Избыточные права доступа к данным

Избыточные права доступа к данным — это привилегии в области работы с конфиденциальными сведениями, которые превышают объем полномочий, необходимый сотруднику для выполнения его должностных обязанностей. Корпоративные информационные системы обеспечивают работникам возможность незамедлительно получать все нужные данные, существенно ускоряя и упрощая производственный процесс, позволяют организовать и координировать деятельность исполнителей, разделенных стенами и даже многокилометровыми расстояниями. Однако, чрезмерно широкий доступ к информации является серьезной угрозой, открывая возможности для злоупотреблений и умышленных утечек.

Имея полный доступ ко всем корпоративным системам, сотрудник может осуществить незаконные транзакции, скопировать клиентские базы данных, использовать непубличные отчеты для инсайдерской торговли, раскрывать информацию о любых нарушениях в работе компании журналистам для создания негативного имиджа и подрыва репутации.

Данные могут обладать огромной ценностью, и чем она выше, тем более узкий круг лиц должен быть к ним допущен, чтобы ущерб от потери работы и репутации превышал возможную выгоду от злоупотребления правами доступа. Когда такие права есть у множества сотрудников со скромным окладом, вероятность утечки многократно возрастает.

Классификация избыточных прав доступа к данным

Избыточные права пользователей можно разделить на несколько категорий:

1. Избыточные права на ознакомление с информацией. Базы данных, коммерческие секреты и технические ноу-хау, корпоративная и внешняя переписка, внутренние отчеты и результаты аудита могут представлять огромную ценность для конкурентов и грозить компании многомиллионным ущербом. При невысоком окладе продажа такой информации позволит сотруднику заработать больше, чем за несколько лет честного труда, и единственный способ снизить риск утечки — ограничить круг лиц, допущенных к закрытым данным.
2. Избыточные права на изменение информации. При их наличии пользователь может исказить, подделать или даже уничтожить важные документы и другие файлы, создавая компании серьезные проблемы.
3. Избыточные права на создание новых пользователей и предоставление доступа к данным. Возможность бесконтрольно регистрировать учетные записи (особенно — без привязки к реальным сотрудникам) или повышать привилегии позволяет злоумышленнику открывать доступ ко внутрикорпоративной информации заинтересованным посторонним лицам либо оставлять самому себе тайные ходы на случай увольнения. Даже если его собственный аккаунт будет удален из системы, другие созданные им учетные записи сохранятся.
4. Избыточные права на установку и модификацию программного обеспечения, изменение настроек системы. Это — наиболее опасный вид избыточных прав, поскольку он открывает широкие возможности для внедрения опасного ПО путем запуска зараженных приложений, особенно если у злоумышленника есть и возможность временно отключить антивирус.

Какие избыточные права доступа к данным опасны

Хотя объектами интереса нечистоплотных сотрудников могут стать любые данные, некоторые сведения представляют особый интерес. Перечислим их далее.

• Финансовые документы, в особенности — номера и коды доступа к счетам. Легкие деньги всегда притягивают мошенников, а возможность украсть большую сумму нередко перевешивает риск разоблачения.
• Базы данных корпоративных и частных клиентов. Первые будут представлять огромную ценность для конкурентов, которые смогут переманивать контрагентов, предлагая им более выгодные условия. Информацию о частных клиентах (электронная почта, телефоны, иногда — домашние адреса и паспортные данные) охотно покупают организаторы рекламных рассылок и другой сомнительной деятельности.
• Конфиденциальная переписка с потенциальными клиентами. Эти сведения опять же интересны конкурентам: зная ход деловых переговоров, они могут должным образом изменять собственные предложения.
• Ноу-хау. Уникальная технология приносит огромные деньги, но рано или поздно ее кто-нибудь скопирует. Украденные чертежи, электронные схемы, химические формулы и другие сведения могут сократить время воспроизведения технологии в десятки раз.
• Информация о внутренних конфликтах и нарушениях. Большинство компаний предпочитает решать такие проблемы тихо, без лишнего шума, однако журналисты и конкуренты всегда рады подобным сведениям. При весьма серьезных нарушениях заинтересоваться информацией могут также регулирующие и правоохранительные органы.

Причины избыточных прав доступа к данным

Получить избыточные права сотрудник может несколькими способами.

Первый, наиболее простой и распространенный, — плохое разграничение прав или полное отсутствие ограничений, когда все сотрудники отдела, подразделения или даже компании целиком имеют доступ к любым данным. Разделение прав доступа не осуществляется потому, что «все свои», и к тому же введение ограничений неизбежно затруднит и усложнит работу. Не желая менять то, что работает, руководство реагирует лишь тогда, когда утечка информации создает серьезные проблемы.

Другой вариант — расширение либо реорганизация компании. При слиянии двух отделов их сотрудники получают доступ к данным обоих подразделений; при выделении новых департаментов и филиалов доступ к общим папкам и директориям также сохраняется за всеми работниками.

Аналогичным образом происходит получение избыточных прав при смене должности. Переходя в другой отдел, сотрудник приобретает доступ ко всем его данным, сохраняя при этом и прежние привилегии. При регулярных внутренних перемещениях он может накопить полномочия, многократно превышающие нужные.

Наконец, избыточный доступ можно получить посредством кражи чужого пароля или при помощи методов социальной инженерии. Приятельские отношения вкупе с несерьезным отношением некоторых сотрудников к вопросам информационной безопасности делают задачу злоумышленника весьма легкой.

Как избежать проблемы избыточных прав доступа к данным

Для разделения доступа к конфиденциальным сведениям имеет смысл использовать системы управления доступом (IAM / IdM). Целесообразно также проводить регулярный аудит операций с данными и привилегий, которыми пользуются сотрудники. Если некоторые разделы используются крайне редко или не используются вообще, то данные права для работы необязательны, и их лучше отключить.

Любые попытки запроса закрытой для пользователя информации (равно как и генерация ошибочных запросов) должны регистрироваться, а при большом их числе со стороны одного работника стоит провести дополнительную проверку.

Особое внимание необходимо уделить вопросам использования сложных паролей; следует также убедиться в том, что вероятность их кражи минимальна.

Частичная избыточность в правах доступа почти неизбежна: прописывать отдельные полномочия для каждого сотрудника нецелесообразно, а любая попытка категоризации приведет к наличию привилегий, которые нужны одному работнику, но являются лишними для другого. Однако, четкая организация работы и распределение полномочий позволят свести подобную избыточность (а вместе с ней — и риск утечки информации) к минимуму.

При каждой реорганизации, при слияниях старых отделов и выделении новых, а также при переводах на другую должность необходимо переопределять уровень доступа соответствующих сотрудников.