हामी भूमिकामा आधारित पहुँच नियन्त्रण मोडेल निर्माण गर्दैछौं। भाग एक, तयारी

म हाल सफ्टवेयर विक्रेताको लागि काम गर्छु, विशेष गरी पहुँच नियन्त्रण समाधानहरू। र मेरो अनुभव "विगतको जीवनबाट" ग्राहकको पक्षसँग जोडिएको छ - एक ठूलो वित्तीय संस्था। त्यसबेला, सूचना सुरक्षा विभागमा रहेको हाम्रो पहुँच नियन्त्रण समूहले IDM मा ठूलो दक्षताको घमण्ड गर्न सकेन। हामीले यस प्रक्रियामा धेरै कुरा सिक्यौं, हामीले कम्पनीमा सूचना प्रणालीहरूमा प्रयोगकर्ता अधिकारहरू प्रबन्ध गर्नको लागि कार्य संयन्त्र निर्माण गर्न धेरै बम्पहरू मार्नुपर्‍यो।

विक्रेता ज्ञान र दक्षताहरु संग मेरो मेहनत-कमाई ग्राहक अनुभव को संयोजन, म तपाई संग अनिवार्य रूप देखि चरण-दर-चरण निर्देशनहरु साझा गर्न चाहन्छु: कसरी एक ठूलो कम्पनी मा भूमिका-आधारित पहुँच नियन्त्रण मोडेल सिर्जना गर्ने, र यसले परिणामको रूपमा के दिन्छ । मेरा निर्देशनहरू दुई भागहरू हुन्छन्: पहिलो मोडेल निर्माण गर्न तयार हुँदैछ, दोस्रो वास्तवमा निर्माण गर्दैछ। यहाँ पहिलो भाग, तयारी भाग हो।

एनबी एक रोल मोडेल निर्माण, दुर्भाग्यवश, परिणाम होइन, तर एक प्रक्रिया हो। वा बरु, कम्पनीमा पहुँच नियन्त्रण इकोसिस्टम सिर्जना गर्ने प्रक्रियाको अंश पनि। त्यसैले लामो समयको लागि खेलको लागि तयार हुनुहोस्।

पहिले, यसलाई परिभाषित गरौं - भूमिका-आधारित पहुँच नियन्त्रण के हो? मानौं तपाईंसँग दशौं, वा हजारौं कर्मचारीहरू (संस्थाहरू) भएको ठूलो बैंक छ, जसमध्ये प्रत्येकसँग सयौं आन्तरिक बैंक सूचना प्रणाली (वस्तुहरू) मा दर्जनौं पहुँच अधिकारहरू छन्। अब वस्तुहरूको संख्यालाई विषयहरूको संख्याले गुणन गर्नुहोस् - यो जडानहरूको न्यूनतम संख्या हो जुन तपाईंले पहिले निर्माण गर्न र त्यसपछि नियन्त्रण गर्न आवश्यक छ। के यो म्यानुअल रूपमा गर्न सम्भव छ? पक्कै होइन - यो समस्या समाधान गर्न भूमिकाहरू सिर्जना गरिएको थियो।

भूमिका भनेको अनुमतिहरूको सेट हो जुन प्रयोगकर्ता वा प्रयोगकर्ताहरूको समूहले निश्चित कार्य कार्यहरू गर्न आवश्यक हुन्छ। प्रत्येक कर्मचारीको एक वा बढी भूमिका हुन सक्छ, र प्रत्येक भूमिकामा एक देखि धेरै अनुमतिहरू समावेश हुन सक्छ जुन त्यो भूमिका भित्र प्रयोगकर्तालाई अनुमति दिइन्छ। भूमिकाहरू विशिष्ट पदहरू, विभागहरू वा कर्मचारीहरूको कार्यात्मक कार्यहरूमा बाँध्न सकिन्छ।

भूमिकाहरू सामान्यतया प्रत्येक सूचना प्रणालीमा व्यक्तिगत कर्मचारी प्राधिकरणहरूबाट सिर्जना गरिन्छ। त्यसपछि विश्वव्यापी व्यापार भूमिकाहरू प्रत्येक प्रणालीको भूमिकाबाट बनाइन्छ। उदाहरणका लागि, व्यवसाय भूमिका "क्रेडिट प्रबन्धक" ले सूचना प्रणालीहरूमा धेरै फरक भूमिकाहरू समावेश गर्दछ जुन बैंकको ग्राहक कार्यालयमा प्रयोग गरिन्छ। उदाहरणका लागि, जस्तै मुख्य स्वचालित बैंकिङ प्रणाली, नगद मोड्युल, इलेक्ट्रोनिक कागजात व्यवस्थापन प्रणाली, सेवा प्रबन्धक र अन्य। व्यापार भूमिकाहरू, एक नियमको रूपमा, संगठनात्मक संरचनामा बाँधिएका छन् - अर्को शब्दमा, कम्पनी विभाजन र तिनीहरूमा पदहरूको सेटमा। यसरी विश्वव्यापी भूमिका म्याट्रिक्स बनाइन्छ (म तलको तालिकामा उदाहरण दिन्छु)।

