{"id":87793,"date":"2020-07-10T13:41:57","date_gmt":"2020-07-10T11:41:57","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/stroim-rolevuyu-model-upravleniya-dostupom-chast-pervaya-podgotovitelnaya"},"modified":"2020-07-10T13:41:57","modified_gmt":"2020-07-10T11:41:57","slug":"stroim-rolevuyu-model-upravleniya-dostupom-chast-pervaya-podgotovitelnaya","status":"publish","type":"post","link":"https:\/\/prohoster.info\/ro\/blog\/administrirovanie\/stroim-rolevuyu-model-upravleniya-dostupom-chast-pervaya-podgotovitelnaya","title":{"rendered":"Construim un model de rol pentru gestionarea accesului. Partea \u00eent\u00e2i, preg\u0103titoare","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\u00cen prezent, lucrez pentru o companie furnizoare de software, \u00een special solu\u021bii de gestionare a accesului. Iar experien\u021ba mea \u201edin via\u021ba anterioar\u0103\u201d este legat\u0103 de partea clientului \u2013 o mare organiza\u021bie financiar\u0103. Atunci, grupul nostru de control al accesului din departamentul de securitate a informa\u021biei nu se putea l\u0103uda cu competen\u021be mari \u00een IdM. Am \u00eenv\u0103\u021bat multe \u00een proces, a trebuit s\u0103 facem multe gre\u0219eli pentru a construi \u00een companie un mecanism func\u021bional de gestionare a drepturilor utilizatorilor \u00een sistemele informa\u021bionale.
\n\"Construim
\nCombin\u00e2nd experien\u021ba mea acumulat\u0103 din partea clientului cu cuno\u0219tin\u021bele \u0219i competen\u021bele furnizorului, vreau s\u0103 \u00eemp\u0103rt\u0103\u0219esc cu voi, \u00een esen\u021b\u0103, un ghid pas cu pas: cum s\u0103 crea\u021bi un model de gestionare a accesului bazat pe roluri \u00eentr-o mare companie \u0219i ce beneficii va aduce aceasta. Instruc\u021biunea mea este format\u0103 din dou\u0103 p\u0103r\u021bi: prima \u2013 ne preg\u0103tim s\u0103 construim modelul, a doua \u2013 construim efectiv. \u00cen fa\u021ba voastr\u0103 se afl\u0103 prima parte, preg\u0103titoare.
\n<\/a><\/noindex>
\nN.B.<\/b> Construirea unui model pe roluri este, din p\u0103cate, nu un rezultat, ci un proces. Mai exact, o parte a procesului de creare a unui ecosistem de gestionare a accesului \u00een companie. A\u0219a c\u0103 preg\u0103ti\u021bi-v\u0103 s\u0103 juca\u021bi pe termen lung.
\n<\/i>
\nMai \u00eent\u00e2i, s\u0103 definim \u2013 ce \u00eenseamn\u0103 gestionarea accesului bazat\u0103 pe roluri? Presupunem c\u0103 ave\u021bi o mare banc\u0103 cu zeci sau chiar sute de mii de angaja\u021bi (subiec\u021bi), fiecare av\u00e2nd zeci de drepturi de acces \u00een sute de sisteme informa\u021bionale interne (obiecte). Acum, \u00eenmul\u021bi\u021bi num\u0103rul obiectelor cu num\u0103rul subiec\u021bilor \u2013 exact at\u00e2t de multe rela\u021bii, minim, trebuie s\u0103 construi\u021bi la \u00eenceput \u0219i apoi s\u0103 le controla\u021bi. Este posibil s\u0103 face\u021bi asta manual? Desigur c\u0103 nu \u2013 pentru a rezolva aceast\u0103 problem\u0103, au ap\u0103rut rolurile.<\/p>\n

Rolul este un set de autorit\u0103\u021bi necesar unui utilizator sau unui grup de utilizatori pentru \u00eendeplinirea anumitor sarcini de lucru. Fiecare angajat poate avea unul sau mai multe roluri, iar fiecare rol poate con\u021bine de la una la mai multe autorit\u0103\u021bi care sunt permise utilizatorului \u00een cadrul acestui rol. Rolurile pot fi legate de anumite func\u021bii, departamente sau sarcini func\u021bionale ale angaja\u021bilor.<\/p>\n

