Роль бизнес -аналитика в динамическом контроле доступа

В течение десятилетий принцип наименьшей привилегии был основным стандартом для контроля доступа. Эта концепция предоставляет минимальный уровень доступа, необходимый для сотрудников или пользователей для выполнения своих обязанностей, и эта модель значительно снижает поверхность атаки, смягчает инсайдерские угрозы и обеспечивает соблюдение нормативных требований. Наименьшая привилегия также используется для упрощения пользовательского опыта, минимизации когнитивной нагрузки и гарантии того, что система соответствует реальным обязанностям и организационным контролю.

Тем не менее, сегодня цифровая экосистема обусловлена решениями, облачными вычислениями, гибридными рабочими местами и сотрудничеством в реальном времени, что затрудняет разделение «необходимого» и «чрезмерного» доступа в типичных организационных условиях. Кроме того, благодаря динамическому характеру сотрудников, где сотрудники переключаются между проектами, роли рабочих мест быстро развиваются, и системы автономно взаимодействуют, статическая модель «наименьшая привилегия» пытается идти в ногу с этой динамической реальностью.

Следовательно, модель, которая регулирует права доступа и привилегии автоматически на основе контекстуальных сигналов, таких как поведенческие шаблоны, позы безопасности, время, местоположение и требования к задаче, среди прочего, в настоящее время используются сегодня, известный как Адаптивная привилегияПолем С помощью адаптивной привилегии доступ и привилегии пользователей автоматически назначаются на основе управляемого данными и контекстной осознания после надлежащей проверки и аутентификации.

После этого перехода бизнес -аналитикам (BAS) представлены новые возможности и обязанности, предлагая возможность преодолеть потребности бизнеса, влиять на технический дизайн и обеспечить требования к управлению. Это дополнительно позволяет BAS определять, проверять и направлять в процессе перехода на управление адаптивным доступом.

Понимание адаптивной привилегии

Адаптивная привилегия – это предоставление «достаточно достаточного» доступа в режиме реального времени, в сфере бизнес -контекста и переменных окружающей среды. Адаптивные системы привилегий оценивают несколько входов, применимые к пользователю, и определяют правильный уровень доступа. Некоторые из рассматриваемых входов и переменных могут включать текущие роли и обязанности пользователя, оценку риска пользователя, соответствие устройствам и даже интеллект угроз в реальном времени.

Например, клерк, подлежащий кредиторской задолженности, постоянно получают доступ к прочтению и записи к финансовой книге, даже если они обновляют его только один раз в месяц в статической наименьшей привилегии. Однако с адаптивной привилегией тот же клерк будет получать доступ только в течение утвержденного месяца, а доступ возвращается только к чтению в остальное время, если не будет повторно инициировать.

Хотя группы ИТ -безопасности выполняют конфигурацию кода управления доступа, BAS предназначен для определения процесса перехода от традиционной наименьшей привилегии к адаптивной привилегии.

Роль BA имеет решающее значение, поскольку они собирают необходимые документы и проверяют бизнес -процессы, что в конечном итоге приводит к решениям доступа.

Кроме того, BAS гарантирует, что модель соответствует соблюдению и управлению. Они должны также обеспечить, чтобы такие правила, как GDPR, HIPAA, PCI DSS и ISO 27001, полностью выполнены. Основываясь на их понимании этих структур в деловом контексте, они обеспечивают соответствующие нанесены на карту требования. Кроме того, BAS поддерживает управление изменениями в процессе перехода, и это может быть достигнуто путем разработки стратегий связи, обучения и циклов обратной связи для плавного принятия. Кроме того, BA переводит намерение бизнеса в функциональные спецификации. Например, необходимость в маркетинговой команде доступа к аналитике кампании во время запуска, чтобы преобразовать их в действенные, оплачиваемые системными требованиями.

Обязанности BA в проектах адаптивной привилегии

Как обсуждалось ранее, роль BA играет решающую роль в переходе к адаптивному доступу привилегий, с обязанностями, как указано ниже.

BAS взаимодействует с владельцами процессов для определения триггеров для изменения доступа пользователя, а также документировать параметры контекста, необходимые для влияния на решения доступа. Кроме того, они анализируют рабочие процессы, где адаптивная привилегия может повысить безопасность, не замедляя производительность. Например, временный доступ к записи базы данных может быть предоставлен команде пользователей только тогда, когда выполняется утвержденная работа по обучению модели, и тот же доступ отменен сразу после этого.

BAS также несет ответственность за сопоставление заинтересованных сторон с матрицей RACI (ответственной, подотчетной, консультационной и информированной), выявления потенциальных пунктов сопротивления и облегчения семинаров и обучения, чтобы повысить пользователей к преимуществам улучшения соответствия, снижения риска нарушения и автоматических обзоров доступа, среди прочего.

BAS может дополнительно включать модели оценки риска в потоки процессов и выравнивать модели с архитектурой управления идентификацией и управлением организацией (IAM). Они могут дополнительно создать визуальные представления о бизнес -процессах, таких как модель бизнес -процесса и диаграммы нотации (BPMN), чтобы проиллюстрировать точки принятия решений и области, где команда ИТ -безопасности должна пересмотреть доступ.

BAS также переводит язык процесса BPMN в технические термины, чтобы избежать несоответствий между бизнесом и технической реализацией. Например, интерпретация диаграммы BPMN процесса, в которой говорится, что созданное правило авторизации RBAC (контроль доступа) предоставляется только менеджерам по персоналу для доступа и просмотра данных о заработной плате.