यो ध्यान दिन लायक छ कि यो 100% रोल मोडेल निर्माण गर्न असम्भव छ, एक व्यावसायिक संरचना मा प्रत्येक स्थिति को कर्मचारीहरु को लागी सबै आवश्यक अधिकारहरु प्रदान। हो, यो आवश्यक छैन। आखिर, एक रोल मोडेल स्थिर हुन सक्दैन, किनभने यो लगातार परिवर्तन वातावरण मा निर्भर गर्दछ। र कम्पनीको व्यापार गतिविधिहरूमा परिवर्तनहरूबाट, जसले तदनुसार, संगठनात्मक संरचना र कार्यक्षमतामा परिवर्तनहरूलाई असर गर्छ। र स्रोतहरूको पूर्ण प्रावधानको अभावबाट, र कामको विवरणहरूको पालना नगरेकोबाट, र सुरक्षाको खर्चमा नाफाको चाहनाबाट, र अन्य धेरै कारकहरूबाट। तसर्थ, यो एक रोल मोडेल निर्माण गर्न आवश्यक छ जसले प्रयोगकर्तालाई आवश्यक आधारभूत अधिकारहरूको लागि 80% सम्म समेट्न सक्छ जब पदमा तोकिएको छ। र तिनीहरूले, आवश्यक भएमा, बाँकी 20% पछि छुट्टै अनुप्रयोगहरूमा अनुरोध गर्न सक्छन्।

निस्सन्देह, तपाईंले सोध्न सक्नुहुन्छ: "के त्यहाँ 100% रोल मोडेल जस्तो कुनै चीज छैन?" ठीक छ, किन, यो हुन्छ, उदाहरणका लागि, गैर-लाभकारी संरचनाहरूमा जुन बारम्बार परिवर्तनहरूको अधीनमा छैन - केही अनुसन्धान संस्थानमा। वा सैन्य-औद्योगिक जटिल संगठनहरूमा उच्च स्तरको सुरक्षाको साथ, जहाँ सुरक्षा पहिले आउँछ। यो एक व्यावसायिक संरचना मा हुन्छ, तर एक अलग विभाजन को ढाँचा भित्र, जसको काम एकदम स्थिर र अनुमानित प्रक्रिया हो।

भूमिकामा आधारित व्यवस्थापनको मुख्य फाइदा भनेको जारी गर्ने अधिकारको सरलीकरण हो, किनभने भूमिकाहरूको संख्या सूचना प्रणालीका प्रयोगकर्ताहरूको संख्या भन्दा धेरै कम छ। र यो कुनै पनि उद्योग को लागी सत्य हो।

एउटा खुद्रा कम्पनीलाई लिनुहोस्: यसले हजारौं बिक्रीकर्ताहरूलाई रोजगार दिन्छ, तर तिनीहरूसँग प्रणाली N मा समान अधिकारहरू छन्, र तिनीहरूका लागि एउटा मात्र भूमिका सिर्जना गरिनेछ। जब एक नयाँ विक्रेता कम्पनीमा आउँछ, उसलाई स्वचालित रूपमा प्रणालीमा आवश्यक भूमिका तोकिन्छ, जसमा पहिले नै सबै आवश्यक अधिकारीहरू छन्। साथै, एक क्लिकमा तपाईले हजारौं बिक्रेताहरूको अधिकार एकैचोटि परिवर्तन गर्न सक्नुहुन्छ, उदाहरणका लागि, रिपोर्ट उत्पन्न गर्न नयाँ विकल्प थप्नुहोस्। प्रत्येक खातामा नयाँ अधिकार लिङ्क गर्दै, हजार कार्यहरू गर्न आवश्यक छैन - केवल भूमिकामा यो विकल्प थप्नुहोस्, र यो एकै समयमा सबै विक्रेताहरूको लागि देखा पर्नेछ।

भूमिकामा आधारित व्यवस्थापनको अर्को फाइदा भनेको असंगत प्राधिकरणहरू जारी गर्ने उन्मूलन हो। अर्थात्, प्रणालीमा निश्चित भूमिका भएको कर्मचारीले एकैसाथ अर्को भूमिका खेल्न सक्दैन, जसको अधिकारलाई पहिलो अधिकारसँग जोड्नु हुँदैन। एउटा उल्लेखनीय उदाहरण भनेको वित्तीय लेनदेनको इनपुट र नियन्त्रणको कार्यहरू संयोजन गर्न प्रतिबन्ध हो।

भूमिकामा आधारित पहुँच नियन्त्रण कसरी भयो भन्ने कुरामा रुचि राख्ने जो कोहीले हुन सक्छन्
इतिहास मा डुब्न
यदि हामीले इतिहासलाई हेर्छौं भने, IT समुदायले पहिलो पटक 70 औं शताब्दीको XNUMXs मा पहुँच नियन्त्रण विधिहरूको बारेमा सोचेको थियो। यद्यपि एप्लिकेसनहरू त्यतिबेला एकदम सरल थिए, अहिले जस्तै, सबैजना वास्तवमै तिनीहरूमा पहुँच व्यवस्थित गर्न चाहन्थे। प्रयोगकर्ता अधिकारहरू प्रदान गर्नुहोस्, परिवर्तन गर्नुहोस् र नियन्त्रण गर्नुहोस् - केवल तिनीहरू प्रत्येकमा के पहुँच छ भनेर बुझ्न सजिलो बनाउन। तर त्यस समयमा त्यहाँ कुनै सामान्य मापदण्डहरू थिएनन्, पहिलो पहुँच नियन्त्रण प्रणालीहरू विकास भइरहेको थियो, र प्रत्येक कम्पनी आफ्नै विचार र नियमहरूमा आधारित थियो।

धेरै फरक पहुँच नियन्त्रण मोडेलहरू अब ज्ञात छन्, तर तिनीहरू तुरुन्तै देखा परेनन्। यस क्षेत्रको विकासमा महत्त्वपूर्ण योगदान पुर्‍याउनेहरूलाई सम्झौं।

