პრივილეგირებული წვდომის მენეჯმენტი – რაში სჭირდება ის ბიზნესს?

პრივილეგირებულ ანგარიშებს ის თანამშრომლები ფლობენ, რომლებიც მრავალი უფლებით არიან აღჭურვილნი სისტემაში – იქნება ეს მნიშვნელოვანი პარამეტრების ცვლილება, სხვა თანამშრომლებისთვის წვდომის მიცემა, თუ მნიშვნელოვანი დოკუმენტების შექმნა და მართვა. ეს თანამშრომლები გახლავთ განყოფილების უფროსები, სისტემური ადმინისტრატორები, უსაფრთხოების ოფიცრები, გენერალური დირექტორი და მისი მოადგილეები.

PAM გადაწყვეტილებების დანერგვა მნიშვნელოვანი ნაბიჯია უსაფრთხოებისათვის, რომელიც ხშირად უნდობლობის აქტად აღიქმება ხოლმე; ბიზნესი კი, იმის მაგივრად, რომ თანამშრომლებს ზღვარის დაწესების საჭიროება და აუცილებლობა აუხსნას, ზოგჯერ თავს არიდებს მათ გაღიზიანებას და საერთოდ უარს ამბობს PAM-ზე.

როგორც HT Solutions-ის კიბერუსაფრთხოების დეპარტამენტის ხელმძღვანელი, ნინო ნიაური განმარტავს, ბოლო პერიოდში  პრივილეგირებული წვდომების საკითხი განსაკუთრებით მნიშვნელოვანი და კრიტიკული გახდა ორგანიზაციებისთვის, ვინაიდან COVID 19-ის გავლენით შეიცვალა სამუშაო გარემო, იგი გახდა სრულად დისტანციური ან ჰიბრიდული, ეს ფაქტი კი უსაფრთხოების თემებს მეტად კრიტიკულს ხდის.

ეს, თავის მხრივ, საფრთხეებთანაა დაკავშირებული და ქვემოთ მოგიყვებით, თუ რატომ:

უსაფრთხოების რისკები

შესაძლო სცენარები:

• კომპანიის ერთ-ერთმა თანამშრომელმა ვერ მოახერხა სასურველი მოწინავე პოზიციის დაკავება და ამისგან გაბრაზებულმა კონფიდენციალური ინფორმაციის გატანა გადაწყვიტა.
• ჰაკერმა ოპერაციების დირექტორის ანგარიში გატეხა და აღმოაჩინა, რომ იგივე პაროლი აქვს მესენჯერზე, ფოსტასა და კორპორაციულ ღრუბელზე (Google Drive, OneDrive).
• სტაჟიორმა შემთხვევით წაშალა სისტემის ყველა ბექაპი, როუტერის პარამეტრების გადატვირთვის მაგიერ. მთელი დეპარტამენტი ყველაფრის აღდგენას მომდევნო დილამდე ვერ შეძლებს.
• გამოსაცდელ ვადაზე მყოფმა იურისტმა შემთხვევით წაშალა ბუღალტრული აღრიცხვის 5-წლიანი იანგარიშები, თუმცა მას წესით არ უნდა ჰქონოდა წვდომა მათზე.

მაგალითების მოყვანა უსასრულოდ შეიძლება, თუმცა არსი იმაში მდგომარეობს, რომ გამოუცდელი თანამშრომლები ვერ დააზიანებენ იმას, რაზეც წვდომა არ ექნებათ; ხოლო ორფაქტორიანი აუთენტიფიკაცია დაიცავს სისტემას სუსტი პაროლებისაგან გამოწვეული საფრთხეებისგან.

ოპერაციული რისკები

არაა საჭირო ყოველ ფეხის ნაბიჯზე ვამოწმოთ თანამშრომლები, მაგრამ აუცილებელია, გვქონდეს ამის შესაძლებლობა.

დიდ კომპანიებში ხშირად ხდება კადრების ცვლა, დეპარტამენტებს შორის თუ კარიერულ კიბეზე მონაცვლეობა; ასეთ პირობებში წვდომის კორექტირება ზემოთ ჩამოთვლილი სიტუაციების თავიდან არიდებას გულისხმობს.

მეორე მნიშვნელოვანი ასპექტია კონტრაქტორებთნ მუშაობა – ვერავინ იტყვის, რა დონეზე აქვთ კიბერუსაფრთხოება თქვენს კონტრაქტორებს, რამდენად უფრთხილდებიან ისინი თქვენი სისტემის პაროლებს, ნამდვილად იცავენ თუ არა შეთანხმებულ ვადებს, რამდენი ადამიანი შედის სისტემაში ერთი ანგარიშით და ა.შ.

