Политика управления доступом
Компрометация учётных записей может привести к утечке данных, особенно если права доступа выданы слишком широко. Одна ошибка при управлении доступом — и критичная информация украдена. Правильная политика управления доступом стоит в основе любой информационной безопасности организации, однако многие компании справляются с управлением доступом недостаточно эффективно. Управление доступом требует четких политик управления на всех уровнях систем, начиная от корпоративных сетей и заканчивая доступом к базам данных приложений. Политики доступа определяют, кто получит доступ к какой информации и при каких условиях. Контроль над действиями пользователей через авторизацию минимизирует риски несанкционированного доступа для вашего бизнеса.
Управление доступом — это не просто набор правил в IT-отделе. Это основа информационной безопасности компании, где действуют различные принципы управления доступом. Когда управление доступом настроено правильно, даже скомпрометированная учётная запись наносит ограниченный ущерб. Когда это не так — один человек может украсть все конфиденциальные данные организации. Компрометация учётной записи с широкими правами повышает риск утечки и ошибочных изменений.
Четыре основополагающих принципа
Least privilege: только необходимое
Каждый пользователь получает минимум прав в соответствии с принципом наименьших привилегий для своих задач. Менеджер по продажам не видит финансовые отчёты. Разработчик не может менять данные клиентов. Принцип простой, но его нарушают постоянно.
При проверке прав доступа организация может обнаружить сотрудников с устаревшими административными разрешениями. После перевода или увольнения права нужно пересматривать и отзывать по регламенту. Такой пример показывает, зачем вести учёт владельцев прав и периодически сверять их с текущими задачами.
Разделение обязанностей
Один человек не может одновременно утверждать платёж, проводить платёж и проверять его. Функции разделяют между разными сотрудниками в целях защиты конфиденциальной информации. Это снижает риски мошенничества и ошибок, особенно при работе с конфиденциальными данными.
Zero trust архитектура
Старая логика: кто в офисе — в порядке, кто снаружи — опасен. Zero trust переворачивает эту идею, существенно снижая угрозы безопасности. Неважно, ты в кабинете или дома, защищённой сети или через 4G — каждый запрос требует технических средств доказательства личности. Многофакторная аутентификация, отпечаток, проверка устройства — это средства контроля. Даже сидя в офисе компании, сотрудник должен подтвердить, что это именно он, перед доступом к конфиденциальной информации.
Role-based access control (RBAC)
Вместо раздачи прав каждому отдельно создаются роли в системе управления доступом организации. «Менеджер проекта» видит планы и статусы. «Разработчик» читает код. «Бухгалтер» работает с финансами. Новому сотруднику просто назначают роль, и пользователь получает все необходимые права. Когда уходит — роль убирают. Это обеспечивает централизованное управление доступом.
Компоненты политики управления доступом
Аутентификация: почему пароля недостаточно
Аутентификация отвечает на вопрос: ты кто? Пароль — первое средство безопасности, но учетные данные крадут и подбирают. Поэтому требуется многофакторная аутентификация как основное обеспечение безопасности доступа.
Многофакторная аутентификация использует две или три проверки одновременно: — Что ты знаешь (пароль) — Что у тебя есть (телефон, аппаратный ключ) — Что ты есть (отпечаток, лицо)
С многофакторной аутентификацией успешных атак становится в сто раз меньше, существенно снижая риски несанкционированного доступа к конфиденциальной информации. Даже украденный пароль не поможет без второго фактора.
Авторизация и управление правами доступа
После установки личности система проверяет, какие действия пользователей являются разрешенными. Это управление правами доступа — система контроля разрешённых действий пользователей. Бухгалтер видит определенные финансовые системы и доступ к информации, но не исходный код. Разработчик читает код, но не может прямыми запросами менять данные клиентов.
Управление доступа на уровне информации
Информацию в организации классифицируют по чувствительности согласно политике классификации данных: публичная, внутренняя, конфиденциальная, критичная. К каждому уровню доступа — свои ограничения доступа. Конфиденциальные данные видны только узкому кругу. Для доступа к критичным данным требуется дополнительная проверка и использование средств контроля доступа.
Логирование и аудит действий пользователей
Без надзора над действиями — приглашение для взломанной учётной записи. Системы логирования записывают, кто подключился, когда, какую информацию открыл, какие изменения произвёл как часть аудита доступа. Потом эти логи анализируют на подозрительную активность с использованием средств обеспечения безопасности и мониторинга безопасности.
Реальные ошибки, которые стоили миллионы
Неправильно настроенная ACL на облаке
Неправильная настройка сетевого хранилища может открыть конфиденциальные данные посторонним. Проверяйте ACL и политики доступа к облачным хранилищам, не оставляйте общедоступными резервные копии и тестируйте настройки перед публикацией.
Неконтролируемая раздача прав в компании
IT добавляет сотрудника в групповую учётную запись вместо индивидуальной. Спустя два года уже пятьдесят человек работают под одним логином и видят конфиденциальную информацию, которая им не нужна. Когда произойдёт утечка, понять, кто украл данные, будет невозможно без ведения регулярного аудита доступа и управления правами доступа.
Отсутствие классификации персональных данных
Компания хранит персональные данные клиентов, но не помечает их в соответствии с требованиями обработки персональных данных. К базе данных могут подключиться все, у кого доступ во внутреннюю сеть организации. Когда произойдёт утечка персональных данных, регулятор заключит, что компания нарушила требования защиты персональных данных и не применила методы контроля в соответствии с политикой информационной безопасности.
Что требуют законы и стандарты
GDPR (для компаний, работающих в Европе): — Выдавать доступ только по принципу необходимости — Вести регулярный аудит доступа — Отозвать все права пользователей при увольнении
ISO 27001 предписывает документированную политику управления доступом согласно политике информационной безопасности и мониторинг безопасности на всех уровнях.
SOC 2 требует то же для облачных провайдеров — систему управления доступом и логирование действий пользователей.
В России действуют требования по защите персональных данных и классификации конфиденциальной информации в информационных системах. Компаниям обязательно соответствовать требованиям регуляторов на основе политики информационной безопасности. Штрафы начинаются с сотен тысяч и достигают миллионов за каждое нарушение. Плюс репутационный ущерб, который часто дороже штрафа для организации.