अभिगम नियंत्रण और इसके साथ क्या खाया जाता है

आईटी की दुनिया में सूचना सुरक्षा से संबंधित मुद्दे तेजी से बढ़ रहे हैं। दरअसल, वर्ल्ड वाइड वेब सूचनाओं के आदान-प्रदान और भंडारण के लिए एक वैश्विक मंच बन गया है, और इंटरनेट शब्द सभी के लिए परिचित है। आधुनिक दुनिया में, ऐसी कंपनी खोजना मुश्किल है जो इंटरनेट तकनीकों का उपयोग नहीं करेगी: सभी प्रकार के एप्लिकेशन, गैजेट्स, आईओटी डिवाइस - यह सब जोखिम में है। इसलिए, हम सूचना सुरक्षा की मूल बातों के बारे में बात करेंगे, अर्थात्, अभिगम नियंत्रण।



मैं सूचना सुरक्षा के कुछ स्पष्ट स्पष्ट पहलुओं पर चर्चा करना चाहूंगा। विडंबना यह है कि कई सुरक्षा के महत्व को कम करते हैं या उनके उपायों को पर्याप्त मानते हैं। यह Dunning-Krueger प्रभाव को याद करने के लायक है, जिसका सार यह है कि कुछ क्षेत्र में कम योग्यता वाले लोग गलत निष्कर्ष निकालते हैं। इसलिए व्यापार में असफल निर्णय जिन्हें वे महसूस नहीं कर पा रहे हैं। सूचना सुरक्षा - यह एक ऐसा क्षेत्र है जिसमें कुछ भी ग्रहण करने और "केवल प्रजातियों के लिए करने के लिए" के सिद्धांत पर कार्य करने की अनुमति नहीं है। सूचना सुरक्षा अंतिम लक्ष्य होना चाहिए, व्यापार में एक लीवर जो घाटे और खर्चों को कम करता है, और आपके डेटा की सुरक्षा करता है। कंपनी के लिए सबसे बड़ा खतरा मानव कारक है। वास्तव में, एक कर्मचारी के चतुर हेरफेर के लिए धन्यवाद, एक हमलावर आपकी प्रणाली से समझौता करने में सक्षम है। दुर्भाग्य से, एक गलत धारणा है कि यदि आपके पास मजबूत तकनीकी सुरक्षा (सभी प्रकार के आईडीएस, एंटीफ्राड सिस्टम, एंटीवायरस, डीएलपी, फायरवॉल) हैं, तो आपका व्यवसाय सुरक्षित है, लेकिन ऐसा नहीं है। हमारा मनोविज्ञान पूर्वानुमेय है, और ज्यादातर मामलों में, हमारे आवेग भय और दाने की क्रियाओं से शुरू होते हैं। उदाहरण के लिए, मेल के माध्यम से प्रतिबंध संबंधी हमलों को लें: कर्मचारी को यह कहते हुए एक पत्र प्राप्त हुआ कि कुछ प्रणाली जहां वह पंजीकृत है, उससे समझौता किया जाता है। यह समाचार निश्चित रूप से उसे डरा देगा, और अधिक संभावना के साथ वह लिंक का अनुसरण करेगा, हमलावरों को अपना डेटा देगा। इसलिए, सही तरीके से पहुंच को कॉन्फ़िगर करना और सूचना सुरक्षा में कर्मचारियों के कौशल में सुधार करना महत्वपूर्ण है। एक संपूर्ण "विज्ञान" इस विषय के लिए समर्पित है - सोशल इंजीनियरिंग, लेकिन इसके बारे में अगली बार, और आज हम एक्सेस कंट्रोल के आयोजन के बारे में बात करेंगे।

किसी भी कार्य को एक अलग कोण से सबसे अच्छा देखा जाता है, यह अभिगम नियंत्रण पर भी लागू होता है: एंटीवायरस और सुरक्षा के अन्य साधन स्थापित करना पर्याप्त नहीं है। तार्किक तर्क से, एक विकल्प के रूप में, निम्न सूत्र उभरता है: एक अच्छा अभिगम नियंत्रण प्रणाली = प्रशासनिक उपाय + तकनीकी उपाय + शारीरिक सुरक्षा।

प्रशासनिक उपायों में क्या शामिल है? हाँ, सब कुछ बहुत सरल है! यह सूचना सुरक्षा प्रबंधन प्रणाली में प्रलेखन का सही संगठन है। एक अच्छी सुरक्षा नीति, जोखिम मूल्यांकन के तरीके, आंतरिक ऑडिट, प्रक्रियाएं, कर्मचारी प्रशिक्षण - यह सब व्यवसाय में सुरक्षा के उचित संगठन में योगदान देता है।

