Kad pazūd perimetrs

 

Lietojot terminu ugunsmūris, parasti ar to saprotam sistēmu, kas nodrošina organizācijas datortīkla perimetra aizsardzību un apņem sargājamo teritoriju ar virtuālu žogu līdzīgi kā valnis cietoksni, neļaujot sliktajiem zēniem tajā iekļūt.

 

Galvenais apdraudējums – paši darbinieki

Tomēr mūsdienās, attīstoties lietotāju attālinātās piekļuves tehnoloģijām, perimetrs ir piedzīvojis nopietnas pārmaiņas. Pirms gadiem desmit attālināta piekļuve visbiežāk nozīmēja iezvanīšanos tīklā ar modema palīdzību, kas pēc būtības nozīmēja, ka savienojums paliek cietoksnī. Pirms pāris gadiem ar to parasti saprata VPN (Virtual Private Network), kas virtuāli paplašina tīkla perimetru, lai ietvertu tajā no mājām strādājošu darbinieku. Turpretī pašlaik organizācijas korporatīvajam tīklam cilvēki pieslēdzas, lietojot visdažādākās ierīces no jebkuras vietas, un šīs vietas nereti nebūt nav drošas.

Gala iekārtas var būt kolektīvi lietots dators pašā biroja ēkā, dažāda veida bezvadu pieslēgumi, sākot ar plaukstdatoriem un beidzot ar piezīmjdatoriem, kā arī lietotāji ar attālinātu piekļuvi no mājām, interneta kafejnīcām utt. Atšķiras ne tikai iekārtas, piekļuves veidi un ceļi, bet arī lietotāju paradumi. Piemēram, mobilais lietotājs universitātes teritorijā izmanto Wi-Fi tīklu, bet darbinieks, kurš komandējuma laikā laiku pa laikam pieslēdzas uzņēmuma tīklam, var lietot GPRS vai kādu citu tehnoloģiju, ko piedāvā mobilo tālruņu operatori.

Mūsdienu apstākļos perimetrs izzūd, tā aizsardzības vietā IT administratoriem ir jārisina lietotāju identifikācijas un piekļuves kontroles jautājumi. Diemžēl lietotāju identitātes pārvalde kā infrastruktūras serviss parasti ir izveidots katrai IT sistēmai atsevišķi, un lietotāju administrāciju manuāli veic administratoru grupa. Šāda pieeja rada virkni problēmu, piemēram, augstas operatīvās izmaksas, audita grūtības, kā arī daudzus citus sarežģījumus, kas noved pie informācijas drošības apdraudējuma.

Mūsdienās IT sistēmas daudz lielākā mērā tiek apdraudētas no iekšienes; hakeri un datorvīrusi tās apdraud mazāk, nekā pirmajā brīdī varētu likties. Pēc industrijas analītiķu datiem galvenais informācijas drošības apdraudējuma avots ir paši uzņēmuma darbinieki. 71 procents drošības incidentu ir tieši saistīti ar uzņēmuma darbinieku aktivitātēm, bet 55 procenti incidentu rodas darbinieku kļūdu rezultātā. Ieviešot organizācijās drošības politikas un procedūras, ir iespējams pazemināt apdraudējuma riska pakāpi, tomēr tās nesamazina cilvēcisko kļūdu risku. Informācijas drošības apdraudējumu var samazināt, izmantojot jaunākās tehnoloģijas lietotāju identifikācijā un piekļuves kontrolē.

 

Identitātes pārvaldes sistēma

Identitātes pārvaldes sistēma (IPS) ir kļuvusi akūti nepieciešama daudzām organizācijām, turklāt daudzas no tām pašas to vēl skaidri neapzinās. Ar IPS iespējams centralizēti kontrolēt un vadīt darbinieku, klientu un partneru piekļuvi visiem organizācijas IT resursiem atbilstoši organizācijas drošības politikai. Tas viss ir īpaši svarīgi mūsdienu pasaulē, kura cieš no identitātes zādzībām un neatļautas personīgās informācijas publiskošanas.

Kas tad īsti ir lietotāju identitātes pārvaldes sistēma? Būtībā tas ir process, kura mērķis ir atpazīt un pārraudzīt lietotājus un nodrošināt tiem pieeju nepieciešamajiem resursiem. Identitātes pārvaldes sistēma automatizē šīs funkcijas, tādējādi samazinot drošības riskus, kas var rasties cilvēka kļūdu rezultātā.

IPS ir trīs pamatsastāvdaļas.

Identitātes dzīves cikla pārvalde (Identity lifecycle management), kas nodrošina lietotāju pašapkalpošanās funkcijas, piemēram, aizmirstas paroles atjaunošanu, resursu pieprasījumu apstrādi, lietotāja ieviešanu un resursu piešķiršanu (user provisioning).

