В большинстве компаний число учетных записей с расширенными правами доступа превышает число самих сотрудников: на 1000 обычных пользователей в среднем приходится около 1500 привилегированных записей. Об этом «Газете.Ru» рассказал руководитель направления информационной безопасности ГК ОТР Кирилл Уголев.
При отсутствии контроля или автоматизации процесса с задержкой отзыва доступа сталкивается практически каждая компания. Администраторы систем при увольнении нередко сохраняют логины и пароли как к личным учетным записям. Для человеческих учетных записей — почты, CRM, корпоративных сервисов — задержка обычно измеряется днями и неделями, пока процесс отзыва не дойдет до всех систем.
Больше всего рисков несут технологические учетные записи: встроенные, через которые приложения авторизуются друг у друга, например связь с базой данных службами централизованной авторизации. Их пароли меняют редко, потому что любое изменение может грозить остановкой бизнес-процесса. В результате доступ, изначально привязанный к конкретному специалисту, годами остается активным без чьего-либо контроля.
Проблема одинаково остра в промышленности, финансах и госсекторе. Реже с ней сталкиваются компании с жестким техническим контролем процессов и внедренными IAM-решениями, но таких на рынке немного, поскольку подобные проекты требуют вовлечения целого ряда подразделений и значительных бюджетов.
«Если у вас был администратор, который создавал все учетные записи с расширенными правами, то он один с неотозванным доступом является владельцем всей инфраструктуры. Масштаб потенциального ущерба в таких случаях неограничен. Ответственность за отзыв доступа часто лежит на конкретных сотрудниках, и когда они сами покидают компанию, процесс остается без хозяина», — отметил Уголев.
Забытые доступы можно проранжировать по частоте. На первом месте — технологические учетные записи: они встроены в связь между системами и меняются реже всего. На втором месте — человеческие учетные записи во внешних сервисах, прежде всего почте и CRM. На третьем — доступы к общим хранилищам и облачным ресурсам.
Допустимый с точки зрения ИБ вариант офбординга начинается раньше, чем сотрудник узнает об увольнении: с момента решения о расставании его действия берут под усиленный контроль DLP-системы, а доступы пересматриваются и ограничиваются до минимально необходимых. В день увольнения все доступы блокируются полностью, но учетная запись сохраняется на случай форс-мажора и удаляется через три-шесть месяцев.
Ранее эксперт объяснил, почему хакерские атаки на финансовый сектор стали проще.