ზემოთ მოყვანილი მაგალითების მიზანი არა თანამშრომლების ეჭვქვეშ დაყენებაა, არამედ იმის აუცილებლობაში დარწმუნება, რომ მოვლენების კურსში იყოთ.

რა ამოცანების წინაშე გვაყენებს დისტანციურ მუშაობაზე გადასვლა?

ინფორმაციულობის დაბალი დონე მშვიდ პერიოდშიც კი, როცა ყველა ოფისში, სტანდარტული გრაფიკით მუშაობს, სერიოზული რისკების წინაშე გვაყენებს. დისტანციურ რეჟიმზე გადასვლა კი, მით უმეტეს ამცირებს კონტროლის დონეს, იმისდა მიუხედავად, რომ, შესაძლოა, თანამშრომლებზე საჭირო პარამეტრებით აღჭურვილი მოწყობილობები იყოს გაცემული. „საშინაო“ მოწყობილობები არამარტო სამსახურის, არამედ პირადი ამოცანებისთვისაც გამოიყენება, ერთი მოწყობილობის იუზერების რაოდენობის განუსაზღვრელობა კი, საფრთხის ქვეშ აყენებს სამუშაო მონაცემებისა და ანგარიშების ხელშეუხებლობას.

იგივე ეხება კონტრაქტორებსაც – უფრო მეტად უცნობია, საიდან მუშაობენ, რა მოწყობილობას და რა ქსელს იყენებენ და ა.შ.

როგორ აგვარებენ ამ პრობლემებს კომპანიები?

ნინო ამბობს, რომ მისი პრაქტიკით, საქართველოში კომპანიებს გარკვეული გამოწვევები აქვთ პრივილეგირებურ წვდომებთან დაკავშირებული უსაფრთხოების პრობლემების მოგვარების კუთხით. მაგალითად, ზოგიერთ შემთხვევაში კომპანიებს უჭირთ პრივილეგირებული მომხმარებლების იდენტიფიცირება; ასევე, არ აქვთ შესაბამისი ხელსაწყოები პაროლებისა და სესიების კონტროლისთვის და შემდგომ აღნიშნული ინფორმაციის ანალიტიკური მიზნებისთვის გამოყენებისთვის.

ორიდან ერთი ვარიანტია PAM-ის დანერგვა, რომელსაც დეტალურად ქვემოთ განვიხილავთ. ზემოთ ჩამოთვლილი პრობლემების მოგვარება PAM-ის გარეშე შეუძლებელიც კია ბიზნესისთვის.

ზოგადად, ინფრასტრუქტურაში საბაზისო პროცესების არცოდნა ნორმად აღიქმება. ეს მუშაობს პატარა კომპანიებშიც კი, სადაც შეცდომის ფასი მცირეა და ბევრი ვერაფრის მიღებას ვერ შეძლებენ თავდამსხმელები.

მაგრამ ეს მიდგომა ვერ გამოადგება ბანკებს, ტელეკომ კომპანიებს, IT – კომპანიებს, მსხვილ იურიდიულ და საბუღალტრო ფირმებს, ლოგისტიკის სფეროს ან სახელმწიფო დაკვეთის მქონე კომპანიებს. არსებითად, სწორედ ისინი არიან PAM-ის მთავარი მომხმარებლები.

რა არის და როგორი შეიძლება იყოს PAM -ი?

PAM (Privileged Access Management) – ეს ის პროგრამული უზრუნველყოფაა, რომელიც ზემოთ ჩმოთვლილ პრობლემებს აგვარებს. საუბარი ეხება წვდომის კონტროლს, მაგრამ PAM-ის ერთიანი პორტრეტი არ არსებობს.

PAM-ის არჩევამდე, აუცილებელია ვიცოდეთ:

