Czy zaufanie jest wrogiem bezpieczeństwa?

 „Everybody lies” to podstawowe założenie diagnostyczne Dr. House'a.

W świecie medycyny oznaczało, że diagnozy nie można budować wyłącznie na deklaracjach pacjenta. W świecie bezpieczeństwa informacji sens tej zasady jest bardzo podobny: nie dlatego, że ludzie są z natury nieuczciwi, ale dlatego, że się mylą, zapominają, działają pod presją, skracają drogę albo próbują „załatwić sprawę szybciej” … no i nieuczciwi też bywają.

Dlatego dobrze zaprojektowany system zarządzania bezpieczeństwem informacji nie powinien opierać się na założeniu: „ufamy, że każdy zrobi wszystko poprawnie”. Powinien opierać się na procesie, który ogranicza możliwość błędu, nadużycia i działania poza procedurą.

Szczególnie dobrze widać to w procesie zarządzania dostępem.

Dostęp do systemów informatycznych jest jednym z najbardziej wrażliwych obszarów bezpieczeństwa. Konto użytkownika, uprawnienie do danych, możliwość zatwierdzania spraw, dostęp do dokumentów, systemów finansowych, kadrowych czy technicznych to nie są zwykłe „ustawienia w systemie”. To realne uprawnienia do działania w imieniu organizacji.

Jeżeli proces nadawania dostępu jest nieuporządkowany, organizacja bardzo szybko traci kontrolę nad tym:

• kto ma dostęp,

• dlaczego go ma,

• kto o ten dostęp wnioskował,

• kto go zatwierdził,

• czy dostęp nadal jest potrzebny,

• czy konto powinno jeszcze istnieć.

  
  

Rozdzielenie ról jako praktyczna zasada bezpieczeństwa

Podstawą bezpiecznego zarządzania dostępem jest rozdzielenie ról. Chodzi o to, aby żadna osoba nie mogła samodzielnie przeprowadzić całego procesu od początku do końca.

W praktyce oznacza to kilka prostych, ale bardzo ważnych zasad.

1. ktoś inny prowadzi rejestr pracowników.Rejestr pracowników jest punktem odniesienia dla całego procesu. System powinien wiedzieć, kto rzeczywiście jest pracownikiem, w jakiej jednostce organizacyjnej pracuje, jakie stanowisko zajmuje, kto jest jego przełożonym i czy jego zatrudnienie nadal trwa.

   
   

2. wniosek o dostęp składa osoba uprawniona, ale nie dla samej siebie.Pracownik nie powinien samodzielnie przyznawać sobie dostępu przez złożenie wniosku we własnym imieniu. Wniosek powinien wynikać z potrzeby organizacyjnej: zmiany stanowiska, rozpoczęcia pracy, udziału w procesie, realizacji konkretnego zadania lub zastępstwa.

   
   

3. wniosek może dotyczyć tylko osoby istniejącej w rejestrze pracowników.To zabezpiecza organizację przed tworzeniem kont „na skróty”, dla osób niepotwierdzonych, nieaktywnych, spoza struktury lub takich, które nie powinny już mieć żadnych uprawnień.

   
   

4. wniosek zatwierdza jeszcze inna osoba. To klasyczna zasada „dwu par oczu”. Osoba wnioskująca uzasadnia potrzebę dostępu, ale decyzję zatwierdza ktoś inny.

   
   

5. administrator zakłada konto wyłącznie na podstawie zatwierdzonego wniosku.Administrator nie powinien działać na podstawie telefonu, wiadomości na czacie, prośby „na szybko” albo polecenia bez śladu w systemie. Jego zadaniem nie jest ocena biznesowej zasadności dostępu, tylko techniczne wykonanie zatwierdzonej decyzji.

Cykliczna weryfikacja kont, bo dostęp starzeje się szybciej niż dokumentacja

Nadanie dostępu to dopiero początek. Największe ryzyko często pojawia się później.

Pracownik zmienił stanowisko, ale zachował stare uprawnienia.Osoba przeszła do innej jednostki, ale nadal ma dostęp do poprzednich danych.Konto techniczne zostało utworzone „na chwilę”, ale działa od trzech lat.Pracownik zakończył współpracę, ale nikt nie zamknął wszystkich kont.Zastępstwo się skończyło, ale dodatkowe uprawnienia pozostały.

Dlatego proces zarządzania dostępem musi obejmować cykliczną weryfikację kont i uprawnień. Nie wystarczy wiedzieć, komu dostęp nadano. Trzeba regularnie sprawdzać, czy dostęp nadal jest potrzebny, zasadny i zgodny z aktualną rolą pracownika.

W praktyce oznacza to porównanie kont w systemach informatycznych z rejestrem pracowników i rejestrem wniosków. Każde konto powinno dać się powiązać z konkretną osobą, konkretnym wnioskiem, decyzją zatwierdzającą i zakresem uprawnień. Konto bez właściciela, bez podstawy albo bez aktualnego uzasadnienia powinno zostać niezwłocznie wyjaśnione, ograniczone albo usunięte.

Bezpieczny proces zarządzania dostępem krok po kroku

Modelowy proces może wyglądać następująco:

1. HR lub uprawniona osoba prowadzi aktualny rejestr pracowników.

2. Przełożony lub właściciel procesu składa wniosek o nadanie, zmianę albo odebranie dostępu.

3. System pozwala wskazać wyłącznie osobę istniejącą w rejestrze pracowników.

4. Wniosek zawiera uzasadnienie, zakres dostępu, system, rolę i ewentualny termin ważności.

5. Wniosek trafia do zatwierdzenia przez inną osobę.

6. Administrator wykonuje zmianę wyłącznie na podstawie zatwierdzonego wniosku.

7. W systemie pozostaje ślad: kto wnioskował, kto zatwierdził, kto wykonał, kiedy i czego dotyczyła zmiana.

8. Organizacja cyklicznie porównuje konta w systemach z rejestrem pracowników i historią wniosków.

9. Dostępy nieuzasadnione, nieaktualne lub niepowiązane z aktywnym pracownikiem są blokowane albo usuwane.

   
   

To jest praktyczna realizacja polityki kontroli dostępu, powtarzalny, rozliczalny i możliwy do audytu proces.

„Everybody lies” w kontekście bezpieczeństwa informacji nie oznacza oskarżenia. To skrót myślowy przypominający, że deklaracje, pamięć i dobre intencje nie są wystarczającym mechanizmem ochrony.

Bezpieczeństwo dostępu wymaga procesu, a proces nie może opierać się wyłącznie na zaufaniu.