একটি ভূমিকা-ভিত্তিক অ্যাক্সেস নিয়ন্ত্রণ মডেল তৈরি করা। প্রথম অংশ, প্রস্তুতিমূলক

এখন আমি একটি সফ্টওয়্যার বিক্রেতা কোম্পানির জন্য কাজ করি, বিশেষ করে অ্যাক্সেস কন্ট্রোল সমাধান। এবং আমার অভিজ্ঞতা "একটি অতীত জীবন থেকে" গ্রাহক পক্ষের সাথে সংযুক্ত - একটি বড় আর্থিক প্রতিষ্ঠান। সেই সময়ে, তথ্য সুরক্ষা বিভাগে আমাদের অ্যাক্সেস কন্ট্রোল গ্রুপ আইডিএম-এ দুর্দান্ত দক্ষতা নিয়ে গর্ব করতে পারেনি। আমরা প্রক্রিয়াটিতে অনেক কিছু শিখেছি, কোম্পানির তথ্য সিস্টেমে ব্যবহারকারীর অধিকার পরিচালনার জন্য একটি কার্যকরী প্রক্রিয়া তৈরি করার জন্য আমাদের একগুচ্ছ বাম্প পূরণ করতে হয়েছিল।

বিক্রেতার জ্ঞান এবং দক্ষতার সাথে গ্রাহকের মধ্যে অর্জিত আমার অভিজ্ঞতাকে একত্রিত করে, আমি আপনার সাথে মূলত একটি ধাপে ধাপে নির্দেশনা ভাগ করতে চাই: কীভাবে একটি বড় কোম্পানিতে একটি ভূমিকা-ভিত্তিক অ্যাক্সেস কন্ট্রোল মডেল তৈরি করতে হয় এবং এটি কী দেবে শেষ. আমার নির্দেশে দুটি অংশ রয়েছে: প্রথমটি - আমরা একটি মডেল তৈরি করার জন্য প্রস্তুতি নিচ্ছি, দ্বিতীয়টি - আমরা আসলে এটি তৈরি করি। আপনি একটি অংশ আগে, প্রস্তুতিমূলক.

বিশেষ দ্রষ্টব্য একটি রোল মডেল তৈরি করা, দুর্ভাগ্যবশত, ফলাফল নয়, একটি প্রক্রিয়া। বা বরং, কোম্পানিতে একটি অ্যাক্সেস কন্ট্রোল ইকোসিস্টেম তৈরির প্রক্রিয়ার অংশও। তাই অনেকক্ষণ ধরে খেলায় টিউন করুন।

প্রথমে, আসুন সংজ্ঞায়িত করি - ভূমিকা-ভিত্তিক অ্যাক্সেস নিয়ন্ত্রণ কী? ধরুন আপনার কাছে দশ হাজার বা এমনকি কয়েক হাজার কর্মচারী (বিষয়) সহ একটি বৃহৎ ব্যাঙ্ক রয়েছে, যার প্রতিটিরই শত শত আন্তঃব্যাংক তথ্য ব্যবস্থার (বস্তু) অ্যাক্সেসের অধিকার রয়েছে। এবং এখন বিষয়ের সংখ্যা দ্বারা বস্তুর সংখ্যা গুণ করুন - এটি হল অন্তত কতগুলি সংযোগ আপনাকে প্রথমে তৈরি করতে হবে এবং তারপর নিয়ন্ত্রণ করতে হবে। এটা কি সত্যিই ম্যানুয়ালি করা সম্ভব? অবশ্যই না - ভূমিকা এই সমস্যার সমাধান করতে হাজির.

একটি ভূমিকা হল অনুমতিগুলির একটি সেট যা একটি ব্যবহারকারী বা ব্যবহারকারীদের একটি গোষ্ঠীকে নির্দিষ্ট কাজের কাজ সম্পাদন করতে হবে। প্রতিটি কর্মচারীর এক বা একাধিক ভূমিকা থাকতে পারে এবং প্রতিটি ভূমিকায় এক থেকে একাধিক অনুমতি থাকতে পারে যা সেই ভূমিকার মধ্যে একজন ব্যবহারকারীকে অনুমোদিত। ভূমিকা নির্দিষ্ট অবস্থান, বিভাগ বা কর্মীদের কার্যকরী কাজের সাথে আবদ্ধ হতে পারে।

ভূমিকা সাধারণত প্রতিটি তথ্য সিস্টেমে পৃথক কর্মচারী অনুমোদন থেকে তৈরি করা হয়। তারপরে প্রতিটি সিস্টেমের ভূমিকা থেকে বিশ্বব্যাপী ব্যবসায়িক ভূমিকা গঠিত হয়। উদাহরণ স্বরূপ, ব্যাঙ্কের ক্লায়েন্ট অফিসে ব্যবহৃত তথ্য ব্যবস্থায় ব্যবসায়িক ভূমিকা "লোন ম্যানেজার"-এর মধ্যে বেশ কিছু আলাদা ভূমিকা থাকবে। উদাহরণস্বরূপ, যেমন প্রধান স্বয়ংক্রিয় ব্যাংকিং সিস্টেম, নগদ রেজিস্টার, ইলেকট্রনিক ডকুমেন্ট ম্যানেজমেন্ট সিস্টেম, পরিষেবা ব্যবস্থাপক এবং অন্যান্য। ব্যবসায়িক ভূমিকা, একটি নিয়ম হিসাবে, সাংগঠনিক কাঠামোর সাথে আবদ্ধ হয় - অন্য কথায়, কোম্পানির বিভাগ এবং তাদের অবস্থানগুলির একটি সেটের সাথে। এইভাবে বিশ্বব্যাপী ভূমিকা ম্যাট্রিক্স গঠিত হয় (আমি নীচের টেবিলে একটি উদাহরণ দিচ্ছি)।

