Audyt dostępu do danych poufnych i uznaniowa kontrola dostępu

Nieuprawniony dostęp do zasobów informacyjnych firmy może doprowadzić do czasowego lub całkowitego wstrzymania produkcji, zniszczenia albo wycieku informacji poufnych i danych osobowych pracowników oraz klientów, uszkodzenia sprzętu, a także do materializacji innych ryzyk materialnych i reputacyjnych. Audyt dostępu do danych poufnych pozwala wykryć i usunąć luki w systemie przydzielania uprawnień. Szczegóły w materiale.

Zacznijmy od podstawowych definicji i pojęć.

Polityka dostępu (dalej: PD) — dokument regulujący uprawnienia dostępu do danych, na których użytkownicy mogą pracować.

Informacje poufne (IP) to wszelkie informacje stanowiące własność firmy lub dla niej unikalne, które firma ujawnia pracownikowi w okresie obowiązywania umowy o pracę oraz przez określony czas po jej wygaśnięciu, w tym: tajemnice handlowe; kwestie natury technicznej, takie jak procesy, urządzenia, metody, dane i formuły, przedmioty oraz wyniki badań; metody marketingowe; plany i strategie; informacje o działalności, produktach, usługach, przychodach, kosztach, wydatkach, zyskach, sprzedaży, kluczach i inne informacje o firmie.

Polityka bezpieczeństwa (PB) to dokument opisujący, w jaki sposób firma zamierza chronić swoje aktywa fizyczne i informatyczne.

Czym jest audyt dostępu

System zarządzania uprawnieniami powinien być ściśle uregulowany, zwłaszcza jeśli nie jest zautomatyzowany. Wszystkie nadane i odebrane uprawnienia oraz wnioski o nie należy rejestrować. Wszystkie aktywne dostępy trzeba regularnie sprawdzać pod kątem zgodności z przyjętą polityką bezpieczeństwa.

Trzeba pamiętać, że nawet najbardziej dopracowany system zarządzania uprawnieniami powinien podlegać regularnym audytom zewnętrznym i wewnętrznym, które ujawnią niespójności i braki.

Audyt dostępu (dalej: AD) to systematyczny proces, którego celem jest upewnienie się, że pracownicy organizacji mają uprawnienia odpowiadające ich stanowiskom w zakresie pracy z systemami, usługami, aplikacjami i danymi.

Audyt dostępu występuje w dwóch odmianach: ręcznej i zautomatyzowanej, prowadzonej za pomocą wyspecjalizowanego oprogramowania. Audyt ręczny jest bardziej elastyczny, ale w dużych przedsiębiorstwach się nie sprawdza, bo pochłania mnóstwo czasu i zasobów.

AD przeprowadza się po to, aby:

• ustalić, czy uprawnienia użytkowników odpowiadają przypisanym rolom, oraz zawęzić lub rozszerzyć zakres uprawnień konkretnych użytkowników i całych kategorii;
• wykryć przypadki nadania nadmiarowych uprawnień;
• wykryć nieuprawniony dostęp do plików i folderów;
• zaktualizować uprawnienia użytkowników po zmianie polityk bezpieczeństwa.

Systematyczny AD pozwala organizacjom utrzymać bezpieczeństwo informacji na odpowiednim poziomie i spełniać wymagania opisane w standardach międzynarodowych oraz w aktach prawnych regulatorów.

Ponadto audyt ujawnia następujące kwestie.

• Podatne konta. Chodzi o konta, które mogą posłużyć do nieuprawnionego dostępu do systemu i informacji: konta ze słabymi hasłami albo wiele kont w różnych usługach korzystających z tego samego hasła. Można też wykryć takie błędy jak zbyt rzadka zmiana haseł, zduplikowane konta i tym podobne.
• Konta zbędne i nieewidencjonowane. Odblokowane konta pracowników, którzy odeszli z firmy lub zmienili stanowisko. Zalicza się tu również konta techniczne, które nie mają realnego właściciela, a mają uprawnienia do firmowych systemów, usług, obiektów i aplikacji. 
• Brak regulacji dotyczących uprawnień. W przedsiębiorstwie może nie być polityki uprawnień ani wykazu konkretnych stanowisk z przypisanymi uprawnieniami albo dostęp do takich dokumentów może być mocno utrudniony.

