Стратегия управления доступом: с чего начать

Стратегия управления доступом — не документ ради документа, а ответ на три вопроса: что защищаем, в каком порядке и какими средствами.

Без ответов внедрение превращается в набор разрозненных мер: где-то включили второй фактор, где-то завели роли, где-то ничего не трогали, потому что «там сложно».

Четыре опоры

Аутентификация — как пользователь подтверждает личность. Пароль, второй фактор, passkey.

Авторизация — что ему позволено. Роли, атрибуты, политики.

Жизненный цикл — как доступ появляется, меняется и прекращается вместе с изменениями в статусе сотрудника.

Контроль — журналирование, аудит, регулярный пересмотр прав.

Пропущенная опора становится тем местом, где произойдёт инцидент. Надёжная аутентификация без ограничения прав означает, что вошедший может всё. Аккуратные роли без контроля жизненного цикла означают, что права накапливаются годами.

Семь шагов

1. Оцените текущее состояние. Какие системы используются, где заведены учётные записи, как выдаётся и отзывается доступ. Шаг скучный и обязательный: без него любой план строится на догадках.

2. Определите, что критично. Не все системы равнозначны. Список того, компрометация чего действительно опасна, задаёт приоритеты.

3. Выберите средства. Ключевой критерий — поддержка открытых стандартов. Провайдер с собственным протоколом привязывает к себе навсегда.

4. Внедрите единый вход. Начиная с самых массовых приложений. Это фундамент, без которого остальное работает частично.

5. Включите второй фактор. Сначала администраторы, затем все. Промежуточное состояние — период повышенного риска, задерживаться в нём не стоит.

6. Опишите роли. Права выдаются наборами по обязанностям. Ранее выданные индивидуальные права снимаются — иначе старая схема продолжит работать параллельно.

7. Заведите контроль. Журнал, который просматривают, и пересмотр прав по расписанию.

Ошибки, которые обходятся дороже всего

Начинать с инструмента, а не с задачи. Выбор системы до понимания того, что вы защищаете, приводит к дорогому решению, закрывающему не те проблемы.

Внедрять всё сразу. Попытка охватить все системы за один заход обычно заканчивается остановкой на середине.

Забывать про отзыв. Выдачу доступа тестируют все, отзыв — почти никто. А именно неполный отзыв даёт инциденты.

Оставлять второй фактор для избранных. Атака идёт через слабое звено — рядового сотрудника, а не через защищённого администратора.

Считать внедрение законченным. Права накапливаются, роли устаревают, сотрудники меняют обязанности. Без регулярного пересмотра модель вырождается за пару лет.

Игнорировать удобство. Чрезмерно строгие правила порождают обходные пути. Схема, которую обходят, не защищает.

Как понять, что стратегия работает

Несколько вопросов, ответы на которые показывают реальное состояние:

• Сколько времени занимает полный отзыв доступа у уволенного?
• Можно ли за минуту ответить, кто имеет доступ к критичной системе?
• Что произойдёт, если перехватят учётную запись рядового сотрудника?
• Можно ли немедленно прервать активную сессию?
• Когда права пересматривались в последний раз?

Затруднение с ответом указывает на пробел точнее любого аудита.

Как это устроено в Keydee

Keydee закрывает первые три опоры и предоставляет основу для четвёртой:

• Аутентификация: пароль, TOTP, passkeys; требование второго фактора задаётся политикой компании.
• Авторизация: роли в границах организации, права передаются приложениям в токене.
• Жизненный цикл: приглашение сотрудника, изменение ролей, исключение из организации.
• Контроль: журнал входов и изменений прав с реальным IP-адресом; активные сессии видны и завершаются немедленно.
• Многоарендность: организации изолированы, что важно для продуктов с компаниями-клиентами.

Главное

Стратегия не обязана быть объёмной. В минимальном виде это ответы на пять вопросов:

1. Какие системы критичны?
2. Как в них входят?
3. Кто и на каком основании получает доступ?
4. Что происходит при увольнении?
5. Как быстро можно прекратить доступ?

Организация, у которой есть внятные ответы на все пять, защищена лучше, чем та, у которой есть развёрнутый документ, но нет ответов.