در بسیاری از شرکت‌ها، پوشه مشترک واحد مالی برای همه باز است، چند کارمند به دلیل «یک کار موقت» عضو گروه مدیران دامین شده‌اند و کسی که سه سال پیش از فروش به انبار منتقل شده، هنوز به فایل‌های فروش هم دسترسی دارد. هیچ‌کدام از این‌ها از روی بدخواهی نیست؛ دسترسی‌ها به‌تدریج انباشته می‌شوند. نتیجه اما خطرناک است: اگر حساب یکی از این افراد هک شود، مهاجم به همه آن چیزها دسترسی پیدا می‌کند.
اصل حداقل دسترسی یعنی چه؟
هر کاربر، حساب سرویس یا برنامه فقط به همان چیزهایی دسترسی داشته باشد که برای انجام کارش لازم است؛ نه بیشتر و نه برای مدتی طولانی‌تر از نیاز. این اصل سه فایده اصلی دارد:
- محدود شدن آسیب: حساب هک‌شده یا بدافزار فقط به بخش کوچکی از اطلاعات می‌رسد.
- کاهش خطای انسانی: کسی که اجازه حذف ندارد، نمی‌تواند به اشتباه پوشه‌ای را پاک کند.
- شفافیت: همیشه روشن است چه کسی به چه چیزی دسترسی دارد و چرا.
قدم اول: منابع و صاحبانشان را مشخص کنید
فهرستی از منابع مهم تهیه کنید: پوشه‌های مشترک، نرم‌افزار مالی، صندوق‌های ایمیل مشترک، پنل‌ها و سرورها. برای هر منبع یک صاحب از واحد کسب‌وکار تعیین کنید؛ مثلاً مدیر مالی برای پوشه‌های مالی. تصمیم درباره اینکه چه کسی دسترسی داشته باشد با صاحب منبع است و واحد IT آن را اجرا می‌کند.
قدم دوم: دسترسی را بر اساس نقش بدهید، نه فرد
به‌جای دادن دسترسی به تک‌تک کاربران، در Active Directory برای هر نقش یا نیاز یک گروه بسازید؛ مثلاً FIN-Read برای خواندن پوشه مالی و FIN-Modify برای ویرایش آن. دسترسی پوشه را به گروه بدهید و کاربران را عضو گروه کنید. با این روش:
- کارمند جدید با عضویت در گروه‌های نقشش، در چند دقیقه همه دسترسی‌های لازم را می‌گیرد.
- جابه‌جایی یا خروج کارمند فقط با تغییر عضویت گروه‌ها انجام می‌شود.
- گزارش اینکه چه کسی به چه چیزی دسترسی دارد، ساده می‌شود.
دسترسی Everyone یا Domain Users با سطح Full Control روی پوشه‌های مشترک از رایج‌ترین ایرادهاست. حتی کاربرانی که باید فایل‌ها را ویرایش کنند، معمولاً به سطح Modify نیاز دارند، نه Full Control.
قدم سوم: دسترسی‌های مدیریتی را کوچک کنید
- کاربران عادی روی رایانه خودشان دسترسی مدیر نداشته باشند و نصب نرم‌افزار از طریق واحد IT انجام شود.
- اعضای گروه‌های پرقدرت مثل Domain Admins به حداقل برسند و مرتب بررسی شوند.
- حساب‌های سرویس، مثل حساب نرم‌افزار بکاپ یا اسکنر، فقط دسترسی لازم را داشته باشند و به‌جای حساب مدیر دامین، حساب اختصاصی داشته باشند.
- دسترسی پیمانکاران و پشتیبان‌های بیرونی موقت و با تاریخ پایان باشد.
قدم چهارم: بازبینی دوره‌ای
هر سه یا شش ماه یک‌بار، فهرست اعضای گروه‌های مهم را برای صاحب هر منبع بفرستید تا تأیید کند. همچنین وقتی کارمندی نقشش را عوض می‌کند، دسترسی‌های نقش قبلی حذف شود، نه اینکه فقط دسترسی جدید اضافه شود. بیشتر انباشت دسترسی دقیقاً از همین‌جا می‌آید.
اشتباهات رایج
- حساب‌های مشترکی که چند نفر با یک نام کاربری از آن استفاده می‌کنند و معلوم نیست هر کار را چه کسی انجام داده است
- دادن دسترسی مدیر برای حل سریع یک مشکل و فراموش کردن پس گرفتن آن
- نقش‌های کاربری نرم‌افزار مالی که همه را «مدیر سیستم» تعریف کرده است
چک‌لیست
- منابع مهم و صاحب هر کدام مشخص است.
- دسترسی‌ها از طریق گروه‌ها داده می‌شود، نه مستقیم به افراد.
- کاربران عادی مدیر رایانه خود نیستند.
- اعضای Domain Admins محدود و شناخته‌شده‌اند.
- دسترسی پیمانکاران تاریخ پایان دارد.
- بازبینی دوره‌ای دسترسی‌ها انجام می‌شود.
کارشناسان ITPlus724 می‌توانند دسترسی‌های فعلی دامین و پوشه‌های مشترک شما را بررسی کنند و ساختاری منظم بر اساس نقش‌ها پیاده‌سازی کنند.