Jak przebiega audyt dostępu

Z reguły audyt przebiega w 5 etapach. Omówmy je szczegółowo.

Wyznaczenie celów. W audycie ważne jest skupienie się na konkretnych obszarach ryzyka, czyli wyznaczenie celów — dzięki temu audyt jest dokładny i skuteczny, obejmuje krytyczne aspekty zarządzania dostępem użytkowników i nie pochłania nadmiernie dużo czasu.

Opracowanie parametrów i reguł audytu. Określenie parametrów audytu, terminu jego przeprowadzenia oraz ilości danych do zbadania: jakie działania użytkowników będą rejestrowane, z jakimi parametrami oraz jak duże mają być pliki, w których zapisuje się te działania.

Zatwierdzenie i wdrożenie polityk audytu. Przygotowanie dokumentu opisującego ogólne podejście do audytu. Można w nim na przykład wskazać listę najważniejszych zdarzeń podlegających rejestracji, co pozwoli oszczędzić miejsce na dysku. Warto również uregulować łączną ilość przechowywanych informacji, okres ich przechowywania oraz zasady ich niszczenia.

Wykrycie luk i podatności. Wykrywanie i rejestrowanie nadmiarowych uprawnień użytkowników, nieewidencjonowanych kont, słabych haseł i tym podobnych.

Prowadzenie dzienników bezpieczeństwa i rejestrów aktywności użytkowników. Rejestrowanie wszystkich danych o operacjach na plikach i folderach zawierających informacje poufne.

Rejestrowane zdarzenia

W dzienniku audytu zwykle rejestruje się następujące zdarzenia:

• tworzenie, usuwanie, przenoszenie i zmianę nazwy plików oraz folderów;
• kopiowanie dokumentów lub zawartych w nich informacji;
• logowanie do systemu i wylogowywanie z niego;
• uruchamianie usług i oprogramowania;
• odczyt dokumentów poufnych, kopiowanie ich na nośniki zewnętrzne, drukowanie.

Przykład audytu dostępu w systemie Windows

Windows udostępnia możliwość przeprowadzenia takiego audytu.

Ustawienia polityki audytu zależą przede wszystkim od celów, do których może należeć sprawdzanie zgodności, monitorowanie, prowadzenie postępowań po incydentach bezpieczeństwa informacji oraz korygowanie błędów i braków.

Przyjrzyjmy się bliżej, jak AD działa na przykładzie systemu Windows.

W sekcji "Ustawienia zabezpieczeń", w katalogu "Zasady lokalne", należy skonfigurować wbudowane i lokalne polityki bezpieczeństwa (PB). Konfiguracja zależy od celów i zadań audytu.

Konfiguracja podmiotów. Kontrolować można nie tylko pojedynczych użytkowników, lecz także całe grupy, w tym działy albo użytkowników o równych uprawnieniach. Można też kontrolować wbudowane podmioty zabezpieczeń, na przykład konta.

Konfiguracja obiektów. Na kolejnym etapie definiuje się obiekty, których operacje będą rejestrowane w trakcie AD. Mogą to być foldery, pliki, dokumenty, całe podkatalogi, a także pojedyncze zdarzenia.

Klasyfikacja zdarzeń. Zdarzenia systemu Windows dzieli się na podgrupy według poziomu ryzyka, jakie stwarzają dla bezpieczeństwa informacji:

• krytyczne;
• błędy;
• informacje;
• ostrzeżenia;
• szczegóły.

Po ustawieniu parametrów audytu dziennik będzie zapisywał wszystkie operacje użytkowników na plikach poufnych, również te nieudane. Jeśli operacja zostanie wykonana pomyślnie, wyświetli się "sukces". Jeśli użytkownik nie ma wystarczających uprawnień do jej wykonania, pojawi się "niepowodzenie".

