Piekļuves tiesību pārvaldības ceļvedis uzņēmumam

Darbinieks aiziet no uzņēmuma piektdienā, bet viņa piekļuve e-pastam, failiem un klientu sistēmai paliek aktīva vēl vairākas nedēļas. Šis nav tikai IT administrēšanas trūkums - tā ir nepārvaldīta biznesa riska situācija. Piekļuves tiesību pārvaldības ceļvedis uzņēmumam palīdz noteikt, kam, kāpēc un cik ilgi ir pieejami kritiskie dati un sistēmas.

Mazā un vidējā uzņēmumā piekļuves bieži veidojas pakāpeniski: jaunam darbiniekam piešķir vairāk tiesību, lai viņš varētu ātrāk sākt darbu; projektu vadītājam iedod piekļuvi koplietotai mapei; ārējam grāmatvedim izveido kontu finanšu sistēmā. Vēlāk mainās amata pienākumi, projekti beidzas, cilvēki aiziet, taču sākotnēji piešķirtās tiesības paliek. Rezultātā uzņēmums vairs nevar pārliecinoši atbildēt, kuri konti ir aktīvi un vai katra piekļuve joprojām ir pamatota.

Kāpēc piekļuves tiesības ir vadības jautājums

Piekļuves pārvaldība nav tikai paroles, Microsoft 365 lietotāji vai serveru konti. Tā attiecas uz spēju saglabāt kontroli pār uzņēmuma informāciju, finanšu procesiem un ikdienas darbību. Nepareizi piešķirtas tiesības var radīt datu noplūdi, krāpšanas risku, nejaušu informācijas dzēšanu vai darbības traucējumus pēc kiberdrošības incidenta.

Vadības līmenī jautājums ir vienkāršs: vai uzņēmums spēj pierādīt, ka piekļuve svarīgai sistēmai ir piešķirta apzināti, atbilst konkrētam pienākumam un tiek pārskatīta? Šī kontrole ir būtiska arī sadarbībā ar klientiem, apdrošinātājiem, auditoriem un potenciālajiem investoriem. IT audits vai due diligence process bieži atklāj tieši šādas nepilnības - nav kontu uzskaites, nav apstiprināšanas kārtības vai nav skaidrs, kam pieder administratīvās tiesības.

Turklāt piekļuves tiesības tieši ietekmē darbības nepārtrauktību. Ja viens cilvēks ir vienīgais administratora konta turētājs, vienīgais grāmatvedības sistēmas lietotājs vai vienīgais, kam ir pieeja rezerves kopijām, uzņēmums kļūst ievainojams prombūtnes, darba attiecību pārtraukšanas vai incidenta laikā.

Piekļuves tiesību pārvaldības ceļvedis: pamata principi

Efektīva kārtība sākas ar principu, nevis ar programmatūras iegādi. Galvenais princips ir minimāli nepieciešamās tiesības: darbiniekam piešķir tikai to piekļuvi, kas vajadzīga viņa konkrētā darba veikšanai. Ja pārdošanas speciālistam nepieciešama klientu sistēma, viņam ne vienmēr vajadzīga iespēja eksportēt visu klientu datubāzi vai mainīt sistēmas iestatījumus.

Otrs princips ir pienākumu nodalīšana. Personai, kura sagatavo maksājumu, nevajadzētu vienpersoniski to apstiprināt un izpildīt. Tāpat sistēmas administratoram nevajadzētu būt vienīgajam, kurš pārskata savu administratīvo darbību. Mazos uzņēmumos pilnīga funkciju nodalīšana ne vienmēr ir iespējama, taču riskantākajiem procesiem jāievieš vismaz otrās personas kontrole vai regulāra vadības pārskatīšana.

Trešais princips ir atbildība. Katram kontam jābūt saistītam ar konkrētu personu vai skaidri definētu tehnisku funkciju. Koplietoti konti šķiet ērti, piemēram, maiņu darbā vai klientu apkalpošanā, taču tie apgrūtina incidentu izmeklēšanu un piekļuves atsaukšanu. Ja koplietots konts ir neizbēgams, tā izmantošana jāierobežo, jāreģistrē un jāpapildina ar papildu autentifikācijas kontroli.

Sāciet ar piekļuves karti, nevis pieņēmumiem

Lai sakārtotu vidi, vispirms jāizveido pārskatāma piekļuves karte. Tajā nav jāapraksta katrs mazs rīks, taču jāaptver sistēmas, kuru zaudēšana, ļaunprātīga izmantošana vai nepieejamība radītu būtisku ietekmi uz uzņēmumu. Parasti tās ir e-pasta un dokumentu platformas, finanšu un grāmatvedības sistēmas, klientu attiecību pārvaldība, failu glabātuves, attālinātās piekļuves risinājumi, mākoņplatformas, rezerves kopijas un tīkla administrēšana.

Pie katras sistēmas nosakiet sistēmas īpašnieku, lietotāju grupas, administratorus, ārējos piegādātājus un apstiprinātāju piekļuves izmaiņām. Sistēmas īpašnieks nav obligāti IT speciālists. Piemēram, finanšu vadītājs var būt grāmatvedības sistēmas biznesa īpašnieks, kurš nosaka, kādas lomas nepieciešamas, kamēr IT nodrošina tehnisku ieviešanu un žurnālu pārraudzību.