सुरक्षा नीति में, कंपनी के लक्ष्यों और दायरे (जो इस नीति को शामिल करता है) को प्रतिबिंबित करना सबसे महत्वपूर्ण है, और व्यवसाय, भागीदारों और ग्राहकों की आवश्यकताओं को भी ध्यान में रखना चाहिए। कंपनी को सूचना संपत्तियों की पहचान करनी चाहिए, और उन परिसंपत्तियों को जिन्हें अधिक सावधानी से संभालने की आवश्यकता होती है, उन्हें महत्व और मूल्य द्वारा वर्गीकृत किया जाना चाहिए। यह निर्धारित करने के लिए कि संपत्ति की पहुंच किसके पास है और सूचना सुरक्षा उपायों के कार्यान्वयन के लिए जिम्मेदार है, आप भूमिका तालिका का उपयोग कर सकते हैं (तालिका उन भूमिकाओं को इंगित करती है और जो आवंटित की गई है, उसके लिए कौन जिम्मेदार है)। एक और महत्वपूर्ण चरण प्रशिक्षण है: विशेषज्ञों को आमंत्रित करना या उन लोगों को किराए पर लेना जो आपके कर्मचारियों को नेटवर्क सुरक्षा नियमों के बारे में बताएंगे (उदाहरण के लिए: फ़िशिंग क्या है, इसे कैसे पहचानें, एक सामाजिक इंजीनियर को कैसे क्रैक करें और कौन सी साइट सुरक्षित है)। ये बहुत महत्वपूर्ण पहलू हैं, क्योंकि यह मानवीय कारक है जो सबसे कमजोर कड़ी है। आंतरिक ऑडिट आपको अपनी सूचना सुरक्षा प्रबंधन प्रणाली की कमियों की पहचान करने में मदद करेंगे, यह निर्धारित करेंगे कि कौन से विभाग असुरक्षित हैं और किन विभागों को उन्नत प्रशिक्षण की आवश्यकता है, और यह समझें कि क्या नीति में निर्दिष्ट आवश्यकताओं का पालन किया जा रहा है। एक सक्षम ऑडिटर चुनना महत्वपूर्ण है जो अनुपालन के लिए आपके सिस्टम की स्थिति की सावधानीपूर्वक जांच करेगा। जोखिम मूल्यांकन पद्धति के लिए धन्यवाद, आप कुछ खतरों की संभावना की गणना कर सकते हैं, साथ ही मौजूदा का पता लगा सकते हैं और जोखिमों के संबंध में आगे की कार्रवाई चुन सकते हैं।

हार्डवेयर द्वारा, हम विभिन्न सॉफ्टवेयर और हार्डवेयर, सूचना सुरक्षा सेवाओं का श्रेय देते हैं। यह पासवर्ड सिस्टम, फायरवॉल, सुरक्षा स्कैनर, सुरक्षित प्रोटोकॉल, ऑपरेटिंग सिस्टम और इतने पर हो सकता है। बहुत सावधानी से आपको पासवर्ड सिस्टम के साथ रहने की आवश्यकता है। चूंकि वे हमेशा हमलावरों की जांच के अधीन होते हैं, इसलिए उन्हें सबसे अधिक खतरा होता है। भारी संख्या में लोगों के साथ संवाद करते हुए, मैंने देखा कि वे पासवर्ड सुरक्षा के लिए कितने आसान और लापरवाह हैं (वे सरल पासवर्ड के साथ आते हैं, उन्हें सुलभ स्थानों में संग्रहीत करते हैं), यह महसूस नहीं करते कि एक हमलावर आसानी से उन्हें क्रैक कर सकता है। उदाहरण के लिए, एक प्रकार का हमला जैसे कि brute force (जिसका अर्थ brute force पासवर्ड है) लें। मान लीजिए कि आपने अपने पासवर्ड के बारे में वास्तव में कल्पना नहीं की है और एक सामान्य हैकर को लिया है, इस बीच, आपके मेल को जानकर, विभिन्न शब्दकोशों का उपयोग करके एक मिलान मिलेगा और आपके सिस्टम से समझौता करेगा। सब कुछ सरल है! फ़िशिंग ईमेल के बारे में कर्मचारियों को याद रखना और याद रखना भी लायक है: लिंक न खोलें और पासवर्ड दर्ज करें, एक सांस लें और इसे समझें।



खैर, तीसरा भौतिक संरक्षण है: ताले, विशेष सुरक्षा, वीडियो कैमरा, एक्सेस सिस्टम, और इसी तरह।

मैं तीन अभिगम नियंत्रण विधियों पर भी ध्यान देना चाहता हूं। यदि आपका काम संवेदनशील डेटा और संवेदनशील जानकारी, राज्य रहस्यों से जुड़ा हुआ है, तो आपको अनिवार्य पहुंच नियंत्रण पद्धति पर ध्यान देना चाहिए। इस पद्धति की ख़ासियत इसकी पदानुक्रम में निहित है, क्योंकि कर्मचारियों और वस्तुओं (फाइलें, दस्तावेज, आदि) को एक निश्चित पदानुक्रमित स्तर की सुरक्षा सौंपी जाती है। किसी वस्तु का सुरक्षा स्तर उसके मूल्य की विशेषता रखता है और, स्तर के अनुसार, एक सुरक्षा लेबल उसे सौंपा जाता है।