Identitātes kontrole (Identity control), kas ietver piekļuves un privātās informācijas kontroli (Access and privacy control), realizē Single Sign-on (SSO) un audita nodrošinājumu.

Identitātes bāze (Identity foundation), kas ietver direktoriju integrāciju un darbplūsmu (workflow) mehānismus.

IPS projektiem parasti ir divi mērķi:

nodrošināt lietotāju piekļuves kontroli (sesiju pārvaldi, autorizāciju, autentifikāciju, utt.)

un lietotāja dzīves cikla pārvaldi (lietotāja administrācija, ieviešana, utt.).

IBM Tivoli Identity Manager (TIM) pamatā paredzēts lietotāja dzīves cikla vadībai, bet IBM Tivoli Access Manager (TAM) - sesiju vadībai. TIM nodarbojas ar identitātes un piekļuves procesa pārvaldi no paša tā sākuma. TIM ir saistīts ar citiem uzņēmuma informācijas avotiem, piemēram, personāldaļas (HR) datubāzi vai direktorijām. Tas ļauj iegūt pilnīgu informāciju par darbinieku: paaugstinājumiem, ieņemamā amata izmaiņām, darba attiecību izbeigšanu utt. Šādi lietotāja identitāte tiek pārvaldīta visā procesa garumā, nodrošinot pilnīgu situācijas kontroli. Integrēta pieeja identitātes un piekļuves pārvaldei ļauj izslēgt tādas situācijas, ka darbinieks pēc darba attiecību beigām vēl var piekļūt uzņēmuma resursiem un iegūt konfidenciālu informāciju, kura viņam vairs nedrīkstētu būt pieejama.

 

Lieliskā drošības politika ir jāīsteno

Uzņēmuma vadība ir atbildīga par informācijas drošību, tāpēc organizācijā ir jābūt izstrādātai drošības politikai. Nereti tiek izvēlēta tāda drošības politika, kas tik lielā mērā ierobežo piekļuvi informācijai, ka organizācijas mērķu sasniegšana kļūst apgrūtināta vai pat neiespējama. Šāda drošības politika parasti tiek ignorēta. Drošības politikai ir jābūt līdzsvarā ar organizācijas mērķiem un riskiem, kas iepriekš rūpīgi jāanalizē un jānovērtē. Ne mazāk svarīgi ir pieņemto politiku ievērot, jo daudzām organizācijām ir lieliskas drošības politikas, taču trūkst mehānismu, kas kontrolētu, lai tās tiktu ievērotas. Lai nodrošinātu drošības politikas ievērošanu, var izmantot Tivoli Identity Manager.

Lai automatizētu lietotāju ieviešanu, risinājumam vajag drošu savienojumu ar pārvaldāmajām sistēmām. Saikni starp Tivoli Identity Manager un pārvaldāmajām sistēmām nodrošina adapteri, kas pārtulko TIM komandas pārvaldāmajai sistēmai saprotamā valodā. Ja kādai sistēmai, piemēram, specifiskai aplikācijai, nav adaptera, tāds ir jāizstrādā vai arī sistēmu administratoram ir jāveic atbilstošās izmaiņas manuāli.

TIM ir izstrādāti adapteri praktiski visām populārajām IT sistēmām un platformām. Komunikācija starp TIM un pārvaldāmo sistēmu ir divvirzienu, jo bieži ir svarīgi ņemt vērā izmaiņas, kuras tiek veiktas pārvaldāmajā sistēmā. Šādas izmaiņas TIM dokumentē un pārbauda to atbilstību drošības politikai. Izejot no atbilstības, TIM pieņem lēmumu vai nu realizēt izmaiņu, vai atjaunot sistēmu sākotnējā stāvoklī.

Nākamais svarīgais Tivoli Identity Manager aspekts ir paroļu pārvalde, kas ir mehānisms paroļu kvalitātes un maiņas nodrošināšanai. Paroļu pārvalde ļauj izvairīties no riska, kas rodas, mēģinot atcerēties daudzas paroles no dažādām sistēmām, – lietotāji tās nereti pieraksta un atstāj pieejamās vietās. TIM ļauj atjaunot aizmirstās vai nozaudētās paroles, neiesaistot palīdzības dienestu. Izmantojot pašapkalpošanās servisu WEB bāzētā sistēmā, TIM lietotājiem ir iespējams pēc autorizācijas mainīt un sinhronizēt visas savas paroles. Tas ievērojami atvieglina palīdzības dienestu darbu.