पहिलो र सम्भवतः सरल मोडेल हो विवेकी (चयनित) पहुँच नियन्त्रण (DAC - विवेकी पहुँच नियन्त्रण)। यो मोडेलले पहुँच प्रक्रियामा सबै सहभागीहरूद्वारा अधिकारको बाँडफाँडलाई जनाउँछ। प्रत्येक प्रयोगकर्तालाई विशिष्ट वस्तु वा अपरेसनहरूमा पहुँच छ। संक्षेपमा, यहाँ अधिकारका विषयहरूको सेट वस्तुहरूको सेटसँग मेल खान्छ। यो मोडेल धेरै लचिलो र मर्मत गर्न धेरै गाह्रो भएको पाइयो: पहुँच सूचीहरू अन्ततः ठूलो र नियन्त्रण गर्न गाह्रो हुन्छ।

दोस्रो मोडल हो अनिवार्य पहुँच नियन्त्रण (MAC - अनिवार्य पहुँच नियन्त्रण)। यस मोडेलको अनुसार, प्रत्येक प्रयोगकर्ताले डेटा गोपनीयताको विशेष स्तरमा जारी गरिएको पहुँच अनुसार वस्तुमा पहुँच प्राप्त गर्दछ। तदनुसार, वस्तुहरूलाई तिनीहरूको गोपनीयताको स्तर अनुसार वर्गीकृत गर्नुपर्छ। पहिलो लचिलो मोडेलको विपरीत, यो एक, यसको विपरित, धेरै कडा र प्रतिबन्धित भयो। यसको प्रयोग उचित छैन जब कम्पनीसँग धेरै फरक जानकारी स्रोतहरू छन्: विभिन्न स्रोतहरूमा पहुँच फरक गर्नको लागि, तपाईंले धेरै कोटिहरू परिचय गर्नुपर्नेछ जुन ओभरल्याप हुनेछैन।

यी दुई विधिहरूको स्पष्ट त्रुटिहरूको कारण, IT समुदायले विभिन्न प्रकारका संगठनात्मक पहुँच नियन्त्रण नीतिहरूलाई समर्थन गर्न थप लचिलो र एकै समयमा कम वा कम विश्वव्यापी मोडेलहरू विकास गर्न जारी राखेको छ। र त्यसपछि यो देखा पर्यो तेस्रो भूमिका-आधारित पहुँच नियन्त्रण मोडेल! यो दृष्टिकोण सबैभन्दा आशाजनक साबित भएको छ किनभने यसले प्रयोगकर्ताको पहिचान मात्र होइन, तर प्रणालीहरूमा उसको परिचालन कार्यहरू पनि चाहिन्छ।

पहिलो स्पष्ट रूपमा वर्णन गरिएको रोल मोडेल संरचना अमेरिकी वैज्ञानिकहरू डेभिड फेरेलो र रिचर्ड कुहनले 1992 मा अमेरिकी राष्ट्रिय मानक र प्रविधि संस्थानबाट प्रस्ताव गरेका थिए। त्यसपछि शब्द पहिलो देखा पर्यो RBAC (भूमिकामा आधारित पहुँच नियन्त्रण)। यी अध्ययनहरू र मुख्य कम्पोनेन्टहरूको विवरणहरू, साथै तिनीहरूको सम्बन्धहरू, INCITS 359-2012 मानकको आधार बनाइयो, जुन आज पनि लागू छ, सूचना प्रविधि मानक (INCITS) मा अन्तर्राष्ट्रिय समिति द्वारा अनुमोदित।

मानकले भूमिकालाई "भूमिकामा तोकिएको प्रयोगकर्तालाई तोकिएको अख्तियार र जिम्मेवारी सम्बन्धी केही सम्बन्धित शब्दार्थका साथ संगठनको सन्दर्भमा कार्य प्रकार्य" भनेर परिभाषित गर्दछ। कागजातले RBAC को आधारभूत तत्वहरू - प्रयोगकर्ताहरू, सत्रहरू, भूमिकाहरू, अनुमतिहरू, सञ्चालनहरू र वस्तुहरू, साथै तिनीहरू बीचको सम्बन्ध र अन्तरसम्बन्धहरू स्थापना गर्दछ।

मानकले रोल मोडेल निर्माण गर्नको लागि न्यूनतम आवश्यक संरचना प्रदान गर्दछ - भूमिकाहरूमा अधिकारहरू संयोजन गर्ने र त्यसपछि यी भूमिकाहरू मार्फत प्रयोगकर्ताहरूलाई पहुँच प्रदान गर्ने। वस्तुहरू र अपरेशनहरूबाट भूमिकाहरू रचना गर्ने संयन्त्रहरू उल्लिखित छन्, भूमिकाहरूको पदानुक्रम र शक्तिहरूको उत्तराधिकार वर्णन गरिएको छ। आखिर, कुनै पनि कम्पनीमा त्यहाँ भूमिकाहरू छन् जुन आधारभूत शक्तिहरू संयोजन गर्दछ जुन कम्पनीका सबै कर्मचारीहरूको लागि आवश्यक छ। यो इमेल, EDMS, कर्पोरेट पोर्टल, आदिमा पहुँच हुन सक्छ। यी अनुमतिहरूलाई "कर्मचारी" भनिने एउटा सामान्य भूमिकामा समावेश गर्न सकिन्छ, र उच्च-स्तरको प्रत्येक भूमिकामा सबै आधारभूत अधिकारहरूलाई बारम्बार सूचीबद्ध गर्न आवश्यक पर्दैन। यो केवल "कर्मचारी" भूमिका को विरासत विशेषता संकेत गर्न पर्याप्त छ।