এটি লক্ষণীয় যে একটি 100% রোল মডেল তৈরি করা অসম্ভব, একটি বাণিজ্যিক কাঠামোতে প্রতিটি পদের কর্মচারীদের জন্য সমস্ত প্রয়োজনীয় অধিকার প্রদান করে। হ্যাঁ, এটি প্রয়োজনীয় নয়। সর্বোপরি, রোল মডেলটি স্থির হতে পারে না, কারণ এটি ক্রমাগত পরিবর্তিত পরিবেশের উপর নির্ভর করে। এবং কোম্পানির ব্যবসায়িক ক্রিয়াকলাপের পরিবর্তন থেকে, যা সেই অনুযায়ী, সাংগঠনিক কাঠামো এবং কার্যকারিতা পরিবর্তনকে প্রভাবিত করে। এবং সম্পদের সম্পূর্ণ বিধানের অভাব থেকে, এবং কাজের বিবরণের সাথে অ-সম্মতি থেকে, এবং নিরাপত্তার খরচে লাভের আকাঙ্ক্ষা থেকে এবং অন্যান্য অনেক কারণ থেকে। অতএব, একটি রোল মডেল তৈরি করা প্রয়োজন যা ব্যবহারকারীদের প্রয়োজনীয় মৌলিক অধিকারগুলির জন্য 80% পর্যন্ত কভার করতে পারে যখন তারা একটি পদে নিযুক্ত হয়। এবং বাকি 20% তারা প্রয়োজনে পরে পৃথক আবেদনে জিজ্ঞাসাবাদ করতে সক্ষম হবে।

অবশ্যই, আপনি জিজ্ঞাসা করতে পারেন: "কি, কোন 100% রোল মডেল নেই?" ঠিক আছে, কেন, এটি ঘটে, উদাহরণস্বরূপ, অলাভজনক কাঠামোতে যা ঘন ঘন পরিবর্তনের বিষয় নয় - কিছু গবেষণা প্রতিষ্ঠানে। অথবা উচ্চ স্তরের নিরাপত্তা সহ সামরিক-শিল্প জটিল সংস্থাগুলিতে, যেখানে নিরাপত্তা প্রথমে আসে। এটি ঘটে এবং একটি বাণিজ্যিক কাঠামোতে, তবে একটি একক ইউনিটের কাঠামোর মধ্যে, যার কাজটি একটি মোটামুটি স্থির এবং অনুমানযোগ্য প্রক্রিয়া।

ভূমিকা-ভিত্তিক ব্যবস্থাপনার প্রধান সুবিধা হ'ল অধিকার প্রদানের সরলীকরণ, কারণ ভূমিকার সংখ্যা তথ্য সিস্টেমের ব্যবহারকারীর সংখ্যার তুলনায় উল্লেখযোগ্যভাবে কম। এবং এটি যে কোনও শিল্পের জন্য সত্য।

একটি খুচরা কোম্পানি ধরা যাক: এটি হাজার হাজার বিক্রয়কর্মী নিয়োগ করে, কিন্তু এন সিস্টেমে তাদের অধিকারের একই সেট রয়েছে এবং তাদের জন্য শুধুমাত্র একটি ভূমিকা তৈরি করা হবে। একটি নতুন বিক্রেতা কোম্পানিতে এসেছিলেন - তাকে স্বয়ংক্রিয়ভাবে সিস্টেমে প্রয়োজনীয় ভূমিকা অর্পণ করা হয়েছিল, যার ইতিমধ্যে সমস্ত প্রয়োজনীয় ক্ষমতা রয়েছে। এছাড়াও, এক ক্লিকে, আপনি একবারে হাজার হাজার বিক্রেতার অধিকার পরিবর্তন করতে পারেন, উদাহরণস্বরূপ, একটি প্রতিবেদন তৈরি করার জন্য একটি নতুন বিকল্প যোগ করুন। প্রতিটি অ্যাকাউন্টে একটি নতুন অধিকার লিঙ্ক করার জন্য আপনাকে হাজার অপারেশন করতে হবে না - শুধুমাত্র ভূমিকাতে এই বিকল্পটি যোগ করুন এবং এটি একই সময়ে সমস্ত বিক্রেতার জন্য প্রদর্শিত হবে।

ভূমিকা-ভিত্তিক ব্যবস্থাপনার আরেকটি সুবিধা হল বেমানান অনুমতি এড়ানো। অর্থাৎ, যে কর্মচারীর সিস্টেমে একটি নির্দিষ্ট ভূমিকা রয়েছে তার একই সাথে অন্য ভূমিকা থাকতে পারে না, যার অধিকারগুলি প্রথমটির অধিকারগুলির সাথে একত্রিত হওয়া উচিত নয়। একটি উজ্জ্বল উদাহরণ হল একটি আর্থিক লেনদেনের ইনপুট এবং নিয়ন্ত্রণের ফাংশনগুলিকে একত্রিত করার উপর নিষেধাজ্ঞা৷

ভূমিকা-ভিত্তিক অ্যাক্সেস কন্ট্রোল কীভাবে প্রথম স্থানে এসেছে সে বিষয়ে আগ্রহী যে কেউ পারেন
ইতিহাসের মধ্যে ডুব
আমরা যদি ইতিহাসের দিকে ফিরে যাই, তাহলে প্রথমবারের মতো আইটি সম্প্রদায় XX শতাব্দীর 70 এর দশকে অ্যাক্সেস নিয়ন্ত্রণ পদ্ধতি সম্পর্কে চিন্তা করেছিল। যদিও অ্যাপ্লিকেশানগুলি তখন বেশ সহজ ছিল, কিন্তু, এখনকার মতো, প্রত্যেকেই সত্যিই তাদের অ্যাক্সেসকে সুবিধাজনকভাবে পরিচালনা করতে চেয়েছিল। ব্যবহারকারীর অধিকার মঞ্জুর করুন, পরিবর্তন করুন এবং নিয়ন্ত্রণ করুন - তাদের প্রত্যেকের কী অ্যাক্সেস রয়েছে তা বোঝা সহজ করার জন্য। কিন্তু সেই সময়ে কোনও সাধারণ মান ছিল না, প্রথম অ্যাক্সেস কন্ট্রোল সিস্টেমগুলি তৈরি করা হচ্ছিল এবং প্রতিটি কোম্পানির নিজস্ব ধারণা এবং নিয়মের উপর ভিত্তি করে ছিল।

অনেক ভিন্ন অ্যাক্সেস কন্ট্রোল মডেল এখন পরিচিত, কিন্তু তারা অবিলম্বে প্রদর্শিত হয় না. আসুন আমরা যারা এই দিকটির বিকাশে একটি বাস্তব অবদান রেখেছেন তাদের কথা বলি।