सुरक्षा का स्तर कर्मचारी में विश्वास की डिग्री, साथ ही साथ इस जानकारी के लिए उसकी जिम्मेदारी को दर्शाता है। ऑपरेटिंग सिस्टम कर्मचारी को कुछ विशेषताएं प्रदान करता है, धन्यवाद जिसके कारण कर्मचारी को अपनी आधिकारिक शक्तियों के ढांचे के भीतर पहुंच प्रदान की जाती है। निम्नलिखित उदाहरण पर विचार करें, मान लें कि हमारे पास कई पहुँच स्तर हैं:

1. शीर्ष गुप्त जानकारी (प्रवेश निषेध);
2. गुप्त जानकारी;
3. प्रतिबंधित पहुँच जानकारी;
4. नि: शुल्क प्रवेश जानकारी।

हमारे पास ऐसे उपयोगकर्ता भी हैं जिनके पास उपरोक्त जानकारी तक पहुँच के विभिन्न स्तर हैं:

• उपयोगकर्ता 1 - वर्गीकृत जानकारी के साथ काम करता है;
• उपयोगकर्ता 2 - सीमित पहुंच की जानकारी के साथ काम करता है;
• उपयोगकर्ता 3 - निःशुल्क पहुँच जानकारी के साथ काम करता है।

आइए हम निम्नलिखित आरेख के रूप में अपने सिस्टम की संरचना की कल्पना करते हैं, जहां आरडब्ल्यू - अनुमतियों को पढ़ें और लिखें, आर - अनुमतियों को पढ़ें, डब्ल्यू - लिखने की अनुमति दें:



आरेख से यह निम्नानुसार है कि:

उपयोगकर्ता 1 को वर्गीकृत जानकारी के साथ काम करने के लिए इच्छित वस्तुओं को पढ़ने और लिखने का अधिकार है, साथ ही सीमित और मुफ्त जानकारी के साथ वस्तुओं को पढ़ने का अधिकार भी है।

उपयोगकर्ता 2 को प्रतिबंधित एक्सेस जानकारी से संबंधित वस्तुओं को पढ़ने और लिखने का अधिकार है, और मुफ्त एक्सेस जानकारी वाली वस्तुओं को पढ़ने का अधिकार भी है और गुप्त जानकारी के साथ वस्तुओं को लिखने का अधिकार भी है।

उपयोगकर्ता 3: को मुफ्त पहुंच जानकारी के साथ वस्तुओं को पढ़ने और लिखने का अधिकार है, साथ ही सीमित पहुंच और गुप्त जानकारी के साथ वस्तुओं को लिखने का अधिकार भी है।

लेकिन सभी उपयोगकर्ता शीर्ष गुप्त जानकारी के साथ वस्तुओं तक पहुंच से वंचित हैं।

सबसे सरल विधि विवेकाधीन मानी जाती है, जिसे काफी सामान्य माना जाता है। एक्सेस का सार सरल है: ऑब्जेक्ट का मालिक किसको एक्सेस और किस रूप में (रीडिंग, राइटिंग, आदि) देने का फैसला करता है। एक्सेस सूचियों या एक्सेस मैट्रिक्स का उपयोग करके विधि को लागू किया जा सकता है, लेकिन आपको यह विचार करने की आवश्यकता है कि कुछ अधिकारों वाला एक कर्मचारी आपकी वस्तु को बिना सूचित किए उपयोग के लिए दूसरी वस्तु में स्थानांतरित कर सकता है। इसलिए, यदि आप महत्वपूर्ण जानकारी के साथ काम कर रहे हैं, तो आपको इस विधि से सावधान रहना चाहिए।

अगला, आइए भूमिका-आधारित अभिगम नियंत्रण विधि के बारे में बात करते हैं। इस पद्धति का सार सरल है: सिस्टम के उपयोगकर्ता और उनके विशेषाधिकार के बीच मध्यवर्ती संस्थाएं दिखाई देती हैं, जिन्हें भूमिका कहा जाता है। विधि मानती है कि प्रत्येक उपयोगकर्ता के लिए कई भूमिकाएँ सौंपी जा सकती हैं, जो आवश्यक जानकारी तक पहुँच प्रदान करती हैं। यह विधि अधिकारों के दुरुपयोग को समाप्त करती है, क्योंकि यह कम से कम विशेषाधिकार के सिद्धांत को लागू करती है।

यह केवल उस कर्मचारी तक पहुंच का स्तर प्रदान करता है जो जिम्मेदारी के क्षेत्र में आता है। इसके अलावा, यह विधि कर्तव्यों के पृथक्करण के सिद्धांत को लागू करती है, जो सूचना परिसंपत्तियों के प्रबंधन को सरल बनाती है। इस पद्धति का नुकसान यह है कि जब उपयोगकर्ताओं और भूमिकाएं भारी संख्या में होती हैं, तो इसे लागू करना मुश्किल होता है, क्योंकि यह महंगा है।

अन्य तरीके हैं, लेकिन सबसे महत्वपूर्ण के बारे में बात की है। पहुँच के आयोजन के उपरोक्त सभी तरीके आपकी कंपनी की सुरक्षा में एक महत्वपूर्ण कदम है और इसलिए यह उन पर पूरा ध्यान देने योग्य है।