पछि, मानक लगातार परिवर्तनशील वातावरणसँग सम्बन्धित नयाँ पहुँच विशेषताहरूसँग पूरक थियो। स्थिर र गतिशील प्रतिबन्धहरू परिचय गर्ने क्षमता थपिएको छ। स्थिर व्यक्तिहरूले भूमिकाहरू संयोजन गर्ने असम्भवतालाई सङ्केत गर्छ (माथि उल्लिखित कार्यहरूको समान इनपुट र नियन्त्रण)। डायनामिक प्रतिबन्धहरू मापदण्डहरू परिवर्तन गरेर निर्धारण गर्न सकिन्छ, उदाहरणका लागि, समय (काम गर्ने/काम नगर्ने घण्टा वा दिनहरू), स्थान (कार्यालय/घर), आदि।

अलग, यसको बारेमा भन्नु पर्छ विशेषता-आधारित पहुँच नियन्त्रण (ABAC - विशेषता-आधारित पहुँच नियन्त्रण)। दृष्टिकोण विशेषता साझेदारी नियमहरू प्रयोग गरी पहुँच प्रदान गर्नमा आधारित छ। यो मोडेल अलग रूपमा प्रयोग गर्न सकिन्छ, तर अक्सर यो सक्रिय रूपमा क्लासिक रोल मोडेल पूरक: प्रयोगकर्ता, स्रोत र उपकरणहरू, साथै समय वा स्थान, एक निश्चित भूमिकामा थप्न सकिन्छ। यसले तपाईंलाई कम भूमिकाहरू प्रयोग गर्न, थप प्रतिबन्धहरू प्रस्तुत गर्न र पहुँचलाई सकेसम्म न्यूनतम बनाउन, र त्यसैले सुरक्षा सुधार गर्न अनुमति दिन्छ।

उदाहरणका लागि, एकाउन्टेन्टलाई खाताहरूमा पहुँच गर्न अनुमति दिइन्छ यदि उसले निश्चित क्षेत्रमा काम गर्छ भने। त्यसपछि विशेषज्ञको स्थान निश्चित सन्दर्भ मानसँग तुलना गरिनेछ। वा तपाईले खाताहरूमा पहुँच दिन सक्नुहुन्छ यदि प्रयोगकर्ताले अनुमति प्राप्त व्यक्तिहरूको सूचीमा समावेश गरिएको उपकरणबाट लग इन गरेमा। एक रोल मोडेल को लागी एक राम्रो अतिरिक्त, तर धेरै नियमहरु र अनुमतिहरु वा प्रतिबन्धहरु को तालिकाहरु को आवश्यकता को कारण यसको आफ्नै मा प्रयोग गरिन्छ।

म तपाईंलाई मेरो "विगत जीवन" बाट ABAC प्रयोग गर्ने उदाहरण दिन्छु। हाम्रो बैंकका धेरै शाखा थिए । यी शाखाहरूमा ग्राहक कार्यालयका कर्मचारीहरूले ठ्याक्कै उस्तै कार्यहरू गरे, तर मुख्य प्रणालीमा मात्र आफ्नो क्षेत्रको खाताहरूमा काम गर्नुपर्थ्यो। पहिले, हामीले प्रत्येक क्षेत्रका लागि छुट्टाछुट्टै भूमिकाहरू सिर्जना गर्न थाल्यौं - र त्यहाँ धेरै भूमिकाहरू दोहोर्याउने कार्यक्षमताका साथ थिए, तर फरक खाताहरूमा पहुँच सहित! त्यसपछि, प्रयोगकर्ताको लागि स्थान विशेषता प्रयोग गरेर र समीक्षा गर्नका लागि खाताहरूको एक विशेष दायरासँग सम्बद्ध गरेर, हामीले प्रणालीमा भूमिकाहरूको संख्यालाई उल्लेखनीय रूपमा घटायौं। नतिजा स्वरूप, भूमिकाहरू केवल एउटै शाखाको लागि रह्यो, जुन बैंकको अन्य सबै क्षेत्रीय विभाजनहरूमा सम्बन्धित पदहरूको लागि दोहोरिएको थियो।

अब आवश्यक तयारी चरणहरूको बारेमा कुरा गरौं, जसको बिना यो काम गर्ने रोल मोडेल निर्माण गर्न असम्भव छ।

चरण 1. एक कार्यात्मक मोडेल सिर्जना गर्नुहोस्

तपाईंले कार्यात्मक मोडेल सिर्जना गरेर सुरु गर्नुपर्छ - एक शीर्ष-स्तर कागजात जसले प्रत्येक विभाग र प्रत्येक स्थितिको कार्यक्षमतालाई विस्तृत रूपमा वर्णन गर्दछ। एक नियमको रूपमा, जानकारीले विभिन्न कागजातहरूबाट प्रवेश गर्दछ: कार्य विवरण र व्यक्तिगत एकाइहरूको लागि नियमहरू - विभागहरू, विभाजनहरू, विभागहरू। कार्यात्मक मोडेल सबै इच्छुक विभागहरू (व्यवसाय, आन्तरिक नियन्त्रण, सुरक्षा) संग सहमत हुनुपर्छ र कम्पनीको व्यवस्थापन द्वारा अनुमोदित। यो कागजात के को लागी हो? ताकि रोल मोडेलले यसलाई सन्दर्भ गर्न सक्छ। उदाहरणका लागि, तपाइँ कर्मचारीहरूको अवस्थित अधिकारमा आधारित रोल मोडेल निर्माण गर्न जाँदै हुनुहुन्छ - प्रणालीबाट अनलोड गरिएको र "सामान्य भाजकमा घटाइएको"। त्यसपछि, प्रणालीको व्यवसाय मालिकसँग प्राप्त भूमिकाहरूमा सहमत हुँदा, तपाइँ कार्यात्मक मोडेलमा एक विशेष बिन्दुलाई सन्दर्भ गर्न सक्नुहुन्छ, जसको आधारमा यो वा त्यो अधिकार भूमिकामा समावेश छ।

