Διαχείριση Ικανοτήτων και Συμπεριφοράς

Στον έλεγχο πρόσβασης, υποκείμενο είναι κάθε δράστης που μπορεί να δράσει σε ένα σύστημα: ο λογαριασμός ενός υπαλλήλου, ένας διαχειριστής, ένας συνεργάτης, ένας λογαριασμός υπηρεσίας ή μια διεργασία που εκτελείται για λογαριασμό κάποιου από αυτούς. Οι δύο λέξεις του όρου θέτουν διαφορετικά ερωτήματα για αυτό το υποκείμενο.

Η διαχείριση ικανοτήτων ρωτά τι μπορεί τεχνικά να κάνει το υποκείμενο. Αναλαμβάνει την ανάθεση, την ανασκόπηση και την ανάκληση δικαιωμάτων: ρόλους, δικαιώματα σε αρχεία και συστήματα, άδεια χρήσης αφαιρούμενων μέσων ή εγκατάστασης λογισμικού, και διαχειριστική ανύψωση.

Η διαχείριση συμπεριφοράς ρωτά τι επιτρέπεται να κάνει το υποκείμενο. Αναλαμβάνει τους κανόνες συμπεριφοράς: αποδεκτή χρήση καναλιών και δεδομένων, περιορισμούς για καθορισμένες ομάδες, συνθήκες διακοπής ή σήμανσης μιας ενέργειας και τις συνέπειες της παραβίασης.

Τα δύο μέρη αλληλοπεριορίζονται. Ένα υποκείμενο μπορεί να είναι ικανό να εξαγάγει μια βάση πελατών και ταυτόχρονα να του απαγορεύεται να το κάνει, αφού καμία πολιτική δεν μπορεί να επιτρέψει όσα αποκλείει η υποκείμενη ικανότητα. Τα ώριμα προγράμματα διαχειρίζονται το ζεύγος μαζί: η ικανότητα θέτει το ταβάνι της πιθανής ζημιάς, και οι κανόνες συμπεριφοράς τον διάδρομο αποδεκτής δράσης κάτω από αυτό.

Τα περισσότερα μοντέλα εσωτερικής απειλής περιγράφουν τον κίνδυνο ως συνδυασμό κινήτρου, ευκαιρίας και ικανότητας. Οι προθέσεις δεν μπορούν να διαβαστούν, και η ευκαιρία είναι ενσωματωμένη στην καθημερινή εργασία, επειδή οι άνθρωποι πρέπει να φτάνουν στα δεδομένα για να τα χρησιμοποιήσουν. Ο παράγοντας που ελέγχεται άμεσα είναι η ικανότητα, μαζί με τη συμπεριφορά γύρω από τη χρήση της.

Ο περιορισμός της ικανότητας δεν κάνει ένα περιστατικό λιγότερο πιθανό. Κάνει το περιστατικό που θα συμβεί μικρότερο, πιο αργό και πιο εύκολο να εντοπιστεί. Η πειθαρχία βρίσκεται έτσι στο προληπτικό άκρο ενός προγράμματος εσωτερικών απειλών: λειτουργεί καθημερινά, ενώ η ανίχνευση κρίνεται από σπάνια γεγονότα.

Στην πράξη, η εργασία είναι κύκλος ζωής και όχι ένα εφάπαξ κλείδωμα. Πολλές ομάδες κρατούν τις ομάδες χρηστών σε έναν κατάλογο υπηρεσίας, ώστε οι ανασκοπήσεις να ξεκινούν από μία λίστα λογαριασμών.

Η διαχείριση ικανοτήτων και συμπεριφοράς είναι προληπτική, και οι γειτονικοί έλεγχοι καλύπτουν όσα δεν βλέπει. Η διαχείριση ταυτότητας και πρόσβασης παρέχει τη βάση: καταλόγους, ομάδες και ροές εγκρίσεων. Η ανάλυση συμπεριφοράς παρατηρεί τη δραστηριότητα σε σχέση με γραμμές βάσης και δηλωμένους κανόνες, ενώ η πρόληψη απώλειας δεδομένων (DLP) επιβάλλει κανόνες σε επίπεδο περιεχομένου, όποιος κι αν κατέχει το δικαίωμα.

