Informačná bezpečnosť: Najväčším rizikom sú privilegovaní používatelia a prístupy

Strana 1/2

Ri­zi­kom je, ak pri­vi­le­go­va­ní pou­ží­va­te­lia svoj pri­vi­le­go­va­ný prís­tup zneu­ži­jú, prí­pad­ne ak dôj­de k zneu­ži­tiu pri­vi­le­go­va­né­ho prís­tu­pu inou neop­ráv­ne­nou oso­bou. Spo­mí­na­né hroz­by eš­te tro­chu na­be­ra­jú na vý­zna­me v sú­vis­los­ti s rôz­ny­mi mo­del­mi pre­vádz­ko­va­nia IT (rôz­ne ty­py sour­cin­gu, cloud com­pu­ting a pod.). Pri tých­to mo­de­loch sa stá­va eš­te me­nej zjav­ným, ako a kto všet­ko mô­že zís­kať pri­vi­le­go­va­ný prís­tup k in­for­má­ciám or­ga­ni­zá­cie.

Zá­važ­nosť ri­zík od­zr­kad­ľu­jú aj pri­bú­da­jú­ce bez­peč­nos­tné pred­pi­sy a štan­dar­dy. Rôz­ne kra­ji­ny a rôz­ne od­vet­via ma­jú de­fi­no­va­né dosť strik­tné po­žia­dav­ky na ria­de­nie a ochra­nu pred hroz­ba­mi pri­vi­le­go­va­ných prís­tu­pov.

Pre or­ga­ni­zá­cie exis­tu­jú te­da hneď dva dô­vo­dy, pre­čo si pri­vi­le­go­va­né prís­tu­py vy­ža­du­jú ne­ma­lú po­zor­nosť. Pr­vot­ne je to ri­zi­ko zneu­ži­tia a dru­hot­ne sú to pred­pi­sy a prí­pad­né san­kcie za ne­sú­lad s po­žia­dav­ka­mi.

Veľ­ké množ­stvo in­for­má­cií, veľ­ký po­čet miest a spô­so­bov ulo­že­nia a spra­co­va­nia in­for­má­cií, ako aj veľ­ký po­čet bo­dov a ka­ná­lov prís­tu­pu k in­for­má­ciám si vy­ža­du­je aj veľ­ký po­čet pri­vi­le­go­va­ných prís­tu­pov na rôz­nych úrov­niach. Vo všeo­bec­nos­ti mô­že byť pot­reb­né mať pou­ží­va­te­ľov s pri­vi­le­go­va­ným prís­tu­pom pra­cu­jú­cich v glo­bál­nom mó­de a geog­ra­fic­ky dis­lo­ko­va­ných, napr. pre nep­retr­ži­té pok­ry­tie či op­ti­ma­li­zá­ciu nák­la­dov.

Po­dob­né pred­pi­sy tý­ka­jú­ce sa pri­vi­le­go­va­ných prís­tu­pov de­fi­no­va­né lo­kál­ne zís­ka­va­jú vďa­ka glo­bál­ne­mu do­sa­hu IT glo­bál­ny vý­znam.

Pot­re­ba ria­de­nia pri­vi­le­go­va­ných prís­tu­pov má te­da jas­né dô­vo­dy a tre­ba po­ve­dať, že to­mu zod­po­ve­dá aj reali­ta. V praxi sa vy­uží­va ria­de­nie a kon­tro­la pri­vi­le­go­va­ných prís­tu­pov rôz­ny­mi pros­tried­ka­mi. Po­mer­ne čas­to sa ria­de­nie a kon­tro­la pri­vi­le­go­va­ných prís­tu­pov za­me­ria­va na ur­či­tú ob­lasť a ne­mu­sí mať vždy uce­le­ný rá­mec. Ur­či­te je však po­zi­tív­ne to, že v praxi sa­mi pre­vádz­ko­va­te­lia IT pri­chá­dza­jú s rôz­ny­mi ta­ký­mi­to ini­cia­tí­va­mi. Sna­ha ad­re­so­vať naj­skôr kon­krét­ny naj­pál­či­vej­ší prob­lém je pri­ro­dze­ná. Hlav­ne u veľ­kých pre­vádz­ko­va­te­ľov IT však prax uka­zu­je, že čias­tko­vé ad­res­né rie­še­nia ma­jú svoj ďal­ší vý­voj a nes­kôr kon­ver­gu­jú do uce­le­nej­šie­ho rie­še­nia.

Kaž­do­pád­ne aj v tom naj­jed­no­duch­šom prí­pa­de má ria­de­nie pri­vi­le­go­va­ných prís­tu­pov nie­koľ­ko ne­vyh­nut­ných pred­pok­la­dov.

Pri­vi­le­go­va­ný prís­tup mô­že mať rôz­ne po­do­by, zá­vi­sí to od kon­krét­ne­ho sys­té­mu a je­ho špe­ci­fík. Je­ho naj­zák­lad­nej­ší­mi typ­mi sú pri­vi­le­go­va­né pou­ží­va­teľ­ské úč­ty, po­tom pri­vi­le­go­va­né sku­pi­ny a pri­vi­le­go­va­né ro­ly ale­bo iné špe­ci­fic­ké ob­jek­ty ria­de­nia prís­tu­pu, kto­ré sú aso­cio­va­né k úč­tom. Zlo­ži­tej­šie prí­pa­dy sú pri­vi­le­go­va­né prís­tu­py de­fi­no­va­né na zá­kla­de pra­vi­diel ale­bo zoz­na­mu po­vo­le­ných prí­ka­zov (napr. me­chan­izmus SU­DO pri sys­té­moch Po­six). Po­jem pri­vi­le­go­va­ný prís­tup mô­že byť v rôz­nych or­ga­ni­zá­ciách de­fi­no­va­ný rôz­ne. Zväč­ša však ide o vy­hra­de­ný prís­tup pre úz­ko ob­me­dze­nú sku­pi­nu osôb, kto­rý vy­ža­du­je špe­ci­fic­ké ria­de­nie.

