Почему доверия недостаточно
Рисков существует несколько: как минимум, даже проверенный тысячу раз и высококвалифицированный спец может изменить не ту настройку или неправильно оценить последствия своих действий. А ещё привилегированную учётку могут скомпрометировать — пароль попадёт к злоумышленнику из-за фишинга, вредоносной программы или отсутствия многофакторной аутентификации (MFA). Таким образом посторонний человек получает права легитимного для системы специалиста (а в небольших предприятиях эти возможности могут быть и безграничными), так что любые действия формально будут выполняться под доверенной учётной записью — а значит, не будут вызывать лишних подозрений.
К тому же, нельзя полностью исключать и намеренные вредоносные действия вашего сотрудника. Конфликт с руководством или увольнение, которое человек считает несправедливым, могут в корне изменить отношение к компании. Если у бывшего админа остались пароли, активная учётная запись или возможность удалённо подключиться к рабочим системам, последствия могут стать намного дороже обычного трудового спора.
Конечно, считать каждого администратора потенциальным нарушителем неправильно, а вот исключать ситуации, в которых один человек получает критичные полномочия и действует без контроля — очень даже стоит.
Удобство vs безопасность
Однако и сами требования к безопасности могут породить новые проблемы — нередко излишний контроль мешает быстрее выполнять работу. Одна общая учётная запись удобнее, чем отдельная для каждого сотрудника. Постоянный доступ проще, чем получение разрешения перед каждым подключением к системе. А отключенная двухфакторка и переданный в мессенджере пароль позволит войти в систему гораздо быстрее.
При этом для админа это выглядит как абсолютно допустимое и разумное упрощение рабочих процессов. Но для компании результат другой — кто именно подключался к системе и выполнял действия, которые привели к сбою, теперь непонятно. И если учёткой пользуются сразу несколько человек, обычный журнал событий покажет вход под громким именем admin и не более.
Отсюда в инфобезе вечный конфликт интересов: специалисту важно выполнять задачи быстро и с минимальным количеством дополнительных действий. А бизнесу важно, чтобы доступ был безопасным, именным и контролируемым. Решать такой конфликт регламентами, договорённостями и уж тем более доверием не выйдет — контроль должен быть встроен в сам процесс подключения, а принцип Zero Trust в основу политики безопасности вашего бизнеса.
Принцип нулевого доверия означает, что доступ не предоставляется только на основании должности, стажа или репутации сотрудника. Перед подключением необходимо проверить пользователя, определить необходимые ему полномочия и проконтролировать его действия внутри информационной системы. Важно понимать, что такой подход — не тотальное недоверие сотрудникам, но более зрелая модель управления рисками: человек может ошибиться, его учетные данные могут быть скомпрометированы, а внутренний конфликт может изменить мотивацию даже у проверенного коллеги. Поэтому доверие к человеку должно дополняться объективным контролем доступа и действий.
Как PAM помогает контролировать администраторов
Удобное решение контроля работы администраторов относится к классу PAM (англ. Privileged Access Management — Управление Привилегированным Доступом). Во время работы такая система фиксирует команды, процессы, клавиатурный ввод, использование буфера обмена и другие события. Если пользователь выполняетпотенциально опасное действие, PAM может отправить уведомление или автоматически прервать рабочую сессию. Такой контроль помогает в расследовании ИБ-инцидентов, а ещё — защищает самого администратора. Если сбой произошёл после его подключения, запись сессии позволит установить, был ли он связан с действиями специалиста.
Зачастую в небольшой компании может быть всего один администратор и несколько серверов, но на них находятся 1С, клиентская база, корпоративные документы и другие критичные для работы ресурсы. При этом, как мы говорили ранее, большинство PAM-решений для МСБ на данный момент избыточны. Исключение — СКДПУ НТ Старт — адаптированная под задачи МСБ PAM-система. Решение позволяет контролировать учётные записи и административные подключения, ограничивать права и записывать действия пользователей на видео. Администраторы смогут подключаться привычным способом, а внедрение не требует сложных установок и перестройки существующей инфраструктуре.
При этом важно понимать: само наличие PAM не устраняет риски. СКДПУ НТ Старт будет работать на бизнес только в том случае, если привилегированные подключения действительно проходят через систему. Если администраторы продолжают использовать общую учетную запись, подключаются в обход контроля, получают максимальные права без ограничения по времени, а уведомления никто не проверяет, внедрение останется формальным.
Поэтому перед запуском нужно определить, кто имеет привилегированный доступ, к каким системам он нужен, какие действия следует контролировать и кто должен реагировать на предупреждения. После увольнения сотрудника или по завершении работ его доступ необходимо своевременно отзывать.
С чего начать
Для начала соберите руководителей ключевых подразделений и специалистов, которые отвечают за ИТ-инфраструктуру. В формате рабочей встречи составьте базовый перечень того, что действительно необходимо защищать.
Составьте реестр ИТ-ресурсов
Включите в него серверы, сервисы, базы данных и приложения, с которыми работает компания.
Определите критичные системы
Оценивайте их значение не только для отдельного подразделения, но и для бизнеса в целом. Что произойдет, если перестанет работать сайт, утром не запустится CRM или окажется недоступна 1С? К каким последствиям приведут потеря или утечка клиентских данных? На этом этапе полезно рассматривать наиболее серьезные сценарии, даже если они кажутся маловероятными.
Зафиксируйте пользователей с расширенными правами
Укажите, кто имеет доступ к каждому критичному ресурсу, в какое время и на каких условиях. Определите, используется ли доступ постоянно или только для отдельных работ. Отдельно проверьте, действительно ли он необходим каждому, кому был предоставлен.
В результате у компании появятся перечень критичных систем и список пользователей с привилегиями. Это позволит понять, какие ресурсы необходимо защищать в первую очередь и чьи подключения должны проходить под контролем.
Так выглядит нулевой шаг к выстраиванию информационной безопасности: сначала определить, что важно для бизнеса, кто имеет к этому доступ и зачем ему предоставлены соответствующие полномочия. После этого проще перейти от общего разговора о доверии к админам к конкретным правилам: какие подключения должны проходить через PAM, какие действия нужно фиксировать и в каких случаях система должна предупреждать ответственных сотрудников. Именно на этом уровне СКДПУ НТ Старт становится рабочим механизмом контроля для сохранения бизнеса, а доверие перестаёт быть безосновательным.
Реклама: ООО «АйТи БАСТИОН», ИНН 7717789462, erid: 2W5zFJynTvq
Начать дискуссию