Zarządzanie możliwościami i zachowaniami

W kontroli dostępu podmiot to każdy aktor, który może działać w systemie: konto pracownika, administrator, podwykonawca, konto usługowe albo proces działający w imieniu jednego z nich. Dwa słowa tego terminu zadają o podmiocie różne pytania.

Zarządzanie możliwościami odpowiada na pytanie, co podmiot może technicznie zrobić. Obejmuje nadawanie, przegląd i odbieranie uprawnień: role, prawa do plików i systemów, zgodę na używanie nośników wymiennych, na instalowanie oprogramowania i na podniesienie uprawnień administracyjnych.

Zarządzanie zachowaniami odpowiada na pytanie, co podmiotowi wolno zrobić. Obejmuje reguły postępowania: dopuszczalne korzystanie z kanałów i danych, ograniczenia dla określonych grup, warunki wstrzymania lub oznaczenia działania oraz konsekwencje ich złamania.

Obie połowy wzajemnie się ograniczają. Podmiot może mieć możliwość wyeksportowania bazy klientów i mimo to mieć zakaz to zrobić, bo żadna polityka nie pozwoli na to, czego nie dopuszcza podstawowe uprawnienie. Dojrzałe programy zarządzają tą parą razem: możliwości wyznaczają pułap możliwej szkody, a reguły zachowań korytarz dopuszczalnych działań pod nim.

Większość modeli zagrożeń wewnętrznych opisuje ryzyko jako połączenie motywacji, okazji i możliwości. Intencji nie da się odczytać, a okazja jest wpisana w zwykłą pracę, bo ludzie muszą sięgać po dane, żeby z nich korzystać. Czynnikiem, który można bezpośrednio kontrolować, jest możliwość oraz zachowanie wokół jej użycia.

Ograniczenie możliwości nie czyni incydentu mniej prawdopodobnym. Czyni incydent, który i tak nastąpi, mniejszym, wolniejszym i łatwiejszym do zauważenia. Dyscyplina leży więc na prewencyjnym końcu programu przeciwdziałania zagrożeniom wewnętrznym: działa każdego dnia, podczas gdy detekcję ocenia się po rzadkich zdarzeniach.

W praktyce to cykl życia, a nie jednorazowe zablokowanie. Wiele zespołów trzyma grupy w usłudze katalogowej, dzięki czemu przeglądy zaczynają się od jednej listy kont.

Zarządzanie możliwościami i zachowaniami jest prewencyjne, a sąsiednie mechanizmy obejmują to, czego ono nie widzi. Zarządzanie tożsamością i dostępem zapewnia infrastrukturę: katalogi, grupy i przepływy zatwierdzania. Analityka zachowań obserwuje postępowanie względem linii bazowych i zadeklarowanych reguł, a zapobieganie utracie danych (DLP) egzekwuje reguły na poziomie treści, niezależnie od tego, kto ma uprawnienie.

Podział ról działa w obie strony. Monitorowanie bez ograniczeń możliwości daje alerty bez powstrzymania, bo potwierdzone naruszenie zostawia podmiot zdolnym do jego powtórzenia. Ograniczenia bez obserwacji dają ciche powstrzymanie, bo nikt nie dowiaduje się, kiedy reguły są sprawdzane. Dochodzenie i reagowanie zaczynają się, gdy pojawi się sygnał.

W konsoli Anexet prawa ustawia się dla grup użytkowników. Karta uprawnień pokazuje moduły, które członkowie grupy mogą otworzyć, a widok praw wskazuje, która grupa daje dane prawo. Dzięki temu nieoczekiwane uprawnienie da się prześledzić do źródła.

1 / 2

• 
• 

Zarządzanie zachowaniami zaczyna się na papierze, a kończy na egzekwowaniu. Opublikowana reguła, której nikt nie egzekwuje, tworzy pozór kontroli, a nie kontrolę:

1. 1

   Ustalenie reguł dopuszczalnego użytku

   Określ, które kanały, dane i działania są w pracy normalne, w polityce, którą podmioty znają i potwierdzają.

2. 2

   Dodanie ograniczeń technicznych

   Tam, gdzie zachowanie spotyka się z możliwością: warunki blokowania, kanały wyłączone dla określonych grup, kwarantanna działań niezgodnych z polityką.

3. 3

   Przewidywalne konsekwencje

   Stosuj sankcje proporcjonalne i konsekwentne. Odstraszanie zależy bardziej od spójności niż od surowości kary.

4. 4

   Obserwacja względem reguł

   Porównuj, co podmioty faktycznie robią, z tym, na co pozwalają reguły, tak aby naruszenia były widoczne jako zdarzenia.

5. 5

   Wsparcie i wzmacnianie

   Szkolenia, jasne przykłady i docenianie dobrych praktyk kształtują zachowania, a nie tylko karzą za ich brak.

Tryby zawodności są przewidywalne. Możliwości zacieśnione ponad potrzeby pracy blokują zwykłe zadania i tworzą kolejki wyjątków. Pozostawione zbyt swobodnie narastają w przyrost uprawnień. Reguły egzekwowane wybiórczo tracą sens szybciej niż reguły, których nie ma, bo uczą, że egzekwowanie jest arbitralne.

Obserwacja zachowań pokrywa się z monitorowaniem pracowników i dziedziczy jego ograniczenia prawne: proporcjonalność, przejrzystość, ograniczenie celu i, w wielu jurysdykcjach, konsultacje z przedstawicielstwem pracowników. Zmniejsza skutki, ale nie usuwa ryzyka, dlatego programy łączą ją z wykrywaniem i reagowaniem.

Zacznij od danych, których wyciek zaszkodziłby najbardziej, a potem zmapuj możliwości i kanały, które do nich prowadzą. Polityki pisane naraz dla każdego pliku i każdego uprawnienia kończą się blokowaniem pracy i wyłączeniem.

Czytaj dalej: Profilowanie.