Кроме того, BAS гарантирует, что адаптивные привилегии являются проверенными и предназначены для удовлетворения требований аудита в соответствующих нормативных базе и стандартах. Например, встреча с такой, как статья 32 GDPR, направляющего GDPR по безопасности обработки, и раздел управления доступом системы и приложений ISO 27001, который направляет предотвращение несанкционированного доступа к системам и приложениям.

Хотя адаптивная привилегия создана риском разочарования законных пользователей с слишком большим количеством проблем доступа, BAS должен обеспечить, чтобы соображения пользователя были учтены в их решениях. Это может быть реализовано путем обеспечения таких процессов, как политика мультифакторной аутентификации (MFA) для сбалансировки безопасности с удобством использования. Кроме того, отзывы следует контролировать, чтобы уменьшить ненужные узкие места. Наконец, они могут облегчить процесс, выступая за запросы на самообслуживание с помощью автоматических рабочих процессов одобрения.

Общие проблемы и стратегии бакалавра

Существует так много проблем, связанных с переходом к наименьшим привилегиям, которые рассматриваются ниже.

Сложность в определении правил

Из -за необходимости учитывать параметры контекста при принятии решений о доступе, риск донесения ошибок увеличивается, что затрудняет заинтересованным сторонам заинтересованным сторонам понять логику. Такая сложность может замедлить реализацию и неправильное вызов правила безопасности с бизнес -целями.

В результате BAS должен расставлять приоритеты, удовлетворяя критические потребности с небольшим набором высокоэффективных правил и постепенно расширять правила, а затем включить обратную связь и тестирование для поддержания ясности, эффективности и доверия заинтересованных сторон.

Сопротивление пользователей

Хотя для пользователей естественно сопротивляться изменениям, переход к адаптивной привилегии может привести к снижению производительности из -за сопротивления пользователей, что может превратиться в обходные пути, которые подрывают усилия по безопасности и соответствию требованиям. BAS должен предоставить платформу для обучения пользователей о преимуществах повышения безопасности и балансировки эксплуатационной гибкости с приверженностью принципам наименьших привилегий.

Технические ограничения

Переход к этой новой технологии может быть ограничен устаревшими устройствами, системными требованиями и возможностями, отсутствуют API или функции интеграции, тем самым ограничивая реализацию адаптивного контроля доступа. Иногда это может привести к частичным реализациям, ручным процессам и задержкам, которые ослабляют эффективность безопасности.

BAS должен активно сотрудничать с соответствующей ИТ -командой, чтобы консультировать по существующей спецификации систем и участвовать в обходных путях для обновлений. Должны быть сделаны надлежащие документы и сообщены соответствующим заинтересованным сторонам, и необходимое одобрение должно быть получено для актуализации целей безопасности.

Балансировать безопасность и удобство использования

BAS вместе с командой ИТ -безопасности и архитектуры должна найти и набрать правильный баланс, чтобы обеспечить доступ к повышению производительности пользователей в зависимости от их потребностей и ландшафтов угроз. Это связано с тем, что, хотя строгие элементы управления доступа могут снизить производительность, чрезмерно допустимые элементы управления могут также ослабить безопасность. BA должен гарантировать, что как критические активы, так и оперативная эффективность защищены, а также рассматривает правильный баланс доступа, предоставляемый пользователям.

Будущие перспективы и вывод

По мере того, как организация безопасности, управляемая ИИ, и непрерывная аутентификация становятся стандартными, адаптивная привилегия станет еще более сложной, привлекая живую канала угроз, поведенческую аналитику и прогнозное моделирование. Поскольку применение искусственного интеллекта (ИИ) занимает центральное место в большинстве ИТ-разработок, тенденция к принятию управляемой ИИ оркестровки безопасности и непрерывной аутентификации очень высока, и поэтому это может улучшить будущее внедрение адаптивной привилегии более сложным образом. Таким образом, BAS необходимо будет начать подготовиться к улучшению понимания решений в области искусственного интеллекта в управлении инцидентами и доступом (IAM), определяя правила управления для решений в машинном доступе и согласовывая адаптивную привилегию со стратегиями Enterprise Zero Trust.

Это возможность для BAS вступить в высокую роль, переводя развивающиеся потребности бизнеса в правила адаптивного доступа, которые повышают безопасность, поддерживают соответствие и защищают производительность.

Адаптивная привилегия – это не просто технический контроль, но и бизнес -возможность, которая должна быть вдумчиво разработана для защиты активов без каких -либо операций.

В то время как BAS занимают центральное место в этом процессе и требуют сопоставления рабочих процессов, захвата контекстуальных правил и уравновешивания потребностей заинтересованных сторон, необходимость позволить этому переходу вывести организации за пределы «достаточного доступа» к «достаточно, в нужное время».

---

О: Натаниэль Аканде, информационный аналитик

Натаниэль Аканде является известным информационным аналитиком с более чем 8 -летним опытом работы в интеллекте угроз, реагировании на инциденты, управлении уязвимостью, обеспечением качества, управлением, рискам и соответствием (GRC). Он имеет степень MBA, M.Sc. в кибербезопасности, и является сертифицированным ведущим исполнителем ISO 27001. Adept в реализации управления данными, управления идентификацией и доступа, а также операций согласования со стандартами, такими как GDPR, ISO 27001 и NIST, Натаниэль руководил предпринимаемыми проектами, включающими управление данными и управление рисками искусственного интеллекта. Он спикер конференции и написал и просмотрел несколько статей. Он признан за его сильные аналитические навыки, техническую хватку и упреждающий подход к операциям и соблюдению безопасности.