Īpaša uzmanība jāpievērš privilēģētajiem kontiem. Tie ir administratīvie konti, mākoņplatformu īpašnieki, domēna administratori, ugunsmūru pārvaldnieki un konti ar pieeju rezerves kopijām. Šādu tiesību skaitam jābūt iespējami mazam, un ikdienas darbam nav ieteicams izmantot to pašu kontu, ar kuru tiek veiktas administratīvas izmaiņas. Atsevišķs ikdienas un administratora konts samazina kaitējumu, ko var nodarīt pikšķerēšanas uzbrukums vai nozagtas paroles.

Izveidojiet skaidru dzīves ciklu katrai piekļuvei

Piekļuves kontrole darbojas tad, ja tā tiek iestrādāta cilvēka darba dzīves ciklā: pirms darba sākuma, darba laikā un darba attiecību beigās. Jaunam darbiniekam tiesības jāpiesaista amatam un apstiprinātam pieprasījumam, nevis mutiskam lūgumam “iedot tāpat kā iepriekšējam kolēģim”. Šādi tiek samazināts risks automātiski atkārtot vēsturiski pārāk plašas piekļuves.

Mainot amatu vai nodaļu, piekļuvei jāmainās līdz ar pienākumiem. Praksē uzņēmumi biežāk pievieno jaunas tiesības, nekā atceļ vecās. Tāpēc pāreja uz citu lomu ir viens no būtiskākajiem pārskatīšanas punktiem. Īpaši tas attiecas uz darbiniekiem, kuri no operatīva amata nonāk vadības, finanšu vai IT administrēšanas lomā.

Darba attiecību izbeigšana prasa precīzu un ātru procesu. Atkarībā no situācijas konts jābloķē nekavējoties vai noteiktā pēdējās darba dienas laikā. Jāatsauc piekļuve ne vien e-pastam, bet arī SaaS lietotnēm, VPN, mobilajām ierīcēm, paroles glabātuvēm, partneru portāliem un fiziskās piekļuves sistēmām. Nedrīkst aizmirst arī pāradresācijas, koplietotas pastkastes, dokumentu īpašumtiesības un uzņēmuma datu nodošanu vadītājam.

Ārējiem speciālistiem un piegādātājiem jālieto termiņkonti. Piekļuvi piešķir konkrētam darbam un iepriekš noteiktam laikam, pēc kura tā automātiski beidzas vai tiek pārskatīta. Tas ir īpaši nozīmīgi, ja uzņēmums izmanto ārpakalpojuma izstrādātājus, grāmatvežus vai infrastruktūras piegādātājus.

Regulāra pārskatīšana rada kontroli

Pat laba sākotnējā kārtība noveco. Tāpēc piekļuves tiesības jāpārskata regulāri - kritiskām sistēmām bieži reizi ceturksnī, pārējām vismaz reizi gadā. Pārskatīšanas mērķis nav formāli apstiprināt sarakstu. Sistēmas īpašniekam jāspēj apstiprināt, ka katram lietotājam piekļuve patiešām vēl ir nepieciešama.

Pārskatā īpaši jāmeklē neaktīvi konti, bijušie darbinieki, lietotāji ar vairākām lomām, administratīvie konti bez skaidra īpašnieka un konti, kuri nav izmantojuši sistēmu ilgstošu laiku. Jāizvērtē arī servisa konti - tehniskie konti, ko lieto integrācijas, automatizācija vai rezerves kopiju procesi. Tie bieži paliek ārpus ikdienas pārraudzības, lai gan tiem var būt plašas privilēģijas.

Tehnoloģija šo darbu atvieglo, bet neaizstāj atbildīgo lēmumu. Centralizēta identitātes pārvaldība, daudzfaktoru autentifikācija, piekļuves žurnāli un automatizēta kontu deaktivizēšana samazina manuālu kļūdu iespējamību. Tomēr uzņēmumam vispirms jānosaka, kurš pieņem lēmumus un kādā kārtībā tie tiek dokumentēti.

Kā sabalansēt drošību ar darba efektivitāti

Pārāk sarežģīts process var mudināt darbiniekus meklēt apiešanas ceļus: koplietot paroles, pārsūtīt failus uz privātu e-pastu vai izmantot neapstiprinātas lietotnes. Tāpēc mērķis nav radīt maksimāli daudz ierobežojumu. Mērķis ir veidot samērīgu kontroli, kas atbilst datu vērtībai un uzņēmuma darbības riskam.

Piemēram, piekļuve publiskam mārketinga materiālu arhīvam neprasa tādu pašu apstiprināšanas līmeni kā piekļuve algu datiem vai maksājumu platformai. Savukārt administratīvai piekļuvei kritiskai infrastruktūrai var būt pamatota papildu autentifikācija, laika ierobežojumi un detalizēta darbību reģistrācija. Pareizais risinājums vienmēr ir atkarīgs no uzņēmuma lieluma, regulējuma, sistēmu sarežģītības un pieļaujamā riska.

KSK IT praksē piekļuves pārvaldība tiek vērtēta kopā ar rezerves kopijām, incidentu reaģēšanu, infrastruktūras uzraudzību un biznesa nepārtrauktību. Šīs jomas nevar droši vadīt atsevišķi: konts ar pārlieku plašām tiesībām var apdraudēt gan produkcijas sistēmu, gan tās rezerves kopijas.

Sāciet ar vienu praktisku darbību jau šonedēļ: identificējiet piecas uzņēmumam kritiskākās sistēmas un nosauciet to īpašniekus. Ja uz šo jautājumu nav skaidras atbildes, tieši tur ir jāveido pirmā kontroles līnija.