā tiem vajadzētu būt. Darbiniekiem vajadzētu piešķirt tikai tādu piekļuves tiesību minimumu, kas ir nepieciešams viņu darba izpildei. Priviliģētu piekļuves tiesību piešķiršanu organizācijai svarīgām sistēmām vajadzētu īpaši uzmanīt un kontrolēt.

Labākai risku pārvaldībai, organizācijai vajadzētu saprast un definēt, kāda līmeņa piekļuves darbiniekiem ir nepieciešamas informācijas sistēmām un IT resursiem, lai viņi varētu atbilstoši veikt savu darbu. Vāja piekļuves tiesību pārvaldība var veicināt šādu risku iestāšanos:

• Neatbilstoša privilēģiju izmantošana: lietotāji var nejauši vai apzināti ļaunprātīgi izmantot viņiem piešķirtās tiesības. Tas var izraisīt gan lietotāja vai kādas trešās puses neatļautu piekļuvi organizācijai svarīgai informācijai, gan arī izraisīt nesaskaņotas izmaiņas sistēmās, kas var tieši ietekmēt organizācijas darbību un drošības uzstādījumus.
• Paaugstinātas uzbrucēja iespējas: priviliģēta piekļuve sistēmām, kas tiek piešķirta konta sākotnējam lietotājam, būs pieejama arī ļaundarim veiksmīga uzbrukuma gadījumā. Jo plašākas piekļuves tiesības konta īpašniekam, jo vairāk šo kontu vēlēsies pārņemt uzbrucēji.
• Kompromitētas drošības sistēmas: ja uzbrucējiem ir priviliģēta piekļuve sistēmai, viņi var veikt izmaiņas drošības uzstādījumos, lai varētu veikt atkārtotus uzbrukumus, kā arī, lai mēģinātu noslēpt liecības par savām darbībām.

Izveidot efektīvu kontu pārvaldības procesu: pārvaldīt lietotāju kontus no to izveidošanas brīža, to darbības laikā un līdz to slēgšanai, darbiniekam mainot amatu vai pārejot strādāt citur. Bijušo darbinieku kontu atslēgšana ir visatbilstošākā rīcība, jo var gadīties, ka vēlāk rodas nepieciešamība piekļūt informācijai, ar kuru šis cilvēks strādājis. Lai saglabātu piekļuvi, konti nav jādzēš, bet jāatslēdz, lai tos nevarētu lietot (ieteicamais periods ir 6 mēneši pēc darba tiesisko attiecību pārtraukšanas), bet nepieciešamības gadījumā varētu piekļūt to informācijai vai atjaunot kontu darbību.

Definēt lietotāju autentifikācijas un piekļuves politiku: noteikt organizācijā vienotu standartu attiecībā uz drošām parolēm un to uzglabāšanu. Atsevišķiem priviliģētiem lietotāju kontiem var tikt piemērots papildu autentifikācijas faktors.

Ierobežot lietotāja piekļuves tiesības: lietotājiem (atbilstoši darba vajadzībām) piešķirt samērīgas piekļuves tiesības un atļaujas sistēmām, pakalpojumiem un informācijai.

Ierobežot priviliģēto kontu skaitu un izmantošanu: stingri pārraudzīt ļoti priviliģētu tiesību piešķiršanu sistēmai, regulāri pārskatot nepieciešamās atļaujas un pilnvaru aktualitāti. Ļoti priviliģētus administratīvos kontus nevajadzētu izmantot paaugstināta riska vai ikdienas lietotāju darbībām, piemēram, tīmekļa pārlūkošanai un e-pastam. Administratoriem ikdienas darbam vajadzētu izmantot parastos kontus.

Kontrole: pārraudzīt lietotāju aktivitātes – jo īpaši piekļuvi slepenai informācijai un priviliģētu kontu darbības. Reaģēt gadījumos, kad aktivitātes kļūst aizdomīgas un pārsniedz normas robežas (piemēram, kāds mēģina piekļūt lielam apjomam slepenas informācijas ārpus standarta darba laika).

Ierobežot piekļuvi audita sistēmai un žurnalēšanas failiem: piekļuve audita sistēmai un žurnalēšanas failiem ir stingri jākontrolē, lai saglabātu informācijas integritāti un visu priviliģēto lietotāju darbību uzskaiti.

Izglītot un informēt lietotājus: visiem lietotājiem jābūt informētiem par savām piekļuves tiesībām un ierobežojumiem, kā arī jāsaprot sava personīgā atbildība attiecībā uz korporatīvās drošības politikas ievērošanu.

Darbiniekiem var piešķirtas lomas, kurām ir definēts piekļuves tiesību kopums, kas nosaka to, kādām sistēmām darbinieks var piekļūt un kādas izmaiņas veikt. Zemāk apskatītas tipiskākās lomas, kas var tikt pielāgotas un papildinātas atbilstoši iestādes / organizācijas specifikai.

Standarta lietotājs

Standarta lietotājs ir pamata loma bez īpašām piekļuves tiesībām un atļaujām. Standarta lietotāja galvenā atbildība ir informācijas vākšana / skatīšana / rediģēšana. Šai lomai ir piekļuve tikai tiem resursiem un programmām, kurām piekļuvi piešķīris administrators vai īpašnieks.

Administrators

Administratoram ir priviliģēta piekļuve tiem resursiem un sistēmām, kurām īpašnieks vai cits administrators viņam ir devis piekļuvi. Administrators var piešķirt pieeju citiem lietotājiem tiem resursiem un sistēmām, kurām viņam pašam ir piešķirta piekļuve.

Īpašnieks

Īpašniekam ir pilnīga piekļuve sistēmai un resursiem, kā arī iespēja un atļauja mainīt organizācijas iestatījumus un izveidot citas pielāgotas lomas. Organizācijas ietvaros jābūt vismaz vienam īpašniekam.