Kas įmonėje turi raktus nuo svarbiausių sistemų? Privilegijuotų prieigų kontrolė

Privilegijuotų prieigų valdymas, dar vadinamas PAM (angl. Privileged Access Management), padeda organizacijoms kontroliuoti, kas, kada ir kokiomis sąlygomis gali naudotis padidintomis teisėmis. Šis sprendimas apima privilegijuotų paskyrų apsaugą, prisijungimo duomenų administravimą, laikinų teisių suteikimą ir naudotojų veiksmų stebėjimą. Tinkamai įdiegta kontrolės sistema leidžia sumažinti neteisėtos prieigos tikimybę ir užtikrinti didesnį organizacijos skaitmeninės infrastruktūros saugumą.

Kodėl privilegijuotos paskyros kelia didesnę riziką?

Įprasta darbuotojo paskyra dažniausiai suteikia prieigą prie konkrečių programų, dokumentų ar kasdienėms užduotims reikalingų funkcijų. Privilegijuota paskyra leidžia atlikti gerokai daugiau veiksmų – keisti sistemų konfigūraciją, kurti naudotojus, suteikti jiems teises, diegti programinę įrangą arba administruoti duomenų bazes.

Todėl tokių paskyrų kompromitavimas gali turėti itin rimtų pasekmių. Pavyzdžiui, įgijęs domeno administratoriaus teises, užpuolikas gali bandyti pasiekti kitas organizacijos sistemas, keisti saugumo politiką arba sukurti papildomas paskyras ilgalaikei prieigai išlaikyti.

Rizika kyla ne tik dėl išorinių kibernetinių atakų. Netinkamai suteiktos teisės, darbuotojų klaidos, pamirštos paskyros ir nepakankama išorinių paslaugų teikėjų kontrolė taip pat gali sukelti saugumo incidentų.

Ypač pavojinga situacija susidaro tada, kai organizacija neturi išsamaus privilegijuotų paskyrų registro ir negali tiksliai nustatyti, kiek asmenų turi administravimo teises.

Kas organizacijoje naudojasi padidintomis teisėmis?

Privilegijuotų prieigų kontrolė neturėtų apsiriboti vien IT administratoriais. Padidintos teisės gali būti suteiktos įvairioms darbuotojų ir išorinių partnerių grupėms.

Dažniausiai tai yra:

• IT sistemų administratoriai. Atsakingi už serverių, tinklų, operacinių sistemų ir kitų infrastruktūros komponentų priežiūrą.

• Duomenų bazių administratoriai. Gali keisti duomenų struktūrą, nustatymus ir valdyti prieigos teises.

• Kibernetinio saugumo specialistai. Administruoja apsaugos sistemas, analizuoja incidentus ir koreguoja saugumo politiką.

• Išoriniai IT paslaugų tiekėjai. Prižiūri programinę įrangą, administruoja techninę infrastruktūrą ar šalina gedimus.

• Programinės įrangos kūrėjai. Tam tikrais atvejais gauna prieigą prie testavimo, diegimo arba produkcinių aplinkų.

• Automatizuotos ir tarnybinės paskyros. Naudojamos sistemų integracijoms, automatizuotiems procesams ir programų tarpusavio komunikacijai.

Kiekvienai grupei turėtų būti taikomi aiškiai apibrėžti prieigos reikalavimai, atsižvelgiant į jos atliekamas funkcijas ir galimą poveikį organizacijos veiklai.

Mažiausių privilegijų principas – prieiga tik tada, kai jos reikia

Vienas svarbiausių prieigos kontrolės principų yra mažiausių privilegijų taikymas. Jis numato, kad naudotojui suteikiamos tik tos teisės, kurios būtinos konkrečioms darbo užduotims atlikti.

Pavyzdžiui, jeigu išorinis specialistas prižiūri vieną verslo valdymo sistemos modulį, jam neturėtų būti suteikiamos visos organizacijos serverių administratoriaus teisės.

Praktikoje šis principas įgyvendinamas keliais būdais. Pirmiausia nustatomos darbuotojų atsakomybės, o vėliau prieigos teisės susiejamos su konkrečiomis pareigomis ir užduotimis. Taip pat rekomenduojama atskirti kasdieniam darbui naudojamas paskyras nuo administravimo paskyrų.

Svarbu periodiškai peržiūrėti suteiktas teises. Darbuotojui pakeitus pareigas, jo anksčiau turėtos privilegijos gali tapti nebereikalingos. Jeigu tokios teisės išlieka, organizacijoje palaipsniui kaupiasi perteklinės prieigos.