Η κατανομή της εργασίας έχει σημασία και προς τις δύο κατευθύνσεις. Η παρακολούθηση χωρίς όρια ικανοτήτων δίνει ειδοποιήσεις χωρίς περιορισμό, αφού μια επιβεβαιωμένη παραβίαση αφήνει το υποκείμενο ικανό να την επαναλάβει. Τα όρια χωρίς παρατήρηση δίνουν σιωπηλό περιορισμό, αφού κανείς δεν μαθαίνει πότε δοκιμάζονται οι κανόνες. Η έρευνα και η απόκριση αναλαμβάνουν μόλις εμφανιστεί σήμα.

Στην κονσόλα του Anexet, τα δικαιώματα ορίζονται ανά ομάδα χρηστών. Η καρτέλα προνομίων δείχνει τις ενότητες που μπορούν να ανοίξουν τα μέλη της ομάδας, και η προβολή δικαιωμάτων δείχνει ποια ομάδα χορηγεί κάθε δικαίωμα, ώστε ένα απρόσμενο δικαίωμα να εντοπίζεται στην πηγή του.

1 / 2

• 
• 

Η διαχείριση συμπεριφοράς ξεκινά στο χαρτί και καταλήγει στην επιβολή. Ένας δημοσιευμένος κανόνας που κανείς δεν επιβάλλει δημιουργεί την εντύπωση ελέγχου, όχι τον έλεγχο:

1. 1

   Ορισμός κανόνων αποδεκτής χρήσης

   Καθορίστε ποια κανάλια, δεδομένα και ενέργειες είναι φυσιολογικά στην εργασία, σε πολιτική που τα υποκείμενα γνωρίζουν και αποδέχονται.

2. 2

   Τεχνικοί περιορισμοί

   Εκεί όπου η συμπεριφορά συναντά την ικανότητα: συνθήκες αποκλεισμού, κανάλια απενεργοποιημένα για καθορισμένες ομάδες, καραντίνα ενεργειών εκτός πολιτικής.

3. 3

   Προβλέψιμες συνέπειες

   Εφαρμόστε κυρώσεις αναλογικές και με συνέπεια. Η αποτροπή εξαρτάται περισσότερο από τη συνέπεια παρά από τη σκληρότητα.

4. 4

   Παρατήρηση σε σχέση με τους κανόνες

   Συγκρίνετε όσα κάνουν πραγματικά τα υποκείμενα με όσα επιτρέπουν οι κανόνες, ώστε οι παραβιάσεις να φαίνονται ως γεγονότα.

5. 5

   Καθοδήγηση και ενίσχυση

   Η εκπαίδευση, τα σαφή παραδείγματα και η αναγνώριση της καλής πρακτικής διαμορφώνουν τη συμπεριφορά, και δεν τιμωρούν μόνο την απουσία της.

Οι τρόποι αποτυχίας είναι προβλέψιμοι. Οι ικανότητες που είναι πιο περιορισμένες από όσο απαιτεί η εργασία εμποδίζουν τα συνηθισμένα καθήκοντα και δημιουργούν ουρές εξαιρέσεων. Αν μείνουν χαλαρές, καταλήγουν σε συσσώρευση δικαιωμάτων. Οι κανόνες συμπεριφοράς που επιβάλλονται επιλεκτικά χάνουν το νόημά τους γρηγορότερα από τους ανύπαρκτους κανόνες, γιατί διδάσκουν ότι η επιβολή είναι αυθαίρετη.

Η παρατήρηση συμπεριφοράς επικαλύπτεται με την παρακολούθηση υπαλλήλων και κληρονομεί τους νομικούς της περιορισμούς: αναλογικότητα, διαφάνεια, περιορισμό του σκοπού και, σε πολλές δικαιοδοσίες, διαβούλευση με τους εκπροσώπους των εργαζομένων. Μειώνει τις συνέπειες χωρίς να εξαλείφει τον κίνδυνο, γι' αυτό τα προγράμματα τη συνδυάζουν με ανίχνευση και απόκριση.

Ξεκινήστε από τα δεδομένα των οποίων η διαρροή θα έβλαπτε περισσότερο και μετά χαρτογραφήστε τις ικανότητες και τα κανάλια που φτάνουν σε αυτά. Οι πολιτικές που γράφονται για κάθε αρχείο και κάθε δικαίωμα ταυτόχρονα καταλήγουν να μπλοκάρουν τη δουλειά και να απενεργοποιούνται.

Περισσότερα: Profiling.