Шағын компанияда бір логин мен парольді бірнеше қызметкердің қатар пайдалануы жиі кездеседі. Барлық компьютерге бір есептік жазба, 1С-тегі ортақ пайдаланушы, CRM-ге ортақ пароль немесе бейнебақылау жүйесіне ортақ әкімшілік қол жеткізу — бір қарағанда ыңғайлы шешім болып көрінеді.
Қосымша аккаунттар ашудың, құқықтарды баптаудың және әр қызметкерге кіру тәртібін түсіндірудің қажеті жоқ. Бірақ мұндай уақыт үнемдеу ақпараттық қауіпсіздікке, пайдаланушылар әрекетін бақылауға және инциденттерді тергеуге байланысты мәселелерге әкелуі мүмкін.
Егер он қызметкер бір есептік жазбамен жұмыс істесе,
журналдағы орындалған операция туралы жазба
оны нақты кім жасағанын анықтауға әлі мүмкіндік бермейді. Жүйе нақты адамды емес,
ортақ аккаунтты ғана көреді.
Ортақ пароль мен ортақ есептік жазбаның айырмашылығы неде
Мұнда екі жағдайды ажырату маңызды.
Ортақ есептік жазба — бірнеше қызметкер бір логин мен парольді пайдаланады. Мысалы, барлық бухгалтер бағдарламаға «Бухгалтер» пайдаланушысы ретінде кіреді.
Әртүрлі пайдаланушыларда бірдей пароль — әр қызметкердің өз логині бар, бірақ парольдері бірдей. Егер осындай парольдердің бірі бөгде адамға белгілі болса, бірден бірнеше аккаунт қауіпке ұшырауы мүмкін.
Екі нұсқа да тәуекел тудырады, бірақ салдары әртүрлі. Ортақ есептік жазба болғанда құқықтарды бөлу және әрекетті кім жасағанын анықтау мүмкіндігі әсіресе нашарлайды.
Ортақ парольдер туғызатын бес мәселе
1. Әрекет авторын сенімді түрде анықтау мүмкін емес
Мысал келтірейік: компанияда бірнеше бухгалтер 1С-тегі бір есептік жазбаны пайдаланады.
Қызметкерлердің бірі маңызды құжатты кездейсоқ өзгертеді, ақпаратты өшіреді немесе операцияны қате жүргізеді. Тіркеу журналында ортақ пайдаланушы көрсетіледі.
Егер тиісті мәліметтер журналға жазылса, жүйелік әкімші операция уақытын, компьютерді немесе желілік қосылымды анықтай алады. Алайда нақты адамды сенімді түрде анықтау үшін бұл деректер әрдайым жеткілікті бола бермейді.
Жеке есептік жазбалар болғанда мұндай жағдайларды тергеу әлдеқайда оңай.
2. Бір пароль тым көп адамға қол жеткізу береді
Бір парольді неғұрлым көп адам білсе, оған нақты кімнің қол жеткізе алатынын бақылау соғұрлым қиын.
Оны браузерге сақтап қоюы, қағазға жазуы, мессенджермен жіберуі немесе жеке құрылғыда пайдалануы мүмкін.
Бір рет компрометация болса-ақ, ортақ парольді ауыстырып, оны бөгде адамдар пайдаланған-пайдаланбағанын тексеру қажеттілігі туындайды.
3. Қызметкердің жұмыстан шығуы мәселеге айналады
Жеке есептік жазбасы бар қызметкер жұмыстан кеткенде, әкімші дәл оның аккаунтын бұғаттап, белсенді сеанстарды аяқтап, берілген құқықтарды кері қайтара алады.
Ал егер адам ортақ парольдерді пайдаланса, жағдай күрделірек. Оның қандай комбинацияларды білгенін, олар қайда қолданылғанын және кім әлі де пайдаланып жүргенін анықтау қажет.
Бір ортақ пароль бірнеше жүйеде қатар қолданылса, жағдай әсіресе қолайсыз. Оны өзгерту тұтас бөлімнің жұмысына әсер етуі мүмкін.
4. Құқықтарды дұрыс бөлу мүмкін емес
Бөлім басшысына қаржылық есептерге, ал қатардағы қызметкерге тек жұмыс құжаттарына қол жеткізу қажет делік.
Екеуі бір есептік жазбаны пайдаланса, жүйе сол аккаунт ішінде оларға әртүрлі құқық бере алмайды.
Нәтижесінде не бәріне артық өкілеттік беруге, не кеңейтілген қол жеткізу шынымен қажет адамдардың мүмкіндігін шектеуге тура келеді.