প্রথম এবং সম্ভবত সবচেয়ে সহজ মডেল বিবেচনামূলক (নির্বাচিত) অ্যাক্সেস নিয়ন্ত্রণ (DAC - বিবেচনামূলক অ্যাক্সেস নিয়ন্ত্রণ)। এই মডেলটি অ্যাক্সেস প্রক্রিয়ার সমস্ত অংশগ্রহণকারীদের দ্বারা অধিকার ভাগ করে নেওয়াকে বোঝায়। প্রতিটি ব্যবহারকারী নির্দিষ্ট বস্তু বা অপারেশন অ্যাক্সেস পায়. আসলে, এখানে অধিকারের বিষয়ের সেট বস্তুর সেটের সাথে মিলে যায়। এই মডেলটি খুব নমনীয় এবং রক্ষণাবেক্ষণ করা খুব কঠিন বলে পাওয়া গেছে: অ্যাক্সেস তালিকাগুলি বিশাল এবং সময়ের সাথে নিয়ন্ত্রণ করা কঠিন হয়ে ওঠে।

দ্বিতীয় মডেল হল বাধ্যতামূলক অ্যাক্সেস নিয়ন্ত্রণ (MAC). এই মডেল অনুসারে, প্রতিটি ব্যবহারকারী ডেটা গোপনীয়তার একটি নির্দিষ্ট স্তরে জারি করা অ্যাক্সেস অনুসারে অবজেক্টে অ্যাক্সেস পায়। তদনুসারে, গোপনীয়তার স্তর অনুসারে বস্তুগুলিকে শ্রেণিবদ্ধ করা উচিত। প্রথম নমনীয় মডেল থেকে ভিন্ন, এই এক, বিপরীতভাবে, খুব কঠোর এবং সীমাবদ্ধ হতে পরিণত. যখন কোম্পানির কাছে অনেকগুলি তথ্য সংস্থান থাকে তখন এটির ব্যবহার নিজেকে ন্যায্যতা দেয় না: বিভিন্ন সংস্থানগুলিতে অ্যাক্সেস সীমাবদ্ধ করার জন্য, আপনাকে অনেকগুলি বিভাগ চালু করতে হবে যা ওভারল্যাপ হবে না।

এই দুটি পদ্ধতির সুস্পষ্ট অপূর্ণতার কারণে, আইটি সম্প্রদায় বিভিন্ন ধরনের সাংগঠনিক অ্যাক্সেস নিয়ন্ত্রণ নীতিগুলিকে সমর্থন করার জন্য আরও নমনীয় এবং একই সাথে কম-বেশি সর্বজনীন মডেলগুলি বিকাশ অব্যাহত রেখেছে। এবং যে যখন এটি হাজির ভূমিকা ভিত্তিক অ্যাক্সেস নিয়ন্ত্রণ তৃতীয় মডেল! এই পদ্ধতিটি সবচেয়ে প্রতিশ্রুতিবদ্ধ হয়ে উঠেছে, কারণ এটির জন্য কেবল ব্যবহারকারীর পরিচয়ের অনুমোদনই নয়, সিস্টেমে তার কাজের ফাংশনও প্রয়োজন।

1992 সালে আমেরিকান বিজ্ঞানী ডেভিড ফেরাইলো এবং ইউএস ন্যাশনাল ইনস্টিটিউট অফ স্ট্যান্ডার্ডস অ্যান্ড টেকনোলজির রিচার্ড কুহনের দ্বারা প্রথম ভালভাবে বর্ণিত রোল মডেল কাঠামোটি প্রস্তাব করা হয়েছিল। তারপর শব্দটি প্রথম হাজির RBAC (ভুমিকা-ভিত্তিক অ্যাক্সেস নিয়ন্ত্রণ)। এই অধ্যয়ন এবং মূল উপাদানগুলির বিবরণ, সেইসাথে তাদের সম্পর্কগুলি, INCITS 359-2012 মানদণ্ডের ভিত্তি তৈরি করেছে, যা আজ অবধি বৈধ, তথ্য প্রযুক্তি স্ট্যান্ডার্ডের আন্তর্জাতিক কমিটি (INCITS) দ্বারা অনুমোদিত।

স্ট্যান্ডার্ড একটি ভূমিকাকে সংজ্ঞায়িত করে "একটি সংস্থার পরিপ্রেক্ষিতে একটি কাজের ফাংশন যার সাথে কিছু যুক্ত শব্দার্থবিদ্যার সাথে ভূমিকায় অর্পিত ব্যবহারকারীকে অর্পিত কর্তৃত্ব এবং দায়িত্বের বিষয়ে।" নথিটি RBAC-এর মৌলিক উপাদানগুলি - ব্যবহারকারী, সেশন, ভূমিকা, অনুমতি, অপারেশন এবং অবজেক্ট, সেইসাথে তাদের মধ্যে সম্পর্ক এবং আন্তঃসংযোগ স্থাপন করে।

আদর্শটি একটি রোল মডেল তৈরির জন্য ন্যূনতম প্রয়োজনীয় কাঠামো প্রদান করে - ভূমিকাগুলির অধিকারগুলিকে একত্রিত করে এবং তারপরে এই ভূমিকাগুলির মাধ্যমে ব্যবহারকারীদের অ্যাক্সেস প্রদান করে৷ বস্তু এবং ক্রিয়াকলাপ থেকে ভূমিকা রচনা করার প্রক্রিয়াগুলি রূপরেখা দেওয়া হয়েছে, ভূমিকাগুলির শ্রেণিবিন্যাস এবং ক্ষমতার উত্তরাধিকার বর্ণনা করা হয়েছে। প্রকৃতপক্ষে, যে কোনও কোম্পানিতে এমন ভূমিকা রয়েছে যা প্রাথমিক ক্ষমতাগুলিকে একত্রিত করে যা কোম্পানির সমস্ত কর্মচারীদের জন্য প্রয়োজনীয়। এটি ই-মেইল, EDMS, কর্পোরেট পোর্টাল ইত্যাদিতে অ্যাক্সেস হতে পারে। এই অনুমতিগুলি "কর্মচারী" নামক একটি সাধারণ ভূমিকায় অন্তর্ভুক্ত করা যেতে পারে, এবং প্রতিটি উচ্চ-স্তরের ভূমিকায় সমস্ত প্রাথমিক অধিকারগুলি বারবার তালিকাভুক্ত করার প্রয়োজন হবে না। এটি শুধুমাত্র "কর্মচারী" ভূমিকার উত্তরাধিকারের চিহ্ন নির্দেশ করার জন্য যথেষ্ট।

