I osa. Kui sind ei ole süsteemis, siis sind ei ole olemas – identiteedi ja juurdepääsude haldus

CYBERS 4. juuni 2019

Meie elektrooniline jalajälg sotsiaalmeedias võib rääkida väga palju meie hobide, pere, uskumuste ja grupilise kuuluvuse kohta. See on saanud nii loomulikuks osaks, et pigem tekitab võõristust ja küsimusi, kui inimese kohta ei ole sotsiaalmeedias võimalik isiklikku laadi infot leida.

Pilt oma iga söögikorra taldrikust või õhtusest tegevusest koos sõpradega on vast liigne infomüra, kuid mis on piisav jälg inimese tegevustest, et veenduda tema isikus (tegemist on inimesega, kelleks teda peame) ja jagada temaga infot või alustada suhtlust (anda talle juurdepääs oma infole).

Nende küsimustega infosüsteemides tegeleb identiteedi ja juurdepääsude haldus.

Nagu ka süsteemi kasutajana sisse logides tehakse 2 tegevust – autentimine (kellega on tegemist) ja autoriseerimine (mis talle on lubatud), nii peegeldab seda ka identiteedi ja juurdepääsude haldus, koosnedes 2 peamisest komponendist:

  • identiteedi haldus – süsteemile tehakse selgeks, et on defineeritud konto või isik süsteemis toimetamiseks ja mis olekus ta on (aktiivne töötaja, lahkunud teenuseosutaja, väline audiitor jms);
  • juurdepääsude haldus – süsteemile tehakse selgeks, mida konkreetsel kontol või isikul on lubatud süsteemis teha (õiguste taotlemine, inventuur, kõrgendatud õigused jms).

Mida kriitilisem on süsteem või suurem organisatsioon, seda keerulisem on ka identiteedi ja juurdepääsude haldus. Väike-ettevõtete puhul võib kuhugi maani hakkama saada tabelifailidega, keerukamas olukorras on hädavajalik automatiseeritus, integratsioon erinevate süsteemide vahel ja loomulikult logimine.

Kui organisatsioon hakkab mõtlema identiteedi ja juurdepääsude haldamise süsteemsuse peale, siis valdavalt juba teadvustatakse oma andmete tundlikkust ning nende vältimatut väärtust tegevuse jätkamisel. Parimal juhul ollakse proaktiivne varade kaitsmisel ja püütakse kahju ära hoida, halvemal juhul on toimunud süsteemi või kasutaja õiguste kuritarvitamine ning kahju on juba toimunud.

Arvutisse sisselogimisel isikliku (mitte jagatud) konto ja parooli kasutamine ja regulaarne vahetamine on elementaarne hügieen, kuid ei ole harv kui õiguste taotlemisel/määramisel võetakse näidiseks kolleeg ja tellitakse sarnased õigused ka endale.

Selle põhjus võib olla rollide ja õiguste kehv dokumentatsioon, keeruline ülesehitus või suutmatus mitmete õiguste haldamise süsteemi koosmõjust üle käia. Tagajärjeks võib olla veel suurem segadus ja põhjendamatud õigused, suurendades ohtu intsidentideks ja õiguste väärkasutuseks. Siis on sama vältimatu õiguste kuhjumine (privilege creep) kui tarkvara arenduses ulatuse kasv (scope creep).

Olukorras, kus erinevates süsteemides erinevate toimingute sooritamiseks on mitmeid kontosid ja paroole, võib tegevuse sooritaja tuvastamine olla keeruline. Võib juhtuda, et kasutajal on sama tegevuse sooritamist võimaldavaid õigusi mitu; oluliselt laiema ulatusega tegevusi võimaldavaid rolle kui tal reaalselt vaja; aegunud õigusi eelmisest ametikohast; mitu kasutajat nt neiupõlvenimega ja lese nimega jms.

Võimalusi identiteedi ja juurdepääsuõiguste haldamiseks on palju nagu kostüümilaos rekvisiite, aga mida teha, et igapäevane kontorielu ei oleks kostüümipidu, vaid iga kasutaja oleks ära tuntav oma näo järgi ja tema tegevused tema isikuga vaieldamatult seostatavad?

Selleks et segaduses korda luua, on vaja teha tööd, nagu ütleb termodünaamika II seadus.

Viimased postitused

26. sept. 2023

Mõistatuslik sumiseja – UVB-76

UVB-76 ehk the buzzer, on üks neist müsteeriumidest, mis on köitnud nii amatöörraadio entusiaste kui ka vandenõuteoreetikuid. Seekordses KüberCASTi saates on Saatejuhtidel Ronnie Jaanholdil ja Siim Pajusaarel külas Andrus Aaslaid – raadiosignaalide ja signaalianalüüsi entusiast, kes on hobikorras pühendanud aastaid UVB-76 ja sarnaste fenomenide uurimisele. Räägime fenomenist nimega UVB-76 mis oma olemuselt tundub lihtsalt sumisev raadiojaam kuid selle taga on peitumas palju muud.

Loe edasi
11. sept. 2023

Kes, mis ja miks on ISO 27001?

Saates räägitakse täpsemalt ISO 27001 standardist, selle vajalikkusest ning ka auditeerimisprotsessist. Selgeks saab see, et ISO 27001 sertifikaat on võimas tööriist infoturbe tagamiseks ja klientide usalduse suurendamiseks.

Loe edasi
28. aug. 2023

Tõus traditsioonilisest IT konverentsist tulevikku suunatud turvalisuse edendajani

Security Summit oli algupäraselt klassikaline IT konverents, mille peamiseks sihtgrupiks olid tehnilised spetsialistid. Konverentsi põhieesmärk on aga palju suurem – tõsta ühiskonna teadlikkust küberturvalisusest tervikuna. Seda mitte ainult IT-spetsialistidele, vaid kõigile, kes puutuvad kokku digitaalsete seadmete ja teenustega. Sel aastal on toimumas juba 14. Security Summit, olles suurem ja sisukam kui kunagi varem.

Loe edasi

Kas teil on probleeme küberkurjategijatega? Kas arvate, et olete ohus?

Pakume laiahaardelist valikut küberturvalisuse teenuseid, tooteid ja lahendusi. Vajaliku lahenduse paneme kokku vastavalt iga organisatsiooni vajadustele.