 

Piekļuves tiesību kontrole

Viena no Tivoli Identity Manager pamatfunkcijām ir kontrolēt, kādas piekļuves tiesības ir katram lietotājam. Tas nozīmē ne vien kontrolēt piekļuvi sensitīvām sistēmām, bet arī parādīt visus tos kontus, kuriem nav nepieciešamās piekļuves autorizācijas vai arī pēc tādas nav vajadzības. Šādi neatbilstoši konti ir viens no lielākajiem apdraudējumiem organizāciju drošībai, jo tie ir aktīvi, tātad tos nevar atklāt ar tradicionāliem līdzekļiem.

Bezsaimnieku konti, bieži saukti arī par mirušajām dvēselēm, ir tādi, kuriem neatbilst neviens likumīgs lietotājs. Drošību apdraud arī nepareizi noformēti konti, kuriem ir lietotāji, bet piekļuves tiesības nav pamatotas (piemēram, nav ieviestas nepieciešamās izmaiņas pēc amata maiņas). Spēja kontrolēt bezsaimnieku un nepareizi noformētos kontus prasa, lai lietotāju ieviešanas sistēma būtu pastāvīgi saslēgta ar ticamu lietotāju informācijas avotu, kas parasti ir HR datu bāze.

Piekļuves pieprasījumu apstrādes procesu automatizācija ir viens no pamatlīdzekļiem, kas nodrošina ātru un precīzu lietotāju un piekļuves tiesību izmaiņu īstenošanu. Apstiprinājumu procesu realizē speciālas darbplūsmas, kas, balstoties uz organizācijas politiku, pirms to izpildes nosaka nepieciešamību apstiprināt pieprasītās izmaiņas. Daudzas organizācijas šiem mērķiem joprojām izmanto drukātus dokumentus vai e-pastu, kas dažkārt stipri palēnina procesu. Pieprasījumi var gulēt pastkastītēs pat mēnešiem ilgi. Tivoli Identity Manager turpretī nekavējoties virza pieprasījumu pareizam adresātam un pēc nepieciešamības to pāradresē vai arī nodrošina tā izpildi.

Visam lietotāju tiesību izmaiņu procesam ir jābūt auditējamam, sākot no tiesību piešķiršanas pieprasījumiem līdz to ieviešanai. Tivoli Identity Manager nodrošina pastāvīgu šā procesa kontroli un ļauj jebkurā laikā ģenerēt auditam nepieciešamos pārskatus.

Vajadzībai atbilstošas piekļuves kontroles (Role Based Access Control jeb RBAC) metode nodrošina tiesību piešķiršanu atbilstoši darbinieka lomai organizācijā. RBAC ļauj automatizēt liela lietotāju skaita piekļuvi dažādiem resursiem. RBAC nodrošina arī tiesību piešķiršanu, atsaukšanu un uzraudzību. TIM atbalsta gan lietotāju dalību grupās, gan noteiktu lomu izpildi.

Tivoli Identity Manager risinājums aptver gan biznesa procedūru, gan tehnisko (drošības apakšsistēmai specifisko) funkcionalitāti. Tā ieviešana nozīmē TIM programmatūras integrāciju ar biznesa procedūrām. Dažkārt tas var nozīmēt arī dažu biznesa procesu pārstrādi (re-engineering). Lai sekmīgi īstenotu šādu projektu, ir nepieciešamas gan tehniskas (produktu) zināšanas, gan biznesa konsultanta prasmes projekta definīcijas un izstrādes fāzēs. Šī iemesla dēļ IBM Identity Management Services projekta grupā tiek iesaistīti gan speciālisti no Global Technology Services, gan Global Consulting Services grupām. IBM realizē IPS projektus klientiem arī Baltijā, tai skaitā Latvijā.

IT tirgus pieprasījums pēc identitātes pārvaldes sistēmām, kas orientētas uz lietotāju, strauji aug. Industrijas analītiķi no IDC prognozē, ka šī tirgus apjoms augs no 12 miljardiem ASV dolāru 2006. gadā līdz 20 miljardiem 2009. gadā. Tātad IPS kļūs par vispieprasītāko drošības risinājumu sastāvdaļu.

Mārtiņš GRANTS,

IBM Latvija ITS Projektu grupas vadītājs

 

 

Par IBM

IBM ir pasaulē lielākā informāciju tehnoloģiju kompānija ar 80 gadu pieredzi biznesa inovācijā. Apvienojot IBM un IBM biznesa partneru resursus, korporācija piedāvā plašu pakalpojumu, risinājumu un tehnoloģiju spektru, lai ļautu klientiem pilnībā izmantot jaunās e-biznesa ēras priekšrocības. Vairāk informācijas par IBM meklējiet http://www.ibm.com.

---