পরে, স্ট্যান্ডার্ডটি সদা পরিবর্তনশীল পরিবেশের সাথে সম্পর্কিত নতুন অ্যাক্সেস বৈশিষ্ট্যগুলির সাথে পরিপূরক হয়েছিল। স্ট্যাটিক এবং গতিশীল সীমাবদ্ধতা প্রবর্তনের ক্ষমতা যোগ করা হয়েছে। স্ট্যাটিকগুলি ভূমিকা একত্রিত করার অসম্ভবতা বোঝায় (উপরে উল্লিখিত ক্রিয়াকলাপগুলির একই ইনপুট এবং নিয়ন্ত্রণ)। গতিশীল সীমা সময় (কাজের/অ-কাজের সময় বা দিন), অবস্থান (অফিস/বাড়ি) এবং এর মতো পরামিতি পরিবর্তন করে সংজ্ঞায়িত করা যেতে পারে।

আলাদাভাবে, এটি সম্পর্কে বলা উচিত অ্যাট্রিবিউট-ভিত্তিক অ্যাক্সেস কন্ট্রোল (ABAC)। পদ্ধতিটি অ্যাট্রিবিউট শেয়ারিং নিয়ম ব্যবহার করে অ্যাক্সেস প্রদানের উপর ভিত্তি করে। এই মডেলটি আলাদাভাবে ব্যবহার করা যেতে পারে, তবে প্রায়শই এটি সক্রিয়ভাবে ক্লাসিক রোল মডেলের পরিপূরক করে: আপনি ব্যবহারকারী, সংস্থান এবং ডিভাইসের বৈশিষ্ট্যগুলি, সেইসাথে একটি নির্দিষ্ট ভূমিকাতে সময় বা অবস্থান যোগ করতে পারেন। এটি আপনাকে কম ভূমিকা ব্যবহার করতে, অতিরিক্ত বিধিনিষেধ প্রবর্তন করতে এবং অ্যাক্সেসকে ন্যূনতমভাবে পর্যাপ্ত করতে দেয় এবং তাই নিরাপত্তা বাড়াতে পারে।

উদাহরণস্বরূপ, একজন হিসাবরক্ষক যদি একটি নির্দিষ্ট অঞ্চলে কাজ করেন তবে তাকে অ্যাকাউন্টগুলিতে অ্যাক্সেসের অনুমতি দেওয়া যেতে পারে। তারপর বিশেষজ্ঞের অবস্থান একটি নির্দিষ্ট রেফারেন্স মানের সাথে তুলনা করা হবে। অথবা আপনি শুধুমাত্র তখনই অ্যাকাউন্টে অ্যাক্সেস দিতে পারেন যদি ব্যবহারকারী অনুমতিপ্রাপ্তদের রেজিস্টারে প্রবেশ করা কোনো ডিভাইস থেকে লগ ইন করেন। রোল মডেলের জন্য একটি ভাল সংযোজন, তবে অনুমতি বা নিষেধাজ্ঞার অনেক নিয়ম এবং টেবিল তৈরি করার প্রয়োজনের কারণে এটি খুব কমই ব্যবহৃত হয়।

আমি আমার "গত জীবন" থেকে ABAC ব্যবহারের একটি উদাহরণ দেব। আমাদের ব্যাংকের বেশ কয়েকটি শাখা ছিল। এই শাখাগুলিতে ক্লায়েন্ট অফিসের কর্মচারীরা ঠিক একই ক্রিয়াকলাপ সম্পাদন করেছিল, কিন্তু শুধুমাত্র তাদের অঞ্চলের অ্যাকাউন্টগুলির সাথে মূল সিস্টেমে কাজ করতে হয়েছিল। প্রথমত, আমরা প্রতিটি অঞ্চলের জন্য আলাদা ভূমিকা তৈরি করা শুরু করেছি - এবং পুনরাবৃত্তিমূলক কার্যকারিতা সহ এমন অনেক ভূমিকা ছিল, কিন্তু বিভিন্ন অ্যাকাউন্টে অ্যাক্সেস সহ! তারপরে, ব্যবহারকারীর জন্য একটি অবস্থান বৈশিষ্ট্য ব্যবহার করে এবং চেক করার জন্য অ্যাকাউন্টগুলির একটি নির্দিষ্ট পরিসরের সাথে লিঙ্ক করার মাধ্যমে, আমরা সিস্টেমে ভূমিকার সংখ্যা উল্লেখযোগ্যভাবে হ্রাস করেছি। ফলস্বরূপ, ভূমিকা শুধুমাত্র একটি শাখার জন্য রয়ে গেছে, যা ব্যাঙ্কের অন্যান্য সমস্ত আঞ্চলিক বিভাগের সংশ্লিষ্ট পদগুলির জন্য প্রতিলিপি করা হয়েছিল।

এবং এখন আসুন প্রয়োজনীয় প্রস্তুতিমূলক পদক্ষেপগুলি সম্পর্কে কথা বলি, যা ছাড়া একটি কার্যকরী রোল মডেল তৈরি করা অসম্ভব।

ধাপ 1. একটি কার্যকরী মডেল তৈরি করুন

এটি একটি কার্যকরী মডেল তৈরির সাথে শুরু করা মূল্যবান - একটি শীর্ষ-স্তরের নথি যা প্রতিটি ইউনিট এবং প্রতিটি অবস্থানের কার্যকারিতা বিশদভাবে বর্ণনা করে। একটি নিয়ম হিসাবে, তথ্য এটি বিভিন্ন নথি থেকে প্রবেশ করে: কাজের বিবরণ এবং পৃথক বিভাগের জন্য প্রবিধান - বিভাগ, বিভাগ, বিভাগ। কার্যকরী মডেলটি অবশ্যই সমস্ত আগ্রহী বিভাগের সাথে একমত হতে হবে (ব্যবসা, অভ্যন্তরীণ নিয়ন্ত্রণ, নিরাপত্তা) এবং কোম্পানির ব্যবস্থাপনা দ্বারা অনুমোদিত। এই দলিল কি জন্য? যাতে রোল মডেল এটি উল্লেখ করতে পারেন। উদাহরণস্বরূপ, আপনি কর্মীদের বিদ্যমান অধিকারের উপর ভিত্তি করে একটি রোল মডেল তৈরি করতে যাচ্ছেন - সিস্টেম থেকে আনলোড করা হয়েছে এবং "একটি সাধারণ ডিনোমিনেটরে হ্রাস করা হয়েছে"৷ তারপরে, সিস্টেমের ব্যবসায়িক মালিকের সাথে প্রাপ্ত ভূমিকার বিষয়ে সম্মত হওয়ার সময়, কেউ কার্যকরী মডেলের একটি নির্দিষ্ট আইটেম উল্লেখ করতে পারে, যার ভিত্তিতে এই বা সেই অধিকারটি ভূমিকায় অন্তর্ভুক্ত করা হয়েছে।