5. Көпфакторлы аутентификация қолайсыздыққа айналады
Жеке аккаунттарда MFA қосымша растау тәсілін нақты пайдаланушымен байланыстыруға мүмкіндік береді.
Ортақ есептік жазба пайдаланылғанда сұрақ туындайды: растау кодтары кімнің телефонына келуі тиіс және кіруді кім растауға құқылы?
Егер қызметкерлер бір реттік кодтарды бір-біріне жібере бастаса, бұл қорғаныстың тиімділігін төмендетіп, қосымша тәуекел тудырады.
Екі факторлы аутентификация рұқсатсыз кіруді қиындатады,
бірақ ортақ идентификация мәселесін шешпейді.
Егер бірнеше адам бір аккаунтпен жұмыс істесе,
жүйе әлі де әр әрекеттің авторын нақты анықтай алмайды.
Ортақ есептік жазбалар қай жерде әсіресе қауіпті
Windows және серверлік инфрақұрылым
Ортақ жергілікті және домендік аккаунттар кірулерді бақылауды, файлдарға құқықтарды бөлуді және операциялық жүйедегі өзгерістерді тергеуді қиындатады.
Күнделікті жұмыс үшін бірнеше қызметкерге бір әкімшілік есептік жазба беру әсіресе қауіпті.
Егер серверде ортақ есептік жазбалар қолданылса, қосымша мына тексеруден өтуге болады: Windows Server қауіпсіздігін тексеру. Ол әкімшілік құқықтарды, қашықтан қол жеткізуді, журналдауды, қорғаныс БҚ-сын, желіаралық экранды және резервтік көшіруді тексеруге көмектеседі.
1С және бухгалтерлік жүйелер
Әртүрлі қызметкерлер құжаттар жасап, операциялар жүргізіп, анықтамалықтарды өзгертіп, есептілік қалыптастыра алады.
Ортақ есептік жазбамен жұмыс істегенде нақты әрекетті кім орындағанын анықтау қиындайды. Әр қызметкерге жеке пайдаланушы және оған қажет рөлдер берген дұрыс.
CRM және корпоративтік пошта
CRM-ге ортақ қол жеткізу клиент карточкаларындағы, мәмілелердегі және құжаттардағы өзгерістерді бақылауды қиындатуы мүмкін.
Ал бір пошта аккаунтын бірнеше адамның пайдалануы жіберілген хабарламаларды бақылауды және қол жеткізуді басқаруды қиындатады.
Бірнеше қызметкерге бір корпоративтік мекенжай қажет болса, пошта жүйесі мүмкіндік берсе, жеке тағайындалған құқықтары бар ортақ пошта жәшігін пайдалануға болады.
Бейнебақылау және желілік жабдық
Регистратордың, IP-камералардың, маршрутизатордың немесе желіаралық экранның ортақ әкімшілік паролі бірнеше адамға критикалық баптауларды өзгертуге мүмкіндік береді.
Егер жабдық жеке аккаунттарды қолдаса, оларды пайдаланып, өкілеттіктерді қызметкерлердің міндеттеріне сәйкес шектеу керек.
Қызметкерлердің қол жеткізуін қалай дұрыс ұйымдастыру керек
Шешім парольдерді шексіз ауыстыруда емес, есептік жазбалар мен қол жеткізу құқықтарын басқаруда.
Жеке аккаунттар
Әр қызметкер жеке есептік жазба алады. Оны басқа пайдаланушыларға әсер етпей бұғаттауға, тексеруге немесе өзгертуге болады.
Рөлдер бойынша бөлу
Құқықтар бәріне бірдей емес, орындайтын міндеттеріне сәйкес беріледі.
Мысалы, бухгалтерия қызметкерлеріне 1С-тегі тиісті рөлдерді, ал жүйелік әкімшілерге техникалық міндеттер үшін бөлек артықшылықты аккаунттарды тағайындауға болады.
Көпфакторлы аутентификация
Корпоративтік пошта, VPN, бұлттық сервистер және әкімшілік жүйелер үшін MFA қолдау көрсетілетін жерде оны қолданған жөн.
Критикалық жүйелер үшін фишингке төзімді тәсілдер, мысалы, дұрыс енгізілген қауіпсіздік кілттері мен passkeys қолайлырақ.
Корпоративтік пароль менеджері
Пароль менеджері бірегей тіркелгі деректерін қауіпсізірек сақтауға және уәкілетті қызметкерлерге қол жеткізу беруге мүмкіндік береді.
Бұл ретте қойманың өзіне қол жеткізу жеке түрде, оны кері қайтару және бақылау мүмкіндігімен берілуі тиіс.