Slaptažodžių valdymas ir saugus prisijungimo duomenų saugojimas

Privilegijuotų paskyrų apsauga prasideda nuo tinkamo autentifikavimo duomenų valdymo. Vis dar pasitaiko organizacijų, kuriose administratorių slaptažodžiai perduodami elektroniniu paštu, laikomi bendruose dokumentuose arba naudojami kelių specialistų.

Tokia praktika apsunkina atskaitomybę ir didina neteisėtos prieigos tikimybę.

Centralizuotas privilegijuotų slaptažodžių valdymas leidžia saugoti prisijungimo duomenis specializuotoje apsaugotoje saugykloje. Naudotojams nebūtinai reikia žinoti patį slaptažodį – prisijungimas gali būti organizuojamas per kontroliuojamą tarpinę sistemą.

Papildomai svarbu užtikrinti, kad slaptažodžiai būtų keičiami, kai to reikia dėl saugumo, pavyzdžiui, įtarus kompromitavimą arba pasibaigus išorinio specialisto darbui. Ypač jautrioms bendro naudojimo paskyroms gali būti taikomas automatinis prisijungimo duomenų keitimas po naudojimo.

Kitas būtinas apsaugos elementas – daugiafaktorė autentifikacija. Ji sumažina tikimybę, kad vien pavogtas slaptažodis suteiks užpuolikui prieigą prie svarbios infrastruktūros.

Laikinos administravimo teisės vietoje nuolatinės prieigos

Nuolatinės administratoriaus teisės yra vienas dažniausių perteklinės prieigos pavyzdžių. Net jeigu darbuotojas privilegijuotomis funkcijomis naudojasi tik kelis kartus per mėnesį, jo paskyrai neretai paliekamos nuolatinės aukšto lygio teisės.

Saugesnė alternatyva yra laikinas privilegijų suteikimas, dar vadinamas Just-in-Time (JIT) prieiga.

Taikant šį modelį, naudotojas gauna padidintas teises tik konkrečiai užduočiai ir ribotam laikotarpiui. Pasibaigus nustatytam terminui, privilegijos automatiškai panaikinamos.

Pavyzdžiui, sistemų administratoriui reikia atnaujinti svarbaus serverio konfigūraciją. Jis pateikia prieigos užklausą, nurodo darbų tikslą ir numatomą trukmę. Patvirtinus užklausą, suteikiamos reikalingos teisės, kurios vėliau automatiškai atšaukiamos.

Šis metodas sumažina laiką, per kurį kompromituota paskyra galėtų būti panaudota neteisėtiems veiksmams.

Kaip kontroliuoti išorinių IT tiekėjų prieigą?

Daugelis Lietuvos įmonių dalį IT infrastruktūros priežiūros patiki išoriniams paslaugų teikėjams. Tokia praktika leidžia naudotis specializuotomis kompetencijomis, tačiau kartu sukuria papildomą prieigos kontrolės poreikį.

Išoriniams specialistams neretai reikia prisijungti prie organizacijos serverių, programų ar tinklo įrangos. Problema atsiranda tada, kai jiems suteikiama nuolatinė prieiga, o jos naudojimas nėra pakankamai kontroliuojamas.

Efektyvus tiekėjų prieigos valdymas turėtų apimti individualias paskyras, daugiafaktorę autentifikaciją, ribotą prisijungimo laiką ir konkrečiai apibrėžtas teises.

Pavyzdžiui, programinės įrangos tiekėjui atliekant sistemos atnaujinimą, galima suteikti prieigą tik prie atitinkamo serverio ir tik suderintu priežiūros laikotarpiu.

Tokiu būdu organizacija išsaugo galimybę pasinaudoti išorinių specialistų paslaugomis, tačiau sumažina nekontroliuojamos prieigos riziką.

Veiksmų stebėjimas ir administratorių sesijų registravimas

Vien žinoti, kas turi administravimo teises, nepakanka. Organizacijai taip pat svarbu suprasti, kaip šiomis teisėmis naudojamasi.

Privilegijuotų sesijų stebėjimo priemonės leidžia registruoti prisijungimus, vykdomas komandas, atliekamus pakeitimus ir kitus saugumui reikšmingus veiksmus.

Kai kurios sistemos suteikia galimybę įrašyti administravimo sesijas ir vėliau jas peržiūrėti. Tai naudinga atliekant incidentų tyrimus, vertinant techninių problemų priežastis arba tikrinant, ar išoriniai tiekėjai laikėsi sutartų procedūrų.

Svarbu, kad stebėjimas būtų proporcingas ir atitiktų asmens duomenų apsaugos reikalavimus. Organizacija turėtų aiškiai apibrėžti, kokie duomenys renkami, kiek laiko saugomi ir kas turi teisę juos peržiūrėti.

