|
Автоматизация управления и контроля доступа к информационным ресурсам предприятия
Введение
В различных областях человеческих знаний есть «вечные» темы. В информационной безопасности одним из таких вопросов является разграничение доступа. О том, что это основа всех основ, знают все. О том, что именно с этого необходимо начинать любые работы по обеспечению информационной безопасности, тоже всем известно. На семинарах и конференциях по безопасности данной проблеме, так или иначе, отводится до половины рабочего времени. Однако в большинстве компаний она не только не решена, но и даже не стоит «на повестке дня». Причина тому – сложность, дороговизна, трудоемкость и… «неощутимость» результатов ее решения.
Самое странное – подобное попустительство никому не мешает всерьез обсуждать вопросы утечки информации и т. п.
Поиск под фонарем?
Почему же складывается такая ситуация? Чаще всего администратор информационной безопасности пребывает в уверенности, что у него в системе все в порядке: применена сложная парольная политика, развернуты средства защиты периметра… А то, что практически все сотрудники, заходящие в систему под этими «самыми сильными паролями», имеют доступ ко всем информационным ресурсам, просто ускользает от его внимания. В данном случае неведение приятнее, чем осознание.
Кроме того, любая работа должна быть заметна. Руководитель службы информационной безопасности готов закупить и раздать всем какие-нибудь аппаратные средства хранения «сильных паролей». И это понятно: работу по разграничению доступа никто не оценит и не заметит. А токен получит каждый…
Вот и получается, что зачастую попытки заняться решением проблемы контроля доступа напоминают анекдот про пьяного, который где-то обронил ключи, а ищет их под фонарем, потому что «там светлее».
Проблема контроля доступа к информационной системе выдвигается на первый план либо после серьезных инцидентов, либо в процессе внедрения нового корпоративного приложения, когда в ходе приемосдаточных испытаний случайно выясняется, что любой операционист может посмотреть отчет, скажем, об общей выработке компании…
Есть еще один вариант: когда организация заказывает услугу по анализу защищенности своей информационной системы. К сожалению, пока это слишком экзотичная ситуация…
Продолжение читайте в печатной версии журнала
|