\"Construim
\n
\nRolurile sunt create de obicei din permisiunile individuale ale angaja\u021bilor din fiecare sistem informa\u021bional. Apoi, din rolurile fiec\u0103rui sistem se formeaz\u0103 roluri de afaceri globale. De exemplu, rolul de afaceri \u201emanager de credit\u201d va include mai multe roluri separate din sistemele informa\u021bionale utilizate \u00een biroul clientului b\u0103ncii. S\u0103 zicem, \u00een sisteme precum sistemul bancar automatizat principal, modulul de casierie, sistemul de gestionare a documentelor electronice, managerul de servicii \u0219i altele. Rolurile de afaceri sunt, de obicei, legate de structura organiza\u021bional\u0103 - mai simplu spus, de setul de departamente ale companiei \u0219i de pozi\u021biile din acestea. Astfel se formeaz\u0103 matricea global\u0103 a rolurilor (un exemplu este prezentat \u00een tabelul de mai jos).<\/p>\n

\"Construim
\n
\nTrebuie men\u021bionat c\u0103 construirea unui model rol 100% care s\u0103 ofere toate drepturile necesare angaja\u021bilor fiec\u0103rei pozi\u021bii dintr-o structur\u0103 comercial\u0103 este pur \u0219i simplu imposibil\u0103. \u0218i nici nu este necesar. Deoarece modelul rol nu poate fi static, pentru c\u0103 depinde de mediul \u00een continu\u0103 schimbare. Pe de alt\u0103 parte, de modific\u0103rile activit\u0103\u021bii de afaceri a companiei, ceea ce, \u00een consecin\u021b\u0103, influen\u021beaz\u0103 schimbarea structurii organiza\u021bionale \u0219i a func\u021bionalit\u0103\u021bii. \u0218i de lipsa resurselor complete, de nerespectarea instruc\u021biunilor de lucru, de dorin\u021ba de profit \u00een detrimentul securit\u0103\u021bii \u0219i de mul\u021bi al\u021bi factori. De aceea, trebuie construit un model de rol care s\u0103 poat\u0103 acoperi p\u00e2n\u0103 la 80% din nevoile utilizatorilor \u00een ceea ce prive\u0219te drepturile de baz\u0103 necesare la numirea \u00een func\u021bie. Iar restul de 20% ei \u00eei pot solicita, dac\u0103 este necesar, ulterior prin cereri separate.<\/p>\n

Desigur, pute\u021bi \u00eentreba: \u201eDar, nu exist\u0103 deloc modele rol 100%?\u201d De ce nu, a\u0219a ceva se \u00eent\u00e2lne\u0219te, de exemplu, \u00een structuri non-profit care nu sunt supuse schimb\u0103rilor frecvente \u2013 \u00eentr-un institut de cercetare, de exemplu. Sau \u00een organiza\u021bii din industria de ap\u0103rare cu un nivel ridicat de securitate, unde securitatea este pe primul loc. Exist\u0103, de asemenea, \u0219i \u00een structuri comerciale, dar \u00een cadrul unui singur departament, al c\u0103rui proces de lucru este destul de static \u0219i previzibil.<\/p>\n

Principalul avantaj al gestion\u0103rii pe roluri este simplificarea acord\u0103rii de drepturi, deoarece num\u0103rul rolurilor este semnificativ mai mic dec\u00e2t num\u0103rul utilizatorilor sistemului informa\u021bional. \u0218i acest lucru este valabil pentru orice industrie.<\/p>\n

S\u0103 lu\u0103m o companie de retail: aici lucreaz\u0103 mii de v\u00e2nz\u0103tori, dar setul de permisiuni \u00een sistemul N este acela\u0219i pentru to\u021bi, iar pentru ei va fi creat un singur rol. C\u00e2nd un nou v\u00e2nz\u0103tor vine \u00een companie, i se aloc\u0103 automat rolul necesar \u00een sistem, \u00een care exist\u0103 deja toate permisiunile necesare. De asemenea, cu un singur clic, se pot schimba permisiunile pentru mii de v\u00e2nz\u0103tori simultan, de exemplu, se poate ad\u0103uga o nou\u0103 op\u021biune pentru generarea unui raport. Nu este nevoie s\u0103 se fac\u0103 o mie de opera\u021biuni, leg\u00e2nd noua permisiune de fiecare cont \u2013 este suficient s\u0103 se adauge aceast\u0103 op\u021biune \u00een rol, iar ea va ap\u0103rea pentru to\u021bi v\u00e2nz\u0103torii deodat\u0103.<\/p>\n

