Риски со стороны инсайдеров часто рассматривают в контексте внешних атак, однако одна из важных слепых зон находится гораздо ближе: кто внутри самой системы безопасности может открывать чувствительные файлы, к которым на самом деле не должен иметь доступ.
Инструментам классификации для сканирования нужны широкие права, и нередко те же полномочия автоматически получают администраторы, которые их настраивают.
В результате решение, предназначенное для снижения риска раскрытия данных, само может создавать еще один путь к ним. Администраторы, деятельность которых зачастую контролируется меньше всего, при этом могут получить наиболее широкий и практически неограниченный доступ к регламентированным данным.
Риски со стороны инсайдеров
Команды безопасности часто связывают эту проблему с внешними атаками, хотя на самом деле она возникает из-за людей, которые уже имеют действующий доступ к системам и данным.
Это могут быть сотрудники, подрядчики и администраторы, которые в рамках своей работы видят чувствительные данные или могут с ними работать — независимо от того, используют ли они этот доступ ненадлежащим образом.
В таких обсуждениях часто сразу переходят к сценарию со злоумышленным сотрудником, который похищает данные перед увольнением. Такая угроза действительно существует, но это далеко не самый распространенный случай.
Гораздо чаще проблема начинается с доступа, необходимость которого никто изначально не поставил под сомнение: права предоставили для одной задачи, а они незаметно открыли доступ к совершенно другим данным.
Администраторы могут видеть чувствительные данные
Команды безопасности уделяют много внимания внешним угрозам: фишингу, подбору учетных данных и атакам с использованием программ-вымогателей. В таких сценариях злоумышленники могут постепенно расширять атаку по сети.
Инсайдерские риски обычно рассматривают иначе — преимущественно через призму злоумышленных сотрудников или неосторожных пользователей, которые переходят по опасным ссылкам.
Оба сценария важны. Но существует и менее очевидная проблема: администраторы могут получать доступ к чувствительным данным просто из-за своей роли в управлении соответствующими инструментами. При этом такой уровень доступа может быть им не нужен.
Платформа классификации данных должна сканировать файловые системы, почтовые ящики, сайты SharePoint и облачные диски. Это необходимо, чтобы находить и маркировать чувствительный контент.
Для такого сканирования требуются широкие права. Инструмент не может классифицировать то, к чему у него нет доступа.
Проблема возникает, когда вместе с этими правами администраторы автоматически получают возможность открывать и читать найденные файлы. В результате права, необходимые для работы платформы, одновременно открывают доступ к самому содержимому.
Широкие права администраторов требуют отдельного контроля
Если спросить команды безопасности, кто имеет доступ к регламентированным данным клиентов, то обычно ответ сводится к DLP-политикам, проверкам прав доступа и ролевым разрешениям на файловом сервере.
Если уточнить, кто может открыть те же данные через инструмент классификации, который их сканирует, ответ часто уже не такой однозначный.
Роли суперпользователей и администраторов часто не попадают под те же проверки доступа, что и обычные сотрудники.
По умолчанию им доверяют больше, хотя именно такой доступ и требует отдельного внимания.
Администратору системы классификации не нужно читать содержимое медицинского документа, чтобы убедиться, что для него корректно сработало правило таксономии HIPAA.
Ему достаточно подтверждения того, что правило сработало.
Это два разных уровня доступа, однако многие инструменты фактически объединяют их в один.
Это тот же принцип минимальных привилегий, который применяется в других областях безопасности, но перенесенный туда, где о нем часто забывают: на инструмент, работающий непосредственно с наиболее чувствительными данными организации.
Security trimming (фильтрация результатов поиска по правам доступа)
Security trimming работает на уровне поиска: пользователь видит только те файлы, к которым уже имеет доступ. Это защищает от случайного обнаружения чужих документов, но не решает проблему полностью.
Однако security trimming не контролирует, что может видеть администратор внутри самой платформы.
Пользователь с соответствующими правами может открыть вкладку Text для любого проиндексированного документа. Это возможно даже тогда, когда для других пользователей файл скрыт результатами security trimming.
Это различие становится особенно важным из-за нормативных требований. Они все точнее определяют правила доступа именно к содержимому, а не только к метаданным.
Во время аудита все чаще требуется показать, кто может читать фактическое содержимое файлов с регламентированными данными. Одного подтверждения существования файла и способа его классификации уже недостаточно.
Широкие права для администрирования инструмента сами по себе не объясняют, почему администраторы должны видеть содержимое чувствительных файлов.
Если эти права не разграничены, это легко может превратиться в проблему во время проверок соответствия.
Доступ к содержимому требует отдельных прав
Netwrix Data Classification отделяет возможность просматривать содержимое документов от функций классификации и администрирования, вместе с которыми такой доступ ранее предоставлялся по умолчанию.
Суперпользователи больше не получают автоматического доступа к содержимому файлов. Администраторы должны предоставлять такие права отдельно.
Этот механизм работает вместе с существующим security trimming, а не заменяет его.
Поэтому одновременно действуют два уровня контроля: какие файлы обычный пользователь может найти через поиск и кто из администраторов может открыть их содержимое.
На практике администратор системы классификации может запускать сканирование, проверять срабатывание правил таксономии и управлять работой с отмеченными файлами, не открывая их содержимое.
Просмотр содержимого можно оставить только для тех специалистов, которым он действительно необходим для работы.