चरण 2. हामी IT प्रणालीहरूको अडिट गर्छौं र प्राथमिकता योजना बनाउँछौं

दोस्रो चरणमा, तपाईंले IT प्रणालीहरूको पहुँच कसरी व्यवस्थित गरिएको छ भनेर बुझ्नको लागि तिनीहरूको अडिट सञ्चालन गर्नुपर्छ। उदाहरणका लागि, मेरो वित्तीय कम्पनीले सयौं सूचना प्रणालीहरू सञ्चालन गर्यो। सबै प्रणालीहरूमा भूमिका-आधारित व्यवस्थापनका केही पूर्वाधारहरू थिए, धेरैजसोसँग केही भूमिकाहरू थिए, तर प्रायः कागजमा वा प्रणाली डाइरेक्टरीमा - तिनीहरू लामो समयदेखि पुराना थिए, र तिनीहरूलाई पहुँच वास्तविक प्रयोगकर्ता अनुरोधहरूको आधारमा प्रदान गरिएको थियो। स्वाभाविक रूपमा, यो एकै पटक धेरै सय प्रणालीहरूमा रोल मोडेल निर्माण गर्न असम्भव छ; तपाईंले कतैबाट सुरु गर्नुपर्छ। हामीले यसको परिपक्वता स्तर निर्धारण गर्न पहुँच नियन्त्रण प्रक्रियाको गहन विश्लेषण गरेका छौं। विश्लेषण प्रक्रियाको बखत, सूचना प्रणालीहरूलाई प्राथमिकता दिने मापदण्डहरू विकसित गरिएको थियो - आलोचनात्मकता, तयारी, खारेज गर्ने योजनाहरू, इत्यादि। तिनीहरूको सहयोगमा, हामीले यी प्रणालीहरूको लागि रोल मोडेलहरूको विकास/अद्यावधिक गर्ने कार्यलाई लाइन अप गर्यौं। र त्यसपछि हामीले पहुँच नियन्त्रण स्वचालित गर्न पहिचान व्यवस्थापन समाधानसँग एकीकरणको लागि योजनामा ​​रोल मोडेलहरू समावेश गर्यौं।

त्यसोभए तपाइँ कसरी प्रणालीको आलोचनात्मकता निर्धारण गर्नुहुन्छ? आफैलाई निम्न प्रश्नहरूको जवाफ दिनुहोस्:

• के प्रणाली परिचालन प्रक्रियाहरूसँग जोडिएको छ जसमा कम्पनीको मुख्य गतिविधिहरू निर्भर छन्?
• के प्रणाली अवरोधले कम्पनीको सम्पत्तिको अखण्डतालाई असर गर्छ?
• प्रणालीको अधिकतम अनुमतियोग्य डाउनटाइम के हो, जहाँ अवरोध पछि गतिविधि पुनर्स्थापित गर्न असम्भव छ?
• के प्रणालीमा जानकारीको अखण्डताको उल्लङ्घनले वित्तीय र प्रतिष्ठा दुवै अपरिवर्तनीय परिणामहरू निम्त्याउन सक्छ?
• धोखाधडीको लागि आलोचनात्मकता। कार्यक्षमताको उपस्थिति, यदि ठीकसँग नियन्त्रण गरिएको छैन भने, आन्तरिक/बाह्य धोखाधडी कार्यहरू निम्त्याउन सक्छ;
• यी प्रणालीहरूको लागि कानूनी आवश्यकताहरू र आन्तरिक नियम र प्रक्रियाहरू के हुन्? के पालना नगर्ने नियामकहरूबाट जरिवाना हुनेछ?

हाम्रो वित्तीय कम्पनीमा हामीले यसरी लेखापरीक्षण गरेका थियौं। व्यवस्थापनले पहुँच अधिकार समीक्षा लेखापरीक्षण प्रक्रियाको विकास गर्यो पहिले अवस्थित प्रयोगकर्ताहरू र अधिकारहरूलाई ती सूचना प्रणालीहरूमा हेर्नको लागि जुन सर्वोच्च प्राथमिकता सूचीमा थियो। यस प्रक्रियाको मालिकको रूपमा सुरक्षा विभागलाई तोकिएको थियो। तर कम्पनीमा पहुँच अधिकारको पूर्ण चित्र प्राप्त गर्न, यो प्रक्रियामा आईटी र व्यापार विभागहरू समावेश गर्न आवश्यक थियो। र यहाँ विवादहरू, गलतफहमीहरू, र कहिलेकाहीं पनि तोडफोड सुरु भयो: कोही पनि आफ्नो वर्तमान जिम्मेवारीहरूबाट टाढा जान चाहँदैनन् र केहीमा संलग्न हुन चाहन्छन्, पहिलो नजरमा, बुझ्न नसकिने गतिविधिहरू।

एनबी विकसित IT प्रक्रियाहरू भएका ठूला कम्पनीहरू सम्भवतः IT अडिट प्रक्रियासँग परिचित छन् - IT सामान्य नियन्त्रणहरू (ITGC), जसले तपाईंलाई IT प्रक्रियाहरूमा त्रुटिहरू पहिचान गर्न र नियन्त्रण स्थापना गर्न अनुमति दिन्छ ताकि प्रक्रियाहरूलाई उत्तम अभ्यास (ITIL, COBIT, IT) अनुसार सुधार गर्न सकिन्छ। शासन आदि) यस्तो लेखापरीक्षणले आईटी र व्यवसायलाई एकअर्कालाई राम्रोसँग बुझ्न र संयुक्त विकास रणनीति विकास गर्न, जोखिमहरू विश्लेषण गर्न, लागत अनुकूलन गर्न र काम गर्न थप प्रभावकारी दृष्टिकोणहरू विकास गर्न अनुमति दिन्छ।