O alt\u0103 m\u0103sur\u0103 a gestion\u0103rii pe roluri \u2013 excluderea acord\u0103rii de permisiuni incompatibile. Asta \u00eenseamn\u0103 c\u0103 un angajat care are un anumit rol \u00een sistem nu poate de\u021bine simultan un alt rol, a c\u0103rui permisiuni nu trebuie s\u0103 se suprapun\u0103 cu permisiunile din primul. Un exemplu clar \u2013 interdic\u021bia de a combina func\u021biile de introducere \u0219i control al opera\u021biunilor financiare.<\/p>\n

To\u021bi cei interesa\u021bi de cum a ap\u0103rut gestionarea accesului pe roluri \u00een general pot
\n s\u0103 fac\u0103 o incursiune \u00een istorie<\/b>
\n Dac\u0103 ne uit\u0103m la istorie, prima dat\u0103 comunitatea IT a \u00eenceput s\u0103 se g\u00e2ndeasc\u0103 la metodele de gestionare a accesului \u00een anii '70 ai secolului XX. De\u0219i aplica\u021biile erau atunci destul de simple, dar, ca \u0219i acum, tuturor le-ar fi pl\u0103cut s\u0103 gestioneze accesul \u00eentr-un mod confortabil. A oferi, schimba \u0219i controla drepturile utilizatorilor \u2013 pur \u0219i simplu pentru a \u00een\u021belege mai u\u0219or ce acces are fiecare dintre ei. Dar \u00een acea vreme nu existau standarde comune, erau dezvoltate primele sisteme de gestionare a accesului, iar fiecare companie se baza pe propriile sale concep\u021bii \u0219i reguli.<\/p>\n

Acum sunt cunoscute multe modele diferite de gestionare a accesului, dar acestea nu au ap\u0103rut imediat. S\u0103 ne oprim asupra celor care au adus o contribu\u021bie semnificativ\u0103 la dezvoltarea acestui domeniu.<\/p>\n

Primul \u0219i, probabil, cel mai simplu model \u2013 Gestionarea discre\u021bionar\u0103 (selectiv\u0103) a accesului<\/b> (DAC \u2013 Controlul accesului discretionar). Acest model implic\u0103 partajarea drepturilor de c\u0103tre to\u021bi participan\u021bii la procesul de acces. Fiecare utilizator are acces la obiecte sau opera\u021biuni specifice. Practic, aici, un num\u0103r mare de subiec\u021bi ai drepturilor corespunde unui num\u0103r mare de obiecte. Acest model a fost recunoscut ca fiind prea flexibil \u0219i prea complicat de \u00eentre\u021binut: listele de acces devin, \u00een timp, enorme \u0219i greu de controlat.<\/p>\n

Al doilea model este Controlul accesului obligatoriu (MAC \u2014 Controlul accesului mandat)<\/b>. \u00cen acest model, fiecare utilizator ob\u021bine acces la un obiect conform unei permisiuni stabilite pentru un anumit nivel de confiden\u021bialitate a datelor. Prin urmare, obiectele trebuie s\u0103 fie clasificate \u00een func\u021bie de nivelul de confiden\u021bialitate. Spre deosebire de primul model flexibil, acesta s-a dovedit a fi prea strict \u0219i restrictiv. Aplicarea sa nu se justific\u0103 atunci c\u00e2nd \u00eentr-o companie exist\u0103 numeroase resurse informa\u021bionale diverse: pentru a delimita accesul la diferite resurse, va fi necesar s\u0103 se introduc\u0103 numeroase categorii care nu se vor suprapune.<\/p>\n

Av\u00e2nd \u00een vedere imperfec\u021biunile evidente ale acestor dou\u0103 metode, comunitatea IT a continuat s\u0103 dezvolte modele mai flexibile \u0219i, \u00een acela\u0219i timp, mai mult sau mai pu\u021bin universale pentru a sus\u021bine diferite tipuri de politici organiza\u021bionale de control al accesului. \u0218i atunci a ap\u0103rut al treilea model de gestionare a accesului pe baza rolurilor!<\/b> Aceast\u0103 abordare s-a dovedit a fi cea mai promi\u021b\u0103toare, deoarece necesit\u0103 nu doar autorizarea identit\u0103\u021bii utilizatorului, ci \u0219i a func\u021biilor sale de lucru \u00een sisteme.<\/p>\n