ধাপ 2. আমরা আইটি সিস্টেম অডিট করি এবং একটি অগ্রাধিকার পরিকল্পনা তৈরি করি

দ্বিতীয় পর্যায়ে, তাদের অ্যাক্সেস কিভাবে সংগঠিত হয় তা বোঝার জন্য আইটি সিস্টেমগুলির একটি অডিট করা উচিত। উদাহরণস্বরূপ, আমার আর্থিক কোম্পানি কয়েকশত তথ্য সিস্টেম পরিচালনা করে। সমস্ত সিস্টেমে ভূমিকা পরিচালনার কিছু মূলনীতি ছিল, বেশিরভাগ ক্ষেত্রে - কিছু ভূমিকা, তবে বেশিরভাগ ক্ষেত্রেই কাগজে বা সিস্টেম ডিরেক্টরিতে - সেগুলি দীর্ঘদিনের পুরানো, এবং প্রকৃত ব্যবহারকারীর অনুরোধে সেগুলিতে অ্যাক্সেস বিতরণ করা হয়েছিল। স্বাভাবিকভাবেই, একবারে কয়েকশো সিস্টেমে একটি রোল মডেল তৈরি করা অসম্ভব, আপনাকে কোথাও শুরু করতে হবে। আমরা এর পরিপক্কতার স্তর নির্ধারণ করতে অ্যাক্সেস নিয়ন্ত্রণ প্রক্রিয়াটির একটি গভীর বিশ্লেষণ পরিচালনা করেছি। বিশ্লেষণের প্রক্রিয়ায়, তথ্য ব্যবস্থাকে অগ্রাধিকার দেওয়ার মানদণ্ড তৈরি করা হয়েছিল - সমালোচনা, প্রস্তুতি, ডিকমিশন করার পরিকল্পনা ইত্যাদি। তাদের সহায়তায়, আমরা এই সিস্টেমগুলির জন্য রোল মডেলগুলির বিকাশ / আপডেট করার জন্য একটি ক্রম তৈরি করেছি। এবং তারপর - স্বয়ংক্রিয় অ্যাক্সেস নিয়ন্ত্রণের জন্য আইডেন্টিটি ম্যানেজমেন্ট সলিউশনের সাথে একীভূত করার পরিকল্পনায় রোল মডেলগুলি অন্তর্ভুক্ত করেছে।

সুতরাং, সিস্টেমের সমালোচনা কিভাবে নির্ধারণ করবেন? নিজেকে নিম্নলিখিত প্রশ্নের উত্তর দিন:

• সিস্টেমটি কি অপারেশনাল প্রক্রিয়াগুলির সাথে যুক্ত যার উপর কোম্পানির মূল ব্যবসা নির্ভর করে?
• সিস্টেমের ব্যাঘাত কোম্পানির সম্পদের অখণ্ডতা প্রভাবিত করবে?
• সিস্টেমের সর্বাধিক অনুমোদিত ডাউনটাইম কী, যেখানে পৌঁছানোর পরে কোনও বাধার পরে কার্যকলাপ পুনরুদ্ধার করা অসম্ভব?
• সিস্টেমে তথ্যের অখণ্ডতার লঙ্ঘন কি অপরিবর্তনীয় পরিণতির দিকে নিয়ে যেতে পারে, আর্থিক এবং সুনাম উভয়ই?
• প্রতারণার সমালোচনা। কার্যকারিতার উপস্থিতি, যার অপর্যাপ্ত নিয়ন্ত্রণের সাথে, অভ্যন্তরীণ / বাহ্যিক প্রতারণামূলক কর্ম সম্পাদন করা সম্ভব;
• এই সিস্টেমের জন্য আইনি প্রয়োজনীয়তা, সেইসাথে অভ্যন্তরীণ নিয়ম এবং পদ্ধতি কি? অ-সম্মতির জন্য নিয়ন্ত্রকদের কাছ থেকে জরিমানা হবে?

আমাদের আর্থিক কোম্পানিতে, আমরা এই ধরনের একটি অডিট পরিচালনা করেছি। ম্যানেজমেন্ট একটি অ্যাক্সেস রাইট রিভিউ অডিট পদ্ধতি তৈরি করেছে যাতে বিদ্যমান ব্যবহারকারী এবং অধিকারগুলিকে প্রথম অগ্রাধিকার তালিকায় থাকা তথ্য সিস্টেমগুলির সাথে মোকাবিলা করা যায়। নিরাপত্তা বিভাগকে এই প্রক্রিয়ার মালিকের দায়িত্ব দেওয়া হয়েছে। কিন্তু কোম্পানিতে প্রবেশাধিকারের একটি সম্পূর্ণ চিত্র পাওয়ার জন্য, প্রক্রিয়াটিতে আইটি এবং ব্যবসায়িক বিভাগগুলিকে জড়িত করা প্রয়োজন ছিল। এবং এখানে বিরোধ, ভুল বোঝাবুঝি এবং কখনও কখনও এমনকি নাশকতা শুরু হয়েছিল: কেউ তাদের বর্তমান দায়িত্বগুলি থেকে দূরে সরে যেতে চায় না এবং প্রথম নজরে, বোধগম্য ক্রিয়াকলাপে জড়িত হতে চায় না।