AD można prowadzić zarówno na wszystkich stacjach roboczych w sieci firmowej, jak i na wybranych komputerach, na przykład tych, które przetwarzają dane osobowe.

Dziennik zabezpieczeń znajduje się w folderze "Zarządzanie komputerem". Ilość danych o operacjach i zdarzeniach zależy od celów audytu oraz ustawionych parametrów.

Dziennik systemu Windows nie oferuje narzędzi do filtrowania zdarzeń, co utrudnia odnalezienie konkretnych incydentów.

Popularne modele kontroli dostępu

System zarządzania uprawnieniami dostępu (ARMS) — to zestaw środków techniczno-programowych i działań organizacyjnych służących kontrolowaniu i ograniczaniu uprawnień użytkowników do informacji, aplikacji, zasobów i innych obiektów systemu komputerowego.

Główne elementy ARMS:

• użytkownicy lub konta, którym przypisuje się uprawnienia o różnych poziomach dostępu;
• zasoby firmy, takie jak systemy informatyczne, bazy danych, aplikacje, usługi, narzędzia ochrony danych itp.;
• uprawnienia nadawane użytkownikom w zakresie przypisanych im ról.

W niektórych organizacjach stosowanie określonych modeli dostępu wynika z przepisów prawa.

Aby zoptymalizować procesy zarządzania uprawnieniami, trzeba wybrać właściwy model. Warto pamiętać, że wdrożenie systemu zarządzania uprawnieniami wymaga profesjonalnego podejścia i zachowania wszystkich niezbędnych środków bezpieczeństwa. Najlepiej zwrócić się w tej sprawie do specjalistów z obszaru bezpieczeństwa informacji.

Przyjrzyjmy się teraz szczegółowo najpopularniejszym modelom kontroli dostępu.

Uznaniowa kontrola dostępu (DAC)

To podejście, w którym właściciele informacji decydują, kto i w jakim czasie może uzyskać dostęp do konkretnego zasobu. Opiera się na zasadzie najmniejszych uprawnień: użytkownik dostaje dokładnie tyle uprawnień, ile potrzebuje do wykonania danego zadania służbowego.

Model uznaniowy bywa nazywany również modelem "selektywnym".

Mechanizm DAC opiera się na identyfikacji użytkownika za pomocą danych logowania podczas uwierzytelniania — nazwy użytkownika i hasła.

Różne rodzaje uprawnień można stosować pojedynczo lub łącznie — wszystko zależy od tego, kto je nadaje, do jakiego zasobu i w jakim celu. W ramach kontroli uznaniowej można nadać między innymi:

• przyznanie innym podmiotom lub obiektom tych samych przywilejów, które ma dany podmiot;
• możliwość zmiany atrybutów bezpieczeństwa obiektów, podmiotów, komponentów systemu i podmiotów informacyjnych;
• możliwość przekazywania informacji innym podmiotom i obiektom; 
• możliwość wyboru atrybutów bezpieczeństwa przypisywanych nowym lub zmodyfikowanym obiektom;
• możliwość modyfikowania reguł kontroli dostępu.

DAC charakteryzuje się następującymi cechami:

• użytkownik może przekazać własność obiektu innemu użytkownikowi lub użytkownikom;
• użytkownik może określić rodzaj dostępu innych użytkowników;
• po kilku nieudanych próbach autoryzacji w systemie dostęp użytkownika zostaje na jakiś czas zablokowany;
• nieuprawnieni użytkownicy nie widzą parametrów obiektu: rozmiaru, nazwy ani ścieżki katalogu.

DAC jest prosty we wdrożeniu i intuicyjny, ma jednak następujące wady.

• Trudno śledzić dane. Ponieważ system nie jest scentralizowany, administracja może kontrolować przepływ danych wyłącznie poprzez przeglądanie listy kontroli dostępu (ACL). Sprawdza się to tylko w małej organizacji z niewielką liczbą pracowników.
• W porównaniu z innymi modelami zarządzania DAC jest bardziej podatny na naruszenia bezpieczeństwa informacji. Skoro dostęp może być przekazywany z jednej osoby na drugą, dane wrażliwe mogą zostać skompromitowane.