Prima structur\u0103 a modelului de roluri a fost clar descris\u0103 de oamenii de \u0219tiin\u021b\u0103 americani David Ferraiolo \u0219i Richard Kuhn de la Institutul Na\u021bional de Standarde \u0219i Tehnologii din SUA \u00een 1992. Atunci a ap\u0103rut pentru prima dat\u0103 termenul RBAC (Controlul accesului bazat pe roluri). <\/b>Aceste cercet\u0103ri \u0219i descrieri ale componentelor de baz\u0103, precum \u0219i ale interac\u021biunii lor au stat la baza standardului \u00een vigoare p\u00e2n\u0103 \u00een prezent INCITS 359-2012, aprobat de Comitetul Interna\u021bional pentru Standardele Tehnologiilor Informa\u021biei (INCITS).<\/p>\n

Standardul define\u0219te rolul ca fiind \u00abo func\u021bie ocupa\u021bional\u0103 \u00een contextul organiza\u021biei, av\u00e2nd o semnifica\u021bie asociat\u0103 \u00een leg\u0103tur\u0103 cu puterile \u0219i responsabilit\u0103\u021bile atribuite utilizatorului desemnat pentru acest rol\u00bb. Documentul stabile\u0219te elementele de baz\u0103 ale RBAC \u2013 utilizatori, sesiuni, roluri, permisiuni, opera\u021biuni \u0219i obiecte, precum \u0219i rela\u021biile \u0219i interconexiunile dintre acestea.<\/p>\n

Standardul ofer\u0103 structura minim necesar\u0103 pentru a construi un model de rol \u2013 combinarea drepturilor \u00een roluri \u0219i apoi acordarea accesului utilizatorilor prin aceste roluri. Sunt definite mecanismele prin care rolurile sunt compuse din obiecte \u0219i opera\u021biuni, sunt descrise ierarhia rolurilor \u0219i mo\u0219tenirea puterilor. Orice companie are roluri care combin\u0103 puterile de baz\u0103 necesare tuturor angaja\u021bilor. Acestea pot include accesul la e-mail, la sistemele informatice \u0219i la portalul corporativ etc. Aceste puteri pot fi incluse \u00eentr-un rol general numit \u00abangajat\u00bb, elimin\u00e2nd necesitatea de a enumera toate drepturile elementare \u00een fiecare rol de nivel superior. Este suficient s\u0103 se indice caracteristica de mo\u0219tenire a rolului \u00abangajat\u00bb.<\/p>\n

\"Construim
\n
\nUlterior, standardul a fost completat cu noi atribute de acces, legate de mediul \u00een continu\u0103 schimbare. A fost introdus\u0103 posibilitatea de a aplica restric\u021bii statice \u0219i dinamice. Restric\u021biile statice implic\u0103 imposibilitatea de a combina rolurile (acea introducere \u0219i control al opera\u021biunilor men\u021bionate anterior). Restric\u021biile dinamice pot fi stabilite \u00een func\u021bie de parametrii variabili, cum ar fi timpul (ore sau zile lucr\u0103toare\/non-lucr\u0103toare), loca\u021bia (birou\/cas\u0103) etc.<\/p>\n

Separat, merit\u0103 men\u021bionat controlul accesului bazat pe atribute (ABAC \u2013 Attribute-based access control).<\/b> Abordarea se bazeaz\u0103 pe furnizarea accesului prin reguli de partajare a atributelor. Acest model poate fi utilizat separat, dar adesea completeaz\u0103 activ modelul tradi\u021bional bazat pe roluri: se pot ad\u0103uga atribute utilizatorilor, resurselor \u0219i dispozitivelor la un rol specific, precum \u0219i la timp sau loca\u021bie. Aceasta permite utilizarea unui num\u0103r mai mic de roluri, introducerea de restric\u021bii suplimentare \u0219i asigurarea unui acces minim necesar, sporind astfel securitatea.<\/p>\n

De exemplu, unui contabil i se poate permite accesul la conturi dac\u0103 lucreaz\u0103 \u00eentr-o anumit\u0103 zon\u0103. Atunci, loca\u021bia specialistului va fi comparat\u0103 cu o valoare de referin\u021b\u0103 specific\u0103. Sau se poate oferi acces la conturi doar dac\u0103 utilizatorul se autentific\u0103 de pe un dispozitiv \u00eenregistrat \u00een lista celor permise. O completare bun\u0103 pentru modelul de roluri, dar care nu este utilizat\u0103 frecvent din cauza necesit\u0103\u021bii de a crea multe reguli \u0219i tabele de permisiuni sau restric\u021bii.<\/p>\n

