Jak správně řídit přístup k datům

Chcete-li efektivně chránit svá data, musejí zásady řízení přístupu vaší organizace pokrývat tyto (i další) otázky.

Přinášíme vám zde průvodce k základům řízení přístupu: Vysvětlení, co řízení přístupu je, proč je důležité, které organizace ho potřebují nejvíce a jakým problémům mohou bezpečnostní profesionálové čelit při zavádění a údržbě.

Definice řízení přístupu

Na vysoké úrovni je řízení přístupu selektivním omezením přístupu k datům. Skládá se ze dvou hlavních komponent: autentizace a autorizace, jak popisuje Daniel Crowley, šéf výzkumu X-Force Red společnosti IBM, který se zaměřuje na zabezpečení dat.

Autentizace je metoda, která se používá k ověření, zda je dotyčný osobou, za kterou se vydává. Autentizace sama o sobě nestačí k ochraně dat, poznamenává Crowley. Potřebujeme další vrstvu, autorizaci, která určuje, zda má mít uživatel přístup k datům nebo právo provádět transakci, o niž se snaží.

Řízení přístupu pak znamená zaručit, že jsou uživatelé těmi, za koho se vydávají, a že jejich oprávnění odpovídají „tomu, co mají dělat“, vysvětluje Crowley.

Jak je to důležité?

Bez autentizace a autorizace neexistuje žádná bezpečnost dat, připomíná Crowley. „Při každém úniku dat patří řízení přístupu mezi první prošetřované zásady,“ poznamenává Ted Wagner, manažer zabezpečení informací ve společnosti SAP National Security Services.

„Ať už jde o neúmyslné vystavení citlivých dat, která nebyla správně zabezpečena koncovým uživatelem, nebo o únik jako v případě Equifax, kde došlo k vystavení citlivých dat prostřednictvím veřejného webového serveru obsahujícího softwarovou zranitelnost, vždy je řízení přístupu klíčovým prvkem. Pokud nedojde k jeho správné implementaci a údržbě, mohou být důsledky katastrofální,“ tvrdí Wagner.

Kdo to potřebuje?

Každá organizace, jejíž zaměstnanci se připojují k internetu – jinými slovy tedy v současné době každá organizace – potřebuje určitou úroveň řízení přístupu.

„Platí to zejména pro firmy se zaměstnanci, kteří pracují mimo kancelář a vyžadují přístup k podnikovým datovým zdrojům a službám,“ zdůrazňuje Avi Chesla, výkonný ředitel společnosti empow, jež se zaměřuje na kybernetickou bezpečnost.

Jinými slovy: Pokud by vaše data mohla mít jakoukoli hodnotu pro někoho, kdo nemá oprávnění k přístupu, potom vaše organizace potřebuje silné řízení přístupu, shrnuje Crowley.

Tady je pět klíčových aspektů pro vynucení řízení přístupu.

1. Potřeba trvalých zásad

Většina bezpečnostních profesionálů chápe, jak je řízení přístupu pro jejich organizaci kritické. Ne všichni se však shodnou na nejvhodnějším způsobu vynucování řízení přístupu, upozorňuje Chesla.

„Řízení přístupu vyžaduje vynucování trvalých zásad v dynamickém světě bez tradičních hranic,“ vysvětluje Chesla.

Většina z nás pracuje v hybridním prostředí, kde se data přesouvají ze serverů ve vlastní infrastruktuře nebo cloudu do kanceláří, domovů, hotelů, aut a kaváren pomocí otevřených přístupových bodů Wi-Fi, což může vynucování řízení přístupu ztěžovat.

„Riziko se zvětšuje i tím, že je přístup možný ze stále rostoucí řady různých druhů zařízení včetně počítačů, notebooků, chytrých telefonů, tabletů, chytrých reproduktorů a dalších zařízení internetu věcí (IoT), tvrdí Chesla.

„Tato různorodost způsobuje, že je skutečně problém vytvořit a zabezpečit trvalost zásad přístupu.“

2. Rozhodování o nejvhodnějším modelu řízení

Organizace musejí určit vhodný model řízení přístupu, který by měl být přijat na základě typu a citlivosti zpracovávaných dat, doporučuje Wagner.

Starší modely přístupu zahrnují nezávazné řízení přístupu (DAC) a povinné řízení přístupu (MAC), popisuje Wagner. U modelů DAC rozhoduje o přístupu vlastník dat. DAC je prostředek přidělování přístupových práv na základě pravidel, která stanoví uživatelé.

Přístup MAC byl vyvinut pomocí modelu neumožňujícího volbu, v rámci kterého se lidem poskytuje přístup na základě povolení přístupu k informacím. MAC je zásada, v jejímž rámci se přístupová práva přiřazují na základě regulace centrální autoritou.