DAC lepiej sprawdza się w mniejszych organizacjach.

Macierzowy model kontroli dostępu

Macierz kontroli to tabela definiująca uprawnienia dostępu, jakie występują między określonymi podmiotami a obiektami systemu informatycznego. W kolumnach zwykle umieszcza się obiekty (aplikacje, bazy danych, usługi, sieć itp.), a w wierszach podmioty (użytkowników lub grupy użytkowników). Dla każdego podmiotu określa się listę operacji, jakie może wykonywać na obiektach, na przykład:

• odczyt;
• usuwanie;
• tworzenie;
• modyfikacja;
• kopiowanie;
• uruchamianie;
• przekazywanie uprawnień.

Aby zaoszczędzić miejsce, warto kategoryzować listy użytkowników i obiektów.

Macierze sprawdzają się w instytucjach publicznych i przedsiębiorstwach pracujących z danymi osobowymi oraz informacjami poufnymi, gdzie występują grupy pracowników o różnych poziomach uprawnień.

Uprawnienia grup użytkowników mogą być takie same albo różne — w zależności od realizowanych zadań — i nie mogą powodować konfliktów kompetencji.

Przy macierzowym modelu kontroli należy przestrzegać zasady najmniejszych uprawnień, czyli nadawać minimalny wystarczający zakres uprawnień, niezbędny do wykonywania zadań służbowych.

Wada modelu macierzowego jest tylko jedna: trudność zorganizowania scentralizowanej kontroli.

Model mandatoryjnej kontroli dostępu, czyli model etykiet (MAC)

Jedną z kluczowych różnic między MAC a DAC jest to, że MAC uchodzi za model bezpieczniejszy, ponieważ pojedynczy użytkownicy nie mogą zmieniać dostępu do zasobów.

W modelu etykiet obiektom (plikom, dokumentom, bazom danych, oprogramowaniu itp.) przypisuje się etykietę z poziomem tajności (np. "Tajemnica handlowa", "Jawne", "Tajne", "Ściśle tajne", "Szczególnego znaczenia"), a podmiotom, czyli użytkownikom, etykietę z poziomem dostępu.

Model etykiet działa według następującej zasady: etykiety podmiotu i obiektu są porównywane pod kątem uprawnień — etykieta podmiotu musi być równa etykiecie obiektu lub od niej wyższa. W przeciwnym razie dostęp do dokumentu poufnego zostaje zablokowany albo użytkownik w ogóle go nie widzi.

Gdy osoba lub urządzenie próbuje uzyskać uprawnienie do pracy z konkretnym zasobem, system operacyjny lub jądro bezpieczeństwa sprawdza etykietę podmiotu i rozstrzyga, czy przyznać dostęp. MAC jest wprawdzie najbezpieczniejszym dostępnym modelem uprawnień, ale wymaga zaangażowania części zasobów przedsiębiorstwa i stałego monitorowania, aby wszystkie klasyfikacje podmiotów i użytkowników pozostawały aktualne.

Cechy i wady mandatoryjnego modelu dostępu

Wśród innych cech i wad modelu mandatoryjnego wyróżnia się następujące:

• użytkownicy nie mogą definiować dostępu podmiotów do obiektów, nawet jeśli sami je utworzyli — takie uprawnienia ma wyłącznie administrator;
• użytkownik może pracować w sesji tylko z jedną etykietą mandatoryjną;
• MAC jest trudny w utrzymaniu: ręczna konfiguracja poziomów bezpieczeństwa i uprawnień wymaga stałej uwagi administratorów;
• MAC nie skaluje się automatycznie: nowi użytkownicy sieci i nowe dane wymagają ciągłej aktualizacji konfiguracji kont;
• istotną zaletą jest to, że rygorystyczne i stale monitorowane polityki pomagają ograniczyć błędy prowadzące do nadmiarowych uprawnień;
• model uchodzi za najmniej podatny na wycieki danych: pracownicy nie mogą odtajnić informacji ani udostępnić do nich dostępu.