Voi da un exemplu de aplicare a ABAC din via\u021ba mea anterioar\u0103. La banca noastr\u0103 erau mai multe filiale. Angaja\u021bii birourilor clien\u021bilor din aceste filiale efectuau opera\u021biuni complet identice, dar trebuiau s\u0103 lucreze \u00een sistemul principal doar cu conturile din regiunea lor. La \u00eenceput, am \u00eenceput s\u0103 cre\u0103m roluri separate pentru fiecare regiune \u2013 \u0219i astfel de roluri cu func\u021bionalit\u0103\u021bi repetitive, dar cu acces la conturi diferite au rezultat \u00eentr-un num\u0103r foarte mare! Atunci, folosind atributul de loca\u021bie pentru utilizator \u0219i leg\u00e2ndu-l de un anumit interval de conturi pentru verificare, am redus semnificativ num\u0103rul de roluri din sistem. Ca rezultat, au r\u0103mas roluri doar pentru o singur\u0103 filial\u0103, care au fost replicat pentru pozi\u021biile corespunz\u0103toare din toate celelalte unit\u0103\u021bi teritoriale ale b\u0103ncii.<\/p>\n

Acum s\u0103 discut\u0103m despre pa\u0219ii preg\u0103titori necesari, f\u0103r\u0103 de care pur \u0219i simplu nu se poate construi un model de roluri func\u021bional.<\/p>\n

Pasul 1. Cre\u0103m un model func\u021bional<\/h2>\n

\nEste important s\u0103 \u00eencepi cu crearea unui model func\u021bional \u2013 un document de nivel \u00eenalt \u00een care este descris \u00een detaliu func\u021bionalitatea fiec\u0103rei subdiviziuni \u0219i a fiec\u0103rei func\u021bii. De obicei, informa\u021biile ajung aici din diferite documente: fi\u0219e de post \u0219i reglement\u0103ri pentru subdiviziuni \u2013 departamente, birouri, direc\u021bii. Modelul func\u021bional trebuie s\u0103 fie convenit cu toate subdiviziunile implicate (afaceri, control intern, securitate) \u0219i aprobat de conducerea companiei. De ce este necesar acest document? Pentru ca modelul de rol s\u0103 poat\u0103 face referire la el. De exemplu, dac\u0103 inten\u021bionezi s\u0103 construie\u0219ti un model de rol bazat pe drepturile existente ale angaja\u021bilor \u2013 extrase din sistem \u0219i \u201euniformizate\u201d. Atunci, la aprobarea rolurilor ob\u021binute cu proprietarul de afaceri al sistemului, po\u021bi face referire la un anumit punct din modelul func\u021bional, pe baza c\u0103ruia se include un anumit drept \u00een rol.<\/p>\n

Pasul 2. Audit\u0103m sistemele IT \u0219i elabor\u0103m un plan de prioritizare<\/h2>\n

\n\u00cen a doua etap\u0103, trebuie s\u0103 realiz\u0103m un audit al sistemelor IT pentru a \u00een\u021belege cum este organizat accesul \u00een acestea. De exemplu, \u00een compania mea financiar\u0103, erau operate c\u00e2teva sute de sisteme informa\u021bionale. \u00cen toate sistemele existau anumite \u00eenceputuri de management al rolurilor, \u00een majoritate \u2013 unele roluri, dar \u00een principal pe h\u00e2rtie sau \u00een manualul sistemului \u2013 acestea erau deja dep\u0103\u0219ite, iar accesul era acordat pe baza solicit\u0103rilor reale ale utilizatorilor. Evident, construirea unui model de rol imediat \u00een c\u00e2teva sute de sisteme este pur \u0219i simplu imposibil\u0103, trebuie s\u0103 \u00eencepem de undeva. Am efectuat o analiz\u0103 detaliat\u0103 a procesului de management al accesului pentru a determina nivelul s\u0103u de maturitate. \u00cen timpul analizei am dezvoltat criterii de prioritizare a sistemelor informa\u021bionale \u2013 criticitate, preg\u0103tire, planuri de decomisionare etc. Cu ajutorul acestora am stabilit ordinea de dezvoltare\/actualizare a modelelor de rol pentru aceste sisteme. Apoi \u2013 le-am inclus \u00een planul de integrare cu solu\u021bia de Management al Identit\u0103\u021bii, pentru a automatiza managementul accesului.<\/p>\n

Deci, cum putem determina criticitatea unui sistem? R\u0103spunde\u021bi-v\u0103 la urm\u0103toarele \u00eentreb\u0103ri:<\/p>\n