V současné době je nejčastějším modelem řízení přístupu na základě rolí (RBAC), popisuje Wagner. RBAC přiděluje přístup na základě rolí uživatele a implementuje klíčové bezpečnostní principy, jako jsou například „minimum oprávnění“ a „separace oprávnění“.

Ten, kdo se pokouší o přístup k informacím, proto může přistupovat jen k datům, která se považují za potřebná pro jeho roli.

Nejnovější model je známý jako řízení přístupu na základě atributů (ABAC), v rámci kterého je každému zdroji a uživateli přiřazena řada atributů, vysvětluje Wagner. „V této dynamické metodě se používá při rozhodování o přístupu k prostředku porovnání atributů uživatele včetně času dne, pozice a polohy.“

Je nezbytné, aby na základě citlivosti dat a provozních požadavků na přístup k datům organizace rozhodly, který model je pro ně nejvhodnější. Zejména podniky, jež zpracovávají osobní citlivé údaje (PII) a další typy těchto informací, musejí zajistit, aby bylo řízení přístupu základní funkcí jejich bezpečnostní architektury, prohlašuje Wagner.

3. Pro řízení přístupu možná potřebujete více řešení

Řada technologií dokáže podporovat různé modely řízení přístupu. V některých případech může být potřebné integrovat pro dosažení požadované úrovně řízení přístupu technologií několik, upozorňuje Wagner.

„Realita dat rozprostřených mezi poskytovateli cloudových služeb a aplikací SaaS a připojených k tradiční síti diktuje nutnost návrhu bezpečného řešení,“ poznamenává.

„Existuje více dodavatelů, kteří poskytují řešení správy identit a řízení oprávnění, jež lze integrovat do tradičního řešení Active Directory od Microsoftu. Vícefaktorová autentizace může být součástí dalšího zvýšení zabezpečení.“

4. Autorizace je pro některé organizace stále Achillovou patou

V současné době už většina podniků zvládá autentizaci, zejména s rostoucím používáním vícefaktorové autentizace a autentizace na základě biometrických vlastností (jako je rozpoznávání obličeje nebo duhovky), uvádí Crowley.

V uplynulých letech, když významné úniky dat vyústily v prodej ukradených přihlašovacích údajů včetně hesel na darkwebu, začali bezpečnostní profesionálové brát vícefaktorovou autentizaci vážněji, dodává.

Autorizace je stále oblastí, již bezpečnostní profesionálové někdy nezvládají dobře, tvrdí Crowley. Pro nováčky může být náročné stanovit a neustále sledovat, kdo získává přístup ke kterým zdrojům dat, jak by k nim měli mít přístup a za jakých podmínek by jim měl být přístup udělen.

Nekonzistentní nebo slabé autorizační protokoly však mohou vytvořit díry v zabezpečení, které je nutné co nejrychleji najít a opravit.

Když už se mluví o monitorování: Ať už vaše organizace zavede řízení přístupu jakkoli, musí ho neustále monitorovat, a to jak z hlediska dodržování podnikových bezpečnostních zásad, tak z hlediska provozního, aby bylo možné identifikovat potenciální bezpečnostní díry, prohlašuje Chesla.

„Měli byste pravidelně dělat kontrolu řízení, rizik a dodržování předpisů,“ doporučuje. „Je potřeba opakovaně vyhledávat zranitelnosti v každé aplikaci zajišťující funkce řízení přístupu a měli byste shromažďovat a monitorovat protokoly o každém přístupu, aby bylo možné odhalit porušení zásad.“

5. Vaše zásady řízení přístupu by měly umožňovat dynamické změny

Metody řízení přístupu byly v minulosti často statické. „V současnosti musí být přístup k síti dynamický, plynulý a musí podporovat práci s identitami a aplikacemi,“ upozorňuje Chesla.

Důmyslné zásady řízení přístupu lze nasadit dynamicky, aby odpovídaly vyvíjejícím se faktorům rizik a umožňovaly firmě, která by byla napadena, „izolovat příslušné zaměstnance a zdroje dat, tak aby se minimalizovaly škody“, vysvětluje. 

Podniky musejí zajistit, aby byly jejich technologie řízení přístupu „konzistentně podporovány v rámci využívaných cloudových služeb a aplikací a aby je bylo možné hladce migrovat do virtuálních prostředí, jako je například privátní cloud“, radí Chesla.

„Pravidla řízení přístupu se musejí měnit na základě faktoru rizik, což znamená, že organizace musejí nasadit vrstvy analýzy zabezpečení pomocí umělé inteligence a strojového učení, které budou bdít nad konfigurací sítě a zabezpečení.

Je také potřebné identifikovat hrozby v reálném čase a odpovídajícím způsobem automatizovat pravidla řízení přístupu.“

Tento příspěvek vyšel v Security Worldu 1/2018. Časopis (starší čísla i předplatné těch nadcházejících) si můžete objednat na adrese našeho vydavatelství.