लेखापरीक्षणको एउटा क्षेत्र भनेको सूचना प्रणालीमा तार्किक र भौतिक पहुँचका मापदण्डहरू निर्धारण गर्नु हो। हामीले प्राप्त डाटालाई रोल मोडेल निर्माणमा थप प्रयोगको लागि आधारको रूपमा लिएका छौं। यस लेखापरीक्षणको नतिजाको रूपमा, हामीसँग IT प्रणालीहरूको एक दर्ता थियो, जसमा तिनीहरूको प्राविधिक मापदण्डहरू निर्धारण गरिएको थियो र विवरणहरू दिइएको थियो। थप रूपमा, प्रत्येक प्रणालीको लागि, एक मालिकलाई व्यवसाय दिशाबाट पहिचान गरिएको थियो जसको चासोमा यो सञ्चालन गरिएको थियो: यो त्यो थियो जो यो प्रणालीले सेवा गरेको व्यवसाय प्रक्रियाहरूको लागि जिम्मेवार थियो। एक IT सेवा प्रबन्धक पनि नियुक्त गरिएको थियो, एक विशिष्ट IS को लागी व्यावसायिक आवश्यकताहरु को प्राविधिक कार्यान्वयन को लागी जिम्मेवार। कम्पनीको लागि सबैभन्दा महत्त्वपूर्ण प्रणाली र तिनीहरूको प्राविधिक मापदण्डहरू, कमीशन र डिकमिशनिङका सर्तहरू, आदि रेकर्ड गरिएको थियो। यी मापदण्डहरू एक रोल मोडेलको निर्माणको लागि तयारीको प्रक्रियामा धेरै सहयोगी थिए।

चरण 3 एक पद्धति सिर्जना गर्नुहोस्

कुनै पनि व्यवसायको सफलताको कुञ्जी सही विधि हो। तसर्थ, एक रोल मोडेल निर्माण गर्न र लेखापरीक्षण सञ्चालन गर्न दुबैले हामीले विभागहरू बीचको अन्तरक्रियाको वर्णन गर्ने, कम्पनीको नियमहरूमा जिम्मेवारी स्थापित गर्ने, इत्यादिको कार्यविधि सिर्जना गर्नुपर्छ।
पहिले तपाईंले पहुँच र अधिकार प्रदान गर्ने प्रक्रिया स्थापना गर्ने सबै उपलब्ध कागजातहरू जाँच्न आवश्यक छ। राम्रो तरिकाले, प्रक्रियाहरू धेरै स्तरहरूमा दस्तावेज हुनुपर्छ:

• सामान्य कर्पोरेट आवश्यकताहरू;
• सूचना सुरक्षा क्षेत्रहरूको लागि आवश्यकताहरू (संगठनका गतिविधिहरूको क्षेत्रहरूमा निर्भर गर्दै);
• प्राविधिक प्रक्रियाहरूका लागि आवश्यकताहरू (निर्देशनहरू, पहुँच म्याट्रिकहरू, दिशानिर्देशहरू, कन्फिगरेसन आवश्यकताहरू)।

हाम्रो वित्तीय कम्पनीमा, हामीले धेरै पुराना कागजातहरू फेला पार्यौं; हामीले लागू भइरहेको नयाँ प्रक्रियाहरू अनुसार ल्याउनु पर्ने थियो।

व्यवस्थापनको आदेश अनुसार, एक कार्य समूह सिर्जना गरियो, जसमा सुरक्षा, आईटी, व्यापार र आन्तरिक नियन्त्रणका प्रतिनिधिहरू समावेश थिए। अर्डरले समूह सिर्जना गर्ने लक्ष्यहरू, गतिविधिको दिशा, अस्तित्वको अवधि र प्रत्येक पक्षबाट जिम्मेवार व्यक्तिहरूलाई उल्लिखित गरेको छ। थप रूपमा, हामीले एक अडिट पद्धति र रोल मोडेल निर्माणको लागि एक प्रक्रिया विकास गर्‍यौं: तिनीहरू क्षेत्रका सबै जिम्मेवार प्रतिनिधिहरूद्वारा सहमत भएका थिए र कम्पनीको व्यवस्थापनले अनुमोदन गरेका थिए।

काम, समयसीमा, जिम्मेवारीहरू, इत्यादि पूरा गर्न प्रक्रिया वर्णन गर्ने कागजातहरू। - एक ग्यारेन्टी कि प्यारो लक्ष्यको बाटोमा, जुन सुरुमा सबैलाई स्पष्ट छैन, कसैसँग प्रश्नहरू हुनेछैन "हामी किन यो गर्दैछौं, हामीलाई किन चाहिन्छ, आदि।" र त्यहाँ "जम्प अफ" वा प्रक्रियालाई ढिलो गर्ने कुनै अवसर हुनेछैन।

चरण 4. अवस्थित पहुँच नियन्त्रण मोडेलको प्यारामिटरहरू ठीक गर्नुहोस्

हामी पहुँच नियन्त्रणको सन्दर्भमा तथाकथित "प्रणाली राहदानी" बनाउँदैछौं। संक्षेपमा, यो एक विशेष सूचना प्रणालीमा प्रश्नावली हो, जसले यसमा पहुँच नियन्त्रण गर्नका लागि सबै एल्गोरिदमहरू रेकर्ड गर्दछ। IdM-वर्ग समाधानहरू लागू गरिसकेका कम्पनीहरू सायद यस्तो प्रश्नावलीसँग परिचित छन्, किनभने प्रणालीहरूको अध्ययन यहीँबाट सुरु हुन्छ।

