|
|
  |
Главная страница / Архитектура отрасли Автоматизация управления и контроля доступа к информационным ресурсам предприятияВ различных областях человеческих знаний есть «вечные» темы. В информационной безопасности одним из таких вопросов является разграничение доступа. О том, что это основа всех основ, знают все. О том, что именно с этого необходимо начинать любые работы по обеспечению информационной безопасности, тоже всем известно. На семинарах и конференциях по безопасности данной проблеме, так или иначе, отводится до половины рабочего времени. Однако в большинстве компаний она не только не решена, но и даже не стоит «на повестке дня». Причина тому – сложность, дороговизна, трудоемкость и… «неощутимость» результатов ее решения. Самое странное – подобное попустительство никому не мешает всерьез обсуждать вопросы утечки информации и т. п. Почему же складывается такая ситуация? Чаще всего администратор информационной безопасности пребывает в уверенности, что у него в системе все в порядке: применена сложная парольная политика, развернуты средства защиты периметра… А то, что практически все сотрудники, заходящие в систему под этими «самыми сильными паролями», имеют доступ ко всем информационным ресурсам, просто ускользает от его внимания. В данном случае неведение приятнее, чем осознание. Кроме того, любая работа должна быть заметна. Руководитель службы информационной безопасности готов закупить и раздать всем какие-нибудь аппаратные средства хранения «сильных паролей». И это понятно: работу по разграничению доступа никто не оценит и не заметит. А токен получит каждый… Вот и получается, что зачастую попытки заняться решением проблемы контроля доступа напоминают анекдот про пьяного, который где-то обронил ключи, а ищет их под фонарем, потому что «там светлее». Проблема контроля доступа к информационной системе выдвигается на первый план либо после серьезных инцидентов, либо в процессе внедрения нового корпоративного приложения, когда в ходе приемосдаточных испытаний случайно выясняется, что любой операционист может посмотреть отчет, скажем, об общей выработке компании… Есть еще один вариант: когда организация заказывает услугу по анализу защищенности своей информационной системы. К сожалению, пока это слишком экзотичная ситуация… Главная страница / Архитектура отрасли |