Kontrola dostępu do systemów IT ma
na celu ograniczenie dostępu do
informacji i urządzeń
do przetwarzania informacji.
Lepiej jest, gdy ustanawia się
zasady kontroli dostępu, aby myśleć w kategoriach "Wszystko jest ogólnie
zabronione, chyba że jest to wyraźnie dozwolone", a nie odwrotnie:
"Wszystko jest ogólnie dozwolone, chyba że jest zabronione". Następna
kontrola to Dostęp do sieci i usług sieciowych i mówi, że użytkownicy powinni
mieć dostęp tylko do sieci i usług sieciowych, do których używania zostali
specjalnie upoważnieni.
Polityka kontroli dostępu powinna obejmować
sieci i usługi sieciowe, do których dostęp jest możliwy. Wszelkie procedury
autoryzacji w celu określenia, kto ma prawo dostępu do jakich sieci. I jakie są
środki kontroli, aby chronić dostęp do sieci i usług sieciowych przed
nieupoważnionymi osobami. W jaki sposób dostęp do sieci i usług sieciowych jest
uzyskiwany (przez VPN lub przez sieć bezprzewodową). Jakie są wymagania
dotyczące uwierzytelniania użytkownika w celu uzyskania dostępu do sieci. A jak
organizacja, monitoruje dostęp do swoich sieci. Nieautoryzowane lub niebezpieczne połączenia z sieciami lub
usługami sieciowymi należącymi
do organizacji, szczególnie jeśli mówimy o krytycznych bazach
danych lub innych krytycznych informacjach, stanowią poważne ryzyko, szczególnie jeśli połączenie
to pochodzi z lokalizacji wysokiego ryzyka -na przykład z miejsca publicznego. Zapobieganie
komputerom znajdującym się poza obrębem organizacji do łączenia się z
określonymi usługami lub pewnymi aplikacjami jest odpowiednią metodą ochrony.
Użytkownicy logujący się do sieci, komputera lub aplikacji powinni mieć dostęp
jedynie do informacji i usług wymaganych dla ich funkcji biznesowych. I tylko
do informacji i usług, do których mieli dostęp. Odpowiednią kontrolą może nie
być umożliwienie wszystkim użytkownikom zobaczenia pełnego zakresu usług
dostępnych dla aplikacji, do której mieli dostęp; ale tylko te usługi, które są
dla nich dostępne i potrzebne do wykonywania swojej pracy.
Przy
ochronie dostępu do sieci i aplikacji/baz danych używamy środków ochrony –przed
wyciekiem danych, monitorujących zdarzenia i wychwytujących podejrzane działania
lub anomalie w pracy użytkownika (np. podszywanie się inne osoby pod pracownika
organizacji) Częstym naruszeniem bezpieczeństwa jest naruszenie poufności haseł
poprzez infekcje złośliwym oprogramowaniem lub poprzez wpisanie haseł na
fałszywej stronie logowania. Infekcja systemu złośliwym oprogramowaniem czy
ingerencja zewnętrzna lub wewnętrzna w celu wyrządzenia szkód to nie są tak
rzadkie przypadki. Ich skutki są bardzo niebezpieczne i skutkują przerwaniem
działania, zniszczeniem systemów, wyciekiem poufnych danych.
Kontrola dostępu
obejmuje sprawowanie nadzoru
nad tym, którzy
uczestnicy (osoby, procesy, maszyny, itd.) i w jakim czasie
mają dostęp do
poszczególnych zasobów systemu
komputerowego, na czym ten dostęp
polega, w jaki sposób korzystają ze wspólnych danych, itp. Kontrola dostępu
działa na kilku poziomach:
aplikacji, warstwy pośredniej
(ang. middleware), systemu operacyjnego i
sprzętu. Jest to
kluczowy składnik każdego
rozwiązania związanego z bezpieczeństwem systemu, którego zadaniem
jest zapewnienie, że zasób jest używany przez odpowiednich odbiorców w
uprawniony sposób, w odpowiednim miejscu i czasie.
źródło:
Brak komentarzy:
Prześlij komentarz