Onko Privileged Access -dokumentaatiosi kunnossa?

Monilla organisaatioilla ei ole riittävää näkymää siihen, mitä laajimpien käyttöoikeuksien tileillä todella tehdään. Ongelmatilanteiden ratkominen on hankalaa, ja se voi käydä kalliiksi. Tämän artikkelin luettuasi tiedät, miksi dokumentointi on niin tärkeä osa Privileged Access Managementia.

Kuvittele, että tärkeä järjestelmä kaatuu kesken päivän ruuhkahuipun. Tai että toimittajakumppanisi saa pääsyn tietoihin, joita hänen ei pitäisi nähdä. Ehkä huomaat yhtäkkiä, että joku on muuttanut järjestelmän asetuksia, mutta kukaan ei tiedä kuka teki niin, milloin tai miksi.

Tällaisessa tilanteessa sitä haluaisi varmasti tietää, mitä tapahtui.

Organisaatiolla ei ole hyvää dokumentaatiota

Liian usein selkeät vastaukset jäävät hämärän peittoon. Kukaan ei ole yrittänyt peitellä mitään – pääsyjä ei vaan ole lokitettu, tai useampi henkilö käyttää samaa käyttäjätiliä.

Dokumentaation puute on erityisen vakava ongelma silloin, kun on kyse käyttäjistä, joilla on erityisen laajat oikeudet. Tällaisia Privileged Access -käyttäjiä voivat olla esimerkiksi järjestelmänvalvojat, skriptit ja ulkopuoliset tahot joilla on suora pääsy järjestelmiin.

Miksi Privileged Access -käyttäjien seuraamisessa on usein ongelmia?

Tavallisten käyttäjien pääsynhallinta alkaa olla jo kunnossa monissa organisaatioissa. Erityisoikeuksilla varustettujen tilien kohdalla tilanne on usein toisenlainen.

Privileged Access -tilejä käyttävät yleensä järjestelmänvalvojat, järjestelmän omistajat, ulkopuoliset konsultit tai automatisoidut skriptit. Pääsy myönnetään usein nopeasti, jotta tietty ongelma saadaan ratkaistua. Ja koska ratkaisuja pitää löytää nopeasti, dokumentointi ja valvonta voivat jäädä puolitiehen.

Yleisiä ongelmia ovat esimerkiksi nämä:

Useilla henkilöillä voi olla pääsy samalle tilille ilman dokumentaatiota siitä, kuka tiliä käyttää.
Pääsy myönnetään suoraan ilman hyväksyntää tai lokitietoja.
Skripteillä ja palvelutileillä on pääsyoikeuksien tasoja, joita kukaan ei enää valvo.
Väliaikaisia pääsyjä ei muisteta poistaa.

Kun epäilyksiä sitten herää tai kohdalle osuu auditointi, ei pohjalta löydy dokumentoitua faktaa tapahtumien näyttämiseksi. Kukaan ei välttämättä ole toiminut tahallaan väärin, vaan järjestelmää ei vai ole suunniteltu tarjoamaan riittävää näkyvyyttä.

Mitä ongelmia puutteellisesta Privileged Access -dokumentaatiosta seuraa?

Ilman dokumentaatiota on vaikeaa ottaa opiksi ja sopia tulevista vastuista ja toimista. Se pätee sekä pienissä että vakavimmissa tilanteissa.

Etuoikeutettujen käyttäjien dokumentaation puutteen seuraukset

Jos konfiguraatiota muutetaan ilman selitystä, on työlästä selvittää, mitä on tapahtunut ja miksi. Jos herää epäilys väärinkäytöstä, voi olla mahdotonta näyttää sitä toteen ja nähdä, kuka on vastuussa. Sääntelyn ja auditointivalmiuden näkökulmasta dokumentaation puute voi herättää epäilyksiä koko tietoturvan käytäntöjen kehikosta.

Tietämättömyyden takia samat virheet pääsevät toistumaan. Johto jää vaille selkeitä vastauksia. Luottamus tietoturvaan heikkenee sekä sisäisesti että ulkoisesti.

Pähkinänkuoressa: Ilman dokumentaatiota et saa varmuutta siitä, että kaikkein sensitiivisimpiä järjestelmien osia käytetään vastuullisesti.

Mitä hyviä käytäntöjä kuuluu Privileged Access -dokumentointiin?

Hyvä dokumentointi ei tarkoita käyttäjien jatkuvaa valvontaa, vaan sitä, että pystyt jäljittämään korkean riskin tilien käyttöä läpinäkyvästi.

Jotta pääset tähän pisteeseen, varmista, että Privileged Access -pääsyoikeudet:

on liitetty nimettyihin käyttäjiin tai järjestelmiin
myönnetään selkeillä käyttötarkoituksilla ja kestolla
toimivat sellaisten järjestelmien kautta, jotka kirjaavat toimet ja tapahtumat
tarkistetaan ja arvioidaan säännöllisesti.

Kuulostaa ehkä laajalta, mutta on lopulta yksinkertaista. Oikeilla periaatteilla ja teknisillä ratkaisuilla tuot tekemiseen selkeyttä ja parannat dokumentaatiota askel kerrallaan.

Miten voit parantaa laajennettujen käyttöoikeuksien hallintaa?

Jos tämän luettuasi tunsit piston sydämessäsi ja huomasit, että näkyvyys Privileged Access -käyttäjätileihin on sumuinen, on hyvä hetki aloittaa muutos samalta istumalta. Aloita kartoittamalla nykytilanne: miten pääsyä arkaluontoisiin järjestelmiin tällä hetkellä hallitaan?
Mitä voit tehdä parantaaksesi dokumentointia liittyen etuoikeutettuun pääsyyn?

Näillä kysymyksillä pääset liikkeelle:

Mitkä tilit pääsevät liiketoimintakriittisiin järjestelmiin?
Kuka niitä käyttää, millaisissa tilanteissa?
Miten pääsyjä myönnetään, valvotaan ja poistetaan?

Kokonaiskuvan avulla tunnistat, minne tarvitset enemmän hallintaa ja läpinäkyvyyttä

Privileged Access Management (PAM) on luonteva seuraava askel. PAM-ratkaisu auttaa hallitsemaan, rajoittamaan ja dokumentoimaan laajennettujen oikeuksien tilien käyttöä. Se tuo mukanaan juuri tuota paljon puhuttua läpinäkyvyyttä.