Почему контроль доступа играет жизненно важную роль в информационной безопасности

08.09.2021

Информационная безопасность относится к системам защиты конфиденциальных или личных данных. В наши дни большая часть этих данных находится в электронной форме, и контроль доступа играет огромную роль в их защите. В этой статье дается краткий обзор того, что такое контроль доступа, почему он так важен и почему вы должны использовать его как часть собственных усилий по обеспечению безопасности данных.

Определение контроля доступа

Контроль доступа - это тип безопасности, который регулирует, кто или что имеет доступ к определенным ресурсам, а также уровень контроля над этими ресурсами. Другими словами, кто к чему имеет доступ и что им разрешено с этим делать. Существует два типа контроля доступа: физический и логический.

Контроль физического доступа: как следует из названия, контролирует доступ людей к физическим объектам или активам, таким как здания, кампусы, комнаты или инструменты.

Логический контроль доступа: с другой стороны, контролирует доступ к электронным файлам, приложениям и данным, а также к компьютерным сетям.

В этой статье мы остановимся на последнем.

Почему контроль доступа так важен

Контроль доступа - такая полезная модель информационной безопасности, потому что она сводит к минимуму вероятность того, что конфиденциальные данные будут скомпрометированы. Контроль доступа использует комбинацию аутентификации и авторизации. Во-первых, он проверяет личность того, кто хочет получить доступ к определенному ресурсу. Во-вторых, он определяет, разрешен ли им доступ к указанному ресурсу, а затем, есть ли у них разрешения или привилегии для его изменения каким-либо образом, будь то чтение, редактирование или даже удаление.

Обычный пример - отправить кому-то ссылку на документ Google. Поскольку по умолчанию документ Google является частным, чтобы предоставить кому-либо доступ, вам необходимо создать специальную ссылку для общего доступа. Когда вы это сделаете, у вас есть возможность изменить элементы управления доступом, решив, какую ссылку вы хотите им отправить, выбрав, может ли кто-либо, у кого есть ссылка, просматривать, комментировать или редактировать документ напрямую.

В организациях с современной ИТ-средой контроль доступа выглядит примерно так, но в гораздо большем масштабе. Например, ИТ-отделы часто ограничивают, какие группы сотрудников имеют доступ к определенным файлам и права на их редактирование, а также контролируют IP-адреса, которые могут получить доступ к сети компании. Некоторые примеры систем логического контроля доступа включают имена пользователей и пароли; VPN; и приложения 2FA, которые предполагают отправку пользователям push-уведомлений или одноразового пароля.

При этом универсального подхода к контролю доступа не существует. Фактически, существует множество моделей на выбор, в зависимости от типа вашей организации.

Различные модели контроля доступа

Вот три наиболее часто используемых модели контроля доступа:

1. Контроль доступа на основе ролей (RBAC)

RBAC - один из наиболее широко используемых механизмов контроля доступа. Как следует из названия, доступ и разрешения предоставляются отдельным лицам или группам с предписанными ролями или определенными бизнес-функциями. При этом вам не нужно указывать разрешение для каждого человека в организации индивидуально. Например, при таком подходе вы можете сделать так, чтобы только администраторы и сотрудники отдела кадров имели доступ к записям клиентов, а другие группы - нет.

2. Дискреционный контроль доступа (DAC)

DAC - это тип управления доступом, при котором владелец файла или системы выбирает, кто имеет доступ (и какой доступ) к нему на индивидуальной основе. Другими словами, это на усмотрение владельца. DAC можно (но не всегда) использовать вместе с RBAC.

3. Обязательный контроль доступа (MAC)

MAC - это недискреционный тип управления доступом, при котором центральный орган безопасности контролирует доступ к ресурсам на основе классификации безопасности. В системе такого типа пользователь может не иметь права изменять файл или ресурс, даже если он технически является владельцем. Такая система обычно используется правительственными или военными организациями, которые имеют дело с сверхсекретной информацией.

Заворачивать

В наши дни безопасность - это гораздо больше, чем просто предоставление всем одного и того же пароля для входа в сеть или на веб-сайт. Не все в организации должны иметь одинаковый уровень доступа и контроля над электронными ресурсами и конфиденциальными данными. Должны быть реализованы механизмы авторизации и аутентификации, чтобы гарантировать, что только определенные пользователи имеют определенные разрешения для предотвращения нарушений безопасности и компрометации конфиденциальных данных.

Сергей Иващенко

08.09.2021

Подписывайтесь на наши социальные сети!