Kontrola dostępu do systemu niejawnego

Uprawnienia w systemie niejawnym są obszarem, w którym najłatwiej o cichy rozjazd. Nikt nie nadaje ich lekkomyślnie, ale też nikt nie pamięta, żeby je odebrać.

Warunki dostępu zależą od klauzuli

To rozróżnienie bywa pomijane, a przesądza o tym, kogo w ogóle wolno dopuścić do systemu. Wynika z art. 21 ustawy o ochronie informacji niejawnych.

Przy klauzuli „poufne” i wyższej potrzebne są dwie rzeczy: poświadczenie bezpieczeństwa odpowiadające klauzuli oraz przeszkolenie z zakresu ochrony informacji niejawnych.

Przy klauzuli „zastrzeżone” poświadczenie nie jest wymagane. Wystarczy pisemne upoważnienie kierownika jednostki organizacyjnej, przy czym ustawa zastrzega, że upoważnienia udziela się osobie, która poświadczenia nie posiada. Kto ma już poświadczenie, drugiego dokumentu nie potrzebuje. Przeszkolenie pozostaje obowiązkowe w obu wariantach.

Do tego, niezależnie od klauzuli, dochodzi zasada wiedzy koniecznej: uprawnienie do klauzuli nie oznacza uprawnienia do wszystkiego, co tę klauzulę ma. Dostęp otrzymuje osoba, której jest on niezbędny do wykonywania zadań.

Ostatni warunek jest najtrudniejszy, bo dwa pierwsze wynikają z dokumentu, a on z oceny.

Rozliczalność

System ma pozwalać na ustalenie, kto wykonał daną czynność. To wymaga jednej rzeczy, która w praktyce bywa naruszana najczęściej: konto należy do osoby, nie do stanowiska pracy.

Konto współdzielone przez zmianę albo przez zespół znosi rozliczalność całkowicie. Po zdarzeniu nie da się ustalić, kto siedział przy klawiaturze, a to jest dokładnie to pytanie, które pada po incydencie.

Ta sama zasada dotyczy kont serwisowych i administracyjnych.

Rozdzielenie ról

Administrator systemu i inspektor bezpieczeństwa teleinformatycznego to dwie różne role i nie powinny być łączone w jednej osobie.

Powód jest prosty: administrator wykonuje czynności w systemie, inspektor je kontroluje. Połączenie tworzy sytuację, w której ta sama osoba działa i sama siebie sprawdza.

W małych jednostkach bywa to trudne organizacyjnie, ale rozwiązaniem jest wskazanie kontrolującego spoza komórki, a nie rezygnacja z podziału.

Cykl życia uprawnienia

Nadanie. Na wniosek, z podaniem uzasadnienia wynikającego z zakresu zadań. Wniosek zostaje w dokumentacji.

Przegląd. Okresowe sprawdzenie, czy wszystkie aktywne konta mają nadal uzasadnienie. Przegląd raz na pół roku jest rozsądnym minimum.

Zmiana. Zmiana stanowiska nie oznacza automatycznego zachowania uprawnień. Nowe zadania to nowy zakres wiedzy koniecznej.

Odebranie. Przy odejściu, zmianie stanowiska, zakończeniu projektu albo utracie poświadczenia. To jest moment, o którym zapomina się najczęściej.

Warto powiązać odebranie uprawnień z procesem kadrowym. Konto powinno przestać działać w tym samym dniu, w którym osoba przestaje pracować, a nie wtedy, gdy ktoś sobie o tym przypomni przy przeglądzie.

Hasła i uwierzytelnianie

Zasady dotyczące uwierzytelniania należą do SWB jako element aspektów budowy systemu, a szczegółowe czynności do PBE.

Trzy rzeczy warto rozstrzygnąć wprost: sposób przekazania danych uwierzytelniających przy zakładaniu konta, tryb postępowania przy podejrzeniu ujawnienia hasła oraz zasady blokowania konta po nieudanych próbach.

Zapisywanie haseł na kartce przy stanowisku jest klasykiem, który procedura powinna wykluczać przez sensowne rozwiązanie, a nie samym zakazem.

Rejestrowanie zdarzeń

System powinien rejestrować zdarzenia istotne dla bezpieczeństwa: logowania i próby nieudane, zmiany uprawnień, operacje na nośnikach.

Sam rejestr nie wystarczy. Musi być ktoś, kto go przegląda, i musi to wynikać z procedury. Rejestr, do którego nikt nie zagląda, jest przydatny dopiero po incydencie, a więc za późno.

Zmiana uprawnień to zmiana w systemie

Art. 49 ust. 4 ustawy o ochronie informacji niejawnych wiąże jakąkolwiek zmianę w systemie z przeprowadzeniem procesu szacowania ryzyka.

Dołożenie nowej grupy użytkowników albo rozszerzenie uprawnień istniejącej grupy mieści się w tym pojęciu. Nie oznacza to pełnej analizy przy każdym nowym pracowniku, ale oznacza, że zmiana modelu uprawnień nie jest czynnością czysto techniczną.

Podsumowanie

Kontrola dostępu opiera się na trzech warunkach, z których najtrudniejszy jest ostatni, oraz na jednej zasadzie technicznej: konto należy do osoby. Największym źródłem problemów nie jest nadawanie uprawnień, tylko ich nieodbieranie.

Chcecie przejrzeć uprawnienia w akredytowanym systemie? Napiszcie do nas.