Ал ортақ есептік жазба шынымен қажет болса ше?
Кейбір ескі бағдарламалар мен құрылғылар жеке аккаунттарды қолдамайды. Кейбір техникалық жүйелер де арнайы қызметтік есептік жазбаларды пайдаланады.
Мұндай жағдайда байланысты тәуекелдерді азайту қажет: қол жеткізе алатын адамдар шеңберін шектеу, құпияларды қорғалған түрде сақтау, пайдалануды есепке алу және қажет болғанда тіркелгі деректерін өзгерту.
Әкімшілік авариялық қол жеткізу үшін пайдаланылуы тіркелетін және тексерілетін бөлек бақыланатын аккаунт қарастыруға болады.
Бірнеше қызметкерге бір бумаға, ортақ пошта жәшігіне
немесе ақпараттық жүйеге олардың жеке аккаунттары арқылы
қол жеткізу беруге болады. Бұл бір парольді барлық пайдаланушыға бермей-ақ
бірлескен жұмысты сақтауға мүмкіндік береді.
Ортақ парольдерден жеке аккаунттарға қалай көшуге болады
Бүкіл инфрақұрылымды бір күнде өзгертудің қажеті жоқ. Көшуді кезең-кезеңімен ұйымдастыруға болады.
- Ортақ есептік жазбаларды түгендеп, олар қолданылатын жүйелерді анықтау.
- Қандай қызметкерлерге және қандай міндеттер үшін қол жеткізу шынымен қажет екенін анықтау.
- Жеке аккаунттар құрып, тиісті құқықтарды тағайындау.
- Қызметкерлердің ескі ортақ есептік жазбасыз қажетті операцияларды орындай алатынын тексеру.
- Ортақ парольдерді ауыстырып, қажетсіз сеанстарды кері қайтарып, пайдаланылмайтын аккаунттарды өшіру.
- Қолжетімді журналдауды қосып, берілген өкілеттіктерді мерзімді түрде тексеру.
Ортақ есептік жазбалардан бас тарту мүмкін емес жүйелер үшін оларды пайдалану мен бақылаудың бөлек тәртібін әзірлеген жөн.
Басшы мен жүйелік әкімшіге арналған чек-парақ
Әр қызметкердің жеке есептік жазбасы бар
Пайдаланушыларда қажетсіз әкімшілік өкілеттіктер жоқ
Ортақ есептік жазбалар анықталып, есепке алынған
Критикалық жүйелер үшін көпфакторлы аутентификация бапталған
Корпоративтік парольдер кәдімгі хабарламалар арқылы жіберілмейді
Маңызды пайдаланушы әрекеттері журналданады
Қызметкер жұмыстан кеткенде оның қол жеткізуі дер кезінде кері қайтарылады
Қызметтік және авариялық аккаунттар бөлек бақыланады
Қолданыстағы құқықтар мерзімді түрде тексеріледі
Жұмыс компьютерлері үшін қосымша мына тексеруден өтуге болады: жұмыс орнының қауіпсіздігін тексеру. Ол әкімшілік құқықтарды, Windows жаңартуларын, антивирустық қорғанысты, желіаралық экранды, MFA-ны, қашықтан қол жеткізуді және жұмыс деректерінің сақталуын бағалауға мүмкіндік береді.
Қорытынды
Ортақ пароль расында ыңғайлы болып көрінуі мүмкін, әсіресе шағын ұйымда. Бірақ IT-инфрақұрылым дамыған сайын ол барған сайын көп қиындық тудырады: әрекет авторын анықтай алмаудан бастап қызметкерді жұмыстан шығару мен құқықтарды бөлу мәселелеріне дейін.
Жеке есептік жазбалар, дұрыс бапталған рөлдер, көпфакторлы аутентификация және қол жеткізуді бақылау осы мәселелерден сақтануға көмектеседі.
Корпоративтік жүйелерді қорғау туралы толығырақ мына бөлімнен білуге болады: «Киберқауіпсіздік».
Ал пайдаланушылардың әрекеттеріне байланысты тәуекелдерді азайтуға мыналар көмектеседі: қызметкерлерді киберқауіпсіздікке оқыту.
Киберқауіпсіздік дұрыс әрекеттерден басталады.
WEB-LABS проводит обучение сотрудников основам кибербезопасности на рабочем месте: безопасной работе с электронной почтой, паролями, файлами, интернет-ресурсами и корпоративными системами.
После прохождения курса сотрудники проходят итоговое тестирование и получают персональный сертификат WEB-LABS.