বিশেষ দ্রষ্টব্য উন্নত আইটি প্রক্রিয়া সহ বড় সংস্থাগুলি সম্ভবত আইটি অডিট পদ্ধতির সাথে পরিচিত - আইটি সাধারণ নিয়ন্ত্রণ (আইটিজিসি), যা আপনাকে আইটি প্রক্রিয়াগুলিতে ত্রুটিগুলি সনাক্ত করতে এবং নিয়ন্ত্রণ প্রতিষ্ঠা করতে দেয় যাতে সর্বোত্তম অনুশীলন (আইটিআইএল, সিওবিআইটি, আইটি) অনুসারে প্রক্রিয়াগুলি উন্নত করা যায়। গভর্নেন্স ইত্যাদি) এই ধরনের একটি অডিট আইটি এবং ব্যবসাকে একে অপরকে আরও ভালভাবে বুঝতে এবং একটি যৌথ উন্নয়ন কৌশল তৈরি করতে, ঝুঁকি বিশ্লেষণ করতে, খরচ অপ্টিমাইজ করতে এবং কাজের জন্য আরও দক্ষ পদ্ধতির বিকাশ করতে দেয়।



নিরীক্ষার ক্ষেত্রগুলির মধ্যে একটি হল তথ্য সিস্টেমে যৌক্তিক এবং শারীরিক অ্যাক্সেসের পরামিতিগুলি নির্ধারণ করা। আমরা একটি রোল মডেল তৈরিতে আরও ব্যবহারের জন্য একটি ভিত্তি হিসাবে প্রাপ্ত ডেটা নিয়েছি। এই ধরনের একটি নিরীক্ষার ফলস্বরূপ, আমাদের কাছে আইটি সিস্টেমগুলির একটি রেজিস্টার রয়েছে, যেখানে তাদের প্রযুক্তিগত পরামিতিগুলি নির্ধারণ করা হয়েছিল এবং বিবরণ দেওয়া হয়েছিল। উপরন্তু, প্রতিটি সিস্টেমের জন্য, একজন মালিককে ব্যবসায়িক দিক থেকে নির্ধারণ করা হয়েছিল যার স্বার্থে এটি পরিচালিত হয়েছিল: এই সিস্টেমটি যে ব্যবসায়িক প্রক্রিয়াগুলি পরিবেশন করেছিল তার জন্য তিনিই দায়ী ছিলেন। একটি আইটি পরিষেবা ব্যবস্থাপকও নিযুক্ত করা হয়েছিল, যা একটি নির্দিষ্ট আইএস-এ ব্যবসার প্রয়োজনের প্রযুক্তিগত বাস্তবায়নের জন্য দায়ী। কোম্পানির জন্য সবচেয়ে গুরুত্বপূর্ণ সিস্টেম এবং তাদের প্রযুক্তিগত পরামিতি, কমিশনিং এবং ডিকমিশনিং তারিখ, ইত্যাদি রেকর্ড করা হয়েছিল। এই প্যারামিটারগুলি একটি রোল মডেল তৈরির প্রস্তুতির প্রক্রিয়ায় অনেক সাহায্য করেছিল।

ধাপ 3 একটি পদ্ধতি তৈরি করুন

যেকোনো ব্যবসার সফলতার চাবিকাঠি হল সঠিক পদ্ধতি। অতএব, একটি রোল মডেল তৈরি করতে এবং একটি অডিট পরিচালনা করার জন্য, আমাদের একটি পদ্ধতি তৈরি করতে হবে যেখানে আমরা বিভাগগুলির মধ্যে মিথস্ক্রিয়া বর্ণনা করব, কোম্পানির প্রবিধানে দায়িত্ব ঠিক করব ইত্যাদি।
প্রথমে আপনাকে সমস্ত উপলব্ধ নথি পরীক্ষা করতে হবে যা অ্যাক্সেস এবং অধিকার প্রদানের পদ্ধতি স্থাপন করে। একটি ভাল উপায়ে, প্রক্রিয়াগুলি বিভিন্ন স্তরে নথিভুক্ত করা উচিত:

• সাধারণ কর্পোরেট প্রয়োজনীয়তা;
• তথ্য নিরাপত্তার ক্ষেত্রগুলির জন্য প্রয়োজনীয়তা (সংস্থার কার্যকলাপের উপর নির্ভর করে);
• প্রযুক্তিগত প্রক্রিয়াগুলির জন্য প্রয়োজনীয়তা (নির্দেশ, অ্যাক্সেস ম্যাট্রিক্স, নির্দেশিকা, কনফিগারেশন প্রয়োজনীয়তা)।

আমাদের আর্থিক কোম্পানীতে, আমরা অনেক পুরানো নথি খুঁজে পেয়েছি - নতুন প্রক্রিয়া চালু হওয়ার সাথে সাথে আমাদের সেগুলি আনতে হয়েছিল।

ব্যবস্থাপনার আদেশে, একটি ওয়ার্কিং গ্রুপ তৈরি করা হয়েছিল, যার মধ্যে নিরাপত্তা, আইটি, ব্যবসা এবং অভ্যন্তরীণ নিয়ন্ত্রণের ক্ষেত্রগুলির প্রতিনিধি অন্তর্ভুক্ত ছিল। আদেশটি গ্রুপ তৈরির লক্ষ্য, কার্যকলাপের দিক, অস্তিত্বের সময়কাল এবং প্রতিটি পক্ষের দায়িত্বের রূপরেখা দেয়। উপরন্তু, আমরা একটি অডিট পদ্ধতি এবং একটি রোল মডেল তৈরি করার জন্য একটি পদ্ধতি তৈরি করেছি: সেগুলি এলাকার সমস্ত দায়িত্বশীল প্রতিনিধিদের দ্বারা সম্মত হয়েছিল এবং কোম্পানির ব্যবস্থাপনা দ্বারা অনুমোদিত হয়েছিল৷

কাজ, সময়সীমা, দায়িত্ব ইত্যাদি সম্পাদনের পদ্ধতি বর্ণনাকারী নথি। - একটি গ্যারান্টি যে লালিত লক্ষ্যের পথে, যা প্রথমে সবার কাছে স্পষ্ট নয়, কারও কাছে প্রশ্ন থাকবে না "কেন আমরা এটি করছি, কেন আমাদের এটির প্রয়োজন ইত্যাদি।" এবং "ঝাঁপিয়ে পড়া" বা প্রক্রিয়াটি ধীর করার কোন সুযোগ থাকবে না।

