Ризики з боку інсайдерів часто розглядають у контексті зовнішніх атак, однак одна з важливих сліпих зон знаходиться значно ближче: хто всередині самої системи безпеки може відкривати чутливі файли, до яких їм насправді не має бути надано доступ.
Інструментам класифікації для сканування потрібні широкі права, і часто ті самі повноваження автоматично отримують адміністратори, які їх налаштовують.
У результаті рішення, покликане зменшувати ризик розкриття даних, саме може створювати ще один шлях до них. Адміністратори, діяльність яких часто контролюється найменше, при цьому можуть отримати найширший і практично необмежений доступ до регламентованих даних.
Ризики з боку інсайдерів
Команди безпеки часто пов’язують цю проблему із зовнішніми атаками, хоча насправді вона виникає через людей, які вже мають дійсний доступ до систем і даних.
Це можуть бути співробітники, підрядники та адміністратори, які в межах своєї роботи бачать чутливі дані або можуть із ними працювати — незалежно від того, чи використовують вони цей доступ неналежним чином.
У таких дискусіях часто одразу переходять до сценарію зі зловмисним співробітником, який викрадає дані перед звільненням. Така загроза справді існує, але це далеко не найпоширеніший випадок.
Набагато частіше проблема починається з доступу, необхідність якого ніхто спочатку не поставив під сумнів: право надали для одного завдання, а воно непомітно відкрило доступ до зовсім інших даних.
Адміністратори можуть бачити чутливі дані
Команди безпеки багато уваги приділяють зовнішнім загрозам: фішингу, підбору облікових даних і атакам із використанням програм-вимагачів. У таких сценаріях зловмисники можуть поступово розширювати атаку мережею.
Інсайдерські ризики зазвичай розглядають інакше — переважно через призму зловмисних співробітників або необережних користувачів, які переходять за небезпечними посиланнями.
Обидва сценарії важливі. Але є й менш очевидна проблема: адміністратори можуть отримувати доступ до чутливих даних просто через свою роль у керуванні відповідними інструментами. При цьому такий рівень доступу може бути їм не потрібен.
Платформа класифікації даних має сканувати файлові системи, поштові скриньки, сайти SharePoint і хмарні диски. Це необхідно, щоб знаходити та позначати чутливий вміст.
Для такого сканування потрібні широкі права. Інструмент не може класифікувати те, до чого не має доступу.
Проблема виникає, коли разом із цими правами адміністратори автоматично отримують можливість відкривати та читати знайдені файли. У результаті права, потрібні для роботи платформи, одночасно відкривають доступ до самого вмісту.
Широкі права адміністраторів потребують окремого контролю
Якщо запитати команди безпеки, хто має доступ до регламентованих даних клієнтів, і зазвичай відповідь зводиться до DLP-політик, перевірок прав доступу та рольових дозволів на файловому сервері.
Якщо ж уточнити, хто може відкрити ті самі дані через інструмент класифікації, який їх сканує, відповідь часто вже не така однозначна.
Ролі суперкористувачів і адміністраторів часто не потрапляють під ті самі перевірки доступу, що й звичайні співробітники. Їм за замовчуванням довіряють більше, хоча саме такий доступ і потребує окремої уваги.
Адміністраторам системи класифікації не потрібно читати вміст медичного документа, щоб переконатися, що для нього правильно спрацювало правило таксономії HIPAA. Їм достатньо підтвердження, що правило спрацювало.
Це два різні рівні доступу, однак багато інструментів фактично об’єднують їх в один.
Це той самий принцип мінімальних привілеїв, який застосовується в інших сферах безпеки, але перенесений на область, де про нього часто забувають: інструмент, що працює безпосередньо з найбільш чутливими даними організації.
Security trimming (фільтрація результатів пошуку за правами доступу)
Security trimming працює на рівні пошуку: користувач бачить лише ті файли, до яких уже має доступ. Це захищає від випадкового виявлення чужих документів, але не розв’язує проблему повністю.
Однак security trimming не контролює, що може бачити адміністратор усередині самої платформи.
Користувач із відповідними правами може відкрити вкладку Text для будь-якого проіндексованого документа. Це можливо навіть тоді, коли для інших користувачів файл прихований результатами security trimming.
Ця різниця стає особливо важливою через нормативні вимоги. Вони дедалі точніше визначають правила доступу саме до вмісту, а не лише до метаданих.
Під час аудиту дедалі частіше потрібно показати, хто може читати фактичний вміст файлів із регламентованими даними. Самого підтвердження існування файлу та способу його класифікації вже недостатньо.
Широкі права для адміністрування інструмента самі по собі не пояснюють, чому адміністратори мають бачити вміст чутливих файлів.
Якщо ці права не розмежовані, це легко перетворюється на проблему під час перевірок відповідності.
Доступ до вмісту потребує окремих прав
Netwrix Data Classification відокремлює можливість переглядати вміст документів від функцій класифікації та адміністрування, разом із якими такий доступ раніше надавався за замовчуванням.
Суперкористувачі більше не отримують автоматичного доступу до вмісту файлів. Адміністратори мають надати такі права окремо.
Цей механізм працює разом із наявним security trimming, а не замінює його.
Тому одночасно діють два рівні контролю: які файли звичайний користувач може знайти через пошук і хто серед адміністраторів може відкрити їхній вміст.
На практиці адміністратор системи класифікації може запускати сканування, перевіряти спрацювання правил таксономії та керувати роботою з позначеними файлами, не відкриваючи їхній вміст.
Перегляд вмісту можна залишити лише для тих фахівців або розслідувачів, яким він справді потрібен для роботи.