• ყველა PAM-ს აქვს ფუნქციების განსხვავებული ნაკრები: ზოგიერთი აღჭურვილია მილიონობით მოქნილი პარამეტრით, ზოგი – მხოლოდ რამდენიმე საკითხს წყვეტს. ყველაფერი ეს აისახება ფასზე, ამიტომ უმჯობესია, ამოირჩიოთ ის, რაც თქვენს სისტემას ერგება.
• ზოგიერთი PAM-ი თავიდან იცილებს მავნე ქმედებებს, რაც, შესაძლოა, უსაფრთხოების დამატებითი გარანტი გახდეს სხვა ტექნოლოგიებთან კავშირისას.
• PAM-ი ხშირად საჭიროებს აგენტის ინსტალაციას – ეს პროგრამული კლიენტია, რომელიც ყოველ მოწყობილობაზე ყენდება ან მუშაობს ცენტრალიზებულად, სერვერზე. ასეთი PAM-ი მოითხოვს აგენტის ინსტალაციას თანამშრომლების პირად კომპიუტერებზე. თუ თქვენ იყენებთ მხოლოდ კორპორციულ ნოუთბუქებს და აძლევთ თანამშრომლებს დისტანციურად სამუშაოდ, დააინსტალირეთ მათში აგენტები.
• ბევრი PAM-ი საჭიროებს პროცესების შეცვლას, მაგალითად, წვდომის მიღებას მხოლოდ სპეციალური მიერთებიდან ან პროგრამული უზრუნველყოფიდან. ასევე, გახსოვდეთ, რომ PAM-ის დანერგვა და მომსახურება რთულია მისი ინფრასტრუქტურაში ღრმა ინტეგრაციისდა გამო. მზად იყავით, რომ სისტემურ ადმინისტრატორებსა და უსაფრთხოების თანამშრომლებს საკმაო დროის დახარჯვა დასჭირდებათ მისი დანერგვისა და დაყენებისთვის.

რატომ  One Identity

უზარმაზარი სიიდან ნამდვილად ღირს იმ გადაწყვეტილების გამორჩევა, რომელსაც, ყოველგვარი გაზვიადების გარეშე, თავისი ყველა აუცილებელი ინსტრუმენტით, კლასიკური ტიპის PAM-ი შეიძლება ეწოდოს. ეს გახლავთ One Identity, და აი, რატომ:

•  სამი მოდული პაროლების, სესიების ჩანაწერებისა და მომხმარებელთა მოქმედებების გასაკონტროლებლად. შეგიძლიათ, გამოიყენოთ მხოლოდ აუცილებელი საჭიროებებიდან გამომდინარე.
• პოლიტიკის დაწესების მოქნილობა საშუალებას იძლევა წვდომების გაცემა მიეცეთ უმცირესი დეტალების გათვალისწინებითაც კი: ნებართვებისა და შეზღუდვების გარდა, შესაძლებელია წვდომის დროის განსაზღვრაც, ან დასაშვები წვდომების დადგენაც (მაგალითად, წვდომის აკრძალვა VPN- ის საშუალებით ან პირიქით – შესვლა მხოლოდ VPN-ით).
• უსაფრთხოების დაცვის ფართო შესაძლებლობები: OI Safeguard მომხმარებლის ანალიტიკის მოდული მომხმარებლის პროფილს ქმნის ტიპურ ქმედებებსა და ბიომეტრიულ მონაცემებზე დაყრდნობით, როგორიცაა, მაგალითად, ტექსტის აკრეფის მახასიათებლები, კურსორის მოძრაობა და ა. შ.

თავდამსხმელის შეჭრისას სისტემა დაინახავს არატიპურ მოქმედებას, ანალიტიკა მყისვე გადასცემს გაფრთხილების სიგნალს და სპეციალისტებს საშუალება მიეცემათ, დაბლოკონ მავნე ქმედებები.

• სესიების ჩაწერა და დაცვა, ასევე მათზე ნავიგაცია. შესაძლებელია სესიების ჩაწერის დახარისხება მოქმედებების შესაბამისად, საკვანძო სიტყვების მიხედვითაც კი, ინციდენტების კვლევის გამარტივების მიზნით.
• ბიზნეს მომხმარებლების კონტროლი. დისტანციურად მომუშავეებთან და კონტრაქტორებთან ურთიერთობისას თქვენ ინარჩუნებთ კონტროლის ყველა შესაძლებლობას, საოფისე ფორმატის მსგავსად.
• არქიტექტურა აგენტის გარეშე. განავრცობს კონტროლს სახლის მოწყობილობებზეც, ამარტივებს ადმინისტრირებას და არ უშლის ხელს მანამდე ჩამოყალიბებულ პროცესებს.
• განვრცობის სიმარტივე. ეს გადაწყვეტილება ხორციელდება მსხვილ ინფრასტრუქტურებზე ერთი დღის განმავლობაში, იმპლემენტაცია და კონფიგურაცია – ორ კვირამდე ვადაში, რაც საუკეთესო მაჩვენებელია PAM – ისთვის.

არსებითად, OI-ის ყოველი ასპექტი უნდა გაითვალისწინოთ PAM-ის შერჩევისას.  ყველაფერი, რაც OI-ის გააჩნია არ უნდა იყოს თქვენს PAM-ში, მაგრამ ის, რაც უკვე აქვს, დაე, იყოს OI-ის მსგავსად.

[პარტნიორის კონტენტი]