Automatiniai įspėjimai apie neįprastą veiklą taip pat gali padėti greičiau nustatyti galimas grėsmes. Pavyzdžiui, įspėjimas gali būti siunčiamas, kai administratorius bando pasiekti jam nebūdingą sistemą arba atlieka didelės rizikos veiksmą.

Prieigos panaikinimas pasibaigus darbo santykiams

Vienas iš dažnai nepakankamai įvertinamų kibernetinio saugumo aspektų yra laiku atliekamas prieigos teisių panaikinimas.

Darbuotojui palikus organizaciją arba pasibaigus bendradarbiavimo sutarčiai su išoriniu IT tiekėju, visos nebereikalingos privilegijos turėtų būti nedelsiant atšauktos pagal nustatytą procedūrą.

Šis procesas apima ne tik naudotojo paskyros išjungimą. Taip pat reikia patikrinti VPN prieigą, administravimo įrankius, debesijos paslaugas, autentifikavimo raktus ir bendro naudojimo prisijungimo duomenis.

Jeigu buvęs darbuotojas žinojo bendros administratoriaus paskyros slaptažodį, vien jo asmeninės paskyros panaikinimas problemos neišsprendžia. Tokiu atveju būtina pakeisti ir bendrus prisijungimo duomenis.

Efektyviausia, kai prieigos panaikinimas susiejamas su personalo valdymo procesais. Tokiu būdu sumažinama tikimybė, kad pasibaigus darbo santykiams liks aktyvių ir niekieno neprižiūrimų paskyrų.

Kaip PAM padeda užtikrinti atitiktį saugumo reikalavimams?

Privilegijuotų prieigų kontrolė svarbi ne tik siekiant sumažinti techninių incidentų tikimybę. Ji taip pat padeda organizacijoms įgyvendinti informacijos saugumo valdymo, atskaitomybės ir audito reikalavimus.

Lietuvoje daliai įmonių aktualūs Europos Sąjungos TIS2 direktyvos reikalavimai, perkelti į nacionalinę teisę, taip pat Bendrasis duomenų apsaugos reglamentas. Finansų sektoriuje reikšmingas ir Skaitmeninės veiklos atsparumo reglamentas (DORA).

Nors šie teisės aktai ne visoms organizacijoms tiesiogiai nustato pareigą naudoti konkrečią privilegijuotų prieigų valdymo technologiją, tinkamos prieigos kontrolės priemonės gali padėti įgyvendinti rizika pagrįstus saugumo reikalavimus.

Centralizuotas administravimo teisių valdymas suteikia galimybę lengviau dokumentuoti prieigos suteikimą, fiksuoti svarbius administravimo veiksmus ir pateikti auditoriams reikalingus įrodymus.

Tai ypač aktualu organizacijoms, kurios valdo didelės vertės informaciją, teikia kritines paslaugas arba bendradarbiauja su daug išorinių technologijų tiekėjų.

Nuo ko pradėti privilegijuotų prieigų kontrolės diegimą?

Efektyviam sprendimui įgyvendinti pirmiausia reikia įvertinti esamą situaciją. Organizacija turėtų inventorizuoti privilegijuotas paskyras, nustatyti jų savininkus ir išsiaiškinti, kokios sistemos pasiekiamos naudojant padidintas teises.

Antrasis etapas – rizikos vertinimas. Prioritetas turėtų būti teikiamas paskyroms, kurių kompromitavimas galėtų turėti didžiausią poveikį organizacijos veiklai.

Vėliau galima diegti centralizuotą slaptažodžių saugyklą, daugiafaktorę autentifikaciją, laikinų prieigų suteikimą ir administravimo sesijų stebėjimą.

Svarbu užtikrinti, kad naujos procedūros būtų suprantamos darbuotojams ir netaptų nepagrįsta kliūtimi kasdieniams procesams. Todėl diegimą rekomenduojama vykdyti etapais, pradedant nuo kritiškiausių sistemų.

Privilegijuotų prieigų kontrolė neturėtų būti laikoma vienkartiniu IT projektu. Keičiantis organizacijos infrastruktūrai, darbuotojams ir paslaugų tiekėjams, būtina nuolat peržiūrėti prieigos teises bei saugumo politiką.

Įmonės skaitmeninės infrastruktūros saugumas didele dalimi priklauso nuo to, kaip valdomos plačiausias galimybes suteikiančios paskyros. Aiškiai apibrėžtos atsakomybės, saugus prisijungimo duomenų administravimas, laikinos privilegijos ir nuoseklus naudotojų veiksmų stebėjimas padeda išvengti situacijų, kai svarbiausių sistemų prieiga nepakankamai kontroliuojama. Privilegijuotų prieigų valdymo sistema leidžia šiuos procesus centralizuoti ir sukurti tvirtesnį pagrindą ilgalaikiam organizacijos kibernetiniam atsparumui