ধাপ 4. বিদ্যমান অ্যাক্সেস কন্ট্রোল মডেলের প্যারামিটার ঠিক করা

আমরা অ্যাক্সেস কন্ট্রোলের পরিপ্রেক্ষিতে তথাকথিত "সিস্টেম পাসপোর্ট" আঁকছি। প্রকৃতপক্ষে, এটি একটি নির্দিষ্ট তথ্য সিস্টেমের একটি প্রশ্নাবলী, যাতে এটিতে অ্যাক্সেস পরিচালনা করার জন্য সমস্ত অ্যালগরিদম রেকর্ড করা হয়। যে সংস্থাগুলি ইতিমধ্যে আইডিএম ক্লাস সমাধানগুলি প্রয়োগ করেছে তারা সম্ভবত এই জাতীয় প্রশ্নাবলীর সাথে পরিচিত, কারণ এটি দিয়েই সিস্টেমগুলির অধ্যয়ন শুরু হয়।

সিস্টেম এবং মালিকদের সম্পর্কে কিছু প্যারামিটার আইটি রেজিস্ট্রি থেকে প্রশ্নাবলীতে প্রবাহিত হয়েছে (ধাপ 2, অডিট দেখুন), কিন্তু নতুনগুলি যোগ করা হয়েছে:

• কিভাবে অ্যাকাউন্টগুলি পরিচালিত হয় (সরাসরি ডাটাবেসে বা প্রোগ্রাম ইন্টারফেসের মাধ্যমে);
• ব্যবহারকারীরা কীভাবে সিস্টেমে লগ ইন করে (একটি পৃথক অ্যাকাউন্ট ব্যবহার করে বা একটি AD অ্যাকাউন্ট, LDAP, ইত্যাদি ব্যবহার করে);
• সিস্টেমে অ্যাক্সেসের কোন স্তরগুলি ব্যবহার করা হয় (অ্যাপ্লিকেশন স্তর, সিস্টেম স্তর, সিস্টেম দ্বারা নেটওয়ার্ক ফাইল সংস্থানগুলির ব্যবহার);
• যে সার্ভারে সিস্টেম চলছে তার বর্ণনা এবং পরামিতি;
• কোন অ্যাকাউন্ট পরিচালনা কার্যক্রম সমর্থিত (ব্লক করা, নাম পরিবর্তন করা ইত্যাদি);
• সিস্টেম ব্যবহারকারী শনাক্তকারী গঠন করতে কি অ্যালগরিদম বা নিয়ম ব্যবহার করা হয়;
• কর্মী সিস্টেমে (সম্পূর্ণ নাম, কর্মীদের নম্বর, ইত্যাদি) সম্পর্কে একটি রেকর্ডের সাথে একটি লিঙ্ক স্থাপন করতে কী বৈশিষ্ট্য ব্যবহার করা যেতে পারে;
• সমস্ত সম্ভাব্য অ্যাকাউন্ট বৈশিষ্ট্য এবং সেগুলি পূরণ করার নিয়ম;
• সিস্টেমে কী অ্যাক্সেসের অধিকার বিদ্যমান (ভূমিকা, গোষ্ঠী, পারমাণবিক অধিকার, ইত্যাদি, নেস্টেড বা শ্রেণিবদ্ধ অধিকার আছে);
• অ্যাক্সেসের অধিকারগুলি পৃথক করার প্রক্রিয়া (পজিশন, বিভাগ, কার্যকারিতা ইত্যাদি দ্বারা);
• সিস্টেমের অধিকার পৃথকীকরণের নিয়ম আছে কিনা (এসওডি - দায়িত্বের পৃথকীকরণ), এবং তারা কীভাবে কাজ করে;
• সিস্টেমে অনুপস্থিতি, স্থানান্তর, বরখাস্ত, কর্মচারী ডেটা আপডেট ইত্যাদির ঘটনাগুলি কীভাবে প্রক্রিয়া করা হয়।

তালিকাটি চলতে পারে, অ্যাক্সেস নিয়ন্ত্রণ প্রক্রিয়ার সাথে জড়িত বিভিন্ন পরামিতি এবং অন্যান্য সত্তার বিশদ বিবরণ।

ধাপ 5: একটি ব্যবসা-ভিত্তিক অনুমোদন বিবরণ তৈরি করুন

একটি রোল মডেল তৈরি করার সময় আমাদের যে আরেকটি নথির প্রয়োজন হবে তা হল সমস্ত সম্ভাব্য ক্ষমতার (অধিকার) নির্দেশিকা যা ব্যবহারকারীদের একটি তথ্য সিস্টেমে দেওয়া যেতে পারে যার পিছনে থাকা ব্যবসায়িক ফাংশনের বিশদ বিবরণ সহ। প্রায়শই সিস্টেমের ক্ষমতাগুলি অক্ষর এবং সংখ্যা সমন্বিত নির্দিষ্ট নাম দিয়ে এনক্রিপ্ট করা হয় এবং ব্যবসায়িক কর্মীরা এই অক্ষরের পিছনে কী রয়েছে তা বের করতে পারে না। তারপরে তারা আইটি পরিষেবাতে যায়, এবং সেখানে ... তারা প্রশ্নের উত্তরও দিতে পারে না, উদাহরণস্বরূপ, খুব কমই ব্যবহৃত অধিকার সম্পর্কে। তারপরে আপনাকে আরও পরীক্ষা করতে হবে।

এটি ভাল যদি ইতিমধ্যেই একটি ব্যবসার বিবরণ থাকে বা এমনকি যদি এই অধিকারগুলির একটি গ্রুপ এবং ভূমিকার মধ্যে একটি সমিতি থাকে। কিছু অ্যাপ্লিকেশানের জন্য, সর্বোত্তম অনুশীলন হল বিকাশ পর্যায়ে এই ধরনের একটি নির্দেশিকা তৈরি করা। তবে এটি প্রায়শই ঘটে না, তাই আমরা আবার আইটি বিভাগে যাই সম্ভাব্য সমস্ত অধিকার সম্পর্কে তথ্য সংগ্রহ করতে এবং সেগুলি বর্ণনা করতে। আমাদের গাইড শেষ পর্যন্ত নিম্নলিখিত ধারণ করবে:

• কর্তৃপক্ষের নাম, যে বস্তুতে অ্যাক্সেসের অধিকার প্রযোজ্য;
• যে ক্রিয়াটি বস্তুর সাথে করার অনুমতি দেওয়া হয় (দেখা, পরিবর্তন, ইত্যাদি, সীমাবদ্ধতার সম্ভাবনা, উদাহরণস্বরূপ, একটি আঞ্চলিক ভিত্তিতে বা ক্লায়েন্টদের একটি গ্রুপে);
• অথরিটি কোড (কোড এবং সিস্টেম ফাংশনের নাম/অনুরোধ যা কর্তৃপক্ষ ব্যবহার করে কার্যকর করা যেতে পারে);
• কর্তৃপক্ষের বর্ণনা (কর্তৃপক্ষকে প্রয়োগ করার সময় আইএস-এর কর্মের একটি বিশদ বিবরণ এবং প্রক্রিয়াটির জন্য তাদের পরিণতি;
• অনুমতি স্থিতি: "সক্রিয়" (অনুমতিটি কমপক্ষে একজন ব্যবহারকারীকে বরাদ্দ করা হলে) বা "সক্রিয় নয়" (যদি অনুমতি ব্যবহার না করা হয়)।

ধাপ 6 আমরা সিস্টেম থেকে ব্যবহারকারী এবং অধিকার সম্পর্কে ডেটা আনলোড করি এবং কর্মীদের উত্সের সাথে তুলনা করি

প্রস্তুতির চূড়ান্ত পর্যায়ে, আপনাকে সমস্ত ব্যবহারকারী এবং তাদের বর্তমানে যে অধিকার রয়েছে সে সম্পর্কে তথ্য সিস্টেম থেকে ডেটা আপলোড করতে হবে। এখানে দুটি দৃশ্যকল্প সম্ভব। প্রথমত, সুরক্ষা বিভাগের সিস্টেমে সরাসরি অ্যাক্সেস রয়েছে এবং প্রাসঙ্গিক প্রতিবেদনগুলি ডাউনলোড করার উপায় রয়েছে, যা বিরল, তবে খুব সুবিধাজনক। দ্বিতীয়: আমরা প্রয়োজনীয় ফর্ম্যাটে রিপোর্ট পাওয়ার জন্য IT-কে একটি অনুরোধ পাঠাই। অনুশীলন দেখায় যে আইটির সাথে আলোচনা করা এবং প্রথমবার প্রয়োজনীয় ডেটা পাওয়া সম্ভব নয়। তথ্য পছন্দসই ফর্ম এবং বিন্যাসে প্রাপ্ত না হওয়া পর্যন্ত এটি বেশ কয়েকটি পন্থা তৈরি করা প্রয়োজন।

কি ডেটা আপলোড করতে হবে:

• হিসাবের নাম
• কর্মচারীর নাম যাকে এটি নিয়োগ করা হয়েছে
• স্থিতি (সক্রিয় বা অক্ষম)
• অ্যাকাউন্ট তৈরির তারিখ
• সর্বশেষ ব্যবহৃত তারিখ
• উপলব্ধ অধিকার/গোষ্ঠী/ ভূমিকার তালিকা

সুতরাং, আমরা সমস্ত ব্যবহারকারীর সাথে এবং তাদের দেওয়া সমস্ত অধিকার সহ সিস্টেম থেকে আনলোডিং পেয়েছি। এবং তারা অবিলম্বে সমস্ত ব্লক করা অ্যাকাউন্টগুলিকে একপাশে রেখে দেয়, যেহেতু একটি রোল মডেল তৈরির কাজ শুধুমাত্র সক্রিয় ব্যবহারকারীদের জন্যই করা হবে।

তারপরে, যদি আপনার কোম্পানিতে চাকরিচ্যুত কর্মীদের অ্যাক্সেস বন্ধ করার স্বয়ংক্রিয় উপায় না থাকে (এটি অস্বাভাবিক নয়) বা প্যাচওয়ার্ক অটোমেশন আছে যা সবসময় সঠিকভাবে কাজ করে না, তাহলে আপনাকে সমস্ত "মৃত আত্মা" সনাক্ত করতে হবে। আমরা ইতিমধ্যে বরখাস্ত হওয়া কর্মীদের অ্যাকাউন্ট সম্পর্কে কথা বলছি, যাদের অধিকারগুলি কোনও কারণে অবরুদ্ধ নয় - তাদের ব্লক করা দরকার। এটি করার জন্য, আমরা কর্মীদের উৎসের সাথে আপলোড করা ডেটা তুলনা করি। কর্মীদের বেস নেতৃত্বাধীন ইউনিট থেকে কর্মী আনলোডিং অগ্রিম প্রাপ্ত করা আবশ্যক.

আলাদাভাবে, এমন অ্যাকাউন্টগুলিকে আলাদা করে রাখা দরকার যার মালিকরা কর্মীদের বেসে পাওয়া যায় নি, কাউকে বরাদ্দ করা হয়নি - অর্থাৎ মালিকহীন। এই তালিকার জন্য, আমাদের শেষ ব্যবহারের তারিখ প্রয়োজন: যদি এটি বেশ সাম্প্রতিক হয়, তবে আমাদের এখনও মালিকদের সন্ধান করতে হবে। এতে বহিরাগত ঠিকাদারদের অ্যাকাউন্ট বা পরিষেবা অ্যাকাউন্টগুলি অন্তর্ভুক্ত থাকতে পারে যেগুলি কাউকে বরাদ্দ করা হয়নি, তবে যে কোনও প্রক্রিয়ার সাথে যুক্ত। অ্যাকাউন্টের মালিকানা স্পষ্ট করতে, আপনি প্রতিক্রিয়া জানাতে অনুরোধ সহ সমস্ত বিভাগে চিঠি পাঠাতে পারেন। যখন মালিকদের খুঁজে পাওয়া যায়, আমরা সিস্টেমে তাদের সম্পর্কে ডেটা প্রবেশ করি: এইভাবে, সমস্ত সক্রিয় অ্যাকাউন্ট সনাক্ত করা হয় এবং বাকিগুলি অবরুদ্ধ করা হয়।

যত তাড়াতাড়ি আমাদের আপলোডগুলি অপ্রয়োজনীয় রেকর্ডগুলি থেকে সাফ হয়ে যায় এবং শুধুমাত্র সক্রিয় অ্যাকাউন্টগুলি অবশিষ্ট থাকে, আমরা একটি নির্দিষ্ট তথ্য ব্যবস্থার জন্য একটি রোল মডেল তৈরি করা শুরু করতে পারি৷ তবে আমি পরবর্তী নিবন্ধে এই বিষয়ে কথা বলব।

লেখক: লিউডমিলা সেবাস্তানোভা, সোলার ইন রাইটস প্রমোশন ম্যানেজার

উত্স: www.habr.com