Цель модуля
Научить работника запрашивать только необходимые права, понимать устройство ролей, участвовать в пересмотре доступов и немедленно сообщать о лишних правах.
Что такое наименьшие привилегии
Это правило: доступ выдаётся под конкретную задачу, на конкретный срок и в минимальном объёме. Если для работы достаточно чтения — запись не выдаётся. Если доступ нужен на неделю — бессрочный не оформляется.
Правило работает в обе стороны: работник не только не вправе требовать лишнего, но и обязан сообщить, если обнаружил у себя права, которыми пользоваться не должен.
Виды прав и роли
| Уровень доступа | Что позволяет | Кому выдаётся |
|---|---|---|
| Чтение | Просмотр данных без изменения | Широкому кругу исполнителей по обоснованной заявке |
| Изменение | Правка данных и настроек в своей области | Исполнителям, ведущим эту область |
| Административный | Управление правами, настройками и конфигурацией | Ограниченному кругу с отдельным обоснованием |
| Привилегированный доступ к промышленной среде | Изменение работающей системы и данных | По заявке на срок, с записью сеанса и последующим отзывом |
Разделение обязанностей
- тот, кто разрабатывает изменение, не должен единолично выпускать его в промышленную среду;
- тот, кто управляет правами, не должен единолично подтверждать свои же заявки;
- изменения в промышленной среде выполняются с записью сеанса и второй подписью;
- доступ к резервным копиям предоставляется отдельно от доступа к рабочим данным.
Типовые ошибки
- Права администратора выданы «чтобы не мешало работе» и остаются на месяцы.
- Доступ запрошен на весь отдел вместо конкретного работника.
- При переводе сотрудника старые права сохраняются вместе с новыми.
- Привилегированный доступ не отзывается после завершения работ.
- Проверка прав выполняется формально, списки не читаются.
- Для удобства заводится одна учётная запись с полными правами на всех.
Пересмотр доступов
Пересмотр — не формальность. Руководитель обязан подтвердить каждый доступ своих подчинённых и отозвать тот, необходимость которого отпала. По итогам пересмотра оформляется письменное решение: подтверждённые права остаются, остальные закрываются.
Проверочный список перед выходом на работу
- Запрошены только те права, которые нужны для текущих задач.
- Срок привилегированного доступа ограничен и известен.
- Доступ к промышленной среде выдаётся по отдельной заявке с записью сеанса.
- При переводе старые права отозваны.
- Участие в пересмотре доступов подтверждено письменно.
- Обнаруженные лишние права сообщены руководителю.
Вопросы для самопроверки
- Что означает принцип наименьших привилегий? Работник получает минимально необходимые права, на нужный срок, под конкретную задачу.
- Зачем нужно разделение обязанностей? Чтобы одно лицо не могло единолично провести рискованное действие — это снижает и вероятность ошибки, и возможность злоупотребления.
- Что делать, если у вас обнаружились лишние права? Немедленно сообщить руководителю и в службу информационной безопасности для отзыва.
Основание и что делать при сомнении
Модуль опирается на: Приказ ФСТЭК России от 11.02.2013 № 17, приказ ФСБ России от 10.07.2014 № 378.
Если ситуация не описана в модуле и вы не уверены в правильном действии, не принимайте решение самостоятельно: обратитесь к руководителю и в службу информационной безопасности до того, как выполнить операцию с данными или доступами.