प्रणाली र मालिकहरूको बारेमा केही प्यारामिटरहरू आईटी रजिस्ट्रीबाट प्रश्नावलीमा प्रवाहित भए (चरण 2, लेखा परीक्षण हेर्नुहोस्), तर नयाँहरू पनि थपिएका छन्:

• खाताहरू कसरी व्यवस्थित गरिन्छ (सीधा डाटाबेसमा वा सफ्टवेयर इन्टरफेसहरू मार्फत);
• कसरी प्रयोगकर्ताहरूले प्रणालीमा लग इन गर्छन् (अलग खाता प्रयोग गरेर वा AD खाता, LDAP, आदि प्रयोग गरेर);
• प्रणालीमा पहुँचको कुन स्तरहरू प्रयोग गरिन्छ (अनुप्रयोग स्तर, प्रणाली स्तर, नेटवर्क फाइल स्रोतहरूको प्रणाली प्रयोग);
• सर्भरहरूको विवरण र प्यारामिटरहरू जसमा प्रणाली चल्छ;
• कुन खाता व्यवस्थापन कार्यहरू समर्थित छन् (ब्लक गर्ने, नाम परिवर्तन गर्ने, आदि);
• प्रणाली प्रयोगकर्ता पहिचानकर्ता उत्पन्न गर्न कुन एल्गोरिदम वा नियमहरू प्रयोग गरिन्छ;
• कर्मचारी प्रणाली (पूरा नाम, कर्मचारी नम्बर, आदि) मा कर्मचारीको रेकर्ड संग जडान स्थापित गर्न कुन विशेषता प्रयोग गर्न सकिन्छ;
• सबै सम्भावित खाता विशेषताहरू र तिनीहरूलाई भर्नका लागि नियमहरू;
• प्रणालीमा कुन पहुँच अधिकारहरू अवस्थित छन् (भूमिका, समूह, आणविक अधिकार, आदि, त्यहाँ नेस्टेड वा श्रेणीबद्ध अधिकारहरू छन्);
• पहुँच अधिकारहरू विभाजन गर्नका लागि संयन्त्र (स्थिति, विभाग, कार्यक्षमता, आदि द्वारा);
• के प्रणालीसँग अधिकारको पृथकीकरणका लागि नियमहरू छन् (SOD - कर्तव्यको पृथकीकरण), र तिनीहरूले कसरी काम गर्छन्;
• कसरी अनुपस्थिति, स्थानान्तरण, बर्खास्त, कर्मचारी डाटा अपडेट गर्ने घटनाहरू प्रणालीमा प्रशोधन गरिन्छ।

यो सूची जारी राख्न सकिन्छ, विभिन्न प्यारामिटरहरू र पहुँच नियन्त्रण प्रक्रियामा संलग्न अन्य वस्तुहरूको विवरण।

चरण 5. अनुमतिहरूको व्यापार-उन्मुख विवरण सिर्जना गर्नुहोस्

एउटा रोल मोडेल निर्माण गर्दा हामीलाई आवश्यक पर्ने अर्को कागजात भनेको सबै सम्भावित शक्तिहरू (अधिकारहरू) मा एक सन्दर्भ पुस्तक हो जुन सूचना प्रणालीमा प्रयोगकर्ताहरूलाई यसको पछाडि रहेको व्यवसायिक कार्यको विस्तृत विवरणसहित प्रदान गर्न सकिन्छ। अक्सर, प्रणालीमा अधिकारीहरू अक्षरहरू र संख्याहरू समावेश भएका निश्चित नामहरू इन्क्रिप्ट गरिएका हुन्छन्, र व्यापारिक कर्मचारीहरूले यी प्रतीकहरूको पछाडि के छ भनेर पत्ता लगाउन सक्दैनन्। त्यसपछि तिनीहरू IT सेवामा जान्छन्, र त्यहाँ... तिनीहरूले पनि प्रश्नको जवाफ दिन सक्दैनन्, उदाहरणका लागि, दुर्लभ रूपमा प्रयोग गरिएका अधिकारहरूको बारेमा। त्यसपछि थप परीक्षण गर्नुपर्छ।

यो राम्रो छ यदि त्यहाँ पहिले नै व्यापार विवरण छ वा यदि त्यहाँ समूह र भूमिकाहरूमा यी अधिकारहरूको संयोजन छ भने। केहि अनुप्रयोगहरूको लागि, विकास चरणमा यस्तो सन्दर्भ सिर्जना गर्नु उत्तम अभ्यास हो। तर यो प्रायः हुँदैन, त्यसैले हामी पुन: सबै सम्भावित अधिकारहरूको बारेमा जानकारी सङ्कलन गर्न र तिनीहरूलाई वर्णन गर्न IT विभागमा जान्छौं। हाम्रो गाइडले अन्ततः निम्न समावेश गर्दछ:

• पहुँच अधिकार लागू हुने वस्तु सहित प्राधिकरणको नाम;
• कुनै वस्तु (हेरिरहने, परिवर्तन गर्ने, आदि, प्रतिबन्धको सम्भावना, उदाहरणका लागि, क्षेत्रीय आधार वा ग्राहकहरूको समूहद्वारा) सँग गर्न अनुमति दिइएको कार्य;
• प्राधिकरण कोड (प्रणाली प्रकार्य/अनुरोधको कोड र नाम जुन प्राधिकरण प्रयोग गरेर कार्यान्वयन गर्न सकिन्छ);
• अख्तियारको विवरण (अख्तियार लागू गर्दा IS मा कार्यहरूको विस्तृत विवरण र प्रक्रियाको लागि तिनीहरूको परिणामहरू;
• अनुमति स्थिति: "सक्रिय" (यदि अनुमति कम्तिमा एक प्रयोगकर्तालाई तोकिएको छ) वा "सक्रिय छैन" (यदि अनुमति प्रयोग गरिएको छैन)।