MAC należy do najbezpieczniejszych modeli: reguły dostępu definiują ręcznie administratorzy systemu, a ich przestrzeganie rygorystycznie egzekwuje system operacyjny lub jądro bezpieczeństwa.

Organizacje prywatne rzadko wdrażają MAC ze względu na złożoność i brak elastyczności takiego systemu. MAC stosują najczęściej instytucje publiczne: wojsko, urzędy państwowe i organy ścigania. Nie znaczy to jednak, że firmy prywatne go nie potrzebują: dobrze wdrożony model zapewnia wysoki i szczegółowy poziom bezpieczeństwa, choć jest kosztowny i trudny w konfiguracji.

Zarządzanie oparte na rolach (RBAC)

Kontrola dostępu oparta na rolach służy do nadawania pracownikom różnych poziomów dostępu w zależności od zajmowanego stanowiska i zakresu obowiązków. Znacząco ogranicza to ryzyko wycieku danych wrażliwych — pracownik ma dostęp wyłącznie do informacji i operacji niezbędnych do wykonywania zadań służbowych. RBAC oferuje proste i łatwe w utrzymaniu podejście do zarządzania, mniej podatne na błędy niż przypisywanie uprawnień osobno każdemu użytkownikowi.

Przy zarządzaniu rolami w modelu RBAC administrator analizuje potrzeby pracowników i grupuje ich w role według zakresu obowiązków. Następnie przypisuje każdemu pracownikowi jedną lub kilka ról, a każdej roli jedno lub kilka uprawnień. Relacje "użytkownik > rola" i "rola > uprawnienia" upraszczają przydzielanie dostępu, ponieważ użytkownikami nie trzeba już zarządzać pojedynczo, a przywileje wynikają z uprawnień przypisanych do ich ról.

Rola to zestaw przywilejów. Role różnią się od zwykłych grup użytkowników. W modelu RBAC uprawnienia nie są powiązane bezpośrednio z konkretnym wykonawcą, lecz z zakresem jego obowiązków, co jest wygodne. Z reguły ról jest zawsze mniej niż rzeczywistych pracowników, co upraszcza zarządzanie systemem informatycznym.

Istotną przewagą RBAC nad innymi systemami jest możliwość aktywowania kilku ról dla jednej osoby z jednego urządzenia. Ponadto RBAC pozwala:

• stworzyć praktyczny i wygodny system nadawania uprawnień;
• łatwo weryfikować przywileje i korygować wykryte naruszenia; 
• szybko dodawać i modyfikować role;
• ograniczyć prawdopodobieństwo błędów przy nadawaniu uprawnień;
• włączać do systemu użytkowników zewnętrznych, przypisując im specjalne role;
• skuteczniej spełniać wymagania prawne i regulacyjne dotyczące poufności informacji wrażliwych oraz danych osobowych pracowników i klientów.

Podobnie jak w innych modelach kontroli dostępu, również w RBAC przy przypisywaniu ról trzeba przestrzegać zasady najmniejszych uprawnień. Żaden pracownik nie powinien otrzymać większych uprawnień, niż potrzebuje do wykonywania zadań służbowych.

Przed wdrożeniem RBAC organizacja powinna możliwie szczegółowo określić uprawnienia dla każdej roli. Obejmuje to precyzyjne zdefiniowanie uprawnień w następujących obszarach:

• zmiana danych;
• odczyt;
• kopiowanie lub zapis na urządzenia zewnętrzne;
• uruchamianie aplikacji i tak dalej.

Wdrożenie systemu kontroli dostępu

Wdrożenie każdego systemu zarządzania uprawnieniami musi przebiegać na dwóch poziomach: programowym i organizacyjnym.

Na poziomie organizacyjnym ważne jest opracowanie dokumentu zawierającego wykaz użytkowników lub grup użytkowników, ich role albo uprawnienia oraz warunki nadawania i odbierania uprawnień. Aby uprościć procedurę aktualizowania wykazu, warto umieścić go w osobnym załączniku do dokumentu głównego.