Tu sa dos­tá­va­me k pr­vé­mu a zrej­me naj­dô­le­ži­tej­šie­mu bo­du pri ria­de­ní pri­vi­le­go­va­ných prís­tu­pov, kto­rým je de­fi­ní­cia pri­vi­lé­gií. Bez vy­me­dzenia zoz­na­mu pri­vi­lé­gií ne­má tak­mer zmy­sel pok­ra­čo­vať. De­fi­ní­cia pri­vi­lé­gií by správ­ne ma­la byť pod­chy­te­ná aj v inter­nom pred­pi­se (štan­dar­de), kto­rý je sú­čas­ťou bez­peč­nos­tnej do­ku­men­tá­cie. Pre rôz­ne sys­té­my a plat­for­my exis­tu­jú úč­ty, sku­pi­ny ale­bo ob­jek­ty, kto­ré sa ty­pic­ky (všeo­bec­ne) po­va­žu­jú za pri­vi­le­go­va­né, čas­to však exis­tu­jú aj ďal­šie, za­de­fi­no­va­né špe­ci­fic­ky pre pot­re­by da­nej or­ga­ni­zá­cie.

S de­fi­ní­ciou pri­vi­le­go­va­ných prís­tu­pov úz­ko sú­vi­sí aj de­fi­no­va­nie vlas­tní­ka ta­kých­to prís­tu­pov.

Ok­rem evi­den­cie pri­vi­le­go­va­ných prís­tu­pov a ich vlas­tní­kov vo for­me do­ku­men­tu ale­bo zoz­na­mu je dob­ré mať tú­to in­for­má­ciu za­zna­če­nú aj pria­mo v sys­té­moch, kde sa ob­jek­ty vy­tvá­ra­jú, resp. v sys­té­me na sprá­vu (pri­vi­le­go­va­ných) prís­tu­pov.


« prvá strana « predchádzajúca strana ďalšia strana » posledná strana »  

 
 

24 hodín

týždeň

mesiac

Najnovšie články

In­for­mač­ná bez­peč­nosť: Geog­ra­fic­ky dis­tri­buo­va­ná ochra­na dát
Ako minimalizovať výpadok IT služieb a stratu dát v dôsledku nepriaznivých udalostí. Zatiaľ čo v predošlej dekáde stačilo chrániť pred výpadkom niektoré aplikácie.  čítať »
 
Pla­te­ná rek­la­ma vs. op­ti­ma­li­zá­cia SEO – vý­ho­dy, ne­ga­tí­va, mož­nos­ti
Špecialisti na SEO tvrdia, že správnou optimalizáciou webu máte šancu získať oveľa viac ako platenou reklamou. Naproti tomu experti na platenú reklamu argumentujú dosahovaním rýchlych a merateľných výsledkov. čítať »
 
Ar­chi­tekt vs Pro­jek­to­vý ma­na­žér - spo­jen­ci, či ne­pria­te­lia?
Tieto roly existujú v každom väčšom projekte, ale napriek tomu ich spolupráca často neprebieha tak hladko ako by sa očakávalo. Je dôvod v samotných rolách, alebo leží úplne inde? čítať »
 
Ap­pli­ca­tion De­li­ve­ry – efek­tív­na ochra­na pro­ti hac­ke­rom a op­ti­ma­li­zá­cia vý­ko­nu slu­žieb
Sú vaše webové služby chránené proti hackerom? Programátori často urobia chyby, ktoré dokážu útočníci zneužiť.   čítať »
 
Cloud com­pu­ting: Oča­ká­va­nia a reali­ta, preh­ľad pos­ky­to­va­te­ľov (Ama­zon, Goog­le, IBM, Mic­ro­soft)
Cloud computing, technológia predstavujúca model zdieľania hardvérových zdrojov pomocou virtualizácie a automatizácie, v súčasnosti naberá rýchlosť pri globálnom rozširovaní sa do celého spektra sektorov poskytujúcich obrovské množstvo služieb. čítať »
 
Dá­ta nie sú len ved­ľaj­ším pro­duk­tom pre­vádz­ky IS
Na otázku, ako stručne hodnotíte informačný systém vašej organizácie, by sme dostali mnoho rôznych odpovedí. čítať »
 
BYOD pod­po­ru­je ino­vač­né ini­cia­tí­vy ta­len­to­va­ných za­mes­tnan­cov
Jeden z charakteristických atribútov trendu BYOD je možnosť vynútenia technologického pokroku v IT podpore biznisu „zdola", najčastejšie zo strany mladších používateľov. čítať »
 
Li­cen­čnú čis­to­tu je ťaž­ké us­trá­žiť
Pre licenčného manažéra je znalosť aktuálnych licenčných podmienok od dvoch až troch výrobcov softvéru na všetok využívaný softvér v spoločnosti nedosiahnuteľná méta. čítať »
 
 
 
  Zdieľaj cez Facebook Zdieľaj cez Google+ Zdieľaj cez Twitter Zdieľaj cez LinkedIn Správy z RSS Správy na smartfóne Správy cez newsletter