uprawnienia zgodności

Uprawnienia zgodności to uprawnienia przyznawane osobom odpowiedzialnym za nadzór nad przestrzeganiem przepisów.

Uprawnienia zgodności jako element kontroli dostępu

Uprawnienia zgodności to zakres dostępu przyznawany osobie, która ma sprawdzać, czy korzystanie z systemu odbywa się według przyjętych reguł, procedur lub wymagań organizacyjnych. Nie oznaczają one automatycznie prawa do wykonywania wszystkich operacji administracyjnych. Ich zakres powinien wynikać z konkretnego zadania: przeglądania konfiguracji, analizowania rejestrów zdarzeń, sprawdzania historii zmian albo zatwierdzania określonych działań. W praktyce takie uprawnienia mogą być realizowane przez role użytkowników, grupy dostępu, przypisane zakresy zasobów oraz osobne prawa do odczytu i modyfikacji.

W systemie informatycznym należy rozróżnić uprawnienie do kontroli od uprawnienia do zmiany kontrolowanego elementu. Osoba wykonująca przegląd zgodności może potrzebować dostępu tylko do odczytu ustawień i dzienników, natomiast modyfikowanie konfiguracji powinno pozostać po stronie innej roli. Takie rozdzielenie ogranicza ryzyko, że jedna osoba zarówno zmieni ustawienie, jak i zatwierdzi jego prawidłowość. Jest to praktyczne zastosowanie zasady najmniejszych uprawnień, zgodnie z którą konto otrzymuje wyłącznie dostęp potrzebny do wykonania określonych obowiązków.

Role, zakres zasobów i rozdzielenie obowiązków

Najczęściej uprawnienia zgodności opisuje się za pomocą modelu RBAC, czyli kontroli dostępu opartej na rolach. Użytkownik otrzymuje rolę, a rola definiuje zestaw dozwolonych operacji. Przykładowa rola kontrolera może pozwalać na odczyt ustawień zabezpieczeń, list kont, historii logowań i rejestrów zmian, ale nie na tworzenie użytkowników ani zmianę polityki haseł. Przy większej liczbie zasobów sama rola nie wystarcza. Trzeba również wskazać zakres, na przykład konkretne urządzenie, dział, katalog, aplikację lub zestaw konfiguracji.

Ważnym uzupełnieniem jest rozdzielenie obowiązków. Kontrola zgodności powinna być możliwie niezależna od codziennej administracji systemem, zwłaszcza gdy sprawdzane są zmiany wprowadzone przez administratora. Pomocne jest stosowanie osobnych kont do pracy zwykłej i zadań kontrolnych, ograniczenie dostępu czasowego oraz wymaganie dodatkowego uwierzytelnienia przy operacjach uprzywilejowanych. Jeżeli system pozwala na delegowanie uprawnień, zakres należy określić precyzyjnie: osobno dla odczytu, eksportu raportów, zatwierdzania wyjątków i modyfikacji ustawień. Nadanie pełnego dostępu tylko dlatego, że upraszcza konfigurację, utrudnia późniejszą ocenę odpowiedzialności.

Rejestrowanie działań i okresowy przegląd dostępu

Samo przyznanie roli nie wystarcza do wiarygodnej kontroli. System powinien rejestrować zdarzenia związane z użyciem uprawnień zgodności, w szczególności logowanie, nieudane próby dostępu, odczyt wrażliwych ustawień, eksport danych kontrolnych oraz zmiany przypisania ról. Dziennik powinien zawierać co najmniej identyfikator konta, czas zdarzenia, rodzaj operacji i wskazanie zasobu. W zależności od rozwiązania mogą być zapisywane także adres źródłowy, identyfikator sesji oraz rezultat operacji. Rejestr bez tych informacji może nie pozwolić na ustalenie, kto i kiedy wykonał daną czynność.

Uprawnienia powinny podlegać regularnemu przeglądowi, ponieważ zmieniają się role pracowników, zakresy obowiązków i używane zasoby. Kontrola może obejmować porównanie listy aktywnych kont z aktualnym wykazem użytkowników, sprawdzenie członkostwa w grupach oraz wyszukanie kont nieużywanych. Po zakończeniu zadania czasowego dostęp powinien zostać odebrany, a konto techniczne nie powinno pozostawać aktywne bez uzasadnienia. Warto również sprawdzać, czy użytkownik nie otrzymał jednocześnie kilku ról, których połączenie daje szersze uprawnienia niż przewidziano w projekcie kontroli dostępu.

Sprawdzanie uprawnień zgodności na urządzeniu

Diagnostyka problemu z uprawnieniami zgodności powinna rozpocząć się od ustalenia, jakie konto wykonuje operację, do jakiej roli należy oraz z jakiego zasobu próbuje skorzystać. Następnie należy porównać wymagany zakres z faktycznymi wpisami kontroli dostępu. Trzeba odróżnić brak uprawnienia od błędu uwierzytelnienia, nieaktywnego konta, wygasłej sesji, ograniczenia sieciowego i problemu z aplikacją. W systemach korzystających z dziedziczenia praw istotne jest sprawdzenie nie tylko bezpośredniego wpisu dla użytkownika, ale także uprawnień wynikających z grup i ról nadrzędnych.

Podczas przeglądu warto wykonać kontrolowaną próbę odczytu oraz osobno sprawdzić, czy operacja modyfikacji jest prawidłowo zablokowana. Wynik należy porównać z logiem systemowym, aby potwierdzić, że zarejestrowano właściwe konto i zasób. Jeżeli problem dotyczy laptopa lub komputera PC, przydatne może być sprawdzenie lokalnych kont, członkostwa w grupach, ustawień kontroli kont użytkowników oraz daty ostatniej zmiany konfiguracji. Naprawa polega na przywróceniu spójnego, minimalnego zakresu dostępu i potwierdzeniu tego testem oraz wpisem w dokumentacji, a nie na bezpośrednim nadaniu pełnych praw administracyjnych.