Co warto zawrzeć w takim dokumencie?

1. Właściciela każdego aktywa informacyjnego: pracownika, kierownika działu, szefa przedsiębiorstwa. Właściciel informacji ustala uprawnienia bez możliwości przekazania tego prawa innym osobom.
2. Jeśli firma jest niewielka, warto zastosować model, w którym uprawnienia do administrowania dostępem ma wyłącznie superużytkownik.
3. Jeśli stosowany jest model, w którym podmiot może przekazywać uprawnienia innym podmiotom, trzeba prowadzić dziennik takich operacji i je monitorować.

Na marginesie: niektóre organizacje mogą stosować jednocześnie dwa lub więcej modeli zarządzania, a specyfikę ich wykorzystania należy jasno opisać w regulaminach albo w obowiązującej polityce bezpieczeństwa.

Wdrożenie systemu zarządzania uprawnieniami obejmuje kilka etapów:

1. Analiza obiektu. Na tym etapie definiuje się cele i zadania systemu oraz wymagania wobec niego. Przeprowadź inwentaryzację systemu informatycznego i obiektów, wykryj podatności i oceń możliwe ryzyka. Ustal liczbę użytkowników, rodzaje zasobów i inne parametry.
2. Projektowanie systemu. Opracuj projekt systemu z uwzględnieniem wymagań bezpieczeństwa, wygody użytkowania i efektywności kosztowej. Projekt powinien zawierać opis struktury systemu, jego komponentów i funkcji, a także plan instalacji i konfiguracji.
3. Dobór sprzętu i oprogramowania. Wybierz sprzęt i oprogramowanie odpowiadające wymaganiom projektu oraz budżetowi. Sprzęt może obejmować serwery, urządzenia sieciowe, narzędzia uwierzytelniania i inne elementy. Oprogramowanie z kolei pozwala zarządzać systemem, konfigurować jego parametry i otrzymywać raporty z jego pracy.
4. Instalacja i konfiguracja systemu. Zainstaluj sprzęt, skonfiguruj oprogramowanie i zintegruj je z pozostałymi systemami. Skonfiguruj system zgodnie z projektem i wymaganiami bezpieczeństwa. Sprawdź wydajność systemu i usuń ewentualne problemy.
5. Szkolenie personelu. Przeszkol pracowników odpowiedzialnych za system z jego obsługi i utrzymania. Wyjaśnij im, jak stosować identyfikatory, jak nadawać i ograniczać uprawnienia, jak reagować na incydenty bezpieczeństwa itp.
6. Audyt systemu. Przetestuj system pod kątem zgodności z wymaganiami projektu, niezawodności i bezpieczeństwa. Wykryj i popraw błędy oraz braki.
7. Oddanie systemu do eksploatacji. Po pomyślnych testach system trafia do stałej eksploatacji. Zapewnione zostają wsparcie i utrzymanie.
8. Monitorowanie i analiza pracy systemu. Regularnie kontroluj działanie systemu, zbieraj i analizuj dane o zdarzeniach oraz działaniach wykonawców. Pozwala to wykrywać słabe punkty, poprawiać wydajność i podnosić poziom bezpieczeństwa informacji.

W trakcie eksploatacji systemu mogą pojawić się nowe wymagania, zagrożenia lub możliwości. Trzeba w porę przeprowadzać audyty i na ich podstawie wprowadzać zmiany, aby system odpowiadał bieżącym warunkom oraz wymaganiom regulacyjnym. Z reguły audyt należy przeprowadzać co najmniej raz na 6 miesięcy.

Podsumowanie

Regularny audyt dostępu do danych poufnych oraz modeli rozdziału uprawnień to ważny element systemu bezpieczeństwa informacji w przedsiębiorstwie. Opracowanie i wdrożenie modelu uprawnień dopasowanego do potrzeb i możliwości organizacji, a także regularne badanie jego skuteczności pozwalają znacząco ograniczyć ryzyko wycieku lub zniszczenia informacji handlowych i danych osobowych pracowników oraz klientów.