चरण 6 हामी प्रणालीहरूबाट प्रयोगकर्ताहरू र अधिकारहरू बारे डेटा डाउनलोड गर्छौं र कर्मचारी स्रोतसँग तुलना गर्छौं

तयारीको अन्तिम चरणमा, तपाईंले सबै प्रयोगकर्ताहरू र उनीहरूसँग हाल भएका अधिकारहरू बारे सूचना प्रणालीहरूबाट डाटा डाउनलोड गर्न आवश्यक छ। यहाँ दुई सम्भावित परिदृश्यहरू छन्। पहिलो: सुरक्षा विभागसँग प्रणालीमा सीधा पहुँच छ र सान्दर्भिक रिपोर्टहरू डाउनलोड गर्ने माध्यम छ, जुन प्रायः हुँदैन, तर धेरै सुविधाजनक छ। दोस्रो: हामी IT लाई आवश्यक ढाँचामा रिपोर्टहरू प्राप्त गर्न अनुरोध पठाउँछौं। आईटीसँग सम्झौता गर्न र आवश्यक डाटा पहिलो पटक प्राप्त गर्न सम्भव छैन भन्ने अनुभवले देखाउँछ। इच्छित फारम र ढाँचामा जानकारी प्राप्त नभएसम्म धेरै दृष्टिकोणहरू बनाउन आवश्यक छ।

कुन डाटा डाउनलोड गर्न आवश्यक छ:

• खाताको नाम
• कर्मचारीको पूरा नाम जसलाई यो तोकिएको छ
• स्थिति (सक्रिय वा अवरुद्ध)
• खाता सिर्जना मिति
• अन्तिम प्रयोगको मिति
• उपलब्ध अधिकार/समूह/भूमिकाहरूको सूची

त्यसोभए, हामीले प्रणालीबाट सबै प्रयोगकर्ताहरू र उनीहरूलाई प्रदान गरिएका सबै अधिकारहरूसँग डाउनलोडहरू प्राप्त गर्यौं। र तिनीहरूले तुरुन्तै सबै अवरुद्ध खाताहरू अलग राख्छन्, किनकि एक रोल मोडेल निर्माण गर्ने काम सक्रिय प्रयोगकर्ताहरूको लागि मात्र गरिनेछ।

त्यसोभए, यदि तपाईंको कम्पनीसँग बर्खास्त गरिएका कर्मचारीहरूको पहुँच रोक्नको लागि स्वचालित माध्यम छैन (यो प्राय: हुन्छ) वा प्याचवर्क स्वचालन छ जुन सधैं सही रूपमा काम गर्दैन, तपाईंले सबै "मृत आत्माहरू" पहिचान गर्न आवश्यक छ। हामी पहिले नै बर्खास्त गरिएका कर्मचारीहरूको खाताहरूको बारेमा कुरा गर्दैछौं, जसका अधिकारहरू कुनै कारणले रोकिएका छैनन् - उनीहरूलाई ब्लक गर्न आवश्यक छ। यो गर्नका लागि, हामी अपलोड गरिएको डाटालाई कर्मचारी स्रोतसँग तुलना गर्छौं। कर्मचारी डाटाबेस कायम राख्ने विभागबाट कर्मचारीहरू अनलोडिङ पनि अग्रिम प्राप्त गर्नुपर्छ।

अलग रूपमा, खाताहरू अलग गर्न आवश्यक छ जसका मालिकहरू कर्मचारी डाटाबेसमा फेला परेनन्, कसैलाई तोकिएको छैन - अर्थात्, मालिकविहीन। यो सूची प्रयोग गरेर, हामीलाई अन्तिम प्रयोगको मिति चाहिन्छ: यदि यो एकदम भर्खरको हो भने, हामीले अझै पनि मालिकहरू खोज्नुपर्नेछ। यसमा बाह्य ठेकेदारहरू वा सेवा खाताहरू समावेश हुन सक्छ जुन कसैलाई तोकिएको छैन, तर कुनै पनि प्रक्रियाहरूसँग सम्बन्धित छ। खाताहरू कसको हो भनेर पत्ता लगाउन, तपाईंले सबै विभागहरूलाई पत्र पठाउन तिनीहरूलाई जवाफ दिन सक्नुहुन्छ। जब मालिकहरू फेला पर्छन्, हामी तिनीहरूको बारेमा डेटा प्रणालीमा प्रविष्ट गर्छौं: यस तरिकाले, सबै सक्रिय खाताहरू पहिचान गरिन्छ, र बाँकीहरू अवरुद्ध हुन्छन्।

हाम्रा अपलोडहरू अनावश्यक रेकर्डहरूबाट खाली हुने र सक्रिय खाताहरू मात्र बाँकी रहने बित्तिकै, हामी एक विशिष्ट सूचना प्रणालीको लागि एक रोल मोडेल निर्माण गर्न सुरु गर्न सक्छौं। तर म तपाईंलाई अर्को लेखमा यस बारे बताउनेछु।

लेखक: ल्युडमिला सेवास्ट्यानोभा, प्रमोशन प्रबन्धक सौर इनराइट्स

स्रोत: www.habr.com